Lumières sur la sécurité

vendredi 30 avril 2021

Le courrier électronique est considéré comme l'une des plus anciennes formes de communication numérique, sa base technologique ayant été créée à il y a plus de cinquante ans. Aucune autre technologie ne l’a jamais remplacée. Même à l'ère des messageries instantanées, avoir une adresse e-mail et donc, une boîte aux lettres, semble évident pour des millions d’internautes. Dans les entreprises, il serait inconcevable de travailler sans courrier électronique ! Presque toute la correspondance officielle, interne et externe, est reçue et envoyée par e-mails. Cette popularité énorme a un inconvénient : le courrier électronique est toujours sous le regard attentif des pirates depuis l'apparition de la cybercriminalité. Dans la présente publication, nous allons envisager les menaces les plus courantes dans le trafic e-mail.

Dans nos publications antérieures nous avons déjà parlé de certaines attaques de phishing. Il s’agissait de l’envoi de Trojans qui installaient de manière transparente puis lançaient l'utilitaire de gestion distante Remote Utilities. De tels incidents ne sont pas rares, les attaquants utilisent souvent l’e-mail comme point d'entrée pour propager une infection via l'infrastructure réseau des organisations attaquées. Cela se produit en partie parce que les règles de sécurité de base ne sont pas toujours bien respectées, alors que le courrier électronique reste un moyen assez efficace pour les pirates de pénétrer dans un réseau d'entreprise.

L'utilisation du courrier électronique à des fins personnelles comporte également des risques. Ainsi, le spam, le phishing et les newsletters indésirables font depuis longtemps partie intégrante du courrier électronique. Selon nos statistiques, les menaces les plus courantes dans le trafic e-mail sont des Trojans, backdoors, Trojans bancaires, stealers et ransomwares à chiffrement. Ces malwares sont propagés, en général, de manière aléatoire, les pirates envoyant des programmes malveillants à des adresses prises dans des bases volées, en espérant qu'il y aura des internautes qui prendront le risque d'ouvrir leurs messages contenant des pièces jointes dangereuses.

La contamination se produit le plus souvent suite au lancement par l’utilisateur d'un fichier inconnu, mais qui semble utile, et qui masque un malware. Le plus souvent, ces éléments dangereux sont déguisés en pièce jointe utile, par exemple, un document ou un fichier d'installation. Pour déjouer leurs victimes, les pirates utilisent des techniques connues : ils modifient les icônes des fichiers exécutables pour les faire passer pour des documents ou bien ils tentent de masquer les extensions réelles des applications à lancer (documentsuperimportant.doc ou .exe).

IL est également très fréquent que l’utilisateur clique sur des liens inconnus dans le corps des e-mails. En règle générale, le lien redirige vers un site contrôlé par les pirates qui, selon leur scénario, peut :

1. être un site de phishing destiné à voler des données d'authentification et d'autres informations,
2. télécharger une charge malveillante sur l’appareil,
3. exécuter un script malveillant dans le navigateur (par exemple, pour suivre les actions futures de l'utilisateur sur cette page).

Mais revenons aux menaces que nous pouvons rencontrer lors de l'utilisation de la messagerie au bureau ou bien à la maison. Un autre scénario intéressant est l’utilisation de « sondages » lors de la préparation d'une attaque ciblée. Les pirates envoient un message sans pièces jointes, mais avec des images (ou des images latentes de la taille d’un pixel), téléchargées depuis le serveur qu’ils contrôlent. Ils peuvent ainsi voir si leur message a été ouvert et quelles images ont été téléchargées. Les informations transmises à leur serveur de gestion peuvent contenir l'adresse IP du destinataire, la ligne d'identification de l'application client, des informations sur le système d'exploitation, etc... Toutes ces données sont ensuite utilisées pour préparer l'étape principale de l'attaque.