Actualité sécurité 12/2018

[LÉGISLATION] L’Australie adopte une loi visant à permettre aux forces de l'ordre d'avoir accès aux messages chiffrés des « citoyens australiens ». Cette loi obligera les entreprises de technologie à créer une porte dérobée sur leurs systèmes, afin que les agences nationales de sécurité et les forces de l'ordre puissent avoir accès aux communications en clair. Une amende est prévue pour les entreprises qui refuseront de s’y soumettre.

Les représentants des institutions européennes se sont mis d'accord pour donner plus de responsabilités à l'ENISA, l’agence de sécurité informatique de l'Union Européenne, ainsi que pour mettre en place une certification des objets connectés. Une liste de produits nécessitant une certification obligatoire est prévue pour 2023.

[CONDAMNATION] Le tribunal correctionnel d’Anvers a condamné trois informaticiens pour avoir participé à l’importation de lots importants de cocaïne et d’héroïne. Les peines vont de trois à huit ans de prison pour les accusés ayant compromis en 2013 les systèmes d’information de grandes compagnies de transport et terminaux à conteneurs, pour le compte d’un groupe criminel. Ils ont permis d’importer au moins deux tonnes de cocaïne et une tonne d’héroïne via le port d'Anvers.

[FUITE DE DONNÉES] La société russe de sécurité informatique Group-IB a découvert une liste de plus 40 000 identifiants et mots de passe d'accès à des services gouvernementaux de trente pays, dont la France. Plus de la moitié des informations concerneraient l'Italie (52%) puis l'Arabie Saoudite (22%) et le Portugal (5%). Les comptes concerneraient des civils, des fonctionnaires et des militaires. Les victimes auraient été piégées par des spear-phishing distribuant des programmes malveillants.

La société de sécurité informatique InfoArmor a découvert un serveur mal configuré en ligne, contenant les numéros d'identification de 120 millions contribuables brésiliens. Chaque ressortissant brésilien a un numéro d’identification de contribuable attribué lui permettant d’effectuer des opérations ordinaires, tels que l’ouverture d’un compte bancaire, le paiement de ses impôts ou l’obtention d’un prêt.

[ESPIONNAGE] Symantec publie un rapport sur un nouveau groupe d’attaquants nommé Seedworm ou encore MuddyWater. Le groupe aurait ciblé 131 entités entre septembre et novembre 2018 notamment au Pakistan, en Turquie, en Russie et en Arabie Saoudite. Les cibles seraient essentiellement des entreprises issues des secteurs des télécommunications, des services informatiques, ainsi que du gaz et de pétrole. Seedworm utiliserait la porte dérobée nommée Powermud, afin d’exfiltrer des mots de passe, effectuer des élévations de privilèges ou encore compresser les données exfiltrées pour les télécharger ultérieurement.

McAfee a révélé qu’une campagne nommée « opération Sharpshooter », ciblant les secteurs du nucléaire, de la défense et de la finance, aurait de nombreux liens avec le groupe d’attaquants d’origine nord-coréenne Lazarus, nommé également APT38, Dark Seoul, ou Hidden Cobra. 87 organisations situées majoritairement aux États-Unis ont ainsi été ciblées par cette campagne entre octobre et novembre 2018. L’un des outils d'attaque utilisé lors de cette campagne est présenté comme une évolution d’un outil attribué à Lazarus et diffusé en 2015.

[SABOTAGE] Le pétrolier italien Saipem a révélé que son système d’information avait été compromis par une variante du programme malveillant Shamoon. Ce programme efface les données des machines infectées, tente de détruire le disque dur et de rendre le système inexploitable. La première version de ce programme avait été identifiée en 2012, alors qu’il avait ciblé le producteur pétrolier d’Arabie Saoudite, Aramco, et rendu indisponible 35 000 postes de travail. L’attaque ayant ciblé Saipem aurait impacté 400 de ses serveurs, d’abord à Chennai en Inde, puis au Moyen-Orient (Arabie Saoudite, Émirats Arabes Unis, Koweït), en Écosse, et de manière limitée en Italie. L’attaque aurait ainsi entraîné l’effacement de données et perturbé le fonctionnement des infrastructures. Toutefois, la société indique avoir des copies de l’ensemble de ses systèmes, ce qui limiterait l’impact de l’attaque.

Fuite de données

Le ministère français de l'Europe et des Affaires Étrangères a été victime d'une compromission visant à exfiltrer des données à caractère personnel. Les noms et prénoms, numéros de téléphone et courriels, ont ainsi été exfiltrés lors de l'inscription sur le service ministériel Ariane, qui permet de signaler un voyage ou une mission à l'étranger. Plus de 540 000 personnes sont concernées. Le ministère précise que l'exfiltration ne comprend pas « de données sensibles, financières ou susceptibles de dévoiler les destinations des voyages déclarés sur Ariane »