Un hôpital américain a révélé qu’il avait subi une attaque par rançongiciel, la dernière d’une série d’incidents de ce type survenus dans l’industrie au cours des dernières années. Bien que les rançongiciels aient décliné dans la plupart des autres industries, ces attaques répétées soulignent la nécessité pour les organisations de santé de renforcer leurs défenses et d’adopter des stratégies pour lutter de manière proactive contre cette menace persistante.

Un autre hôpital, une autre violation des données

L’hôpital a annoncé avoir été informé d’une attaque par logiciel malveillant le 9 juillet au matin. L’incident a affecté les systèmes de communication interne de l’organisation et l’accès à son dossier de santé électronique (DSE).

Peu de temps après avoir découvert le logiciel malveillant, l’hôpital a rapidement initié son protocole de réponse aux incidents, et les professionnels de l’informatique ont travaillé avec les forces de l’ordre et les experts en Forensics  pour enquêter sur l’incident. L’équipe de sécurité a également évalué les capacités de défense numérique de l’hôpital et a décidé de dévier les patients ambulanciers souffrant de traumatismes ou d’AVC vers d’autres institutions.

Bien que les enquêteurs n’aient découvert aucune preuve de l’attaque compromettant les données du patient, ils ont choisi d’arrêter temporairement le système par mesure de précaution.

Les taux de ransomware restent élevés dans les soins de santé

Selon Recorded Future, les campagnes de rançonneurs ont commencé à décliner en 2017, principalement en raison de la disparition de nombreux kits d’exploitation (EK) sur le marché de la cybercriminalité. Dans le même temps, les EK restants ont fait un virage tactique vers la distribution de logiciels malveillants crypto-miniers. Malheureusement pour les hôpitaux, la baisse de l’ensemble des attaques de ransomware ne s’applique pas au secteur de la santé.

Les sociétés de soins de santé demeurent les cibles privilégiées des rançongiciels, car elles investissent relativement peu dans la sécurité informatique. En outre, les hôpitaux sont souvent plus disposés à payer des rançons en raison de la criticité de leurs systèmes informatiques et des DSE. Comme l’a noté John Halamka, directeur de l’information au Centre médical Beth Israel Deaconess de Boston, dans Fierce Healthcare, certains de ces systèmes ne sont pas à jour, ce qui les rend vulnérables aux attaques par vulnérabilité.

«Chaque fois qu’un correctif est introduit, le fait de modifier un système critique affecte la fiabilité et la fonctionnalité», explique Halamka. “Certains systèmes critiques ont été créés il y a des années et n’ont jamais migré vers des plates-formes modernes.”

Selon ZDNet, de nombreux hôpitaux ont récemment payé des rançons de dizaines de milliers de dollars pour retrouver l’accès à leurs données. Les acteurs de la menace considèrent ces incidents comme une preuve que le ransomware est toujours une tactique efficace et lucrative à utiliser contre les organisations de soins de santé.

Comment les hôpitaux peuvent-ils protéger leurs données?

Pour protéger les données sur les soins de santé contre les acteurs menacés de ransomware, les hôpitaux devraient redoubler d’efforts pour gérer tous les réseaux, terminaux, applications, bases de données et dispositifs médicaux à jour. Ils devraient également mettre en œuvre une segmentation du réseau pour limiter les mouvements latéraux des attaquants et sauvegarder régulièrement les données afin que les opérations puissent reprendre rapidement en cas de violation.

Comme toujours, la meilleure défense contre les menaces telles que les rançongiciels est la formation continue et l’éducation dans toute l’organisation. En veillant à ce que tout le monde, depuis les employés de base jusqu’à la haute direction, puisse reconnaître les signes d’une attaque ransomware et agir en conséquence, ces utilisateurs peuvent servir de première ligne de défense contre cette menace persistante.

The post Une attaque récente suggère que le ransomware est bien présent dans les soins de santé appeared first on Agilly.

ZombieBoy, une nouvelle famille de crypto-mining, a récemment atteint 43 KH / s, soit 1 000 $ par mois aux prix actuels de Monero.

Le chercheur en sécurité indépendant James Quinn a décrit ZombieBoy, une nouvelle famille de logiciels malveillants de cryptage, dans AlienVault le 18 juillet. Le nom vient du kit ZombieBoyTools que le malware utilise pour déposer son premier fichier de bibliothèque de liens dynamiques (DLL). Tout comme MassMiner, ZombieBoy est un ver hautement infectieux, mais il utilise WinEggDrop plutôt que MassScan pour identifier de nouveaux hôtes.

Avant de fermer récemment l’une de ses adresses sur le pool minier Monero MineXMR, les logiciels malveillants de cryptographie extraient chaque mois environ 1 000 dollars de la monnaie numérique, selon Quinn. Basé sur son utilisation de la langue chinoise simplifiée, ZombieBoy provient probablement de Chine.

ZombieBoy exploite plusieurs CVE pour battre les défenses de sécurité

ZombieBoy exploite plusieurs vulnérabilités pour compromettre les réseaux, notamment CVE-2017-9073, une vulnérabilité RDP (Remote Desktop Protocol) sur XP et Server 2003 et SMB (Server Message Block) exploite les vulnérabilités CVE-2017-0143 et CVE-2017-0146. Il utilise ensuite DoublePulsar et EternalBlue pour créer plusieurs backdoors, ce qui augmente les risques de compromis et rend plus difficile pour les équipes informatiques d’éliminer les infections.

Le logiciel malveillant de cryptographie est crypté avec Themdia et ne fonctionnera pas sur les machines virtuelles (VM). Cela rend difficile la capture et l’ingénierie inverse, ce qui limite l’efficacité et le développement de contre-mesures.

ZombieBoyTools est lié à d’autres logiciels malveillants chinois comme IRON TIGER APT (lui-même une variante de Gh0st RAT). Cela suggère non seulement la persistance mais aussi l’évolution continue. Les doubles portes dérobées de ZombieBoy pourraient ouvrir la voie aux logiciels malveillants de cryptage et laisser la porte ouverte aux rançongiciels, keyloggers et autres outils malveillants.

Comment les entreprises peuvent-elles lutter contre les logiciels malveillants de Crypto-Mining?

Bien qu’il soit difficile d’arrêter des menaces comme ZombieBoy, les entreprises peuvent prendre des mesures pour limiter les risques. Les chercheurs en sécurité d’IBM recommandent de bloquer le trafic de commande et de contrôle (C & C) dont les exploits tels que DoublePulsar et EternalBlue reposent sur l’utilisation de signatures telles que SMB_EternalBlue_Implant_CnC et SMB_DoublePulsar_Implant_CnC.

Les experts en sécurité recommandent également de mettre au point des systèmes immunitaires intelligents et intégrés capables de répondre à de multiples menaces, y compris des attaques cryptographiques, des rançongiciels et des attaques par déni de service distribué (DDoS). Cet écosystème de solutions devrait inclure l’authentification à deux facteurs (2FA), les pare-feu applicatifs avancés et la possibilité de limiter ou de désactiver les ports et services inutilisés.

AGILLY peur vous assister dans la mise en place de cet écosystème. Contactez-nous à info@agilly.net

The post Nouveau logiciel malveillant Crypto-Mining ZombieBoy exploite plusieurs CVE pour un impact maximum appeared first on Agilly.

L’informatique hybride a perturbé l’informatique traditionnelle en raison de sa capacité à introduire rapidement des technologies émergentes. Mais qu’est-ce que l’informatique hybride? C’est une combinaison de «services internes et externes, généralement à partir d’une combinaison de clouds internes et publics», selon Gartner.

Les entreprises, bien que réticentes à abandonner le contrôle de leurs données ou à faire face à des défis de conformité potentiels, reconnaissent les avantages de l’utilisation de services cloud publics et privés. La sécurité reste la principale préoccupation de nombreux directeurs de l’information (DSI) dans l’adoption de technologies informatiques et de cloud hybrides dans la poursuite de la modernisation des applications.

La préoccupation n’est pas sans raison: à maintes reprises, il y a eu des violations majeures de la sécurité, où les cybercriminels ont réussi à pirater les données des grandes sociétés. Non seulement de telles violations compromettent les données des utilisateurs et la confidentialité, mais elles créent également une mauvaise presse pour les entreprises concernées et leurs fournisseurs de services de cloud computing (CSP).

Pour cette raison, la sécurité du cloud est de la plus haute importance dans le contexte de la migration vers le cloud.

Les violations de la cybersécurité sont courantes

Les cybercriminels sont toujours à l’affût des opportunités de percer dans les systèmes. Les systèmes traditionnels sur site ne sont pas à l’abri de telles attaques. Selon un sondage réalisé en 2014 par la société de logiciels Alert Logic, rien n’indique que les applications et les données dans le cloud sont plus vulnérables que les systèmes traditionnels, a rapporté Forbes.

Par conséquent, c’est un mythe que le cloud computing est intrinsèquement moins sécurisé qu’une approche traditionnelle. En fait, en raison d’une attention accrue portée à la sécurité dans le cloud, les applications et les données sur le cloud deviennent plus sûres que dans les systèmes traditionnels.

Le piratage récent le plus notable qui a frappé les systèmes traditionnels est le ransomware WannaCry, qui a affecté les systèmes Microsoft Windows en mai 2017. On estime que l’attaque a touché plus de 200 000 ordinateurs dans 150 pays, avec des dommages totalisant des milliards de dollars.

L’état de la sécurité du cloud

La technologie du cloud devient chaque jour plus sûre, mais les techniques de cybercriminalité deviennent simultanément plus sophistiquées. Cela signifie que le défi pour les fournisseurs de services de cloud computing est de garder une longueur d’avance sur les cybercriminels.

De même, les entreprises mettent en œuvre diverses mesures pour rendre le cloud plus sécurisé, mais cela ne signifie pas que les entreprises qui migrent des données peuvent compter entièrement sur la sécurité de l’infrastructure cloud. Une partie de cette sécurité est également hors de leur contrôle – Gartner a prévenu en 2015 que d’ici 2020, 95% des défaillances de sécurité dans le cloud seraient dues à une erreur de la part des clients.

Par conséquent, la sécurité du cloud suit le modèle de responsabilité partagée, qui inclut à la fois la sécurité “du” le cloud et “sur” le cloud. C’est la responsabilité du CSP de protéger l’infrastructure qui fournit les services. La configuration, telle que celle de la gestion des identités et des accès (IAM) et du pare-feu, la sécurité des applications hébergées, le chiffrement des données et l’intégrité des données relèvent de la responsabilité des clients.

Grâce à ce double modèle de sécurité, CSP et ses clients seront également responsables de la sécurité des données sur le cloud. Ce modèle garantit que la plus haute priorité est accordée à la sécurité du cloud.

Processus de migration sécurisée

Les CSP prennent déjà des mesures suffisantes pour garantir la sécurité du cloud. Si les clients se montrent également à la hauteur en suivant les bons processus et en adoptant une stratégie de test de sécurité, le cloud sera beaucoup plus sécurisé.

Les directeurs informatiques et les chefs de file de la transformation soucieux de la sécurité peuvent également utiliser la sécurité comme moteur de modernisation des applications. En fait, les parties prenantes des entreprises sont plus susceptibles de financer des applications et des infrastructures identifiées comme vulnérables.

Pour la sécurisation de votre environnement Cloud, contactez-nous à info@agilly.net

Services de sécurité lors de la planification de la migration

Lors de la planification de la migration, la sécurité des applications doit être considérée comme une priorité absolue. Les entreprises doivent s’assurer que les applications sont exemptes de vulnérabilités et conformes aux normes de sécurité avant leur migration vers le cloud.

De nombreux services de sécurité peuvent être utilisés lors de la modernisation des applications. L’utilisation de tout ou partie de ces services augmentera sensiblement la sécurité des applications migrées.

Détecter les vulnérabilités de sécurité des applications

L’analyse de sécurité consiste à analyser le code source, les applications Web et les interfaces de programmation d’application (API)  pour détecter les vulnérabilités, telles que définies par OWASP et SANS Institute.

Il existe deux types d’analyse de sécurité:

• Analyse de code statique ou source
• Balayage dynamique

En analyse statique, le code source est analysé pour détecter toute vulnérabilité de sécurité. Passer du code avec des dizaines de milliers de lignes peut être long et fastidieux. Des outils automatisés sont donc utilisés à cette fin.

Dans l’analyse dynamique, les applications Web et / ou les API REST sont testées dynamiquement en envoyant diverses requêtes malveillantes et en recherchant les vulnérabilités existantes. Il existe de nombreux outils bien connus pour le balayage dynamique automatisé.

Avec l’aide de ces outils, les services de numérisation aideront à trouver de nombreuses vulnérabilités – bien que les outils eux-mêmes ne puissent pas tout trouver. L’analyse peut être intégrée au flux de travail des opérations de développement (DevOps) pour automatiser le processus. En corrigeant ces vulnérabilités dans les applications avant leur migration, le risque peut être grandement atténué.

The post Un guide détaillé sur la modernisation des applications et la sécurité cloud appeared first on Agilly.

Un acteur inconnu a divulgué le code source du programme malveillant Android Exobot en ligne, ce qui a fait craindre de nouvelles campagnes d’attaque.

En juin 2018, l’individu inconnu a envoyé une copie du code source d’Exobot à Bleeping Computer, qui l’a ensuite partagé avec les sociétés de sécurité ESET et ThreatFabric. Selon les chercheurs d’IBM X-Force, les sociétés ont confirmé que le code concernait la version 2.5 d’Exobot, un cheval de Troie bancaire Android basé sur le logiciel malveillant Marcher Android.

Le code source d’Exobot est apparu pour la première fois en mai 2018 après que quelqu’un qui l’a acheté de l’auteur a décidé de le partager avec la communauté des logiciels malveillants.

Pourquoi la fuite du code source pourrait-elle laisser présager une attaque massive

Les chercheurs de Bleeping Computer ont observé que le code source d’Exobot était distribué sur «pas mal» de marchés Web clandestins après avoir reçu sa copie. Ce fait est préoccupant, car les fuites de code source de programmes malveillants précédentes ont entraîné une flambée de nouvelles campagnes d’attaques.

Par exemple, les Laboratoires de recherche sur les menaces de niveau 3 ont identifié 213 000 robots réduits en esclavage Mirai via la communication avec le serveur de contrôle avant la publication du code source du logiciel malveillant. Après cet événement, l’équipe a découvert que le nombre de robots Mirai avait plus que doublé, passant à 493 000.

Cet incident s’est produit juste avant que Mirai ne lance son infâme attaque par déni de service distribué (DDoS) contre l’infrastructure gérée par DNS (Domain Name System) gérée par Dyn à la fin de 2016.

Comment protéger les appareils mobiles à partir de logiciels malveillants Android

Pour protéger leurs organisations contre les répercussions des fuites de code source des logiciels malveillants, les experts d’IBM recommandent d’adopter une approche globale de la prévention des menaces mobiles. Cette stratégie nécessite d’investir dans une solution de gestion unifiée des points de terminaison (UEM) pour analyser les périphériques afin de détecter d’éventuelles menaces et de configurer des protocoles réseau pour remédier à une infection par logiciel malveillant.

Ces fonctionnalités doivent également inclure des règles de conformité et des alertes en temps réel pour automatiser le processus de correction et de suppression des logiciels malveillants sur les appareils mobiles.

Sources:  Bleeping Computer, NetFormation

The post Un acteur inconnu a divulgué le code source du programme malveillant Android Exobot appeared first on Agilly.

Les entreprises adoptent les dernières technologies numériques, élargissent leur clientèle mondiale et exploitent à un rythme accéléré la plus récente ressource naturelle du monde, les données. Le cloud computing, l’intelligence artificielle, l’Internet des objets, la blockchain et les médias sociaux ont amené la connexion humaine et l’accessibilité des données à des sommets sans précédent, et l’impact qu’ils peuvent avoir sur les entreprises rend encore plus importante leur protection. Face à ce changement potentiellement perturbateur, la cyber-résilience doit être considérée comme une priorité absolue.

Dans un article pour Harvard Business Review, Diane Coutu définit la résilience comme «la compétence et la capacité d’être robuste dans des conditions de stress et de changement énormes». Bien qu’il soit difficile d’éviter des conditions stressantes dans n’importe quel travail, la capacité d’une entreprise à faire face aux menaces informatiques et à les dépasser peut toujours être améliorée.

Alors, comment votre entreprise peut-elle prioriser la cyber-résilience et l’utiliser pour promouvoir la croissance à long terme de son activité?Construire la résilience dans l’organisation

Les organisations cyber-résilientes partagent trois caractéristiques fondamentales:

• Ils font face à la réalité.
• Ils apprennent des erreurs.
• Leur ingéniosité est ritualisée.

La première étape pour devenir cyber-résilient consiste à accepter que les cybermenaces soient réelles – elles ne sont plus une question de savoir si, mais plutôt quand – et de nombreuses entreprises peuvent déjà être inconsciemment compromises. Cela est particulièrement important à l’ère des menaces avancées et persistantes, où les cybercriminels se cachent longtemps dans l’environnement informatique d’une entreprise.

Les entreprises doivent disposer des outils et des experts appropriés pour localiser les vulnérabilités et trouver des solutions avant qu’une cyberattaque ou une autre panne informatique ne se produise. L’IA et les technologies cognitives, ainsi que l’analyse prédictive pour la reconnaissance des formes, peuvent aider à détecter et à contrecarrer les menaces potentielles. Et il est essentiel que les dirigeants s’engagent à responsabiliser leurs employés en mettant en œuvre des stratégies à long terme permettant de mettre fin aux incidents répétés.

Les entreprises doivent disposer des outils et des experts appropriés pour localiser les vulnérabilités et trouver des solutions avant qu’une cyberattaque ou une autre panne informatique ne se produise. L’IA et les technologies cognitives, ainsi que l’analyse prédictive pour la reconnaissance des formes, peuvent aider à détecter et à contrecarrer les menaces potentielles. Et il est essentiel que les dirigeants s’engagent à responsabiliser leurs employés en mettant en œuvre des stratégies à long terme permettant de mettre fin aux incidents répétés.

Une cyber-résilience efficace permet à une organisation de prévoir, d’analyser, de défendre, de récupérer et d’apprendre à improviser lorsque des conditions ou des événements stressants ont un impact sur des ressources critiques, activées par le cyber. Avec le bon ensemble de valeurs, un leadership engagé et un engagement collectif en faveur de la sécurité, chaque organisation est capable de devenir cyber-résiliente.

The post La cyber-résilience, partie I: Construire la cyber-résilience appeared first on Agilly.