Des attaques de toutes parts: Des attaques de toutes parts Rapport semestriel sur la sécurité 2021

Les ransomware ont continué d'évoluer au rang de l'une des cybermenaces les plus dangereuses, amassant plus de 7 millions de détections combinées de menaces par email, URL et fichiers. Les acteurs malveillants ont évolué de manière rapide et agressive, avec des attaques contre des secteurs critiques tels que la banque, le gouvernement et la fabrication.

Certaines des stratégies des opérateurs, telles que leur propension à cibler des industries cruciales, sont restées constantes, mais nombre de leurs tactiques ont évolué de manière drastique et rapide. Des variantes importantes de ransomware ont fait monter les enchères, les nouvelles familles aggravant les risques. Certains acteurs malveillants ont rapidement saisi l'occasion et se sont fait passer pour des gangs de ransomware, comme dans le cas d'une fausse campagne DarkSide.

Familles de ransomware notables

De tels incidents ont suscité des discussions sur les questions délicates du paiement des rançons, de la cyber-assurance et de la législation potentielle. Les autorités et les chercheurs en sécurité ont également déployé des efforts agressifs pour éliminer les gangs de ransomware, ce qui a conduit à une série d'arrestations très médiatisées, comme dans le cas des opérateurs Egregor et Clop.

Techniques raffinées

Les opérateurs de ransomware ont étendu leur utilisation d'outils légitimes. Ils ont également fait monter les enjeux de leurs techniques d'extorsion, du chiffrement à l'exposition des données volées, en passant par l'intégration d'attaques par déni de service distribué (DDoS) et par le harcèlement direct des clients et des parties prenantes des organisations victimes.

Techniques de multi-extorsion des ransomware

Les menaces persistantes avancées ont également été actives, puisque plusieurs campagnes ont été lancées au cours du premier semestre de cette année.

Les groupes de menaces derrière ces menaces persistantes avancées brandissaient à la fois des techniques éprouvées et des tactiques innovantes. Les premières comprenaient l'utilisation d'emails et de scripts malveillants de spear phishing, tandis que les deuxièmes impliquaient de nouvelles plates-formes légitimes, des variantes de malware et des outils d'accès à distance (RAT, remote access tools) tels que le chargeur PlugX.

Menaces persistantes avancées notables

Menaces persistantes avancées notables au cours du premier semestre 2021

Le flux d'attaque de l'opération d'Earth Wendigo

Des vulnérabilités notables ont fait la une des journaux, tandis que les chercheurs se dépêchaient de corriger les systèmes affectés avant que ces failles ne présentent des dangers et ne perturbent les configurations de travail, y compris celles à distance.

ProxyLogon

Un incident de piratage informatique, attribué au groupe Hafnium, a permis l'exploitation de quatre vulnérabilités zero-day dans les versions sur site de Microsoft Exchange Server. Ces vulnérabilités sont CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 et CVE-2021-27065, collectivement appelées ProxyLogon.

Vulnérabilités Microsoft SharePoint

Cinq vulnérabilités notables d'exécution de code à distance (RCE, remote code execution) ont également affecté Microsoft SharePoint, une plate-forme de gestion et de stockage de documents en ligne qui peut également être utilisée dans des configurations de travail à distance.

Vulnérabilités Microsoft SharePoint RCE pour le premier semestre 2021

Vulnérabilités VPN

Face à la persistance des configurations de télétravail (WFH, work-from-home), les réseaux privés virtuels (VPN) restent un outil essentiel pour assurer la sécurité. Les détections de ces vulnérabilités ont continué de proliférer, avec quelques pics par rapport à la même période l'année dernière.

Détections de vulnérabilités VPN pour le premier semestre 2020 et le premier semestre 2021

PrintNightmare

« PrintNightmare » est le nom attribué à CVE-2021-1675, une vulnérabilité critique du spouleur d'impression Windows qui permet l'exécution de code arbitraire avec des privilèges au niveau du système. La fuite accidentelle d'un code d'exploit de preuve de concept a déclenché une course contre la montre, visant à corriger cette vulnérabilité le plus rapidement possible.

Dans l'ensemble, le nombre de détections de vulnérabilités a légèrement diminué, avec une baisse notable des vulnérabilités critiques.

Comparaison semestrielle de la répartition de la gravité, basée sur le CVSS des vulnérabilités divulguées via notre programme Zero Day Initiative (ZDI).
Source : Programme ZDI de Trend Micro

Même en pleine pandémie, les affaires continuent pour de nombreux acteurs malveillants, qui recherchent toujours de nouvelles menaces ou affinent les actuelles. Certains cybercriminels ont directement profité de la pandémie, utilisant l'incertitude et la détresse provoquées par la situation comme des munitions d'ingénierie sociale pour élaborer leurs escroqueries.

Menaces liées à la Covid-19

Alors que le déploiement des programmes de vaccination se poursuit dans le monde, les menaces liées aux vaccins contre la Covid-19 prolifèrent elles aussi. Celles-ci impliquent des fichiers malveillants, des emails, des SMS, des sites de désinformation et des pages de phishing. Les cibles habituelles sont les secteurs des télécommunications, de la banque, du commerce de détail, du gouvernement et de la finance.

Menaces actives

XCSSET

XCSSET cible les utilisateurs Mac et infecte les projets Xcode. Il y a quelques mois, les acteurs malveillants ont mis à jour XCSSET avec des fonctionnalités qui lui permettent de s'adapter aux Mac ARM64 et x86_x64. Le malware a également acquis la capacité à collecter des informations sensibles sur certains sites Web, y compris les plateformes de trading de crypto-monnaie.

PandaStealer

PandaStealer est un nouveau voleur d'informations qui peut collecter des informations sensibles telles que des clés privées et des enregistrements de transactions passées à partir des portefeuilles de devises numériques d'une cible. Il peut également collecter les informations d'identification dans d'autres applications, prendre des captures d'écran et exfiltrer les données des navigateurs. Il se propage principalement via des emails de spam demandant des devis commerciaux.

Les circonstances provoquées par la pandémie ont catalysé l'adoption de systèmes en ligne alimentés par des technologies telles que le cloud et l'IdO. Cependant, ces domaines comportent leurs propres ensembles de menaces et de risques.

Cloud

Certaines menaces importantes cette année incluent les attaques TeamTNT. Au début de l'année, nous avons découvert que les acteurs malveillants derrière TeamTNT ciblaient certains systèmes cloud :

• Informations d'identification AWS. TeamTNT a volé des informations d'identification AWS via un binaire contenant un script shell codé en dur. Plus de 4 000 instances ont été compromises.
• Clusters Kubernetes. TeamTNT a compromis des clusters Kubernetes un peu partout. Près de 50 000 adresses IP ont été affectées sur plusieurs clusters.

L'IdO

Nous avons découvert des risques dans plusieurs facettes de l'IdO, notamment le réseau WAN à longue portée (LoRaWAN), la 5G et les routeurs.

LoRaWAN

Bien qu'utiles dans les entreprises et les villes intelligentes, les appareils LoRaWAN ne sont pas à l'abri des compromis. Après avoir détecté des vulnérabilités exploitables dans ces appareils, nous avons créé l'outil LoRaPWN qui permet d'évaluer la sécurité des communications LoRaWAN.

5G

La mise en place de réseaux de campus 4G/5G pour les entreprises comporte des risques. Pour étudier ces dangers, nous avons identifié plusieurs scénarios d'attaque, notamment le piratage DNS, le piratage MQTT, le piratage Modbus/TCP, le téléchargement ou la réinitialisation d'automates programmables (PLC, programmable logic controller) non protégés, le bureau à distance et l'échange de SIM.

Routeurs

Les routeurs ont toujours été en proie à des problèmes de sécurité. Nous avons analysé les infections de routeur et trouvé VPNFilter, un botnet IdO représentant l'une des menaces les plus importantes. Pour compromettre les routeurs et les périphériques de stockage, VPNFilter utilise des comptes de porte dérobée et divers exploits.

40,956,909,973

Nombre total de menaces bloquées pour le premier semestre 2021

Téléchargez notre rapport complet pour mieux comprendre les cybermenaces et les risques urgents qui ont sévi au premier semestre 2021, et pour en savoir plus sur nos recommandations d'experts en matière de sécurité pour les utilisateurs et les entreprises.