Sécur-Info #6 - Spécial "Faux Anti-virus" + Actualités Gaspésiennes

 En résumé dans ce numéro : 

   Ce numéro de Sécur-Info, "LE bulletin de nouvelles de sécurité informatique Gaspésien", prend une toute nouvelle signification en ce sens que pour la première fois, j'y relate des informations liés à des incidents de sécurité réels qui sont survenus récemment ici, en Gaspésie.  Ces informations seront mêlées avec les dossier promis sur les "Faux Anti-Virus", qui représente une niche particulière et très lucrative de la panoplie de maliciels présents sur Internet à l'heure actuelle.  On parle ici de la pointe très visible de l'iceberg, mais toujours aussi efficace malgré tout.  Finalement je conclurai avec un bref retour sur certaines actualités mentionnées lors des précédents numéros.


------------------------------------------------------------------------------------

Bonjour cher lecteur à cette sixième édition du bulletin de nouvelles Sécur-Info, axé sur la sécurité informatique et destiné aux entreprises et organismes opérant sur le territoire Gaspésien

Ce bulletin consiste en un résumé en français de manchettes récentes originalement parues en anglais et triées sur le volet ou d'un blog traitant d'un sujet en particulier sur la sécurité informatique.  Le contenu n'est pas très technique en soi et vise surtout à faire prendre conscience de l'ampleur du problème en ce qui à trait à la vulnérabilité des systèmes informatiques que nous utilisons tous les jours et que nous prenons trop souvent pour acquis.

La protection des données informatiques est un enjeu crucial pour les entreprises et organismes de toutes tailles, mais malheureusement trop souvent négligé à cause d'un manque de connaissances dans la matière.  Le but de ce bulletin de nouvelles est donc de vous initier tranquillement au merveilleux monde de la sécurité informatique et des sujets qui s'y rattachent.  Mieux informé, vous serez ainsi plus en mesure de mieux évaluer les risques auxquels vos systèmes informatiques ont à faire face.

En espérant donc que vous trouverez ce bulletin intéressant et pertinent pour votre organisation.

Adam Richard, Consultant en Sécurité de l'Information

------------------------------------------------------------------------------------

Incidents de sécurité informatique en Gaspésie

Lors de mes nombreuses démarches afin d'obtenir du financement pour le démarrage de mon entreprise, à un certain moment donné, j'ai été confronté à une demande à laquelle je ne m'attendais pas : fournir des statistiques sur les incidents de sécurité informatique en Gaspésie.  J'ai eu beau arguer que de telles statistiques n'ont jamais été compilées auparavant, que justement, pour qu'elles le soient, cela prendrait justement une compagnie telle que la mienne pour le faire; que les statistiques mondiales et canadiennes étaient déjà très éloquentes (63% des internautes victimes d'une forme de cyber-crime, 65% au Canada, 73% aux É-U); que des événements récents tels que des inondations (comme celle à Rivière-au-Renard au moment d'écrire ces lignes), vols ou actes de vandalisme (feu) survenu récemment sur le territoire étaient tout autant d'incidents où mes services auraient pu être salutaires, ou encore que j'avais deux témoignages distincts de personnes vivants à Gaspé alléguant avoir l'impression qu'un individu (le même dans les deux cas) s'était introduit dans leur ordinateur après lui avoir confié celui-ci pour des réparations mineures (à titre d'information, cet individu aurait quitté la Gaspésie selon les dernières nouvelles que j'en ai eu); j'ai eu beau arguer de tout cela, donc, mais sans "statistiques" en bonne et due forme concernant le territoire Gaspésien, c'était comme si toutes ces menaces que j'amenais, tout ces chiffres, ils n'étaient qu'une conception de mon esprit.  Un peu comme si, par je ne sais quel principe, la Gaspésie n'était pas connectée au même réseau Internet que le reste de la planète, ou que personne en Gaspésie n'utilise Internet dans un cadre professionnel ou d'affaires.

Et bien peu s'en faut, car même s'il ne s'agit pas là de véritables statistiques, des incidents reliés à la sécurité informatiques surviennent bel et bien sur notre beau territoire.

En effet, il y a moins de deux semaines, le site web d'une auberge de ski de Murdochville s'est fait "hacker", comme on dit dans le jargon.  J'ai appris cela tout à fait par hasard, au travers d'un de mes contacts que je venait de faire la journée même!  Je ne suis pas au courant des détails de l'attaque, mais de ce que j'ai pu en constater d'ici, il semblerait que ce soit le site de leur fournisseur d'hébergement web au grand complet qui a été la victime principale de l'attaque, fournissant ainsi au pirate un accès aux comptes de tous leurs clients, incluant notre auberge Murdochvilloise.  Il a fallu quelques jours avant que tout ne semble être rentré dans l'ordre.  Sans être dans le secret des dieux, tout me porte à croire que le but de cette attaque était la distribution d'une suite malicielle à travers ces sites webs qui infecte à leur insu les visiteurs légitimes qui ne se doutent de rien.  Cela ne serait pas surprenant, puisque cette méthode est maintenant beaucoup plus utilisée pour propager des maliciels que l'ancienne mode des pièces-jointes dans les courrier électroniques, quoique cette méthode à toujours cours aujourd'hui.

On pourrait penser qu'il s'agit d'un fait isolé, mais malheureusement, ce n'est pas le cas.

Sans nécessairement toujours en devenir victime, le cyber-crime prend diverses formes, et nul n'est à l'abri de celui-ci dès l'instant où il se connecte au réseau Internet.  Et le fait d'être une "région éloignée" perd tout son sens une fois sur le réseau des réseaux.  C'est ainsi que j'ai été mis au courant par un de mes contacts Facebook d'une tentative d'extorsion ayant l'apparence d'une opportunité d'affaires légitime (le fait que le message provenait du Nigéria était un gros indice, mais il s'agit ici d'une tentative beaucoup plus subtile qu'un vague transfert de fonds internationaux pour un héritage non-réclamé ou un trésor national public volé), ou qu'un autre de mes contacts Facebook s'est plaint cette semaine des alertes provenant de son antivirus en lisant un de mes messages et celui de quelqu'un d'autre sur un mur FB.  Discutant de la situation avec elle, ne pouvant re-créer avec exactitude ce message de son côté et ne voyant rien d'anormal de mon côté non plus, j'en suis venu à la conclusion que son anti-virus a été déclenché possiblement par une publicité malicieuse, qui est un autre moyen pour les pirates de propager leurs maliciels, principalement les faux antivirus, comme nous allons voir.

Je voudrais seulement terminer cette section en mentionnant que tous les incidents rapportés dans ce bulletin liés à la Gaspésie ne m'ont été rapportés que par le pur fruit du hasard, et qu'en tant que tel, ils ne représentent qu'une toute petite partie visible d'un iceberg que je soupçonne d'être beaucoup plus gros que ce à quoi personne ne s'attend.

Dossier "Faux Anti-Virus"

Cette catégorie de maliciels est aussi appelée an anglais "Rogue Anti-Malware" ("anti-virus voyou"), "Scareware" (logiciel basé sur l'exploitation de la peur), dans certains cas "Ransomware" (logiciel qui demande une rançon pour que vous récupériez le contrôle de votre ordinateur)  ou quelques autres noms encore.  Pour question de simplicité, appelons-les simplement "faux anti-virus".  Ils sont dans la nature depuis plusieurs années déjà, et bizarrement n'ont pas subi d'évolutions majeures, malgré quelques nouveautés intéressantes récemment.  Malgré ce manque apparent d'innovation, ce type de maliciel connait toujours beaucoup de succès et représente une tranche très lucrative des revenus provenant du cyber-crime.  Toujours près de chez nous, une de mes connaissances, comptable travaillant dans le secteur para-public à Gaspé en a été victime chez lui il y a quelques années, et plus récemment un organisme para-public qui compte parmi mes prospects-clients a subi le même problème sur le lieu de travail plus récemment.  Dans les deux cas, il y a eu perte de sommes d'argent.

La caractéristique principale de ces logiciels est qu'il vous présente une interface similaire à celle des véritables logiciels anti-virus que vous êtes susceptible de connaitre.  Dans certains cas, l'interface est la même mais seul le nom change.  La méthode la plus efficace pour les identifier cependant consiste à regarder de plus près le fonctionnement réel du programme (idéalement, vous les aurez reconnus avant d'en arriver là).  Dans le cas de la plupart (sinon tous) les logiciels anti-virus légitimes, une version gratuite et pleinement fonctionnelle est habituellement offerte aux côtés d'une version payante à titre de version d'essai.  Certaines fonctions peuvent être désactivées, comme la mise-à-jour automatique ou des modules de détection supplémentaires, mais pour l'essentiel, la version gratuite offre les mêmes capacités de détection ET de nettoyage que la version payante, et ce, sans payer un seul sou.  Dans certains cas, la période d'essai est limitée dans le temps, 30 jours par exemple, mais durant cette période le logiciel offre ses pleines capacités.


Figure 1 : L'interface de Security Master AV
Dans le cas des faux anti-virus, les personnes derrière ces logiciels tentent par tout les moyens de rendre leur logiciel frauduleux similaire aux logiciels légitimes, afin de mieux se faire passer pour eux.  Ainsi, eux aussi vont tenter de vous convaincre qu'ils vous offrent une version "gratuite" de leur logiciel (très souvent, un "scan gratuit", ce qui est un indice très clair qu'il y a anguille sous roche), et vont tenter par tout les moyens de vous inciter à l'utiliser pour scanner votre ordinateur dans les plus brefs délais.  Bien que jusqu'à maintenant, tout semble normal, c'est au moment de nettoyer ce que ce "scanneur gratuit" à détecté (parce qu'il trouve invariablement quelque chose, que votre ordinateur soit réellement infecté ou non) que les choses se corsent.  C'est en effet à ce moment que le logiciel vous informe qu'il vous faut maintenant payer pour la version complète afin d'enlever les maliciels supposément trouvés.  De plus, il vous sera impossible de désinstaller ce faux logiciel, qui continuera à vous envoyer des alertes dans le but de vous convaincre de payer pour la "version commerciale".

Ceci décrit en gros les principes de bases qui caractérisent cette catégorie de maliciels depuis les début de son existence.  Cependant, quelques innovations d'apparence mineure en surface, mais qui démontre bien la volonté de pousser ces logiciels et de les faire passer pour légitimes le plus possible, ont récemment fait leurs apparitions.

Tout d'abord, au niveau de la distribution, comme on l'a vu plus haut, la solution pour les cyber-fraudeurs est parfois aussi simple que de s'acheter un bandeau de publicité sur un site populaire comme Facebook, Twitter, Google, Yahoo ou encore le site du New York Times, ou bien plus près de chez nous le site de Canoe.ca, par exemple.  Le coût relativement faible de l'achat de ces publicités en fait un vecteur de choix pour les pirates, qui en obtiennent une rentabilité des plus intéressantes.

Les cyber-fraudeurs ne sont pas tous paresseux ou dépourvus de connaissances techniques, cependant, comme le démontre cette étude en profondeur sur le fonctionnement interne d'un tel faux anti-virus.  Cette étude fait mention d'un script (c'est-à-dire un petit bout de programme) qui contrôlait plus ou moins l'entièreté de l'opération de distribution.  Les pirates scannait l'Internet à la recherche de serveurs web légitimes vulnérables (comme celui de notre auberge de ski de Murdochville), et utilisaient ensuite ces vulnérabilités pour y insérer leur script.

À partir de là, le serveur web se met à distribuer des maliciels de manière silencieuse, à l'insu du propriétaire du site et de ses visiteurs.

C'est à ce moment que le script entre en action et utilise à son avantage les forces des engins de recherche comme Google.  Dans un premier temps, une partie du script va analyser les recherches récentes sur Google les plus populaires dans le but d'en tirer les mots clés les plus pertinents à l'actualité du moment.  Le script va ensuite insérer des liens sur le site web piraté contenant ces mots-clés, dans le but évident d'être intercepté et référencé par l'engin de recherche Google.  Dans un deuxième temps, le script va également insérer des liens vers d'autres sites webs piratés contenant les même mots-clés.  Le but de cette opération est "d'empoisonner" l'engin de recherche Google en lui faisant croire que ces liens sont plus pertinents qu'ils ne le sont en réalité à l'aide d'un réseau de référencement factice.  Il faut savoir que c'est par le nombre de références à un article que Google détermine sa pertinence, et donc son emplacement dans la liste des sites retournés pour une recherche quelconque.  En procédant ainsi, les cyber-fraudeurs sont donc en mesure d'utiliser la force de Google à leur avantage de sorte à ce que les sites piratés qu'ils utilisent pour distribuer leurs maliciels se retrouvent souvent en tête de liste, surtout lors de recherches sur des sujets marquants de l'actualité susceptibles d'attirer l'attention du plus grand nombre possible.

Figure 2 : L'interface de My Security Engine.  Remarquez à quel point il est identique à celui de Security Master AV.

Cependant, ce qui a attiré le plus l'attention récemment au sujet des faux anti-virus est l'ajout d'un "service d'aide technique" incorporé au maliciel (voir la partie encerclée dans le coin supérieur droit des Figures 1 et 2), avec un vrai être humain à l'autre bout pour vous guider comme un vrai technicien le ferait, tout cela bien entendu dans un effort supplémentaire d'avoir l'air le plus "légitime" que possible.  Un chercheur s'est même donné la peine de prétendre d'être une victime qui vient de tomber au piège, et a contacté le support technique pour de l'assistance concernant le message d'alerte qui est apparu (dans ce cas-ci de manière provoquée) sur son écran.  Il en a tiré deux séquences vidéos de ses séances de clavardage avec le "technicien", duquel en ressort que le "technicien" possède déjà des réponses toutes prêtes qu'il n'a qu'à copier-coller (que l'on devine au temps incroyablement court pour taper des réponses relativement longues), qu'il transmet à la victime des informations techniques erronées et complexes, mais se pose ensuite comme étant celui ayant la solution pour l'aider, le but ici étant de gagner la confiance de la victime et l'inciter à télécharger encore plus de composantes malicielles sur son ordinateur.

Figure 3 : Session de clavardage avec un faux représentant de support technique.

Comme nous venons de le voir, ces logiciels ressemblent en tout point à de véritables anti-virus, et donc il n'est pas difficile de comprendre pourquoi tant de gens se font prendre.  Les techniques pour convaincre la victime qu'il s'agit d'un logiciel légitime s'apparentent à ce que l'on appelle en sécurité l'Engineering Social.  L'Engineering Social, qui peut être effectué de plusieurs façons, consiste à adopter un discours et une image propices à induire confiance et amener la victime à agir selon les désirs de l'ingénieur social.


Figure 4 : Engineering Social 101 - Auriez-vous idée de vous méfier d'un tel sourire?
Est-ce que ces techniques sont efficaces?

Plutôt, oui.  Jugez-en par vous même avec l'anecdote qui suit.

Au cours de mes recherches au cours de l'été dernier afin de tenter de dénicher des statistiques de sécurité informatique propres à la Gaspésie, je suis tombé sur une dépêche publiée par la liste de distribution ThreatPost, gérée par le fabricant d'antivirus très réputé Kaspersky Labs.  Cette dépêche faisant mention de la "compagnie" Enigma Software Group, qui venait de mettre en ligne un outil qui montre le nombre d'infections malicielles pour chaque ville sur une carte géographique de type Google Map.  Et, oui, il y avait des statistiques sur la Gaspésie.  Très peu, mais il y en avait.


Figure 5 : Le "Malware Tracker" d'Enigma Software Group.
Initialement, en partie à cause de ma joie sur le moment et en partie à cause du fait que je n'avais pas de raison de douter de la légitimité de cette information du fait qu'elle me provenait de Kaspersky, je n'ai pas porté attention à la source de ces statistiques ni à leur véracité.  Cependant, mes soupçons ont commencé à se former quand j'ai tenté de communiquer avec cette compagnie afin de rapporter une erreur sur leur site web, et que j'ai été incapable de trouver ne serait-ce que l'ombre d'une adresse courriel sur le site.  Au mieux, je n'ai trouvé qu'une page sur leur site où l'on peut laisser un message destiné au support technique de leur "logiciel anti-virus" SpyHunter.  Un seul petit problème cependant, cette option n'est disponible que pour les utilisateurs payants de ce logiciel.

Ne désirant aucunement débourser de l'argent pour simplement pouvoir les contacter, pour leur signifier un problème sur leur site web de surcroit, j'entrepris donc de lancer mon navigateur web préféré pointé sur Google, et j'ai commencé à enquêter sur cette compagnie, leur logiciel, ainsi que certains de leurs employés et dirigeants.  J'ai trouvé une quantité d'informations colossale et parfois même des plus loufoques, ce qui m'a permis de rapidement identifier les gens derrière Enigma Software Group comme étant des gens totalement incompétents en informatique et avec un très lourd passé en termes de pratiques douteuses qui les ont officiellement catégorisés comme "Faux Anti-Virus" pendant de nombreuses années.  Ils ne sont plus officiellement identifiés comme tels de nos jours suite à une poursuite judiciaire contre Lavasoft, qui s'est réglée par une entente hors-cours dont les termes n'ont pas été révélés.

Je me suis quand même posé la question à savoir comment ces gens ont fait pour passer à une des "compagnies" de sécurité informatique les plus controversée et mal réputée de l'industrie formelle et informelle (certains les traitent carrément de fraudeurs et de voleurs) à une compagnie qui fait les manchettes sur une liste aussi réputée que ThreatPost?  Et bien la réponse est très simple et très longue à la fois.  Le contenu complet de mon enquête est exposé dans un article, an anglais, que je compte publier sur Internet bientôt.

Mais en bref, ce qu'ils ont fait, c'est simplement pousser les principes de l'Engineering Social à un autre niveau, en s'attaquant non pas aux gens directement mais en s'adressant aux médias de masses.  Ce faisant, ils ont corrigés leurs pratiques les plus répréhensibles, sans pour autant adopter une nouvelle attitude plus éthique.  Ils ont largement profité de la tempête médiatique crée par le ver Conficker il y a environ 2 ans, pour lequel ils ont lancés un outil de suppression entièrement gratuit, et grâce à ce pied dans la porte, petit à petit ils ont réussi à se monter un dossier de presse qui au fur et à mesure qu'il grandissait, leur conférait une certaine "crédibilité journalistique".  Il est clair cependant qu'aucun de ces journaux n'a procédé à la moindre vérification.  À la lumière des choses que j'ai trouvées sur eux, ils n'auraient jamais obtenu une ligne de texte ou une seconde de temps d'antenne si ça avait été le cas.

Plus tard, quand ils ont pensé à mettre les statistiques des "infections détectés" sur une carte Google Map, s'en est suivi une autre ronde médiatique, car il s'agit vraiment d'une bonne idée même si elle est imparfaite, et à ce moment, ils avaient apparemment réussi à faire oublier leur passé chargé, car de toute évidence tous ces médias les ont pris pour des experts sur parole, sans effectuer aucune recherche sur leur crédibilité.  Pire, certains de ces articles en ont tirés des études démographiques sur les taux d'infections de maliciels!  Nul besoin de préciser que je ne me suis plus servi de ces chiffres comme statistiques valables, quoiqu'elles démontrent tout de même une partie visible de l'iceberg qui se trouve devant nous.

Figure 6 : Zoom sur la Gaspésie.  Au mieux, ces statistiques montrent combien de gens sont tombés dans le panneau de SpyHunter.  Au pire, ils ne représentent rien du tout.

Retour sur les actualités précédentes

Dans cette section, je pourrais continuer de lister les manchettes concernant les nouvelles vulnérabilités découvertes dans nos système depuis la dernière édition de ce bulletin, ou de la rapidité à laquelle ces nouvelles vulnérabilités sont rapidement exploitées dans de nouvelles attaques, mais sincèrement je crois que cela deviendrait redondant à la lumière des manchettes de ce type que j'ai déjà couvert.

Cependant, deux parmi celles-ci méritent que j'y revienne un bref instant, car je les considère particulièrement importantes.

La première concerne le ver StuxNet, dont j'ai fait mention dans mon dernier bulletin.  La particularité de ce ver (en plus des vulnérabilités intéressantes qu'il a permit de découvrir) était qu'il s'attaquait à des types d'ordinateurs très spécifiques, les systèmes SCADA, qui sont utilisés dans le contrôle industriel des chaines de montage et des systèmes d'infrastructure, tels que les usines d'épuration d'eau ou les centrales électriques.  Ce ver avait toutes les apparences d'être la création d'un État-Nation voulant prendre le contrôle des infrastructures d'un autre État-Nation.

Il est apparu à la lumière des dernières révélations que le pays visé par ce ver ne serait nul autre que l'Iran.  Ce qui veut dire que le créateur de ce ver est possiblement soit les États-Unis, soit un de leur proches alliés.  Le but de celui-ci serait de ni plus ni moins de s'introduire dans les systèmes de contrôle des centrales nucléaires controversées d'Iran qui font si souvent les manchettes aux actualités du soir à la télévision.  L'Inde aurait également été affecté par StuxNet.

Donc, après les épisodes de déstabilisation des infrastructures électroniques et bancaires qu'ont connu certains pays de l'ex-U.R.S.S. (particulièrement l'Estonie), c'est un autre chapitre de l'histoire des cyber-guerres qui est en train de s'écrire.

Parlant de cyber-guerre, cela m'amène à vous parler d'une autre manchette, parue l'hiver dernier celle-là, et dont je fait mention lors de mes conférences.  Il s'agit de l'attaque que les médias et experts ont baptisé "Opération Aurora".  La portée réelle de cette attaque n'est pas encore entièrement connue.  Il s'agirait cependant d'une attaque provenant de la Chine et qui a touché une cinquantaine de compagnies aux États-Unis, dont Google, Symantec (oui, le fabricant d'antivirus), Juniper Networks, Adobe, Yahoo, Dow Chemical et Northrop Grumman.  Le but de cette attaque aurait à la fois été d'espionner les comptes de courriel Gmail de dissidents chinois et d'activistes des Droits Humains ainsi qu'une vaste opération d'espionnage industriel.

La raison qui m'amène à vous parler d'Opération Aurora aujourd'hui provient de WikiLeaks, qui a récemment fait les manchettes avec la nouvelle fuite d'environ 250 000 câbles diplomatiques sur son site et au travers de quelques journaux réputés.  Certains de ces câbles confirmeraient l'implication directe du Politburo chinois dans la responsabilité d'Opération Aurora.  Sans grande surprise de ma part, "le gouvernement chinois se serait introduit à l'intérieur d'ordinateurs du gouvernement américain et de ses alliés occidentaux depuis... 2002".

Les "alliés occidentaux", c'est nous, ça.

D'ailleurs, vous avez peut-être vu le reportage d'Enquêtes sur Radio-Canada (reportage non-disponible en ligne) il y a un peu moins de 2 ans de cela, sur le piratage informatique.  On y faisait mention d'un mystérieux ver (Storm) qui était indétectable par les anti-virus et dont on ne savait trop quelle était sa raison d'exister, ainsi que le ver "Microsoft Word" qui infectait et copiait le contenu des disques durs sur Internet sans aucune discrimination.  Sans vouloir sauter trop vite aux conclusions, on peut facilement penser que la Chine ou un autre pays ait pu conduire de telles attaques, complètement indétectées, automatisées, à grande échelle et ce pendant plusieurs années.  Dans une optique comme celle-ci, toutes les entreprises, grandes ou petites, en centre urbain ou en région éloignée, peut devenir victime d'un tel espionnage industriel de masse, motivé par le gain économique et technologique, et financé par le gouvernement d'États-Nations ou d'organisations criminelles.  Dans notre économie mondialisée, les dangers de perdre un avantage compétitif lié à une innovation technologique sont réellement présents pour tous.  Il en va de même pour nos institutions gouvernementales.

C'est en prévoyant de tels scénarios que je me suis mis, aussi tôt qu'en 2000, à développer les outils de sécurité et de surveillance en temps-réel à distance que j'ai présenté dans mon bulletin sur les Systèmes de Détection d'Intrusion.  Les théories et concepts présents dans ces outils étaient plutôt novateurs à cette époque, mais font maintenant de plus en plus partie de l'offre commerciale de nos jours.  Ces technologies offrent une protection nettement supérieure à la simple utilisation d'un antivirus et d'un pare-feu, et sont disponibles à prix abordables même pour la plus petite des PME.

La sécurité est une chose que l'on prend trop souvent pour acquis, surtout dans la confiance que nous plaçons dans nos ordinateurs.  Ce n'est malheureusement qu'une fois qu'il est trop tard que l'on réalise ce à quoi on était vulnérable.

Adam RichardConsultant en Sécurité de l'Information