24e édition du rapport annuel de Symantec sur les cyber-menaces : le formjacking en plein boom

Selon la nouvelle édition du rapport annuel de Symantec sur les cyber-menaces, les attaques sont plus ambitieuses, plus destructrices et plus sournoises, ce qui représente un véritable défi pour les entreprises et les particuliers.

Les attaques par ransomware et cryptojacking n’étant plus aussi rentables qu’auparavant, les cybercriminels se tournent désormais vers des méthodes alternatives plus lucratives comme le formjacking. C’est ce que révèle l’édition 24 du rapport annuel de Symantec sur les cyber-menaces, l’Internet Security Threat Report, qui dresse un état des lieux de la cyber criminalité et des menaces sur l’ensemble de l’année 2018.

Le rapport de Symantec fournit également des informations sur les menaces au niveau mondial, les tendances en matière de cybercriminalité et les motivations des attaquants. Il analyse les données collectées par le Global Intelligence Network de Symantec, le plus vaste réseau civil mondial de renseignement sur les menaces qui collecte les événements à partir de 123 millions de capteurs à travers le monde, bloque 142 millions de menaces par jour et surveille les menaces d’au moins 157 pays.

La France sort du Top 10 mondial mais reste dans le Top 5 européen

En 2015, la France faisait son entrée dans le Top 10 des pays les plus actifs en matière de cybercriminalité. Trois ans plus tard, l’Hexagone en sort mais reste 4e dans le classement européen, derrière la Russie, l’Allemagne et le Royaume-Uni. Au niveau mondial, les pays qui occupent les 3 marches du podium sont les Etats-Unis, la Chine et l’Inde.

La France est en revanche le pays européen qui concentre le plus d’attaques de cryptomining et occupe la troisième place mondiale en concentrant 6,4 % du nombre total d’attaques (contre 5,9 % en 2017), le pays enregistre également une légère augmentation du nombre d’attaques par bots (1,1 % contre 0,8 % en 2017). La part de malware, de spams, d’attaques réseau et de ransomware en France, comparé au nombre total mondial, est en revanche en baisse.

Le formjacking : la nouvelle méthode utilisée par les cybercriminels pour s’enrichir rapidement
Les attaques par formjacking sont simples et ressemblent à une arnaque au distributeur de billets. La différence du formjacking est qu’il est virtuel. Les cybercriminels injectent un code malveillant dans les sites de e-commerce afin de dérober les informations de carte bancaire des consommateurs. Chaque mois, plus de 4 800 sites web sont compromis par un code de formjacking et sur l’ensemble de l’année 2018, Symantec a bloqué plus de 3,7 millions d’attaques par formjacking sur des terminaux. Plus d’un tiers d’entre elles étaient concentrées pendant la période d’achat la plus intense de l’année à savoir les mois de novembre et de décembre durant lesquels les consommateurs profitent du Black Friday, du Cyber Monday et de la période des fêtes pour faire de bonnes affaires mais aussi leurs cadeaux de Noël.

Si de nombreux sites de vente en ligne réputés ont été compromis ces derniers mois, notamment Ticketmaster et British Airways, le rapport de Symantec révèle que ce sont les enseignes de petites et moyennes tailles qui ont, de loin, subi le plus d’attaques.

Selon de premières estimations, les cybercriminels auraient collecté des dizaines de millions de dollars l’an dernier, dérobant les informations bancaires et personnelles via des pratiques qui ne sont pas nouvelles comme la fraude à la carte bancaire et la revente sur le dark web. Sachant que 10 cartes bancaires volées sur chacun des sites web compromis pourraient rapporter jusqu’à  2,25 millions de $ par mois, une seule carte bancaire permettrait d’empocher jusqu’à 45 $ (soit environ 40 euros) sur les sites underground de revente. La récente attaque de British Airways en septembre dernier aurait permis aux cybercriminels de récolter plus de 17 millions de dollars.

« Le formjacking est une menace sérieuse pour les entreprises et les consommateurs », déclare Laurent Heslault, Directeur des Stratégies de Sécurité de Symantec. « En l’absence d'une solution de sécurité complète, les consommateurs n’ont aucun moyen de savoir si le site qu’ils consultent est infecté, exposant ainsi leurs informations personnelles et bancaires à un vol d’identité potentiellement dévastateur. Du côté des entreprises, la hausse vertigineuse des attaques par formjacking prouve que le risque d’attaques ciblant la chaîne logistique est croissant, sans compter les risques qui pèsent sur la réputation et la responsabilité d’une entreprise en cas d’attaque de ce type. »

Les pays où le formjacking est le plus actif sont les Etats-Unis qui concentrent 33,3 % du nombre total d’attaques bloquées, suivis de la Belgique (23,6 %) et l’Australie (7,5 %). La France est en 14e position dans le classement mondial avec 1 % du nombre d’attaques bloquées.

Cryptojacking et ransomware : une rentabilité qui continue de diminuer en 2018

Ces dernières années, les ransomware et le cryptojacking ont été privilégiés par les cybercriminels pour gagner facilement de l’argent et en France, Symantec identifiait déjà une baisse du nombre de ransomware en 2017, les Français étant moins enclins à régler les rançons qu’aux Etats-Unis par exemple. En 2018, les experts observent une diminution de ces activités et de leur rentabilité, le cryptojacking étant moins intéressant en raison de la baisse de valeur des crypto-monnaies. En parallèle, l’adoption croissante du cloud computing et l’explosion de l’informatique mobile rendent ces attaques moins efficaces. Pour la première fois depuis 2013, les infections par ransomware ont chuté de 20 %. Néanmoins, les entreprises ne doivent pas baisser leur garde : dans leur cas, les infections par ransomware ont augmenté de 12 % en 2018, allant à contre-courant de la tendance générale et démontrant à quel point cette menace reste sérieuse : plus de huit infections par ransomware sur dix touchent des entreprises.

Après avoir atteint un pic en début d’année dernière, le cryptojacking a diminué de 52 % au cours de l’année 2018. Bien que les valeurs des crypto-monnaies aient chuté de 90 % et s’avèrent considérablement moins rentables, le cryptojacking reste populaire auprès des attaquants en raison du peu d’efforts qu’il demande, de son faible coût et de son anonymat. En décembre 2018, Symantec a bloqué 3,5 millions de tentatives de cryptojacking sur des terminaux.

En matière de sécurité, le cloud est le nouveau PC

Les entreprises reproduisent avec le cloud les erreurs qu’elles avaient commises en matière de sécurité au moment de l’adoption des PC. Une charge de travail cloud ou une instance de stockage mal configurée peut coûter des millions de dollars à une entreprise et lui faire vivre un véritable cauchemar en matière de conformité. Ainsi l’année dernière, plus de 70 millions de dossiers ou enregistrements dans le cloud ont été volées ou divulguées à cause de configurations pas suffisamment sécurisées des outils de stockage dans le cloud public (S3). Par ailleurs, de nombreux outils facilement accessibles permettent aux attaquants d’identifier les ressources cloud mal configurées sur Internet.

La découverte récente de vulnérabilités sur des microprocesseurs, y compris Meltdown, Spectre et Foreshadow, ont montré que les services cloud pouvaient être exploités pour accéder aux espaces mémoire protégés d’autres ressources de l’entreprise, hébergées sur le même serveur physique.

Living off the Land et Supply Chain : des attaques plus sournoises et plus ambitieuses
Les attaques sur la chaîne logistique et de type ‘Living off the Land’ (LotL) s’installent durablement dans le paysage des menaces. Elles sont largement adoptées par les cybercriminels et les groupes menant des attaques ciblées. Ainsi, les attaques visant la chaîne logistique ont fait un bond de 78 % en 2018.

Les techniques ‘Living off the Land’ permettent aux attaquants de rester discrets et de cacher leur activité sous une masse de processus légitimes. Par exemple, l’utilisation de scripts PowerShell malveillants a augmenté de 1 000 % l’an dernier. Même si Symantec bloque 115 000 scripts PowerShell malveillants par mois, cela représente moins d’un pour cent de leur utilisation globale. Pour les entreprises, bloquer l’ensemble de l’activité PowerShell nécessiterait d’adopter des mesures draconiennes qui perturberaient leurs activités, ce qui explique que de nombreux groupes privilégient désormais les techniques ‘Living off the Land’ pour mener des attaques ciblées.

Afin d’identifier et bloquer ces attaques, les entreprises doivent utiliser des méthodes avancées de détection telles que l’analytique et le machine learning (apprentissage automatisé). Afin d’aider les entreprises à se prémunir contre ces attaques, Symantec continue de faire évoluer son portefeuille, ce dernier comprend des solutions comme Managed Endpoint Detection and Response (MEDR) de Symantec, la technologie EDR 4.0 optimisée, ainsi que la solution d’IA avancée, Targeted Attack Analytics (TAA) aident les entreprises à se protéger. TAA a permis à Symantec de détecter des dizaines d’attaques ciblées sournoises, y compris celles du groupe Gallmaker qui a mené l’intégralité de ses campagnes de cyber-espionnage sans programmes malveillants.

Outre les attaques ‘Living off the Land’ et les vulnérabilités logicielles de la chaîne logistique, les attaquants utilisent aussi de plus en plus les méthodes d’attaque traditionnelles, comme l’hameçonnage ciblé (spear-phishing), pour infiltrer les entreprises. Si la collecte de renseignements reste le principal motif des attaques ciblées, le nombre de groupes utilisant des programmes malveillants pour détruire ou perturber les activités des entreprises a augmenté de 25 % en 2018.

L’Internet des objets dans la ligne de mire des cybercriminels

Alors que le volume d’attaques IoT (Internet des objets) reste élevé et cohérent avec le niveau observé en 2017, leur profil a considérablement changé. Les routeurs et les caméras connectées sont les appareils les plus touchés par des infections, représentant 90 % de l’ensemble des objets touchés, mais quasiment tous les appareils IoT sont vulnérables, des ampoules connectées aux assistants vocaux, créant des points d’entrée supplémentaires pour les attaquants.

Les groupes menant des attaques ciblées privilégient de plus en plus l’IoT comme point d’entrée principal. L’émergence du programme malveillant VPNFilter ciblant les routeurs montre une évolution dans les méthodes d’attaques IoT. Sa conception demande des compétences et d’importants moyens, mais surtout, il permet à ses auteurs de détruire ou d’effacer un appareil, de voler des identifiants et données, et d’intercepter des communications SCADA – SCADA étant un système très présent sur les installations industrielles.

« La convergence de l’informatique et de l’IoT industriel étant en hausse constante, il est probable que le prochain champ de bataille de la cybercriminalité sera la technologie opérationnelle, » affirme Laurent Heslault, Directeur des Stratégies Sécurité chez Symantec. « De plus en plus de groupes, comme Thrip et Triton, cherchent à compromettre les systèmes opérationnels et les systèmes de contrôle industriels en vue de préparer une cyberguerre. »

Confidentialité des données : la grande prise de conscience

Le scandale Cambridge Analytica, les déboires de Facebook, la mise en œuvre du Règlement Général sur la Protection des Données (RGPD) et les révélations concernant la localisation et les problèmes de confidentialité des applications les plus utilisées, comme la fonction FaceTime d’Apple, ont mis la protection de la vie privée sur le devant de la scène en 2018.

Les smartphones pourraient être présentés comme les équipements d’espionnage les plus performants jamais créés car équipés d’une caméra, d’un dispositif d’écoute et d’un système de localisation, le tout, réunit dans un appareil choisi et utilisé volontairement par tous. Déjà ciblés par les États-nations qui s’en servent comme support d’espionnage traditionnel, les smartphones sont aussi devenus des outils lucratifs de collecte des informations personnelles des utilisateurs, transformant de ce fait les développeurs d’applications mobiles en délinquants.

D’après une analyse de Symantec, 45 % des applications Android les plus populaires et 25 % des applications iOS les plus utilisées demandent à localiser l’utilisateur, 46 % des applications Android et 24 % des applications iOS courantes demandent l’autorisation d’accéder à l’appareil photo, et les adresses e-mails sont partagées avec 44 % des principales applications Android et 48 % des applications iOS les plus répandues.

Les outils collectant les données des téléphones pour localiser des enfants, des amis ou des téléphones perdus sont également en hausse, ouvrant la voie à différents abus, notamment le suivi de personnes sans leur consentement. Les harceleurs ont à leur disposition plus de 200 applications et services qui leur fournissent des fonctionnalités, comme la localisation, la collecte de textes et même l’enregistrement secret de vidéos.