L’outil de vidéoconférence, longtemps critiqué pour son manque de sécurité, vient d’annoncer le déploiement du chiffrement de bout en bout, en AES 256 bits, pour tous ses clients desktop et mobile, à l’exception de sa version web. Activable à merci, son utilisation contraint de se passer de certaines fonctionnalités. 

Nous ne sommes peut-être qu’à quelques heures d’un nouveau confinement, mais les utilisateurs de Zoom peuvent déjà se sentir mieux : leurs réunions sont désormais chiffrées de bout en bout. L’éditeur a annoncé hier qu’il supportait désormais le chiffrement end-to-end, avec un chiffrement AES 256bits autrement plus robuste que les clés AES-128 précédemment utilisé par l’outil de visioconférence. 

Le chiffrement est désormais disponible pour les utilisateurs gratuits et payants pour les réunions jusqu'à 200 personnes pour le client de bureau Zoom version 5.4.0 pour Mac et PC, l'application Zoom Android et Zoom Rooms. Sur iOS, la mise à jour de l’application attend encore l’approbation d’Apple. A noter que cette fonctionnalité est pour l’heure au stade de “technical preview”, et ce pendant 30 jours, Zoom cherchant à récolter sur le sujet l’avis de ses utilisateurs. 

Conséquence du rachat de Keybase

En effet, lorsque le chiffrement de bout en bout est activé, il est alors impossible d’utiliser certaines fonctionnalités de l’outil, à l’instar des sondages, des réactions,  de la transcription en direct ou encore de l’enregistrement de la session. Les administrateurs de compte peuvent activer cette fonctionnalité dans leur tableau de bord Web au niveau du compte, du groupe et de l'utilisateur. S'il est activé, l'hôte peut activer et désactiver E2EE pour une réunion donnée en fonction du niveau de sécurité et du niveau de fonctionnalités dont il veut disposer.

Dans un communiqué, Jason Lee, le responsable de la sécurité de Zoom, félicite “notre équipe de chiffrement qui nous a rejoints depuis Keybase en mai et a développé cette fonctionnalité de sécurité impressionnante en seulement six mois”. En effet, en mai dernier Zoom réalisait son premier rachat en mettant la main sur Keybase, une jeune pousse éditrice d’une solution de messagerie chiffrée de bout-en-bout.

L’éditeur allemand est la victime de Clop, un ransomware qui a infecté certaines composantes de son SI le 3 octobre. Les attaquants réclament 23 millions de dollars en échange des clés de déchiffrement mais aussi de la non-divulgation des documents dérobés à Software AG lors de l’attaque.

Le 5 octobre, Software AG annonce être depuis deux jours victime d’un malware. S’il n’en précise pas la nature, l’éditeur d’origine allemande précise avoir été contraint de fermer ses services internes afin d’éviter une propagation, tandis que ses produits à destination de ses clients n’étaient pas affectés par l’attaque. Aujourd’hui encore, certaines parties de son site sont indisponibles, tandis qu’il redirige ses clients vers une adresse mail pour ses services support. 

“L'entreprise est en train de restaurer ses systèmes et ses données afin de reprendre un fonctionnement ordonné. Cependant, les services d'assistance et la communication interne de Software AG sont toujours affectés” expliquait Software AG dans sa communication en date du 5 octobre. Il ajoutait ne pas avoir de signe de compromission des données de ses clients.

1 To de données dérobées

Mais trois jours plus tard, le ton est bien différent. “Software AG a obtenu la première preuve que les données ont été téléchargées à partir des serveurs et des ordinateurs portables des employés de Software AG. Rien n'indique que les services aux clients, y compris les services cloud, soient perturbés” dévoile l’entreprise.

En effet, selon les chercheurs de MalwareHunterTeam, les attaquants clament avoir dérobé un téraoctet de documents dans le SI de la société, dont des contrats, des rapports, des échanges par mail, des listes de contacts. Autant d’informations que les hackers menacent de publier en ligne si Software AG ne s’acquitte pas du versement d’une rançon de 23 millions de dollars en bitcoins. Cette somme permettra en outre à l’entreprise d’obtenir le déchiffrement de ses fichiers. 

Toujours selon MalwareHunterTeam, le ransomware Clop est derrière cette attaque. Et le groupe de se demander si l’utilitaire anti-McAfee contenu dans le malware utilisé était spécialement dédié à Software AG, ou si les hackers ont tout simplement eu “la flemme” de l’enlever de leur code.

Le spécialiste du bug bounty fait monter en grade sa directrice des opérations, Fanny Forgeau. Deux ans et demi après son recrutement, elle est promue directrice générale de l’entreprise, en binôme avec le cofondateur et CEO Yassir Kazar.

Editeur de logiciels

Les conteneurs et leurs images peuvent contenir du code malveillant : ils sont ainsi exploités par des cryptojackers. L'Anssi livre en ce début octobre un guide des bonnes pratiques de sécurité quant au déploiement et à l'exécution de conteneurs Docker. 

A l'occasion de la Black Hat 2017, deux chercheurs démontraient que les conteneurs Docker pouvaient servir à dissimuler des malwares. Et depuis, de Graboid à Doki, les exemples ne manquent pas quant à l'utilisation des conteneurs et de leurs images à des fins malveillantes. L'Anssi a pris le problème à bras le corps et vient de publier un guide de bonnes pratiques de sécurité à l'attention des développeurs et des DSI relatives au déploiement et à l’exécution de conteneur Docker. 

Le document ne traite pas de Docker daemon et la gestion des images Docker, quand bien même ces derniers sont souvent pointés du doigt comme présentant des vulnérabilités exploitables par des attaquants. 

Sécuriser le conteneur

"Docker Community Edition (CE) présente peu de vulnérabilités connues. La plupart d’entre elles concernent la création de conteneur à partir d’une image malveillante. Cependant, la sécurité de Docker repose principalement sur les mécanismes de sécurité du noyau et sur des composants externes. Des vulnérabilités les affectant peuvent donc être exploitées pour compromettre Docker ou son hôte" précise l'Anssi. 

Le document livre donc ses recommandations, notamment sur le cloisonnement du conteneur et de ses ressources, la restriction des privilèges (écriture de l'espace de stockage, lecture du système de fichiers racine, stockage des données non persisantes, restrictions du répertoire et des fichiers sensibles, namespaces dédiés...) ou encore la journalisation du conteneur. Des recommandations qui suivent le document de référence publié sur le même sujet par le Center for Internet Security (CIS).

Si la sempiternelle recommandation des autorités est de ne surtout pas payer de rançons, certaines victimes de ransomwares, parfois conseillées par leurs partenaires, finissent par accéder aux demandes de leurs attaquants. Ce sont ces partenaires qui s’exposent désormais à des sanctions du Trésor américain, qui n’apprécie guère que ces rançons versées servent à des acteurs menaçant la sécurité des États-unis. 

Il ne faut jamais payer les rançons demandées par les opérateurs de ransomware. D’une part car la victime n’est en rien assurée de récupérer ses fichiers, de l’autre parce que céder au chantage conforte les criminels quant à la rentabilité de leur activité. Tels sont les conseils dispensés par l’ANSSI et tant d’autres autorités étatiques sur les ransomwares. Toutefois, les cas de versement d’une rançon ont été plus amplement médiatisés ces dernier mois, au point que le Trésor américain ne décide de mettre les points sur les i. 

Dans une note, l’Office of Foreign Assets Control, ou OFAC, sort les crocs. En effet, en vertu de plusieurs lois, les ressortissants américains ne sont pas autorisés à marchander avec une longue liste de personnes et de pays, soit qu’ils représentent une menace à la sécurité nationale, soit qu’ils font l’objet de sanctions, à l’instar de la Crimée, de la Syrie, de l’Iran ou encore de Cuba. 

Sanctionner le versement de rançons

“L'OFAC peut imposer des sanctions civiles pour les violations de sanctions fondées sur la responsabilité stricte, ce qui signifie qu'une personne soumise à la juridiction américaine peut être tenue civilement responsable même si elle ne savait pas ou avait des raisons de savoir qu'elle s'engageait dans une transaction avec une personne interdite” écrit cette branche du Trésor.

Ce qui nous amène aux ransomwares. Voici quelques temps que nous rapportons que telles victimes, conseillées par son prestataire en cybersécurité ou son assureur, a cédé aux demandes des attaquants, s’acquittant du paiement d’une rançon. Or, selon l’OFAC, “les paiements de ransomware profitent aux acteurs illicites et peuvent saper les objectifs de sécurité nationale et de politique étrangère des États-Unis”. Et sont donc susceptibles de faire l’objet d’enquêtes quant au contournement desdites sanctions. 

Evidemment, il ne s’agit pas pour le Trésor américain d’inquiéter les entreprises victimes, qui double le coût de rétablissement de leur SI lorsqu’elles paient une rançon. Le texte vise les entreprises “qui s'engagent avec des victimes d'attaques de ransomwares, telles que celles impliquées dans la fourniture de cyberassurance, de criminalistique numérique et de réponse aux incidents, et les services financiers pouvant impliquer le traitement de paiements de rançon”. 

Le groupe hospitalier UHS est la cible d’une attaque informatique qui l’oblige à recourir à des outils hors ligne. Le coupable serait Ryuk, un ransomware désormais bien connu. 

Universal Health Services, UHS pour les intimes, est l’un des plus grands groupes hospitaliers aux États-Unis, avec plus de 400 établissements de santé répartis sur le territoire. Depuis le matin du 27 septembre, ses employés sont revenus au papier et au crayon... ou du moins à des outils hors-ligne prévus en back-up. En cause, un “incident de sécurité informatique” contraignant le groupe à bloquer les accès à ses applications. 

Le communiqué d’UHS est particulièrement lapidaire, se contentant d’indiquer que “cette affaire peut entraîner des perturbations temporaires de certains aspects de nos opérations cliniques et financières” et n’avoir pour l’heure aucune preuve de l’accès aux données de ses patients et employés. Le ton des messages envoyés auxdits employés est tout autre. 

Les machines paralysées

Dans des SMS consultés par Reuters, le groupe recommande à ses salariés de n’accéder en aucun cas au réseau de l’entreprise avec leurs terminaux, professionnels ou personnels. Une attitude révélatrice d’une infection par un malware se propageant sur le réseau de l’entreprise, tandis que plusieurs sources pointent le ransomware Ryuk comme derrière la paralysie du SI d’UHS. 

Sur Reddit plusieurs utilisateurs indiquent que les fichiers des hôpitaux du groupe ont été chiffrés et portent l’extension .ryk, marque de fabrique de Ryuk. Ils signalent en outre que l’attaque aurait débuté dans la nuit de samedi à dimanche et que les ordinateurs ne sont pas les seuls affectés : ECG, appareils de radiologie ou encore ERM seraient eux aussi paralysés. Des informations qui ne sont néanmoins pas vérifiables pour le moment, et donc à prendre avec des pincettes, à l’instar de celle selon laquelle plusieurs patients seraient décédés faute d’une prise en charge adaptée consécutive à cette cyberattaque. 

Le secteur de la santé particulièrement visé

La crise sanitaire a vu une multiplication des attaques dirigées contre les établissements de santé.  L'AP-HP, le Health and Human Services Department américain ou encore l'hôpital de Brno, en République Tchèque, ont tous été victimes ici de DDoS, là de ransomwares ou encore de vol de données. L’Accompagnement Cybersécurité des Structures de Santé avait émis en mars en France plusieurs recommandations suivant celles précédemment formulées par l’OMS. Pour Pierre-Louis Lussan, de Netwrix, "nos récentes recherches sur les cybermenaces indique que ce secteur a subi le plus d'attaque de ransomware depuis le début de la crise sanitaire - avec une organisation de santé sur trois qui admet avoir été visée. Concernant l’attaque d’UHS, nous ne savons pas encore si les données des patients ont été seulement chiffrées, ou si elles ont également quitté le réseau de l’organisation. Plusieurs installations d’UHS sont affectées dans au moins quatre États et dans la ville de Washington, ce qui montre un déplacement latéral rapide du malware".

Nouveau patron