Cybercriminalité

Rapport Symantec sur les menaces Internet d’avril 2009…

In English anglais

XSS chez Symantec ?

XSS chez Symantec ?

La société Symantec publie ces jours-ci son rapport sur les menaces à la sécurité sur Internet en 2008. Le document est intégralement téléchargeable depuis le site de la société.

Il s’agit d’informations collectées par Symantec, notamment par la collecte de données auprès de ses clients et par ses propres équipes. Même si on ne doit pas prendre de telles études pour une vision parfaite de la situation, elles sont toujours très intéressantes à parcourir. Qu’en retenir ?

  • Les sites Web sont en tête des modes de compromission pour l’année 2008 ; ainsi, des sites particulièrement visités ont été compromis pour diffuser des logiciels malveillants ; la mise en place de ces vecteurs est facilitée par l’utilisation des mêmes plate-formes et la présence des mêmes vulnérabilités sur un nombre important de sites, qui sont parcourus automatiquement pour y déposer le vecteur ; les vulnérabilités concernées pour pénétrer ces sites sont souvent classées comme moyennes et donc ont moins de chance d’avoir été comblées ;
  • A contrario, le rapport souligne que c’est une vulnérabilité importante qui a été exploitée pour diffuser le ver le plus actif du moment – Conficker. A ce sujet, vous pouvez lire un intéressant point de vue sur le blog de Sid.
  • Les motivations des délinquants du Net sont toujours majoritairement financières – ce n’est pas près de changer. En effet, les charges actives des logiciels malveillants tout comme les attaques de hameçonnage ciblent tout particulièrement les données personnelles et les données liées aux instruments bancaires (cartes, comptes,…).
  • Le rapport confirme le marché noir dont font l’objet ces données et en particulier les numéros de cartes bancaires : 32% de l’offre sur les marchés noirs observés par Symantec pour des montants allant de quelques cents à 30 dollars, devant les informations sur l’accès aux comptes bancaires ou aux comptes de courrier électronique. Les données liées aux cartes bancaires sont manifestement les plus faciles à intercepter et à réutiliser.
  • Des kits clés en main de fabrication de virus et autres vers se sont répandus de façon accrue en 2008, entraînant une hausse spectaculaire des codes malicieux distincts observés (+165%).
  • Enfin, ils soulignent les résultats d’actions concertées pour lutter contre la diffusion des menaces les plus vivaces (comme la diffusion de Conficker depuis la fin 2008 et la création du groupe de travail contre Conficker). Comme je l’ai déjà écrit, on peut en tous cas regretter que les pouvoirs publics n’y soient pas officiellement associés pour permettre des suites judiciaires à ces mesures techniques et à cette collecte de preuves.

Ce rapport, comme d’autres sources d’informations, confirment chiffres et exemples concrets à l’appui, la présence de plus en plus prégnante de groupes criminels organisés derrière les menaces qui pèsent aujourd’hui sur Internet.

Enfin, il est amusant de noter que la menace la plus significative pour 2008, à savoir l’exploitation de vulnérabilités sur des sites Web – notamment de type cross-site scripting aurait aussi frappé Symantec, comme le souligne une alerte publiée aujourd’hui. Cela démontre une fois de plus que nul n’est à l’abri de ces failles – comme de nombreux autres cas cités dans l’article – et l’important est d’être à l’affût et de corriger rapidement ses défaillances

Lancement des cyber-patrouilles

In English anglais

Cadre juridique

La loi sur la prévention de la délinquance de mars 2007 a introduit dans la législation française la possibilité pour des enquêteurs spécialement formés à cet effet de rentrer en contact avec des personnes soupçonnées de commettre des infractions de traite des êtres humains, de proxénétisme ou d’atteintes aux mineurs sur Internet et ainsi de collecter les preuves de ces infractions, sans que les actions des enquêteurs ne puissent constituer de la provocation.

Il s’agit des articles 706-35-1 et 706-47-3 du code de procédure pénale.

Un décret de mai 2007 est venu préciser les conditions d’application de ce texte et a introduit les articles D47-8, D47-9 et D47-11 du code de procédure pénale encadrant strictement la façon dont les cyber-patrouilleurs sont autorisés à échanger des contenus illicites sur Internet.

L’arrêté du 30 mars 2009, publié la semaine dernière, fixe les conditions de désignation des cyber-patrouilleurs. Il détermine aussi les missions du centre national d’analyse des images de pédopornographie, chargé de recueillir les contenus illicites collectés lors d’investigations judiciaires, en vue de faciliter l’identification des auteurs et des victimes de ces méfaits.

Que vont faire les cyber-patrouilleurs ?

Il s’agit dans un premier temps d’enquêteurs de la gendarmerie nationale et de la police nationale affectés dans des unités centrales (service technique de recherches judiciaires et de documentation – division de lutte contre la cybercriminalité pour la gendarmerie), afin d’éprouver les conditions d’action, avant de fournir cette formation à d’autres enquêteurs dans les régions.

Ils vont se rendre sur les mêmes forums, groupes d’échanges et de discussion que les pédophiles présumés et dialoguer avec eux. Il était en effet invraisemblable que des pédophiles puissent échanger impunément dans des forums dédiés à leurs pratiques (notamment en ce qui concerne l’échange d’images et de vidéos pornographiques mettant en scène des mineurs) et surtout comme c’est le cas de plus en plus souvent aller à la rencontre des mineurs sur les espaces où ces jeunes échangent en toute confiance.

Ces gendarmes et ces policiers, agissant sous pseudonyme, pourront ainsi collecter les preuves de ces infractions, notamment celles de sollicitations sexuelles à des mineurs de 15 ans, mais aussi toutes celles visées par les articles 706-35-1 et 706-47-3 du code de procédure pénale, et ainsi permettre l’interpellation de ces supposés pédophiles avant qu’ils n’aient pu rencontrer des enfants ou alors qu’ils échangent quotidiennement des contenus illicites.

Ces dangers pour les enfants sont réels, comme le rappelle la campagne actuellement menée par Action Innocence, dont vous pouvez voir un extrait ci-dessous :

[vodpod id=Groupvideo.2322791&w=425&h=350&fv=file%3D%7B279f0fa4-0b07-472f-b2a8-a1b1138ee451%7D%2F%7B6921b485-a19c-4db2-9b40-75bb070b33a0%7D%2Fmessageries_VP6_1Mbps_Strea.flv%26amp%3Btype%3Dvideo%26amp%3Bvolume%3D100%26amp%3Bstreamer%3Drtmp%3A%2F%2Ffl.interoute.com%2Fstreamrt%26amp%3Bimage%3Dhttp%3A%2F%2Fwww.actioninnocence.org%2Fimg%2Fwebcast%2Fmessageries.jpg]

Actions de sensibilisation des parents aux risques de l’Internet

Introduction de la présentation

Introduction de la présentation

Des gendarmes, enquêteurs en technologies numériques (NTECH), de la région Nord Pas de Calais, ont développé un module de sensibilisation aux risques de l’Internet à destination des parents. Il a été présenté dans sa version aboutie le 31 mars 2009 à Tilloy-les-Mofflaines (62).

Différents articles et reportages s’en sont fait l’écho :

Botnets à louer

BBC Click

BBC Click

Le 12 mars dernier, une affaire faisait le tour de l’actualité sur Internet : des journalistes de la BBC ont montré dans un reportage comment il était possible aujourd’hui de louer les services d’un botnet, ces réseaux de machines zombies qui permettent de commettre la plupart des malveillances sur Internet : diffusion de courriers électroniques non sollicités (spams), attaques en déni de service distribué, hébergement furtif de sites de phishing, etc.

Fonctionnement de principe des botnets

L’idée est de diffuser via Internet un ver, c’est-à-dire un virus qui se propage de proche en proche par ses propres moyens. Ce ver en contaminant un ordinateur en prend pratiquement le contrôle, se connecte à un serveur de commande piloté par le propriétaire du botnet, et la machine devient ce qu’on appelle une machine zombie. La particularité de ce type de virus c’est qu’il ne perturbe pas forcément de façon exagérée le fonctionnement de l’ordinateur qui l’héberge, mais a plutôt intérêt à ce qu’il soit connecté aussi souvent que possible sur Internet et en plein état de marche, pour pouvoir profiter de sa connectivité et de sa puissance de calcul.

C’est par le cumul des capacités de dizaines ou de centaines de milliers de tels zombies que les criminels constituent des botnets – réseaux de bots – qu’ils peuvent exploiter pour commettre leurs méfaits de façon distribuée. Le serveur de commande peut-être un serveur IRC (protocole permettant de dialoguer en temps réel au travers d’un réseau de serveurs interconnectés), un serveur Web ou tout autre protocole au travers duquel le diffuseur du virus pourra faire passer ses commandes et être sûr que toutes les machines contaminées et connectées le visitent régulièrement.

Le ver Conficker – qui est sensé faire l’actualité ce 1er avril (voir l’article que j’ai rédigé voilà quelques jours) – est conçu pour obtenir ses mises à jour et les commandes de son propriétaire de façon similaire, en se connectant sur des serveurs Web dont l’adresse est calculée par un algorithme évolutif.

L’affaire BBC

Ce que cherchaient à mettre en lumière les journalistes de l’émission Click de la BBC, c’était qu’il était possible de louer les services d’un botnet, pour quelques heures ou quelques jours. Le débat qui a germé sur Internet et dans l’actualité par la suite venait de la démonstration qu’avaient cherché à faire les journalistes : non seulement ont-ils loué un botnet de quelques 22.000 machines et donc utilisé à leur insu – et donc de façon illégale – les ordinateurs d’autant de victimes, mais aussi ont-ils testé les fonctionnalités de ce botnet, en envoyant des spams vers des adresses de courrier électronique leur appartenant et en attaquant de façon concertée un serveur Web – hébergé lui aussi de connivence avec les journalistes, heureusement ! On ne sait pas quels dégâts ils ont pu faire au passage…

Dans leurs explications, justifiant leurs actions, les journalistes se camouflaient derrière l’idée qu’ils n’ont pas utilisé le botnet avec des intentions malhonnêtes. Par exemple, ils n’ont pas collecté de données personnelles sur les ordinateurs zombies. Or, il est clair, qu’ils ont pénétré frauduleusement dans les ordinateurs de ces quelques 22.000 victimes, modifié leur comportement, fait transiter des données étrangères (les spams et les attaques), et l’intention frauduleuse est bien là. C’est comme si un délinquant essayait de s’exonérer d’avoir volé une voiture parce qu’il la rend avec quelques litres d’essence en moins seulement et qu’il s’en est seulement servi pour faire le tour de la ville…

Passons, leur démonstration reste inéressante, et il revient à la justice anglaise de décider ou non de l’opportunité de poursuites…

Mais après ?

Un blogueur de ZDnet attire notre attention sur quelques détails de ce reportage, qui se révèlent particulièrement intéressants. Dancho Danchev est un observateur attentif du développement de ces botnets en kit. Ainsi, pour lui, l’exemplaire montré dans le reportage est relativement récent. La plateforme “Chimera” serait commercialisée par un prestataire russe, qui est connu pour une autre série de botnets appelée “Zeus”, qui a par exemple des modules optionnels permettant de faciliter le vol de numéros de cartes bancaires sur Internet – autrement appelé carding.

Il conclue ainsi son article :

Le plus inquiétant avec ce type de services de location de logiciels malicieux ou de botnets est leur effort manifeste sur la standardisation, avec pour conséquence une plus grande efficacité et une capacité à changer d’échelle très facilement. Par exemple, à un “consommateur” qui s’interrogeait – avant d’acheter les “services” – sur la capacité du logiciel de contrôle de botnet à contrôler plus de 50.000 hôtes contaminés, le marchand lui a répondu que le botnet le plus important qu’ils opéraient comportait 1,2 millions d’hôtes et fonctionnait parfaitement.

Il ne fait donc plus doute aujourd’hui que non seulement le crime organisé s’est emparé des nouveaux modes de délinquance numériques, mais il en optimise les performances et le rapport. Les botnets sont autant de phénomènes à surveiller, tout comme les hébergeurs malhonnêtes évoqués en novembre dernier. Pour une action plus efficace à leur encontre une action concertée des pouvoirs publics – notamment judiciaires et d’investigation – mais aussi des acteurs techniques de l’Internet est absolument nécessaire.

Conficker ou la chronique d’une pandémie informatique (de plus)

diagram

Diagramme Microsoft sur Conficker

Chaque année donne lieu à l’annonce d’une nouvelle pandémie numérique et on pouvait croire que les oracles s’étaient calmés. Mais non: à l’automne dernier on nous annonçait le lundi noir des attaques informatiques… Et maintenant voilà la saga Conficker.

En préambule je tiens à souligner qu’il est indispensable d’avoir une bonne hygiène informatique et donc de ne pas laisser sortir son ordinateur sans un bon antivirus, de ne pas cliquer sur n’importe quoi reçu via Internet d’un inconnu.

L’histoire de Conficker

La chronologie des événements publics est la suivante :

  • Le 23 octobre 2008, Microsoft publie une vulnérabilité (bulletin de sécurité MS08-067) touchant ses systèmes d’exploitation et souligne la nécessité d’appliquer rapidement un correctif ;
  • Quelques jours après, de premières tentatives d’exploitations de cette vulnérabilité sont révélées ;
  • Le ver Conficker apparaît selon les éditeurs entre le 21 et le 24 novembre 2008. Il prend différents noms selon les éditeurs d’antivirus (Downadup, Conficker, Kido,…)
  • La version Conficker.B apparaît une semaine plus tard environ ;
  • La version Conficker.C apparaît la première semaine de janvier 2009, il se propage aussi par ouverture de fichiers par l’utilisateur, partage de fichiers sur le réseau, il exploite des vulnérabilités dans les mots de passe pour modifier la politique de sécurité ;
  • Ces vers se mettent à jour en se connectant à différents serveurs de commande ;
  • Le 12 février 2009, Microsoft annonce la création d’une coalition industrielle pour lutter contre la propagation de ce ver ;
  • Le 13 février 2009, Microsoft annonce une récompense de $250.000 à qui fournira des informations sur le commanditaire de ce ver.

Le buzz

Il nous est souvent annoncé qu’il s’agit de l’une des infections virales les plus importantes, avec entre 9 et 15 ou 20 millions d’ordinateurs infectés dans le monde. Cet incident viral est typique de la surcommunication à laquelle nous avons droit régulièrement autour des infections virales. La chronologie type colle : surenchère d’annonces par les éditeurs d’antivirus, annonce d’une action décisive des grandes sociétés de l’Internet et d’une rançon. On nous fait même la liste chaque semaine des infections de tel site supposé sensible, le blocage au sol d’avions de combat (c’est bizarre qu’on ne nous parle pas de blocage au sol d’avions de ligne ?).

On nous annonce même, qu’après étude, le ver Conficker serait né au Japon – il est bien connu que l’empire du soleil levant est un repaire de nouveaux cybercriminels… C’est surtout, de par sa position géographique, un des premiers pays industrialisés qui se réveille chaque matin.

Que va-t-il se passer le 1er avril 2009 ?

Étudions plus précisément ce qu’on nous annonce : le mode de contrôle de Conficker va changer et tous les petits vers vont se connecter selon ce nouveau mode. Une étude détaillée de la version C du ver Conficker nous indique que le 1er avril 2009, l’algorithme de génération de domaines de téléchargement nouvelle version sera activé, et démultiplier le nombre de domaines Internet vers lesquels chaque ver va tenter de se connecter. Il s’agit apparemment d’une stratégie de ses développeurs pour contourner les blocages mis en place par les opérateurs.

Conclusion : on continuera d’observer un nouveau mode de commande de ce ver, mais rien n’indique qu’une infection nouvelle va se déployer grâce à cela. Donc il ne se passera pas grand chose, je pense qu’on peut tenir ce pari.

Ce qui est vrai jusqu’à présent c’est que l’infection par Conficker est assez efficace, qu’il est parfois difficile pour la supprimer, mais que c’est loin d’être impossible, rien donc de très nouveau de ce côté-là. Le constat le plus frappant est qu’il existe encore des machines aujourd’hui, parmi les centaines de millions installées dans le monde, qui n’ont pas fait de mise à jour pour la vulnérabilité annoncée par la société Microsoft en octobre dernier. La leçon à tirer de tout cela est donc qu’il est indispensable de penser à de meilleures stratégies de déploiement des mises à jour de sécurité.

P.S.: Un article en anglais que je viens de lire, dans la même tonalité.

Bilan du FIC 2009

FIC 2009

FIC 2009

Le forum international sur la cybercriminalité 2009 s’est tenu le 24 mars 2009, au Grand Palais à Lille.

1500 participants , des dizaines d’exposants et de conférences.

Le ministre de l’intérieur, Michèle Alliot-Marie, s’est exprimée sur la politique de l’Etat en matière de lutte contre la cybercriminalité, dont les efforts se poursuivent (Discours Michèle Alliot-Marie).

Parmi les thématiques abordées :

  • Comment déclencher et conduire une cyberattaque,
  • La biométrie,
  • Signature électronique : utilité, limites, conséquences,
  • Psychologies de l’utilisateur et du délinquant des technologies numériques,
  • Divulgation de données, mise en place du chiffrement au sein des PME, …

J’étais orateur sur la table ronde relative à la formation et la création du 2Centre, centre d’excellence français sur la cybercriminalité, partenariat entre services d’enquête, universités et industriels pour la recherche et la formation dans ce domaine, dont le noyau est le partenariat existant en matière de formation entre la gendarmerie nationale et l’université de technologie de Troyes. Des annonces nouvelles auront bientôt lieu sur ce sujet.

A noter, parmi les événements, l’annonce de la publication d’un ouvrage rédigé en commun par les policiers belges et les gendarmes français des régions frontalières, à destination des enquêteurs et des entreprises.

Petite revue de presse :

FIC 2009 J-5

FIC 2009

FIC 2009

Dans 5 jours, le mardi 24 mars 2009 se tiendra le troisième forum international sur la cybercriminalité, le FIC 2009 à Lille au Grand Palais. Le site web du Forum permet d’en savoir plus sur le programme.

1200 participants sont inscrits cette année pour assister à cet événement organisé par la Région de Gendarmerie du Nord Pas de Calais, avec le soutien de la Commission Européenne et de nombreux partenaires.

Au programme, citons les ateliers et conférences suivants :

  • La protection des systèmes d’information : véritable enjeu de sécurité nationale ;
  • Comment déclencher et conduire une cyberattaque ;
  • Le téléphone portable : risque, opportunité et gestion de la flotte au sein de l’entreprise,
  • etc.

Personnellement, je participerai à la table ronde sur les 2CENTRE, centres d’excellence sur le cybercrime.

La suite du programme ici.

Conférence Octopus / Conclusion 2/2

Enfin, les présentations de la dernière session :

Greg Day, McAfee UK, sur le futur des menaces telles que les entrevoient les spécialistes de sa société: moteur économique de la délinquance numérique, la nécessité de prévenir les danger des réseaux sociaux, se servir de l’informatique en nuages pour contrer les délits numériques, les enjeux de la convergence.

Petrus Golose, de la police nationale d’Indonésie sur les activités des terroristes sur Internet.

Marc Goodman, IMPACT, a souligné la prise en compte nécessaire de la délinquance sur les mondes virtuels ludiques ou moins ludiques (Second Life, World of Warcraft, etc…). Les crimes virtuels qui y sont commis doivent-ils être poursuivis, comme le vol de propriété virtuelle, la pornographie enfantine virtuelle (en France ce serait le cas) ou le “viol” virtuel. Une évolution inquiétante, Entropia Universe qui attribue une carte de retrait réelle permettant de retirer de l’argent acquis sur son compte virtuel.

Zahid Jamil, avocat au Pakistan, a conclu ces deux jours de conférence sur les exemples vécus par un pays comme le sien, encore peu développé en termes de législation adaptée, alors que les crimes numériquesy ont quand même lieu.

Bilan de cette conférence

Des rencontres très denses, des échanges réellement internationaux, mais toujours les mêmes problèmes exprimés : les législations adaptées sont encore trop peu implémentées, les formations à destination de l’ensemble des professionnels concernés – magistrats, enquêteurs mais aussi partenaires industriels – ne sont pas partout disponibles. Encore beaucoup de travail en perspective pour l’ensemble de la communauté internationale chargée de ces problèmes et la situation économique difficile ne devrait pas faciliter les choses.

Conférence Octopus / Conclusion 1/2

Le temps de la conclusion est venu, avec le retour sur les tables rondes et deux séries de présentations sur :

  • les défis des juridictions face aux évolutions de l’Internet (cloud computing, etc.) ;
  • les enjeux de demain.

Intervenant en premier, Francesco Cajani, magistrat spécialisé Italien, a tenu à examiner les difficultés que posent les principes de territorialité sur l’application de mesures qui sont nécessaires aux investigations judiciaires. Il souhaite ainsi que soient harmonisées les durées de conservation des traces qui peuvent être requises par l’autorité judiciaire auprès des opérateurs ou faciliter les mesures d’interception de communications y compris lorsqu’elles ont lieu à l’étranger.

Henrik Kaspersen qui avait présidé aux négociations de la convention du Conseil de l’Europe sur la cybercriminalité a présenté les conclusions de l’article qu’il a préparé sur le sujet des juridictions et des investigations sur Internet.

Gareth Samson, du ministère de la justice fédéral canadien, nous a détaillé – en partant des aspects techniques de l’informatique en nuage (“cloud computing“) – les conséquences de ces nouveaux modèles d’offres de services sur Internet quant aux activités criminelles et les difficultés que l’on pourrait rencontrer dans les investigations.

Conférence Octopus / Mercredi 11 mars matin

gpen

GPEN

Cette deuxième demi-journée d’ateliers parallèles était consacrée à deux sujets :

  • la formation des enquêteurs, des magistrats dans la lutte contre la cybercriminalité ;
  • la coopération internationale.

Beaucoup d’initiatives existent en Europe et dans le monde en matière de formation, même si beaucoup reste à faire. Les pays africains et sud-américains présents ont exprimé le souhait de bénéficier encore plus des opportunités qui existent en Europe, et on sent un intérêt tout particulier chez les magistrats. A noter donc la création récente du GPEN, réseau mondial des procureurs sur le crime électronique.

Nigel Jones a présenté les résultats d’une étude qui devrait conduire au projet 2CENTRE visant à la création de centres d’excellence sur les délinquances numériques autour d’universités, et en partenariat avec des services de police et des industriels. Deux de ces centres devraient voir le jour dans un premier temps (University College of Dublin et Université de technologie de Troyes). Cette dernière est l’université qui participe à la formation des enquêteurs spécialisés de la gendarmerie (NTECH).