30 mars 2023 Rétrospectives Auteur : Vlad
Ce contenu vous plait
Partagez-le sur les réseaux
Le voici enfin, vous l’attendiez tous… et il a un très léger retard (de 2,5 mois), comme un épisode des 10 ans de JDG qui sortirait pour les 11 ans 😉.
Cette année sent l’odeur des larmes séchées de responsable sécurité (RSSI) vaporisées par la chaleur des détonations de vulnérabilités : c’est votre traditionnel top arbitraire des évènements de cybersécurité de l’année écoulée 🎊. Pour tous les détails, je vous renvoie vers les mails de cette liste ainsi que les revues d’actualité 2022 de l’OSSIR en PDF et en vidéos : https://www.ossir.org/support-des-presentations/?date=2022 et https://www.youtube.com/@OSSIR/videos
Reprenons :
La principale question à se poser est : « Qu’est-ce qu’a été l’année 2022 ? Qu’est-ce qui l’a caractérisé ?»
Malheureusement oui, toujours et encore des vulnérabilités majeures, massivement exploitées dans la nature et permettant de quasiment totalement compromettre une entreprise 😥.
En 2022, nous avons vu les suites de Log4J avec de nouvelles manières d’exploiter la vulnérabilité (cf. revue du 2022-01-11 et 2022-02-08) et de variantes de la première.
En 2022, quelques jours après la publication d’un correctif pour une injection de code Java avec le “Spring Expression Language” nommée Spring4Shell est sortie. (CVE-2022-22963). Une sorte de Log4J mais nécessitant heureusement une configuration est peu fréquente (cf. revue du 2022-04-12)
En 2022, nous avons compris que oui, il y a des vulnérabilités majeures chez les fournisseurs de Cloud et que oui, elles peuvent être exploitées dans la nature avec des impacts gigantesques, comme : Celles touchants AWS CloudFormation (cf. revue du 2022-02-08). Celles touchant Azure Automation Account, permettant de récupérer les jetons des autres clients (cf. revue du 2022-03-08).
En 2022, nous avons aussi vu de nombreuses vulnérabilités touchants Microsoft Exchange dont ProxyNotShell, permettant une compromission complète et que Microsoft aura mis 3 mois à corriger (cf. revue du 2022-10-11).
En 2022, nous avons enfin vu que Zimbra (la suite de messagerie) était pris pour cible avec des exploitations de vulnérabilités inconnues de l’éditeur (0-days) au moment des attaques (cf. revue du 2022-02-08, 2022-07-12, 2022-09-13, 2022-10-11).
Encore et toujours des vulnérabilités touchant les microprocesseurs qui, en général, permettent d’aller lire de la mémoire protégée et parfois même d’élever ses privilèges.
Ces vulnérabilités sont particulièrement gênantes dans le cas d’infrastructure mutualisées comme le cloud :
C’est peut-être l’un des évènements majeurs de la cybersécurité 2022 mais pourtant peu visible : depuis juillet 2022, les macros Office sont désactivées par défaut, si le document provient d’Internet (d’une zone de sécurité non-sûre) par mail, téléchargement, partage réseau... Annoncé en février (cf. revue du 2022-02-08), appliqué en juillet à la suite d’une rocambolesque série de blocages et de retours en arrière : Microsoft a enfin bloqué le facteur numéro 1 des compromissions.
Malheureusement il existe encore des contournements avec :
En 2022, nous avons découvert le piratage de LastPass et la communication discutable de l’éditeur :
Et de nombreux autres piratages des conséquences potentielles sur des milliers d’entreprises ou particuliers :
Quoi de plus simple que de pirater un fournisseur, une dépendance (au sens bibliothèque logicielle), l’accès d’un tiers… pour pirater la cible en bout de chaîne.
En 2022, nous avons découvert :
En 2022, même les programmes de bug bounty et n’étaient plus sûrs, avec des salariés de HackerOne contrefaisant des rapports pour voler et revendre ces vulnérabilités (cf. revue du 2022-07-12)
Vous le savez, nous le répétons sans cesse depuis des années : il ne faut JAMAIS exposer une interface d’administration sur Internet, en particulier s’il s’agit d’un produit de sécurité donnant ensuite accès à vos ressources en interne. Les éditeurs de ces logiciels et équipements de sécurité restent des éditeurs, soumis aux mêmes pressions que tous les autres et souffrent, comme tout le monde, de vulnérabilités critiques. Le problème étant que ce ne sont pas des logiciels ou équipements comme les autres et qu’ils ne devraient pas avoir de vulnérabilités critiques, tout du moins pas aussi triviales que certains listées ci-dessous.
En 2022, nous avons vu à nouveau des solutions de sécurité se faire compromettre (et les entreprises par la suite) du fait d’interfaces d’administration exposées sur Internet comme :
En 2022, nous avons eu de nombreuses vulnérabilités critiques sur les solutions de Palo Alto comme l’XDR Cortex (cf. revue du 2022-02-08)
En 2022, tout comme les années précédentes, les produits de l’éditeur Zoho ont souffert de nombreuses vulnérabilités, Manage Engine en tête, dont certaines triviales comme la prise de contrôle par une simple requête web (CVE-2021-44515) (cf. revue du 2022-02-08).
Les modes c’est cyclique. En serait-il de même pour les vulnérabilités avec le retour des vulnérabilités triviales dignes des années 90 ?
En 2022, nous avons eu une quantité dingue de vulnérabilités triviales et dignes des années 90-2000 :
C’est devenu notre lot quotidien, des entreprises, hôpitaux, collectivités qui se font rançonner avec la publication des données volées sur les sites des cybercriminels et parfois des effets dramatiques. Il ne se passe pas une semaine sans une annonce de ce type et c’est malheureusement devenu une banalité quotidienne. Ces cybercriminels n’ont clairement pas d’âme.
Ces individus sans âme s’en sont pris en 2022 à :
Rassurez-vous, le groupe LockBit s’est excusé suite à la compromission d’un hôpital d’enfants au Canada 🤦♂️ (cf. revue du 2023-01-10)
Heureusement, parfois, ces cybercriminels se font eux-mêmes pirater comme avec la publication de tous les échanges internes du groupe Conti, pro-russe, mais avec des membres pro-ukraine (cf. revue du 2022-03-08)
Pénurie et lassitude des salariés, besoin de sécuriser ses applications, nécessité d’avoir plus de visibilité… Non, il ne s’agit pas d’entreprises classiques, mais de groupes cybercriminels. Eux aussi se sont lancé dans la mode de la « startup nation ».
LockBit a annoncé un programme de bugbounty, un programme de rachat de vulnérabilités, des partenariats, du recrutement… (cf. revue du 2022-07-12)
Lapsus$, mais qui n’a pas entendu parler de ce groupe ayant piraté :
Pas de demande de rançon, pas de menaces à la publication de données… mais juste les publications de ce qu’ils avaient volé et un groupe Telegram pour venter leurs faits d’arme. Les entreprises n’étaient pas prêtes face à ce type de menace, pas prêtes à traiter des attaquants … adolescents ! 7 personnes ont été arrêtées dont le potentiel leader de 16 ans (cf. revue du 2022-04-12)
Et oui, un antivirus et un EDR c’est bien, mais ce n’est pas suffisant, d’autant que des méthodes de contournement, il y’en existe des tas.
Je ne vais pas toutes les lister mais dans quasiment chaque revue d’actualité mensuelle de l’OSSIR j’en ai présenté une ou deux… bon, allez, si, je vous en mets quelques-unes 😉 :
Chaque année des fuites, chaque semaine même…
En voici quelques-unes :
Si le sujet vous intéresse, voici un site visuel montrant les fuites de données par année : https://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/
Vos données personnes sont une monnaie mais surtout, les solutions que vous utilisez continuent la collecte même lors que vous pensez que ce n’est pas le cas.
En 2022 (mais avant également), Cisco WebEx vous écoutait même quand le micro est coupé mais rassurez-vous, c’est uniquement pour de la télémétrie 🤪 (cf. revue du 2022-06-14) En 2022, le monde a découvert que les iPhones ne s’éteignaient jamais vraiment et écoutait toujours en NFC ainsi qu’en GPS : « Evil never sleeps » (cf. revue du 2022-04-12) En 2022, des photos intimes prises par des aspirateurs robots sont sorties sur Facebook (cf. revue du 2023-01-10)
Il semble communément admis que les cybercriminels ne craignent rien et, à moindre échelle, qu’il n’y a aucune conséquence pour les entreprises ne respectant pas la règle. Les faits en 2022 ont bien heureusement montré le contraire.
Côté amendes, il y a eu pas mal de choses en 2022, comme :
Les forces de l’ordre n’ont pas non plus chômé :
En 2022, le FBI avait lancé une grande campagne de nettoyage des firewalls et VPN Watchguard piratés, à distance, en scannant Internet et en intervenant sans prévenir les victimes, suite à validation par un juge (cf. revue du 2022-04-12)
Malheureusement, nous avons découvert ou redécouvert que :
La cyber ne connait pas la crise avec de nombreux rachats, fusions ou levées de fonds.
Côté rachats :
Côté levées :
2022, l’année de la prise de conscience des menaces par des sociétés privées ? Qui n’a pas entendu parler de NSO Group et de son malware (spyware ?) Pegasus.
En 2022, nous avons découvert que Pegasus avait été utilisé :
Suite à tout cela, plusieurs actions ont été entreprises :
Détecter et alerter contre Pegasus c’est bien, mais il reste encore beaucoup d’entreprises proposant ce genre de services comme :
L’affaire Team Jorge (mais je sujet a surtout éclaté en 2023 en France) :
En France, nous avons les meilleurs ingénieurs… et cette année, ils ont rayonné !
En 2022, Synacktiv a continué à montrer ses muscles, avec succès, lors de compétitions internationales comme les Pwn2Own, Pwn2Own Vancouver (cf. revue du 2022-02-08, du 2022-04-12) En 2022, de nombreux outils français ont été reconnus mondialement comme étant des références :
L’assurance c’est le principe de beaucoup qui payent pour peu, d’un risque rare, coûteux mais rare ce qui permet à tout le monde de payer un peu, pour aider les rares exposés au risque, à un sinistre (c’est la « dispersion »). Sauf que dans la cybersécurité, plus de la moitié des assurés subissent un sinistre, rendant le risque difficilement assurable.
En 2022, nous avons subi un ascenseur émotionnel d’annonces (ou montagnes russes émotionnelles pour coller avec l’illustration ci-dessus) avec :
Le cloud c’est magique, cela fonctionne tout seul sauf que non, il ne s’agit que d’une reformulation commerciale de l’hébergement externalisé (avec beaucoup des produits en mode service / SaaS, ok 😉). Le cloud c’est juste l’ordinateur d’un autre et cet ordinateur n’est pas exempt de pannes, ni de pannes majeures impactant des centaines, des milliers voire des centaines de milliers d’entreprises !
En 2022, nous avons vu beaucoup de pannes des grands acteurs cloud :
Et pour vous, qu’est ce qui a caractérisé cette année ? Malgré mon retard à publier cet article, je vous souhaite une excellente année 2023 et… bonnes fêtes de Pâques 🤣.
Bonne année 2023, l’année des réponses textes et images générées par « deep learning » au top de la kalitéy et de l’exactitude, quand on leur demande de souhaiter une bonne année 2023 🤦♂️:
