En 2016, la découverte par Kaspersky Lab d’une menace persistante avancée (APT) capable de créer de nouveaux outils pour chaque victime, a eu pour effet de signer l’arrêt de mort des IoC (Indicateurs de Compromission) en tant que moyen fiable de détection d’une infection, comme le révèlent les prévisions de la société pour 2017.
Ces prévisions, établies chaque année par les experts de l’équipe GReAT (Global Research & Analysis Team), s’appuient sur les vastes analyses et compétences de la société. Sur la liste des menaces pour 2017 figurent notamment l’impact des outils sur mesure et jetables, l’utilisation croissante de fausses adresses attachées à l’identité des auteurs d’attaques, la fragilité d’un monde connecté sans discernement à Internet ou encore l’emploi des cyberattaques comme arme de guerre de l’information.
La fin des IoC
Les IoC ont longtemps été un excellent moyen pour indiquer les caractéristiques de malwares connus, en permettant aux cibles de reconnaître une infection active. La découverte par le GReAT de l’APT Project Sauron a changé la donne. L’analyse de ce groupe malveillant a révélé l’existence d’une plate-forme de malware sur-mesure dont les différentes fonctionnalités sont modifiées pour chaque victime. Celle-ci rend les IoC incompétentes dans la détection d’autre victimes, à moins d’être accompagnés d’un autre instrument de mesure, comme de solides règles Yara.
La montée des infections éphémères
Pour 2017, Kaspersky Lab prévoit également l’apparition de malwares subsistant dans la mémoire des ordinateurs et qui n’ont pas vocation à vivre au-delà du premier redémarrage de la machine qui effacera l’infection de sa mémoire. Ce type de malware, destiné à effectuer une reconnaissance générale et à collecter des identifiants, est susceptible d’être déployé dans des environnements hautement sensibles pour mener des attaques sournoises sans éveiller les soupçons. « Il s’agit ici d’évolutions considérables, mais les cibles ne seront pas laissées sans défense. Nous pensons que l’heure est venue de militer en faveur d’une adoption plus large de solides règles Yara. Cela permettra aux chercheurs de passer une entreprise au peigne fin, d’inspecter et d’identifier les caractéristiques des fichiers binaires en sommeil et d’analyser la mémoire pour détecter des traces d’attaques connues. Les infections éphémères mettent en lumière le besoin de méthodes heuristiques proactives et élaborées dans des solutions antimalware avancées », commente Juan Andrés Guerrero-Saade, expert senior en sécurité au sein de l’équipe GReAT.
Les autres grandes menaces prévues pour 2017
1. L’attribution des attaques va être compliquée par des cybers criminels qui agissent sous une fausse bannière pour brouiller les pistes (faux drapeaux) : à mesure que les cyberattaques jouent un rôle croissant dans les relations internationales, leur attribution va devenir un problème central pour déterminer la politique à mener, notamment en matière de représailles. Cette recherche des responsables risque de conduire davantage de criminels à diffuser des infrastructures ou des outils propriétaires sur le marché ou bien à opter pour des malwares open source ou basiques, sans parler de l’utilisation répandue de fausses adresses (connues comme des « faux drapeaux ») en vue de brouiller les pistes.
2. La montée de la guerre de l’Information : en 2016, le monde a commencé à prendre au sérieux la divulgation d’informations piratées à des fins agressives. Des attaques de ce type vont probablement se multiplier en 2017 et il y a un risque que leurs auteurs tentent d’exploiter l’inclinaison des utilisateurs à prendre pour argent comptant ces informations manipulées ou orientées.
3. Par ailleurs, Kaspersky Lab s’attend à un regain d’activité de la part d’individus se faisant passer pour des lanceurs d’alerte, qui piratent et divulguent des données en affirmant le faire pour la bonne cause.
4. La vulnérabilité croissante au cybersabotage : alors que les infrastructures et les systèmes industriels critiques sont connectés en permanence à Internet, souvent avec peu ou pas de protection, la tentation de les endommager voire de les paralyser pourrait être trop grande pour les auteurs de cyberattaques, en particulier ceux possédant des compétences avancées, sur fond de tensions géopolitiques croissantes.
5. L’espionnage mobile : Kaspersky Lab s’attend à voir proliférer les campagnes d’espionnage ciblant principalement les mobiles, profitant de la difficulté pour le secteur de la sécurité à obtenir un accès complet aux systèmes d’exploitation mobiles afin d’y effectuer des investigations.
6. La banalisation des attaques financières : Kaspersky Lab prévoit une banalisation des attaques semblables aux vols commis sur le système SWIFT en 2016, avec la mise en vente de ressources spécialisées sur des forums clandestins ou une offre sous forme de service.
7. Le piratage des systèmes de paiement : Kaspersky Lab s’attend à ce que le succès grandissant des systèmes de paiement en ligne suscite un intérêt proportionnel de la part des criminels.
8. La rupture de la « confiance » vis-à-vis des ransomwares : Kaspersky Lab prévoit également une poursuite de la montée des ransomwares mais avec une rupture de l’improbable relation de confiance entre les victimes et leurs racketteurs – reposant sur la croyance que le paiement de la rançon aboutira à la restitution des données cryptées – avec l’entrée en scène de criminels moins scrupuleux. Cela pourrait constituer un tournant pour la disposition des utilisateurs à payer.
9. L’intégrité des appareils connectés à un Internet surpeuplé : à mesure que les fabricants d’objets connectés à l’IoT continuent de produire en masse des appareils non sécurisés responsables de problèmes à grande échelle, il existe un risque de voir des hackers « bien intentionnés » prendre les choses en main et désactiver le plus grand nombre possible de ces équipements.
10. L’attrait de la publicité numérique pour les criminels : l’an prochain, les outils de pistage et de ciblage publicitaires serviront à surveiller des individus présentés comme des activistes ou des dissidents. De même, les réseaux publicitaires – qui opèrent un excellent profilage des cibles en combinant les adresses IP, l’empreinte digitale des navigateurs, les pages web consultées et les identifiants utilisés – seront exploités par des spécialistes du cyberespionnage cherchant à toucher des cibles avec précision tout en protégeant leurs plus récents kits d’outils.
