Maxime Forest

Qu'est-ce qu'un objet connecté ?

Un objet IoT (Internet of Things) est un dispositif relié à Internet ou à un réseau local, capable de collecter, de traiter et de transmettre des données avec peu ou pas d'intervention humaine. Il embarque des capteurs, un logiciel et une connectivité réseau.

Pourquoi en parler ?

Ces objets se multiplient très vite, collectent des données sensibles et sont souvent mal sécurisés. Ils peuvent servir de porte d'entrée dans un réseau, de point de départ pour des attaques plus larges ou de source de vol de données.

Les attaques les plus courantes

• Attaques ciblées : piratage de systèmes industriels (IIoT) pour perturber des infrastructures ou s'infiltrer dans des réseaux
• Hameçonnage par IoT : exploitation des assistants vocaux ou d'autres appareils d'écoute pour obtenir des informations confidentielles
• Cryptojacking : utilisation des appareils pour miner des cryptomonnaies en arrière-plan

Cas récent

En décembre 2024, plus de 30 000 appareils Android ont été découverts en Allemagne avec un malware préinstallé, BadBox. Intégré dès la fabrication, il s'active à la première connexion à Internet pour installer d'autres malwares. Il permet des fraudes publicitaires, contourne l'authentification à deux facteurs et enrôle les appareils dans un botnet utilisé pour des attaques DDoS.

Ce cas illustre les risques des appareils non sécurisés dès leur conception.

Sources

• pcmag.com
• fortinet.com
• hubone.fr
• lemondeinformatique.fr

Qu'est-ce que Black Basta ?

Black Basta est à la fois un ransomware et le groupe qui l'exploite. Il pratique la double extorsion : chiffrement des données et vol de fichiers sensibles, avec menace de publication sur un site dédié. Le groupe fonctionne en Ransomware-as-a-Service (RaaS) : des affiliés utilisent ses outils en échange d'une part des gains.

Méthodes d'attaque

L'accès initial passe surtout par des campagnes d'hameçonnage très ciblées, qui imitent des courriels de fournisseurs ou de services RH. Les attaquants déploient ensuite des scripts PowerShell pour désactiver les antivirus, puis chiffrent les données avec un algorithme hybride (ChaCha20 et RSA). Ils utilisent aussi de faux logiciels de sécurité pour tromper les équipes informatiques et effacent les journaux système pour compliquer les enquêtes.

Cas récent

En mai 2024, le réseau de santé américain Ascension, qui regroupe environ 140 hôpitaux, a été touché par Black Basta. Des milliers de postes ont été chiffrés, ce qui a paralysé des services comme la radiologie, les laboratoires et les pharmacies. Le retour à la normale a pris plusieurs semaines.

Comment se protéger ?

• Appliquer rapidement les correctifs, en priorité sur les VPN et les services cloud
• Imposer l'authentification multifacteur sur tous les accès critiques
• Isoler et chiffrer des sauvegardes hors ligne
• Surveiller les activités suspectes, comme les connexions RDP inhabituelles
• S'entraîner avec des simulations de crise ransomware

Sources

• cisa.gov
• vectra.ai
• skyhighsecurity.com
• ace-si.com

Qu'est-ce qu'un EDR killer ?

Un EDR (Endpoint Detection and Response) surveille en temps réel les postes et les serveurs pour détecter et bloquer les menaces, en analysant les comportements suspects et pas seulement les fichiers. Un EDR killer est un logiciel ou une technique qui désactive, contourne ou corrompt cette protection, pour que l'attaquant puisse agir sans être vu.

Méthodes d'attaque

• BYOVD : chargement d'un pilote légitime mais vulnérable pour obtenir des privilèges élevés et désactiver l'EDR
• Signatures numériques falsifiées ou volées pour faire passer des composants malveillants
• Attaques en espace noyau, qui interceptent des fonctions critiques du système ou masquent l'activité malveillante

Cas récent

Le groupe Medusa a déployé un pilote malveillant nommé ABYSSWORKER, repéré pour la première fois en août 2024. Il imite un pilote légitime de CrowdStrike Falcon et il est signé avec des certificats révoqués. Une fois chargé, il manipule le noyau Windows pour supprimer les notifications dont dépendent les EDR, ce qui les rend aveugles avant le déploiement du ransomware.

Comment se protéger ?

• Activer la protection contre l'altération (tamper protection) de l'EDR
• Maintenir les pilotes et les systèmes à jour
• Surveiller le chargement de pilotes non autorisés
• Limiter les privilèges administrateur et former les équipes à l'hameçonnage
• Compléter l'EDR par une solution XDR pour garder de la visibilité

Sources

• elastic.co
• cybersecuritydive.com
• crowdstrike.com
• sentinelone.com