02b - Menaces — Transcript

Full transcript

1. 0:00les années 2020 et 2021 ont été
2. 0:03caractérisés par une explosion du nombre
3. 0:05de rançon j ciel et même une
4. 0:08industrialisation de ce phénomène c'est
5. 0:10pas un phénomène nouveau on a déjà vu le
6. 0:13faire ouanna cry en 2017 mais
7. 0:18probablement qu'avec la pandémie et donc
8. 0:21l'obligation de télétravail donc du fait
9. 0:23que les entreprises ont dû ouvrir leurs
10. 0:25réseaux à des accès vpn
11. 0:26massivement et dans certains cas en
12. 0:30catastrophe en mars 2020 pour permettre
13. 0:33à leurs employés de télétravail et donc
14. 0:35du coup on a vu se multiplier et
15. 0:37s'industrialiser l'industrie des rançons
16. 0:39logiciel
17. 0:44commençons par évoquer la sphère
18. 0:45coloniale 'pipeline' donc colonial
19. 0:48pipeline est un une société qui était
20. 0:52peu connu au quasiment inconnu du grand
21. 0:54public aux états unis et pourtant qu'il
22. 0:56ya un rôle critique sur la côte est des
23. 0:59états unis puisque c'est le street et
24. 1:01qui gère un autre oléoduc les mêmes en
25. 1:04réseau d'oléoducs 9000 kilomètres
26. 1:06d'oléoducs qui permettent de livrer 400
27. 1:08millions de litres d'essence et de
28. 1:09kérosène par jour et de les acheminer de
29. 1:12houston au texas jusqu'à new york ça
30. 1:15représente 45 % du carburant consommé
31. 1:17sur la côte est des états unis il livre
32. 1:2029 raffinerie ils ont 2 167 points de
33. 1:23livraison y compris les aéroports et ils
34. 1:26desservent une zone de 50 millions
35. 1:28d'habitants
36. 1:33le 29 avril 2021 des intrus ont accédé
37. 1:37au réseau informatique de colonial
38. 1:39'pipeline' via un compte vpn qui n'était
39. 1:41plus utilisé mais dans le mot de passe
40. 1:43circuler sur le dark web ils se comptent
41. 1:46négligez pas d'authentification
42. 1:47multi-facteurs l'origine de la fuite de
43. 1:50ce login mot de passe n'est pas connues
44. 1:52avec certitude mais il est probable que
45. 1:54c'est un employé ou un ancien employé ou
46. 1:56un prestataire de colonial pipeline qui
47. 1:59avait réutilisé son login mot de passe
48. 2:01colonial pipeline sur notre service
49. 2:04internet mineur là-dehors service qui se
50. 2:06serait fait pirater sa liste
51. 2:08l'utilisateur et de mots de passe et
52. 2:10donc du coup les pirates ont eu l'idée
53. 2:11par exemple s'il s'agit d'un service sur
54. 2:14lequel on s'identifie avec une adresse
55. 2:15mail et un mot de passe si l'adresse
56. 2:18mail utilisée et il ne reste mails
57. 2:19professionnels colonial pipeline donc
58. 2:21les pirates ont eu l'idée de réessayer
59. 2:24ce mot de passe sur la la passerelle vpn
60. 2:27deux colonels pipe line et ils sont
61. 2:28aperçus que c'était le même et donc
62. 2:30c'est comme ça probablement qu'ils ont
63. 2:32récupéré l'accès au réseau de
64. 2:33l'entreprise
65. 2:37l'étape suivante a eu lieu le 6 mai 2021
66. 2:40ou coloniales 'pipeline' s'est fait
67. 2:42dérobé 100 gigaoctets de données
68. 2:43internes et le lendemain le 7 mai les
69. 2:47ordinateurs gérant le réseau d'oléoducs
70. 2:49ont été victimes de rance officiel édité
71. 2:51par le groupe dark void la société a
72. 2:54décidé d'arrêter la distribution de
73. 2:55carburants en particulier parce qu'elle
74. 2:57ne pouvait plus la contrôler et la
75. 2:59facture est et du coup ça a créé un
76. 3:02mouvement de panique sur la côte est des
77. 3:03états unis les conducteurs se sont rués
78. 3:06sur les pompes à essence créant une
79. 3:07pénurie artificielle et faisant flamber
80. 3:09les prix à tel point que le 14 mai par
81. 3:12exemple 87 % des stations-service de
82. 3:15washington dc était à court de carburant
83. 3:21certains aéroports
84. 3:23d'inquiéter desservies par cet oléoduc
85. 3:25ont dû fermer deux jours faute de
86. 3:27kérosène quelques vols ont dû être
87. 3:29déroutés vers d'autres aéroports
88. 3:31le président joe biden a déclaré l'état
89. 3:33d'urgence le 9 mai et le gouverneur de
90. 3:35géorgie le 10 mai
91. 3:37colonial pipeline à payer la rançon de
92. 3:402,75 bitcoin qui est exigé ça
93. 3:42représentait 4 4 millions de dollars le
94. 3:45jour où ils l'ont payé avec le cours du
95. 3:47bitcoin ce jour là mais le logiciel qui
96. 3:50a été fourni par les pirates pour
97. 3:52déchiffrer les données étaient trop
98. 3:54lents et donc colonial pipeline a fini
99. 3:56par installer les les ordinateurs
100. 3:59impactés
101. 4:00ultérieurement le fbi a réussi à
102. 4:03récupérer
103. 4:0463,7 bitcoin sont les 75 qui ont été
104. 4:07versés le 7 juin mais du fait que de la
105. 4:10forte volatilité du cours du bitcoin
106. 4:12alors que ça représente seule la quasi
107. 4:15totalité du montant hobbit coyne ça ne
108. 4:17représentait plus que 2,3 millions de
109. 4:19dollars en raison de la baisse des cours
110. 4:25le réseau d'oléoducs de colonial
111. 4:27pipeline a repris un service normal le
112. 4:2912 mai mais il a fallu une semaine
113. 4:31supplémentaire pour un retour à la
114. 4:33normal puisqu'en fait le carburant
115. 4:35avance à la vitesse de 6 km heure et
116. 4:38donc il met dix neuf jours pour aller de
117. 4:40houston à new york en moyenne
118. 4:45dark side le groupe criminel qui a sévi
119. 4:49dans la sphère colonial pipeline et
120. 4:52revil ransomware evil qui est un autre
121. 4:54groupe criminel dont on parle à l'heure
122. 4:55sur ce qu'on appelle des groupes
123. 4:57ransomware à ce service ce sont des
124. 5:00groupes qui développe entièrement qui
125. 5:02fournissent toute l'infrastructure
126. 5:03durant ce logiciel ils fournissent à la
127. 5:06fois le logiciel malveillant qui permet
128. 5:08de chiffrer disque dur de se propager
129. 5:10ils fournissent également
130. 5:11l'infrastructure de collecte des rançons
131. 5:13ou bitcoin il reverse un pourcentage aux
132. 5:17apporteurs d'affaires aux gens qui ont
133. 5:18trouvé en fait la porte d'entrée initial
134. 5:20par exemple dans le réseau connaît le
135. 5:22'pipeline' donc en échange d'un partage
136. 5:24des revenus générés typiquement 30% de
137. 5:27commission ce sont des groupes qui
138. 5:28fournissent une solution complète à des
139. 5:31affiliés qui sont des distributeurs en
140. 5:33rugby mais de leur de leurs logiciels
141. 5:36malveillants
142. 5:37donc pour chaque affilié chaque personne
143. 5:39qui leur apporte une nouvelle affaire
144. 5:41qui a trouvé une porte d'entrée dans une
145. 5:44entreprise etc il pas fournir une
146. 5:46version spécifique du logiciel
147. 5:48malveillant pour contourner les
148. 5:49mécanismes de détection et notamment les
149. 5:51anti virus ou autre logiciels qui aurait
150. 5:54déjà enregistré les signatures des
151. 5:57versions passé ils fournissent
152. 5:59l'infrastructure permettant d'explorer
153. 6:01les données de la victime donc de
154. 6:03récupérer parle dans la sphère de
155. 6:04collier le 'pipeline' laissant gigas de
156. 6:06données donc ça peut être via des
157. 6:07serveurs qui sont temporaires hébergés
158. 6:10sur des plates formes cloud azure à w s
159. 6:14google cloud etc de façon à ne pas à ne
160. 6:18pas lever la méfiance des organismes
161. 6:21possible tout ce qu'on voit en fait ce
162. 6:23sont des connexions des plateformes
163. 6:25cloud ils fournissent également
164. 6:27l'infrastructure de collecte la rançon
165. 6:29en crypto monnaie un typique mans
166. 6:30bitcoin et ils fournissent même en fait
167. 6:33sur le dark web un site permettant aux
168. 6:35victimes de communiquer avec eux et donc
169. 6:38de demander pardon du support technique
170. 6:39des explications sur comment de payer la
171. 6:41rançon et commet également des chiffres
172. 6:43et leur système avec l'outil qu'il va
173. 6:46fournir une fois qu'ils la rançon a été
174. 6:49versée
175. 6:54ces groupes en soir services sont
176. 6:57probablement rues sont russophones on le
177. 6:59suspecte parce que leurs logiciels
178. 7:00malveillants refusent d'attaquer des
179. 7:02machines situées dans la communauté
180. 7:04d'états indépendants à savoir
181. 7:06l'organisation qui a succédé à l'urss en
182. 7:081991
183. 7:09et leurs logiciels refuse également de
184. 7:12chiffres et des machines dont la langue
185. 7:14est l'arabe syriens ou celle d'un
186. 7:16ex-membre de l'urss savoir des machines
187. 7:19qui utilisaient l'alphabet cyrillique
188. 7:21ces groupes sont tolérées par leurs
189. 7:23gouvernements tant qu'ils n'attaquent
190. 7:24pas d'entité compatriotes en
191. 7:27est donc comme ces groupes par en
192. 7:29dessous noir de services fournissent un
193. 7:31service clé en main l'affilié
194. 7:33distributeur n'a plus qu'à organiser la
195. 7:34filtration initiale chez la victime
196. 7:40le fbi a et a réussi à saisir le
197. 7:43portefeuille bitcoin du groupe dark side
198. 7:46par des moyens qui n'ont pas été
199. 7:48documentés et ils sont aperçus donc ce
200. 7:50portefeuille contenait 90 millions de
201. 7:52dollars en butte coyne reçu en une
202. 7:54donnée qui ont été payés depuis
203. 7:56quarante-sept sources différentes donc
204. 7:5747 rançon a été payée a priori hors
205. 8:00d'arcsight se vanter d'avoir chiffré 99
206. 8:04organisation ce qui suggère que la
207. 8:07rançon moyenne est de 1,9 million de
208. 8:09dollars et que 47 portion des victimes
209. 8:11mon pays
210. 8:13également l'analyse des transactions
211. 8:15depuis ce portefeuille démontre que dark
212. 8:18side a conservé 17 % des rançons à
213. 8:20savoir 15 millions de dollars est
214. 8:22reversé 83% à ses affiliés ou en tout
215. 8:26cas d'autres portefeuilles bitcoin
216. 8:32au niveau de l'évolution de la
217. 8:34technologie on s'aperçoit que ces
218. 8:35rançons j ciel sont de plus en plus
219. 8:37sophistiqués qui sont désormais capables
220. 8:39de fonctionner de découvrir des
221. 8:41ressources telles que les sauvegardes
222. 8:43des serveurs distants et se propager en
223. 8:45totale autonomie sans canal de contrôle
224. 8:47ni avoir besoin de recevoir
225. 8:49d'instructions à distance depuis les
226. 8:50groupes qui les manipulent et donc par
227. 8:53exemple pour se propager on s'aperçoit
228. 8:55qu'ils sont capables par exemple aux
229. 8:56entreprises d'exploiter les informations
230. 8:58contenues dans les annuaires en
231. 9:00particulier active directory
232. 9:06la plupart des rançons j elles n'ont pas
233. 9:08besoin des droits administrateurs ils
234. 9:10peuvent très bien fonctionner simplement
235. 9:12avec les droits de l'utilisateur qui a
236. 9:14été contaminé a minima ils peuvent déjà
237. 9:17chiffrer tous les documents accessibles
238. 9:18par sept utilisateurs infectés que ce
239. 9:21soit les documents de l'utilisateur ou
240. 9:23tous ceux auxquels l'utilisateur affecté
241. 9:26à accès via notamment le réseau il est
242. 9:29dossiers partagés
243. 9:30bien sûr si laurent son logiciel arrive
244. 9:33par escalade de privilèges en plus à
245. 9:35obtenir l'accès à des cons privilégier
246. 9:37les dégâts sont évidemment amplifié que
247. 9:39ce soit un compte administrateur
248. 9:41localement ou que ce soit un compte
249. 9:43privilégier sur un serveur un conte
250. 9:45applicatifs et c'est avec des privilèges
251. 9:48permettant de manipuler une application
252. 9:50spécifique
253. 9:52ces rançons j ciel installe et
254. 9:54dissimulent des portes dérobées
255. 9:55permettant aux acteurs malveillants de
256. 9:57conserver et de maintenir un accès à
257. 9:58long terme
258. 10:02un exemple d'innovation au niveau des
259. 10:05rançons j ciel c'est laurence logiciel
260. 10:07look file storengy ciel qui fait du
261. 10:09chiffrement intermittents donc pour
262. 10:12éviter que le logiciel malveillant que
263. 10:15ses effets soit détectée trop rapidement
264. 10:17c'est un logiciel qui quand ils décident
265. 10:19de chiffres et de documents il laisse
266. 10:21les débuts les premiers ko de chaque
267. 10:23fichier en clair et c'est uniquement
268. 10:25ensuite que il va laisser tous les tous
269. 10:28les blocs de 30 2 oct et il va laisser
270. 10:30les 16 premiers octets en clair et il va
271. 10:32s'y ferait uniquement les seize derniers
272. 10:33ce qui fait qu'au final les fichiers
273. 10:35étant partiellement chiffrés ou à moitié
274. 10:37si frais ils sont de toutes façons
275. 10:39inutilisable mais par contre l'intérêt
276. 10:42de la chose c'est que la distribution
277. 10:44statistique dans les fichiers qui ont
278. 10:46été chiffrés par l'occ file reste
279. 10:49identique est analogue aux distributions
280. 10:52statistiques dans les fichiers d'origine
281. 10:53et donc du coup l'idée c'est que sar va
282. 10:56retarder considérablement la détection
283. 10:58du problème au niveau de l'organisme
284. 11:00cible contrairement à un chiffrement
285. 11:02classique de la totalité du fichier qui
286. 11:04va produire comme ça tant de contenu qui
287. 11:06ressemblera à du bruit statistiques en
288. 11:08tout cas qu'il ressemblera pas par
289. 11:09contre s'il s'agit d'un document word il
290. 11:11est clair que tout de suite on va
291. 11:13s'apercevoir que c'est pas un document
292. 11:14word aux valides désormais puisque le
293. 11:17contenu du fichier a été entièrement
294. 11:18modifiée
295. 11:21le rend son logiciel look beat vente
296. 11:24même sa rapidité de chiffrement sur le
297. 11:26dark web ont publié un comparatif avec
298. 11:27la concurrence où ils indiquent qu'ils
299. 11:30sont de loin les plus rapides ils sont
300. 11:32capable de chiffrer
301. 11:33373 mégaoctets par seconde soit 22
302. 11:36gigaoctets de données par minute
303. 11:46les groupes qui développent ces
304. 11:48logiciels malveillants séance officielle
305. 11:49utilise également massivement des
306. 11:53fournisseurs cloud à l'époque actuelle
307. 11:54pour éviter justement que il ya du
308. 11:57trafic suspect qu'ils soient détectés
309. 11:59par les passerelles d'entreprise à
310. 12:01destination de pays tels que par amp la
311. 12:03russie ukraine ou ou des pays de l'est
312. 12:06et donc en fait pour contourner ce type
313. 12:10de sélection il utilise des serveurs en
314. 12:12hébergement cloud et ainsi ils se
315. 12:14fondent dans la masse du trafic web
316. 12:15normal pour éviter de susciter la
317. 12:17suspicion et donc ils vont utiliser des
318. 12:19noms de domaine et des plages à
319. 12:20l'adresse ip qui sont seuls et de ses
320. 12:23fournisseurs donc ce seront des noms de
321. 12:24domaine par défaut ou des plages adresse
322. 12:26de l'amazone web services de microsoft
323. 12:29azur de google cloud platform etc on a
324. 12:32également vu des cas où il utilise l api
325. 12:35point guide.com pour relayer du trafic
326. 12:39et donc il exploite pleinement les jt de
327. 12:41ses infrastructures dynamiques ils
328. 12:43peuvent supprimer héros déployer leurs
329. 12:45serveurs sur le nouvelle adresse en
330. 12:46quelques minutes
331. 12:51avant d'être chiffrer les données sont
332. 12:53bien souvent exfiltré hors de
333. 12:55l'entreprise ça permet à ces groupes
334. 12:57pirates de rajouter une menace
335. 12:58additionnelle de publier ces données qui
336. 13:00sont internes et confidentiels et ainsi
337. 13:03de maximiser les dégâts sur la
338. 13:04réputation de l'entreprise si la rançon
339. 13:06n'est pas payée par exemple un des
340. 13:09premiers piratage qui a eu lieu est
341. 13:10celui de sony pictures en 2014 par la
342. 13:13corée du nord et à l'époque les pirates
343. 13:17ont publié des mails internes échangé
344. 13:20par les dirigeants de sony pictures
345. 13:22concernant toute l'industrie du cinéma
346. 13:24américain y compris par exemple quel
347. 13:26acteur était invivable ou insupportables
348. 13:28ou etc
349. 13:33on peut établir la classification
350. 13:35suivante des attaques tout d'abord les
351. 13:37contaminations du premier type où un
352. 13:40nombre limité de postes utilisateurs est
353. 13:42infecté dans l'entreprise les postes de
354. 13:44travail sont particulièrement
355. 13:45vulnérables à de telles contaminations
356. 13:46en effet pour pour être infecté il
357. 13:49suffit que l'utilisateur télécharge ou
358. 13:51lance un logiciel ou un fichier
359. 13:54malveillant donc par exemple ça peut
360. 13:56être un téléchargement via une page web
361. 13:58à la table du point d'eau où
362. 13:59l'utilisateur est redirigé vers un site
363. 14:02web piégé et on lui fait télécharger un
364. 14:05fichier vérolé également ça peut être le
365. 14:09ciel malveillantes et transmis en pièce
366. 14:10jointe à un email dans le cadre d'un
367. 14:13hameçonnage ciblées avec une personne en
368. 14:15particulier par exemple un document
369. 14:17documents office en pièce jointe qui
370. 14:20contient des macros et il suffit que
371. 14:22l'utilisateur active les macros pour
372. 14:24déclencher la partie malveillantes le
373. 14:27code malveillant qui se trouve à
374. 14:28l'intérieur du document
375. 14:29il existe des boîtes à outils
376. 14:31complètement intégrées qui permettent de
377. 14:33générer de tel document malveillant
378. 14:34parlant des documents office avec des
379. 14:36macros de façon à ce que ces documents
380. 14:38soient uniques et indétectables par les
381. 14:40antivirus
382. 14:44quelles sont les conséquences d'une
383. 14:46contamination de type 1 ou un nombre
384. 14:48limité d'utilisateurs est un facteur
385. 14:50l'entreprise évidemment l'impact peut
386. 14:52être important pour les personnes
387. 14:53concernées c'est tous leurs documents
388. 14:54sont chiffrées mais cependant c'est un
389. 14:57pâtre est non significatif pour
390. 14:59l'organisme la stratégie de récupération
391. 15:01consiste à redéployer le poste
392. 15:03utilisateur depuis une image et
393. 15:05restaurer les données de l'utilisateur
394. 15:06depuis une sauvegarde
395. 15:12dans une contamination du deuxième type
396. 15:14on observe une infiltration en
397. 15:16profondeur du réseau de l'organisme
398. 15:18cible des serveurs et des applications
399. 15:20critiques de l'entreprise sont touchés
400. 15:22parfois même les sauvegardes l'impact
401. 15:25est critique voire existentielle pour
402. 15:27l'organisme visé la rançon va se
403. 15:30chiffrer en millions d'euros et le
404. 15:32rétablissement de la situation va
405. 15:34nécessiter plusieurs jours voire
406. 15:36plusieurs semaines et quelque fois
407. 15:37plusieurs mois
408. 15:41kelly l'origine des contaminations de
409. 15:43type 2 il peut s'agir de vulnérabilité
410. 15:46en des services exposés à internet
411. 15:48auquel cas ce sont les serveurs
412. 15:50directement qui sont affectés
413. 15:52il peut s'agir d'une compromission d'un
414. 15:55partenaire ou d'un fournisseur en
415. 15:56particulier d'un fournisseur de logiciel
416. 15:58ou de matériel on a vu par exemple
417. 16:01dans la sphère note médias que c'était
418. 16:03le logiciel de comptabilité ukrainien
419. 16:05une déclaration fiscale m e doc qui
420. 16:08avaient été piratées
421. 16:10dans la sphère solarwinds c'est le
422. 16:13logiciel de supervision réseau sur la
423. 16:15ruine ce qui est qui a été infiltrée et
424. 16:18donc cascades et auprès de leurs clients
425. 16:21on va parler de thaler de la ferc azille
426. 16:23indécent
427. 16:25enfin il peut s'agir également d'une
428. 16:27contamination de type 1 donc avec
429. 16:29certains utilisateurs infectés mais qui
430. 16:31a réussi à pivoter à l'inter
431. 16:33l'entreprise et à se propager
432. 16:35latéralement pour atteindre des comptes
433. 16:36privilégiés
434. 16:37donc par exemple parce que les
435. 16:41utilisateurs ont des droits privilégié
436. 16:44où des droits administrateurs que ce
437. 16:46soit localement ou sur deux serveurs et
438. 16:48ceci sans avoir besoin de sous tentes
439. 16:50eefje par une authentification
440. 16:51multi-facteurs ou bien parce qu'il n'ya
441. 16:54pas de séparation entre les comptes
442. 16:56utilisateurs et les comptes privilégiés
443. 17:02quelle mesure peut-on préconisées pour
444. 17:05éviter la contagion des infections du
445. 17:07type inverse le type 2
446. 17:09évidemment la première mesure consiste à
447. 17:11dissocier les comptes des simples
448. 17:13utilisateurs des comptes à privilèges
449. 17:14des comptes applicatifs
450. 17:17on peut également conseiller d'isoler
451. 17:20les serveurs les applications et les
452. 17:21bases de données du réseau bureautique
453. 17:23pour les accès interactif pour les gens
454. 17:26qui ont besoin de se connecter sur les
455. 17:28serveurs qui hébergent ces applications
456. 17:30critiques en entreprise on peut par
457. 17:31exemple les obliger à passer par des
458. 17:33serveurs bastion des djeun postes
459. 17:35intermédiaires qui seront durcies et
460. 17:37accès restreint à surface d'attac
461. 17:39réduite et qui vont exiger une
462. 17:41authentification multi-facteurs donc par
463. 17:43exemple pour accès à des plateformes
464. 17:45linux ça peut être des jump lists et
465. 17:47sache sur laquelle il faut se loguer
466. 17:49d'abord par authentification
467. 17:50multi-facteurs avant de pouvoir rebondir
468. 17:52et d'accéder au serveur unix distant en
469. 17:56environnement windows on peut faire la
470. 17:57même chose avec des serveurs rdp remote
471. 17:59desktop protocol
472. 18:01mstc est également des technologies
473. 18:04comme citrix
474. 18:06enfin pour les accès web on peut
475. 18:08également protéger des plateformes de
476. 18:10serveurs web via des rivages proxy
477. 18:12équipés de web application firewall par
478. 18:14exemple lorsque l'appel du waf tels que
479. 18:17mode security
480. 18:19donc ce sont les technologies qui vont
481. 18:21filtrer les url pour éliminer tout ce
482. 18:24qu'il peut y avoir de malveillant dedans
483. 18:25en amont avant d'atteindre le serveur
484. 18:27web dit ce taux
485. 18:32citons en vrac
486. 18:34attac parents songy ciel on peut citer
487. 18:37le reportage d'envoyé spécial de france
488. 18:382 sur les braqueurs de l'ombre qui est
489. 18:40disponible en replay sur le site france
490. 18:42info
491. 18:43en février 2020 bouygues construction a
492. 18:46été victime du crypto locker mais ce
493. 18:49dont je vous montrerai quelques captures
494. 18:50d'écran tout à l'heure
495. 18:52en mai 2000 20 miles a également dérobé
496. 18:55le détail de 11 millions de cartes de
497. 18:57crédit de banco de costa rica qui est
498. 19:00une banque étatique du costa rica bcr
499. 19:06voici ce qui se passe lorsque vous êtes
500. 19:08infectés par le crypto locker miles donc
501. 19:10vos fichiers sont chiffrés et également
502. 19:13sur le bureau vous avez un fichier texte
503. 19:17qui apparaît qui s'appelle décrypte
504. 19:19files point txt et il contient des
505. 19:22instructions et en particulier vous
506. 19:24redirige vers un site web de support
507. 19:26technique disponible sur le dark web
508. 19:29donc il ya le réseau tor et pour lequel
509. 19:32si jamais vous n'avez pas accès au
510. 19:33réseau tor ou ou si c'est trop compliqué
511. 19:35en fait on vous fournit également un
512. 19:37site miroir sur internet un ou plusieurs
513. 19:41sites miroirs mais en vous indiquant
514. 19:43bien que ces sites là peuvent devenir
515. 19:45indisponibles du jour au lendemain parce
516. 19:47que justement ils peuvent être bloqués
517. 19:48ou ou saisies et c'est donc quand vous
518. 19:52connecter au site web de support
519. 19:54technique vous arrivez sur ceux ci et
520. 19:57donc on vous dit en fait que vous devez
521. 20:00commencer par un flot d ici le fichier
522. 20:03décrite fiennes que le crypto locker a
523. 20:05déposé sur votre bureau ce qui va
524. 20:07permettre aussi distant de vous fournir
525. 20:09enfin d'avoir les informations sur sans
526. 20:12doute la clé de chiffrement qui a été
527. 20:13utilisé
528. 20:16et ensuite donc le site de support
529. 20:20technique que vous permet de déchiffrer
530. 20:21trois fichiers gratuitement alors pour
531. 20:24eux ne pour que ce soit pas les données
532. 20:25critiques de l'entreprise
533. 20:27il autorise uniquement de déchiffrer
534. 20:29déficit l'image donc des bitmap jpeg gif
535. 20:32ou png et chaque fichier deux interfaces
536. 20:34de maximum de mégaoctets donc vous
537. 20:37pouvez comme ça hop l'odet jusqu'à trois
538. 20:39fichiers et le site distant va vous les
539. 20:41déchiffrer pour vous prouver en fait
540. 20:43qu'il est effectivement capable de vous
541. 20:46fournir un système une solution de
542. 20:48chiffrement de vos fichiers
543. 20:49si jamais vous payer la rançon
544. 20:55enfin ce site web contient une page de
545. 20:57support technique y compris une zone de
546. 21:00discussion en ligne avec les auteurs
547. 21:02durant son logiciel si vous avez besoin
548. 21:03d'assistance que ce soit pour payer la
549. 21:05rançon ou pour déchiffrer vos fichiers
550. 21:07ensuite donc vous pouvez comme ça tchat
551. 21:10et discuter avec des clés les auteurs
552. 21:14durant son logiciel on vous dit que pour
553. 21:17l'instant par exemple la rançon qui est
554. 21:19exigé c'est 1200 dollars est pour
555. 21:23l'instant vous avez 1 50 % de réduction
556. 21:25mais si jamais vous laisser le délai ici
557. 21:28de sept jours pour payer expiré la
558. 21:31rançon sera doublé pour payer la rançon
559. 21:34vous devez envoyer en l'occurrence au
560. 21:36cours du jour 1200 dollars américains ça
561. 21:38correspondait à
562. 21:400.16 bitcoin et il faut les envoyer à ce
563. 21:43porte-monnaie numérique et vous avez des
564. 21:46explications complètes sur comment
565. 21:48acheter des bitcoins vous n'avez pas
566. 21:49l'habitude est également un lien vers la
567. 21:52page de test déchiffrement qui vous
568. 21:55permet de déchiffrer trois fichiers
569. 21:56images qu'on me vient de le voir
570. 22:03quelques exemples supplémentaires
571. 22:04d'attac parents songy ciel en août 2020
572. 22:08une attaque massive par déni de service
573. 22:10distribué à paralyser la bourse de
574. 22:11nouvelle zélande pendant quatre jours
575. 22:13le 7 septembre 2020 banco est ado qui
576. 22:17est une banque du chili a dû fermer
577. 22:19suite à une attaque par le groupe revil
578. 22:23donc un des deux groupes en noir à ce
579. 22:25service qu'on a évoqué précédemment
580. 22:28en novembre 2001 les mairies de
581. 22:30vincennes et d'alfortville ont été
582. 22:32paralysées par des rançons joueurs
583. 22:33également
584. 22:36au mois de mars 2021 si l iphone en
585. 22:39short et un assureur américain basé à
586. 22:41chicago a versé une rançon de 40
587. 22:43millions de dollars suite au chiffrement
588. 22:45de 15 minutes de ses ordinateurs
589. 22:47en mai 2021 axa a été victime d'un autre
590. 22:52rendre sur moi à ce service qui
591. 22:54s'appelle avalon via ses filiales
592. 22:55asiatiques
593. 22:563 téraoctets de données ont été
594. 22:59exfiltrées de l'entreprise et l'attaqué
595. 23:01survenue un mois après qu'axa est
596. 23:04annoncé ne plus prendre en couverture ne
597. 23:07plus couvrir le paiement des rançons
598. 23:09dans ces polices d'assurance cyber en
599. 23:11france
600. 23:16évoquons maintenant
601. 23:17la cyberattaque massive avec un subit le
602. 23:19système de santé irlandais en 2021 le 18
603. 23:23mars 2021 un employé du système de santé
604. 23:26national irlandais a ouvert un email
605. 23:28contenant un fichier excel malveillants
606. 23:29en pièce jointe est donc ceci a permis
607. 23:32aux attaquants de prendre le contrôle du
608. 23:34poste utilisateur et ensuite de se
609. 23:36propager à l'intérieur du réseau de
610. 23:38santé irlandais les attaquants vont
611. 23:40infiltrer le système en profondeur
612. 23:41pendant deux mois ils vont préparer
613. 23:44leurs attaques en utilisant un outil de
614. 23:46contrôle à distance remote access trojan
615. 23:48qui s'appelle cobalt strike qui est un
616. 23:50outil commercial
617. 23:52que le ciel commercialisé là dehors
618. 23:54qu'il est très utilisé notamment par les
619. 23:56pentester mais aussi par des groupes
620. 23:58malveillant est également l'outil
621. 24:00mimikatz qui permet donc de récupérer
622. 24:02les login mot de passe dé windows les
623. 24:05utilisateurs en mémoire et ainsi de se
624. 24:06propager y compris sur des systèmes
625. 24:09windows distant qui ne sont pas
626. 24:11vulnérables
627. 24:12on soupçonne que le groupe malveillants
628. 24:15à l'origine de cette attaque le groupe
629. 24:16weezer spider qui est un groupe basé
630. 24:18principalement à saint pétersbourg en
631. 24:20russie
632. 24:23le 14 mai 2021 l'attaqué déclenchée
633. 24:2680% du système informatique de santé du
634. 24:28pays et chiffré via un logiciel nommé
635. 24:31conti cent trente mille employés sont
636. 24:34impactés 4500 serveurs il n'ya plus
637. 24:38d'e-mails de dossiers médicaux de
638. 24:40résultats d'imagerie médicale ou d'
639. 24:41analyses de laboratoire et les hôpitaux
640. 24:43sont contraints de repasser au papier au
641. 24:45stylo et de déprogrammer les opérations
642. 24:507 100 giga octet de données ont été
643. 24:52exfiltrées
644. 24:53le 19 mai les pirates ont envoyé
645. 24:56dossiers médicaux de 5 120 patients au
646. 24:58financial times ils ont demandé
647. 25:00initialement une rançon de 19 millions
648. 25:02de dollars que le gouvernement irlandais
649. 25:05a refusé de payer mais le 21 mai 2021
650. 25:08les pirates ont fourni une clé de
651. 25:11déchiffrement les raisons de se repentir
652. 25:13ne sont pas claires
653. 25:19même si la clé de déchiffrement a été
654. 25:21spontanément fournis par les pirates le
655. 25:2321 mai déchiffrer et restaurer la quasi
656. 25:26totalité des systèmes va nécessiter
657. 25:28quatre mois additionnels jusqu'en
658. 25:30septembre 2021 le coût direct de la
659. 25:33cyberattaque est estimé à plus de 100
660. 25:34millions d'euros et en plus de ça le
661. 25:37coup de refonte du système informatique
662. 25:39et surtout de sa sécurisation est
663. 25:42estimée à un demi milliard d'euros par
664. 25:44le service de santé irlandais lui-même
665. 25:50voici deux graphiques illustrant le
666. 25:53déroulé l'événement qui sont tirées du
667. 25:55rapport d' enquête qui a été demandé à
668. 25:56la société pricewaterhousecoopers
669. 25:58le 18 mars on à l'infection initiale
670. 26:01donc du poste de travail utilisateur
671. 26:04ensuite on a les deux mois qui
672. 26:06s'écoulent avant que les attaquants
673. 26:07n'arrivent à compromettre le premier
674. 26:10serveur du service de santé irlandais
675. 26:12puis à se propager ensuite sur sept
676. 26:15hôpitaux additionnel il ya eu des
677. 26:18détections donc à un des hôpitaux par
678. 26:20exemple le 10 mai qui a détecté un
679. 26:23comportement malveillant également un
680. 26:25autre hôpital ici qui a détecté un autre
681. 26:28comportement malveillant le 12 mai mais
682. 26:32il n'y a pas eu de réaction assez rapide
683. 26:34pour éradiquer le problème est
684. 26:36effectivement l'attak a été déclenchée à
685. 26:38tête de l'eau balles le 14 mai à une
686. 26:40heure du matin
687. 26:43les dégâts ont été constatés dès 2h 50
688. 26:47du matin lorsque les systèmes
689. 26:49informatiques étaient inutilisables dans
690. 26:51la plupart des hôpitaux irlandais le
691. 26:53réseau informatique a été les
692. 26:55applications ont été complètement
693. 26:56stoppée ce journal est et donc la sphère
694. 26:59a été a été géré au plus haut niveau du
695. 27:01gouvernement et demander une war room a
696. 27:05été mise en place le lendemain et en
697. 27:08fait quand ils ont reçu la clé de
698. 27:10déchiffrement le 21 mai il aura fallu
699. 27:13tout de même quatre mois additionnels
700. 27:15pour remettre en service
701. 27:1799% des applications donc un mois après
702. 27:20en fait seulement 47% des serveurs ont
703. 27:23été remis en service et 51% des
704. 27:27applications étaient fonctionnels
705. 27:31dans ce crash hic j'ai zéro médias à
706. 27:34représenter les pays d'origine des
707. 27:37principales cyberattaques qui ont eu
708. 27:38lieu depuis 2006 est également les pays
709. 27:41qui ont été victimes de ces attaques sur
710. 27:43le côté droit
711. 27:47en réponse à la multiplication des
712. 27:50cyberattaques au cours des derniers mois
713. 27:52aux dernières années en juin 2021 les
714. 27:55pays membres de l'otan ont décidé
715. 27:57d'étendre aux cyberattaques au cas par
716. 27:59cas l'assistance mutuelle et
717. 28:01l'éventuelle riposte groupe et de ses
718. 28:03membres prévue par l'article 5 du traité
719. 28:05de l'otan le fait que si l'un des
720. 28:07membres d'attac et c'est considéré comme
721. 28:09une attaque contre la totalité des
722. 28:11membres du traité de l'atlantique nord
723. 28:17la sphère casilla vs 1 kaseya est un
724. 28:20éditeur de logiciels américain qui
725. 28:22fournit une solution d'administration
726. 28:23informatique à distance nommé kaseya
727. 28:26virtuel système administrateurs
728. 28:28le 2 juillet 2021 le groupe revil est
729. 28:32parvenu à détourner l'infrastructure
730. 28:34d'administration à distance vs ans pour
731. 28:37implanter son logiciel malveillant il
732. 28:40attaqua dont cascades et sur les 50
733. 28:42fournisseurs de services qui utilisent
734. 28:44la solution casilla pour administrer les
735. 28:47postes clients de leurs clients à savoir
736. 28:491500 clients finnair au total et en
737. 28:52particulier par exemple la chaîne de
738. 28:54supermarchés suédoise coop qui a dû
739. 28:56fermer ses 800 magasins pendant une
740. 28:58semaine
741. 29:00khelil a réclamé une rançon de 70
742. 29:03millions de dollars et prétend avoir
743. 29:05ainsi chiffré via cette attaque plus
744. 29:07d'un million de systèmes informatiques
745. 29:09le 8 novembre 2021 le gouvernement
746. 29:12américain a inculpé
747. 29:14de deux personnes un ukrainien et aux
748. 29:18russes pour cette attaque
749. 29:25évoquons maintenant le processus d'
750. 29:27attaque
751. 29:30maitere corporation est une entreprise à
752. 29:33but non lucratif américaine un organisme
753. 29:36de recherche très liée au gouvernement
754. 29:37américain est d'ailleurs financée
755. 29:39principalement par le gouvernement
756. 29:40américain est très actif dans les
757. 29:42domaines de recherche concernant tout ce
758. 29:44qui est défense et en particulier en ce
759. 29:47qui nous concerne ici cyberdéfense ils
760. 29:50ont développé le mytouch attaque
761. 29:51framework attaque et un jumeau sur
762. 29:54adverse arial tactics technique and
763. 29:56common knowledge est donc dans ce
764. 29:59frémoire qui vont essayer de répertorier
765. 30:00les différentes techniques qui sont
766. 30:03mises en oeuvre dans le cadre d'une
767. 30:05cyberattaque dont vous avez ensemble de
768. 30:07catégories en avoir il ya 14 et pour
769. 30:09chacune il y a les principales
770. 30:11techniques
771. 30:12qui sont utilisés et pour chacune des
772. 30:16sous techniques et différents détails
773. 30:20donc si l'on zoome par exemple on
774. 30:25horizontalement il y avait quatorze
775. 30:27grandes catégories qui sont répertoriés
776. 30:30donc les 14,4 tactique à l'heure
777. 30:31actuelle comme par exemple la phase de
778. 30:33reconnaissance puis de gagner un accès
779. 30:36initial vers la cible etc et puis
780. 30:39persister les accès et pour chacune vous
781. 30:41avez un stand de techniques qui sont
782. 30:43documentés au total il y en a plus de
783. 30:44200 l'heure actuelle qui permettent de
784. 30:48d'effectuer en fait
785. 30:49l'objectif ou de contribuer à l'objectif
786. 30:52recherché comme par exemple effectuer
787. 30:54une reconnaissance ou gagner un accès
788. 30:57initiale ou bien persister dans
789. 30:59l'organisation cible
790. 31:01regardons par exemple l'une de ces
791. 31:04techniques par exemple je vais
792. 31:05sélectionner un drive by compromise
793. 31:08donc il ya une page un descriptif très
794. 31:11détaillé qui explique en quoi consiste
795. 31:14la technique par exemple le fait de de
796. 31:17piéger un site web de façon à ce que
797. 31:18quand un utilisateur une victime avec un
798. 31:22navigateur web se connecter affiche une
799. 31:26page web automatiquement ça déclenche
800. 31:28du code malveillant par exemple en
801. 31:31javascript qui va permettre de prendre
802. 31:32le contrôle du navigateur web de la
803. 31:35victime et éventuellement de son
804. 31:37ordinateur donc un descriptif de la
805. 31:40technique avec différents exemples
806. 31:46ensuite une liste de deux groupes
807. 31:50malveillants qui sont connus pour
808. 31:52utiliser ce type de technique avec les
809. 31:56différents notre nom de code utilisé par
810. 31:58ses
811. 32:00différentes ces différentes structures
812. 32:02qui produisent des codes malveillants
813. 32:07et enfin donc quelles sont les solutions
814. 32:09potentielles qu'est ce qu'on peut mettre
815. 32:11en place les contre mesures qu'on peut
816. 32:13mettre en place pour éviter d'être
817. 32:14victime de ce genre de problèmes un par
818. 32:17exemple isolé les applications ou bien
819. 32:19par exemple restreindre l'accès au web
820. 32:22et s'assurer qu'on utilise des logiciels
821. 32:24qui sont complètement à jour voilà
822. 32:26également comment détecter ce genre de
823. 32:30problème par exemple en décapsulant le
824. 32:33trafic ssl et en analysant le le contenu
825. 32:36du trafic chiffré par exemple ça permet
826. 32:38potentiellement de détecter des du
827. 32:42code suspects qui seraient envoyés à des
828. 32:45navigateurs web
829. 32:49l'attak frémoire d'amateurs date de 2015
830. 32:52auparavant cinq ans auparavant en 2010
831. 32:55lockheed martin une société qui
832. 32:57travaille dans le département dans le
833. 32:58domaine de la défense aux états unis
834. 33:00avait avait produit un modèle
835. 33:04préalable qui s'appelait la salle barkin
836. 33:06shane hill et deux ont été fusionnées en
837. 33:072018 par paul bowles dans un un modèle
838. 33:11unifié qui reprend les différentes
839. 33:13étapes lors d'un cyberpiratage donc
840. 33:16l'axé initiale au système ensuite la
841. 33:20propagation à travers le réseau interne
842. 33:22et après donc atteindre l'objectif
843. 33:27regardons là
844. 33:30la première des trois phases consiste à
845. 33:32établir la compromission initiale du
846. 33:35système avec donc une phase de
847. 33:38reconnaissance
848. 33:39puis web foundation donc d'armement la
849. 33:44délivrance de du code malveillant
850. 33:48éventuellement l'ingénierie sociale puis
851. 33:51l'exploitation
852. 33:52persister dans le système piraté rester
853. 33:56furtif et établir un système de commande
854. 33:59du contrôle distant examinons ces
855. 34:02différentes étapes
856. 34:07la reconnaissance l'étape de
857. 34:09reconnaissance a pour but de de trouver
858. 34:11un point d'entrée donc analyse de la
859. 34:14cible découverte des points d'entrée
860. 34:15recensement des vulnérabilités apparente
861. 34:17ça peut se faire soit par des techniques
862. 34:19passive à soit par les techniques active
863. 34:21technique passive donc a priori
864. 34:23indétectable qui consiste à examiner les
865. 34:27plages adresses ip dans la base ruiz
866. 34:30donc alors les registres arts a effectué
867. 34:33des recherches google utilisé shodan
868. 34:36points maillot qui documente les tout ce
869. 34:39qui est internet des objets etc
870. 34:41et donc on peut également utiliser des
871. 34:44informations publiées sur les sites web
872. 34:45les réseaux sociaux linkedin et c'est
873. 34:48évidemment plus efficaces sont les
874. 34:50attaques des techniques active qui
875. 34:52consista à faire tendre des scans de
876. 34:54l'adresse ip de porc ou de vulnérabilité
877. 34:57avec des outils comme une map etc voire
878. 35:00nessus est également chaque fois qu'on
879. 35:02tombe sur un service sur internet
880. 35:04récupérer les bannières des services ou
881. 35:06les messages d'erreur sur les sites web
882. 35:08par exemple pour identifier les
883. 35:10logiciels et leurs versions ce qui
884. 35:12permet d'en déduire leurs vulnérabilités
885. 35:14potentielles
886. 35:18du côté des défenseurs les
887. 35:21contre-mesures possible qu'on peut
888. 35:22mettre en oeuvre pour limiter les dégâts
889. 35:26de lors de cette phase de reconnaissance
890. 35:27ou limiter l'efficacité plutôt de la
891. 35:29phase de reconnaissance c'est par
892. 35:31exemple restreint dans les informations
893. 35:32publiées sur les sites web et les médias
894. 35:34sociaux définir une charte utilisateurs
895. 35:36masquer les versions du logiciel
896. 35:37modifier les messages d'erreur par
897. 35:39défaut désactiver les ports et les
898. 35:41services qui ne sont pas utilisés mettre
899. 35:44en place un pare-feu utiliser des
900. 35:46systèmes de détection et de prévention
901. 35:48des intrusions des idées à 6 ps et
902. 35:50bloquer les adresses ip tort et vpn
903. 35:52publics connus
904. 35:57phase suivante la phase d'armement ou
905. 36:00wallonie section anglais qui consiste à
906. 36:03développer ou à récupérer des outils da
907. 36:05taxe spécifique aux vulnérabilités opéré
908. 36:07donc il ya un nombre d'outils bien
909. 36:09connus qui sont souvent livrés avec
910. 36:12linux par exemple donc sql map caïn et
911. 36:16abel vers kraken j'ai pour le wifi
912. 36:18maltais go metasploit on peut en
913. 36:21récupérer d exploit sur exploit db
914. 36:23ville framework sauf un petit sochaux
915. 36:27originaire une petite barbe suite pour
916. 36:30tout ce qui est painting wapiti ce
917. 36:32fatras etc donc il ya toute une
918. 36:34ribambelle doughty a assez bien connu
919. 36:36utilisé par les pentester mais aussi par
920. 36:38les attaquants qui permettent comme ça
921. 36:40de de détecter en fait et exploiter des
922. 36:44vulnérabilités une fois qu'ils ont été
923. 36:45localisés
924. 36:46au niveau des défenseurs les contre
925. 36:48mesures possibles sont l'installation
926. 36:51des correctifs d'antivirus d'idées s10
927. 36:53ps le filtrage du service de messagerie
928. 36:55avec notice pam d'antivirus
929. 36:59l'authentification multi-facteurs pour
930. 37:01éviter le vol de mots de passe la
931. 37:03désactivation des macros office de flash
932. 37:05etc
933. 37:06même si flash est en fin de vie en fin
934. 37:072020 donc tout ce qui est plug in comme
935. 37:11ça et
936. 37:13avec du trou de sécurité et
937. 37:15potentiellement quelque chose à
938. 37:16considérer une entreprise
939. 37:21l'étape suivante la phase de livraison
940. 37:24ont délivré un anglais qui consiste à
941. 37:26transmettre le logiciel malveillant à la
942. 37:28cible soit par e-mail ciblé par
943. 37:32hameçonnage dans un e-mail cibler ce
944. 37:35qu'on appelle du spear phishing
945. 37:38soit par exemple la technique du attaque
946. 37:41du point d'eau 1 le water and roll en
947. 37:43anglais c'est une analogie basée sur le
948. 37:45fait que dans la forêt même si les bêtes
949. 37:48sauvages cours
950. 37:49dans tous les sens pendant la journée à
951. 37:52la fin de la journée au bout d'un moment
952. 37:53elles sont bien obligés d'aller au point
953. 37:55d'eau pour s'abreuver et donc du coup
954. 37:57c'est un apparemment un lieu bien connu
955. 38:00du chasseur qui peuvent attendre ici que
956. 38:02les bêtes soient obligés de venir
957. 38:04s'abreuver à la source pour pour leur
958. 38:08tirer dessus donc la table du point
959. 38:10d'eau ça consiste par exemple à infecter
960. 38:12un site web visité par la cible est
961. 38:15d'attendre que elle s'y connecte on peut
962. 38:17également livré le code malveillant par
963. 38:20périphériques amovibles par clé usb par
964. 38:22exemple c'est comme ça que stuxnet se
965. 38:24propager les contre mesures possibles au
966. 38:27niveau des défenseurs le filtrage des
967. 38:29accès internet d'accès web et du dns le
968. 38:32filtrage des services de messagerie avec
969. 38:34un antispam et antivirus ne pas accorder
970. 38:37aux utilisateurs les droit d'administrer
971. 38:38leurs postes de travail par défaut et
972. 38:40sensibiliser les utilisateurs à la
973. 38:42cybersécurité
974. 38:50étape suivante établir l'axé donc pour
975. 38:54ça on peut utiliser l'ingénierie sociale
976. 38:55pour manipuler les employés
977. 38:58la contre mesure logique c'est de les
978. 39:01sensibiliser aux techniques employées
979. 39:05par les pirates
980. 39:07l'exploitation consiste à activer le
981. 39:09logiciel malveillant et à prendre le
982. 39:10contrôle de la machine cible les
983. 39:12contre-mesures possible on consista à
984. 39:15protéger puis à détecter et à rétablir
985. 39:17le plus vite possible par exemple
986. 39:19restaurant une sauvegarde pour installer
987. 39:21une image sur le poste de travail à
988. 39:22redéployer le poste de travail de
989. 39:24l'employé une fois qu'il a été affecté
990. 39:26et le but du pirate une fois qu'il a
991. 39:29obtenu l'accès c'est d'établir la
992. 39:30persistance c'est-à-dire sécuriser un
993. 39:32accès à long terme par exemple en créant
994. 39:34des comptes additionnel de façon à ne
995. 39:36plus dépendre des mots de passe qu'il a
996. 39:39initialement piratés donc dans le cas de
997. 39:42tv5monde par exemple ça consistait à
998. 39:44créer un compte local administrateurs
999. 39:46sur le domaine
1000. 39:47ou bien installer des portes dérobées un
1001. 39:49des débats d'or
1002. 39:52permettant de re pénétrer dans
1003. 39:55l'intérieur du système via ses services
1004. 39:58additionnels qui ont été installés
1005. 40:02étape suivante c'est la furtivité donc
1006. 40:05anglais différentes séries jeunes
1007. 40:06contourner les mécanismes de détection
1008. 40:08et de défense les mesures rock les
1009. 40:11contre mesures possibles pour les
1010. 40:12défenseurs la mise en place de pare-feu
1011. 40:14de systèmes de détection et de
1012. 40:16prévention d'intrusion il est ainsi ps
1013. 40:18d'antivirus
1014. 40:24étapes suivantes établir un canal de
1015. 40:26communication est ce qu'on appelle un
1016. 40:28command and control donc installer des
1017. 40:31outils de communication et de contrôle à
1018. 40:33distance de la machine compromise pour
1019. 40:35pouvoir explorer et attaquer le réseau
1020. 40:37interne donc on appelle ça également
1021. 40:40rate un remote access troian ou un
1022. 40:42cheval de troie permettant l accès à
1023. 40:44distance ou un remote access tool
1024. 40:47et les contre mesures pour pour éviter
1025. 40:51ça c'est l'isolation d'abord segmenter
1026. 40:53les réseaux et de façon à ce que s'il
1027. 40:55machine est compromise dans un réseau
1028. 40:56qu'elle ne puisse pas à rebondir sur les
1029. 40:58autres segments du réseau en cas de
1030. 41:01protection des blocage dns et de
1031. 41:04l'adresse ip et en termes de détection
1032. 41:06filtrer le réseau tout trafic réseau en
1033. 41:09dans ce qu'on appelle du diptyque du
1034. 41:11deep packet inspection et des capsules
1035. 41:13et le trafic ssl tls donc en entreprise
1036. 41:16on utilise couramment des équipements
1037. 41:17pour cent notamment les blue coat qui
1038. 41:19ont été rachetées une société qui était
1039. 41:21rachetée par symantec maintenant et donc
1040. 41:23qui est capable de déchiffrer et tout le
1041. 41:25trafic ssl tls et d'inspecter le contenu
1042. 41:28de ce qui se trouve réellement à
1043. 41:29l'intérieur
1044. 41:35étape d'après
1045. 41:36une machine a été compromise à l'inter
1046. 41:38de l'entreprise ça consiste à pivoter
1047. 41:40c'est à dire utiliser cette machine pour
1048. 41:43rebondir vers le reste de l'intérieur de
1049. 41:46l'entreprise donc pivoter sait utiliser
1050. 41:48la machine compromise comme nouvelle
1051. 41:50base d' attaque du réseau interne et
1052. 41:52donc lancé un processus de découverte
1053. 41:54pour scanner le réseau accessible depuis
1054. 41:56la machine compromise pour découvrir
1055. 41:57puis cibler de nouvelles machines par
1056. 41:59rebond les contre mesures possibles la
1057. 42:02micro segmentation réseau et les réseaux
1058. 42:050 trust donc qui nécessite en fait tout
1059. 42:07tout tout les contacts enfin entre entre
1060. 42:09machines nécessitent une
1061. 42:10authentification mutuelle donc les
1062. 42:13serveurs doit être authentifié aux
1063. 42:14clients et les clients de se ré
1064. 42:15authentifié à chaque fois aux serveurs
1065. 42:22phase suivante la propagation à travers
1066. 42:25le réseau interne donc différentes
1067. 42:28étapes donc donc on a vu pivoter la
1068. 42:33découverte du réseau interne l'esclave
1069. 42:35de privilèges l'exécution
1070. 42:37donc récupérer des pièces justificatives
1071. 42:40un login mot de passe etc des accès et
1072. 42:42le mouvement latéral
1073. 42:48l' escalade de privilèges qui consiste à
1074. 42:51augmenter ses privilèges sur le réseau
1075. 42:53en utilisant par exemple des
1076. 42:55vulnérabilités et c'est qu'ils vont
1077. 42:57pouvoir par exemple de récupérer droits
1078. 42:59administrateurs sur une machine windows
1079. 43:01la partie exécution de l'attak donc
1080. 43:05attaquer la cible suivante
1081. 43:07récupérer des décrets ventures donc
1082. 43:10récupérer des
1083. 43:12désaxés que ce soit des login mot de
1084. 43:14passe que ce soit des procédures d'accès
1085. 43:16etc par exemple l'accès au réseau swift
1086. 43:19en cas de la banque centrale du
1087. 43:21bangladesh
1088. 43:22effectué un mouvement latéral pour se
1089. 43:25déplacer son réseau interne permettre
1090. 43:27donc ainsi de prendre le contrôle et de
1091. 43:30rebondir sur d'autres machines du réseau
1092. 43:31de façon à à terme à accéder à la cible
1093. 43:34réelle de l'opération par exemple le
1094. 43:36réseau swift l'interface avec le réseau
1095. 43:38sud
1096. 43:43dernière étape c'est l'atteinte des
1097. 43:45objectifs
1098. 43:54dans cette étape il va falloir
1099. 43:56identifier et collecter les informations
1100. 43:57ciblées extraire les données collectées
1101. 44:01manipuler le système cible pour
1102. 44:03atteindre les objectifs recherchés que
1103. 44:04ce soit sabotage la prise de contrôle et
1104. 44:06caetera et donc l'objectif étant
1105. 44:09d'atteindre le but recherché
1106. 44:15secureworks est une société de sécurité
1107. 44:17qui était rachetée par dell
1108. 44:19et qui a également modéliser ce type de
1109. 44:23processus d'ataka qu'on appelle les
1110. 44:25menaces persistantes avancées ou
1111. 44:26advanced persistent threat en anglais ap
1112. 44:29était donc ils ont également modéliser
1113. 44:32le processus d' attaques ennemies en
1114. 44:35vis-à-vis les questions qu'il faut se
1115. 44:37poser en fait pour essayer de développer
1116. 44:40des contre mesures contre ce type
1117. 44:42d'attaqués
1118. 44:43donc vous voyez le pour eux les
1119. 44:45différentes étapes d'un attaquant c'est
1120. 44:48définir la cible trouver ou organiser
1121. 44:51des complices utiliser des outils à
1122. 44:53récupérer les outils qui vont permettre
1123. 44:54de réaliser la tacc
1124. 44:56recherché l'infrastructure cible ou les
1125. 44:59les employés qu'on va pouvoir manipuler
1126. 45:00avec jean yanne social
1127. 45:02regarder si on est détecté ou pas et
1128. 45:06sinon déployer l'outil de façon à
1129. 45:08effectuer l'intrusion initial permettent
1130. 45:12d'établir une connexion avec le monde
1131. 45:13extérieur par exemple avec un rap
1132. 45:18étendre l'accès et obtenir davantage
1133. 45:21d'accès des login mot de passe dans
1134. 45:23notre système et c'est donc s'implanter
1135. 45:26de manière pérenne de façon à atteindre
1136. 45:28le système cible exfiltrer les données
1137. 45:30et si possible ne pas rester restait le
1138. 45:35en mode furtif le plus longtemps
1139. 45:36possible sans être détectés
1140. 45:43ces attaques sophistiquées donc
1141. 45:45s'appelle les menaces persistantes
1142. 45:47avancées ou en anglais les attaques à
1143. 45:49péter advanced persistent threat ce sont
1144. 45:52des attaques qui sont déterminés avec
1145. 45:54des objectifs précis
1146. 45:56ces leçons des infiltrations dans la
1147. 45:58durée elles durent des semaines ou des
1148. 46:00mois
1149. 46:01il peut s'écouler plusieurs mois entre
1150. 46:03la brèche de sécurité initial
1151. 46:07l'infiltration initial et le moment où
1152. 46:09il attaque est réellement déclenché le
1153. 46:14but pour l'attaquant étant de rester
1154. 46:15inaperçu le plus longtemps possible
1155. 46:17ces attaques combine des techniques
1156. 46:20sophistiquées donc les failles des
1157. 46:22failles zero d un autre opérateur des
1158. 46:24correctifs dont appliquée l'ingénierie
1159. 46:26sociale le hameçonnage y compris
1160. 46:28l'hameçonnage ciblé le spear phishing et
1161. 46:31elles sont menées avec des moyens
1162. 46:32importants elles peuvent être l'oeuvre
1163. 46:34des cas nation être financé par des
1164. 46:37services secrets de différents états
1165. 46:38elles peuvent être également l'oeuvre du
1166. 46:40crime organisé
1167. 46:42ils peuvent être à
1168. 46:44organisant un but d'espionnage
1169. 46:46industriel par des organisations
1170. 46:48terroristes etc
1171. 46:53voici des données qui se trouvent dans
1172. 46:55libé m data breach report 2020 selon ibm
1173. 46:59la durée moyenne pour identifier et
1174. 47:01contenir un vol de données et de 280
1175. 47:03jours environ 200 jours pour la
1176. 47:06détection et 80 jours pour son
1177. 47:07confinement le coût moyen d'un vol de
1178. 47:10données et de 3,8 millions de dollars
1179. 47:12américains en moyenne au niveau mondial
1180. 47:15mais proche du neuf millions de dollars
1181. 47:17par attac aux états unis et 52 % des
1182. 47:21vols de données sont causés par des
1183. 47:22attaques malveillantes dont 13% des
1184. 47:25attaques malveillantes sont dus à des
1185. 47:26états haché