Cette semaine dans la cybersécurité : 8-12 juillet

1. Deux logiciels espions sur Google Play avec 1,5 million d'utilisateurs envoient des données à la Chine - 8 juillet

Deux logiciels espions malveillants se sont déguisés en applications de récupération de fichiers et de données et en applications de gestion de fichiers sur le Google Play Store. Ces applications malveillantes envoient les données confidentielles des utilisateurs vers des serveurs chinois dangereux. La vie privée de plus de 1,5 million d'utilisateurs d'Android est potentiellement exposée à leur insu. Sur le Play Store, ces applications indiquent qu'aucune donnée personnelle n'est enregistrée. Cependant, les listes de contacts, divers types de fichiers multimédias, la localisation actuelle, le code du pays de résidence, les coordonnées du fournisseur de réseau (y compris celles de la carte SIM), le système d'exploitation actuel, la marque et le modèle de l'appareil sont tous collectés. Grâce aux tactiques trompeuses des attaquants, ces applications semblent légitimes et il est difficile pour l'utilisateur de les supprimer de son appareil. En outre, les applications peuvent disparaître de l'écran d'accueil de l'appareil infecté, laissant certains utilisateurs perplexes. Avec l'utilisation d'un émulateur pour imiter des applications réelles et fiables, des centaines de transferts de données et d'autres actes préjudiciables se produisent en coulisses.

Les applications malveillantes sont actuellement supprimées du Google Play Store. Il est conseillé aux utilisateurs d'être très attentifs lorsqu'ils téléchargent des applications, de lire les évaluations des applications et de prendre connaissance des autorisations avant de continuer. Les organisations doivent être prudentes et conscientes et éduquer leurs employés sur l'activité des menaces mobiles et sur la manière de les détecter.
(Source : TheHackerNews)

2. Les données de 11 millions de patients ont été volées lors de la violation de HCA Healthcare - 10 juillet

Des informations sensibles sur plus de 11 millions de patients de HCA ont été dérobées. HCA est l'un des plus grands fournisseurs de soins de santé aux États-Unis, avec 180 hôpitaux et 2 300 établissements de santé. La violation s'est produite à partir d'un emplacement de stockage externe destiné à automatiser et à formater des courriels. La base de données violée contient 27 millions de lignes de données, dont 11 millions concernent des patients de HCA. Des informations confidentielles sérieuses telles que les noms, adresses, courriels, numéros de téléphone, informations cliniques, numéros de carte et de compte, permis de conduire, numéro de sécurité sociale, etc. des patients ont été divulguées.

Les patients situés dans les États suivants ont été touchés : Alaska, Californie, Colorado, Floride, Géorgie, Idaho, Indiana, Kansas, Kentucky, Louisiane, Missouri, Mississippi, Nevada, New Hampshire, Caroline du Nord, Caroline du Sud, Tennessee, Texas, Utah et Virginie.

DataBreaches.net a annoncé la violation après avoir identifié l'attaquant, qui a mis en vente des photos de données de patients volées sur une chaîne clandestine. L'attaquant a donné au prestataire de soins de santé jusqu'au 10 juillet pour se conformer à ses désirs. Après communication, le prestataire a découvert que la violation s'était produite le 4 juillet par le biais de son système de formatage automatisé des courriels.
(Source : SCMagazine)

3. Revolut fait face à une perte de 20 millions de dollars suite à l'exploitation par des pirates de la faiblesse de son système de paiement - 10 juillet

Début 2022, la société de technologie financière Revolut a découvert une faille dans son système de paiement. Cette faille a permis à des attaquants de s'emparer de plus de 20 millions de dollars des fonds de la société. Le manque de cohérence entre les systèmes financiers américain et européen en est la cause et n'a été détecté qu'à la fin de l'année 2021. Revolut a essayé de corriger rapidement le problème et de rembourser l'argent volé. Mais avant de le faire, le groupe d'attaquants avait une autre stratégie à mettre en œuvre. Ils ont communiqué avec des personnes pour leur dire qu'elles avaient fait des achats coûteux et que leurs paiements n'auraient pas été effectués. Au lieu de cela, l'argent remboursé a été à nouveau volé, cette fois par l'intermédiaire de distributeurs automatiques de billets. Au total, 23 millions de dollars ont été saisis, ce qui représente une perte nette d'environ 20 millions de dollars.

La nouvelle est apparue cette semaine avec l'arrestation d'un membre haut placé du groupe de pirates informatiques français OPERA1ER. Ce groupe est reconnu pour ses attaques contre des organisations financières et des plateformes bancaires en ligne en utilisant différentes techniques.
(Source : TheHackerNews)

4. Une RCE critique a été découverte dans la bibliothèque PDF Open-Source Ghostscript - 12 juillet

CVE-2023-3664, une faille d'exécution de code à distance de sévérité critique, avec une note de 9.8. Ce code d'exécution affecte toutes les versions de Ghostscript, à l'exception de la plus récente, qui a été publiée il y a moins d'un mois. Une fois le fichier malveillant ouvert, Ghostscript, un langage PostScript open source populaire et un interpréteur PDF, exécute le code. Le problème a été géré par la fonction "gp_file_name_reduce()" de Ghostscript, qui nettoie les différentes références de chemin, ce qui simplifie la procédure. Toutefois, si la procédure spécialement conçue est appliquée à une fonction vulnérable, le résultat est imprévisible, ce qui peut conduire à un contournement des méthodes de validation et, en fin de compte, à une utilisation abusive. Le logiciel utilise une autre fonction appelée "gp_validate_path" lorsqu'il tente d'ouvrir un fichier. L'objectif de cette fonction est de s'assurer que l'emplacement est sécurisé. Or, la fonction sensible peut modifier l'emplacement de manière à ce qu'il ne soit pas détecté lors de la vérification de la fonction.
(Source : BleepingComputer)

5. Des pirates chinois se sont introduits dans les messageries électroniques des gouvernements américain et européen grâce à un bug de Microsoft - 12 juillet

Le groupe d'attaquants Storm-0558 a profité d'une faille dans le service de messagerie en nuage de Microsoft. 24 entités, dont des agences gouvernementales américaines et européennes, sont la cible de Storm-0558. La vulnérabilité a été identifiée pour la première fois par le Federal Civilian Executive Branch (FCEB) après qu'il ait remarqué une activité alarmante dans son environnement Microsoft 365 cloud le mois dernier. Selon des analyses complémentaires, ce groupe opère délibérément dans 25 organisations depuis le mois de mai. Les objectifs du groupe sont l'accès aux informations d'identification, le vol de données et l'espionnage. Une attaque réussie a été menée en forgeant des jetons d'accès aux services du client de messagerie Outlook à l'aide d'une clé de signature du consommateur Microsoft. Microsoft et les agences gouvernementales ont collaboré pour identifier rapidement le danger et mettre en œuvre une solution. Les commentaires du ministre chinois des affaires étrangères selon lesquels les États-Unis ont subi des attaques malveillantes démontrent que les relations entre les nations sont toujours tendues, ce qui a un impact sur la vie privée et la sécurité de chacune d'entre elles.
(Source : TheRecord)

Il est essentiel d'être informé de tout ce qui touche à la cybernétique pour garder une longueur d'avance sur les attaquants, comprendre leurs stratagèmes et protéger votre vie privée. Chaque semaine, de nouvelles techniques informatiques apparaissent, que les attaquants du monde entier utilisent pour nuire aux organisations. Les cinq articles présentés ci-dessus ont fait surface dans l'industrie cette semaine en raison de leurs campagnes réussies et des dommages qu'elles ont causés. Le blog hebdomadaire Censys a pour but de tenir notre public au courant de ce qui se passe afin que nous puissions anticiper les prochaines étapes des attaquants.