Publié le 27-08-2005 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : CA Personal Firewall 2007 - Contrecarrez les intrus!

Le social Engineering
Quel est donc ce mot étrange ? Le S.E., son autre petit nom, correspond à l'étude d'une cible afin de la pirater. Le facteur humain est un des maillons " faible " de la sécurité informatique. Nous allons vous expliquer comment vous garder de ce genre de problème.

Facteur humain
" Le facteur humain est un des maillons de la sécurité informatique ". Cette phrase de Kevin Mitnick, papy du hacking, résume assez bien la situation actuelle. Les systèmes de sécurité sont de plus en plus perfectionnés à tel point que toute personne derrière un firewall se croit à l'abri d'intrusions dans son système. Malheureusement c'est loin d'être le cas.

Le social engineering ou encore ingénierie sociale en français permet de contourner tous ces dispositifs aussi stricts soient-ils. Cette méthode se base sur l'exploitation de l'abus de confiance et la volonté d'aider une personne pour lui faire exécuter n'importe quelle action qui permettra au pirate de s'introduire sur son ordinateur. Cela peut paraître à première vue dérisoire mais le nombre de personnes se laissant prendre au piège de " manipulateurs " est plus qu'affolant.

Les différentes techniques. Comment s'en protéger ?
La méthode de social engineering la plus courante sur Internet est bien évidemment la messagerie électronique. Il faut distinguer deux buts bien distincts dans le social engineering par mail : Faire exécuter un virus à la victime et/ou récupérer ses mots de passe. Il faut tout d'abord savoir une chose : le protocole SMTP permettant d'envoyer des courriers électronique n'est pas du tout sécurisé. Je veux dire par la que n'importe qui peut en quelque clics changer d'identité pour se faire passer pour quelqu'un à qui vous faites confiance tel que Microsoft, Hotmail, Caramail, …Voici un exemple de mail circulant sur Internet :

De : Administrateur@microsoft.com
Objet : URGENT
ALERTE !!! Une faille de sécurité majeure a été découverte dans Microsoft Windows 98/Me/2000/NT/XP. Merci de télécharger immédiatement le patch de sécurité en cliquant ici.

Lorsque la victime va cliquer sur le lien fourni dans le mel, il y a 100 % de chance qu'elle se retrouve à télécharger un virus ou un cheval de Troie. Pour ne plus tomber dans ce vulgaire piège, deux règles d'or : Ne jamais accorder sa confiance en se basant simplement sur l'adresse de l'expéditeur, il faut toujours vérifier les informations sur le site de la compagnie. Ne jamais ouvrir de pièces jointes sans l'avoir contrôlé avec un antivirus mis à jour. Dans tous les cas, un logiciel se télécharge sur le site officiel de l'auteur.

Pour récupérer le mot de passe d'une victime potentielle un pirate va encore se baser sur la confiance que l'utilisateur va avoir de l'émetteur. Différents messages provenant soi disant du service client de site de messagerie électronique essayent d'extirper les mot de passe. Dans les grands classiques on retrouve : " Vos informations ont été perdues pour la raison X. Merci de nous les communiquer a nouveau via le formulaire ci-joint " " Destruction des comptes inactifs, vous devez renvoyer ce formulaire rempli avant le xx/xx/xxxx sinon votre compte sera désactivé et tous vos messages seront détruits pour économiser de la place ". Si vous avez déjà répondu à un tel mel vous pouvez être sûr que vous avez donné le sourire à un pirate qui connaît maintenant votre mot de passe.

Votre fournisseur d'accès Internet ou votre service de messagerie ne vous demanderons jamais vos identifiants de même qu'aucun site de commerce électronique de vous demandera votre numéro de carte bleue par courrier électronique. Il est donc indispensable de refuser systématiquement ces messages.

Mais un pirate déterminé ne se limitera pas au mel et va tenter de convaincre sa cible via IRC, ou autres salons de discussion en ligne. Gardez toujours à l'esprit : Mettez à jour votre antivirus et faites lui confiance ! N'écoutez pas un étranger même si il vous flatte et qu'il vous promet les rencontres les plus folles.

Allô ?
Pirate : Bonjour Madame / Monsieur je suis Jean Dupont de l'INSEE auriez quelques minutes a m'accorder pour un sondage ?
Victime : Oui bien sur je vous écoute. (Sinon le pirate n'a qu'à insister, rappeler plus tard ou changer de victime tout simplement)
Pirate : Avez-vous des enfants ?
Série de questions sans intérêt
Pirate : Quel est le nom et l'adresse de votre banque préférée ?
La question passera sans problème au milieu de toutes les autres, le pirate continu avec d'autres questions sans intérêt et raccroche.

Nous avons des cas où le pirate va rappeler quelques jours plus tard, la même personne se faisant passer pour le responsable de la banque en question. Dans nos cas, le pirate avait pris soin de se renseigner sur le directeur de l'agence bancaire en question. Il va expliquer que la carte de la victime a été piratée et qu'il lui faut les informations secrètes de cette dernière. La solution est simple, appelez la dite banque pour avoir confirmation du piratage en question mais ne révélez jamais votre mot de passe à toutes personnes vous le demandant par téléphone.

Faux sites
Le faux site web d'une banque australienne, ANZ, a été fermé par la police d'Australienne et américaine début juillet 2003. Il aura fallut près de 4 mois pour couper du web ce site monté par des escrocs qui, par mel, incitait les clients de ANZ de réactiver leurs comptes en ligne. Le même courrier a également visé des clients de la Westpac bank, avec des E-mails semblables incitant les clients à rentrer leurs informations confidentielles. Même problème pour Sony. Le géant du multimédia a été victime en juillet derniers d'une escroquerie internet par courriers électroniques. Un faux mel avait été diffusé par un pirate. Il tentait de récupérer les informations privées des internautes inscrits sur le site Sonystyle.com. Sony avait encouragé ses clients à entrer en contact avec leurs banques dans la mesure où ils avaient acheté des articles via le site Sonystyle. Un piratage de numéro de C.B. pouvant être possible. Le social engineering est à prendre au sérieux. Selon la société d'analyse Gartner, le vol d'identité aux Etats-Unis a augmenté de 79 % au cours de l'année dernière. Un pourcentage énorme au vu du nombre d'arrestation pour ce genre de délit, soit seulement 700 escrocs arrêtés. Sept millions d'américains ont été victimes d'un vol d'identité de juin 2002 à juin 2003. Ces manipulations ont été baptisée en 2004 Phishing. (En savoir plus)

Les virii sociaux
Afin de se répandre aussi rapidement et aussi largement que possible, les virus ont exploité les dernières techniques d'ingénierie sociale, allant dans certains cas jusqu'à se faire passer pour des patchs de sécurité de Microsoft. Par exemple, le virus Gibe (W32/Gibe) exploite des techniques toujours plus ingénieuses pour inciter les utilisateurs à exécuter des codes malveillants sur leurs ordinateurs. Gibe se propageait dans un mel ayant pour objet 'Internet Security Update' et incluant le fichier 'Q216309.exe'. Le message expliquait aux utilisateurs que le fichier attaché était un patch de sécurité de Microsoft. Totalement faux. Les patchs sont sur microsoft.com

Bug iPhone: Il est à qui le kiki du coco ?

Un mari volage hurle à qui veut l´entendre que la photo de son kiki a été envoyée par erreur. Son iPhone a une faille irrévérencieuse.

La mafia Napolitaine investit dans le warez

Le DVD du film Gomorra déjà diffusé dans les rues et sur Internet. Cette production traite de la mafia italienne. La pieuvre serait derrière cette fuite.

Action policière contre le warez Français confirmée

Une quinzaine de personnes auraient été arrêtées, en début de semaine, dans une action judiciaire contre des contrefacteurs de films français.

Qui vole un film, vole un boeuf

La justice canadienne vient de condamner un pirate présumé de film. Il lui est reproché d'agir comme un voleur de bétail.

XBMC Atlantis version finale

Le media center XBMC Atlantis vient de sortir en version définitive. Un logiciel complet et gratuit d'une efficacité redoutable.

Wikipédia fermé en Allemagne durant trois jours

Un ancien correspondant des services secrets Est Allemand, aujourd'hui député, fait fermer le site Allemand Wikipédia.

La SPPF veut faire interdire le P2P

La Société Civile des Producteurs de Phonogrammes en France s´attaque à SourceForge, Shareaza, Vuze, Limewire et Morpheus.

Des services informatiques en flagrant délit de mascarade écologique

La première enquête annuelle sur l´informatique écologique menée par Extreme Networks et Data Integration révèle que seules 20 entreprises sur 100 évaluent la consommation électrique de leurs équipements informatiques.

IronKey permet la destruction de ses clés USB à distance

Le nouveau service d´administration IronKey bloque voire détruit les clés perdues, volées ou tout simplement entre de mauvaises mains.

Un important spammeur stoppé

L´hébergeur McColo fermé. Les publicités non sollicitées ont bizarrement baissé d´intensité depuis.

ActuSécu 21

Nouvelle édition d´ActuSécu 21 de chez XMCO. Au sommaire du numéro 21 Federal Trojan et ClickJacking.

Les réseaux informatiques du FMI et de la banque mondiale piraté

Découverte d´un code malveillant dans l´un des serveurs du Fonds monétaire international. La vilaine bestiole serait passée par une connexion entre le FMI et la Banque mondiale.

Logiciel de sécurité Process Revealer Free Edition

Logiciel de sécurité Process Revealer Free Edition. ll détecte les processus cachés dans votre ordinateur.

Exclusif : Rencontre avec un chasseur du web

Bases de données, informations sensibles, contenus bancaires. Les chasseurs de renseignements sur la toile prennent de plus en plus de pouvoir, au grand dam des internautes. Enquête et interview exclusive.

MISC 40

Comment prendre en considération l'aspect sécurité et comment adapter votre politique.

Piratage de votre compte Paypal. Là vous le faites exprès

Se faire pirate son compte Paypal ou eBay ne devrait plus être qu´une mauvaise histoire. Le géant de la vente sur Internet vient de mettre en place plusieurs outils qui piratent les mauvaises idées des escrocs.

Réagissez à ce contenu