Bloquez le phishing et réduisez l’exfiltration et les communications chiffrées

Jay KelleyResponsable senior du marketing produit | F5

Autrefois, les attaques de phishing et de spear phishing ne connaissaient une recrudescence qu’à certaines périodes de l’année, notamment à l’occasion de grandes fêtes comme Noël ou le Nouvel An chinois, de fêtes propices à la consommation comme la Saint-Valentin ou la fête des Lanternes en Chine, ou encore d’événements commerciaux comme le Black Friday ou le Cyber Monday aux États-Unis, le Boxing Day (26 ^décembre) au Royaume-Uni et dans les pays du Commonwealth, ou la Journée des célibataires (11 ^novembre) en Asie.

Les attaquants ont ensuite compris qu’ils pouvaient exploiter le FUD — la peur, l’incertitude et le doute — suscité par les catastrophes naturelles et d’origine humaine, les guerres, les maladies, les élections ou tout autre événement au cœur de l’actualité pour semer leurs graines malveillantes.

Au Royaume-Uni, l’Information Commissioner’s Office (ICO) a indiqué que l’hameçonnage était la principale cause des violations liées à la cybersécurité entre avril 2019 et mars 2020. L’Office of the Australian Information Commissioner (OAIC) a révélé que l’hameçonnage représentait 36 % de tous les cas qui lui avaient été signalés, se classant ainsi en tête de liste.

À cet égard, les attaques par phishing et spear phishing ont considérablement augmenté tout au long de l’année 2020, alimentées par la menace d’une pandémie mondiale, la mise en quarantaine ou le confinement de certains pays, l’obligation pour les salariés de travailler à domicile, et même des élections controversées aux États-Unis et dans d’autres pays. Même l’annonce de la disponibilité de vaccins contre la COVID-19 est exploitée pour inciter les personnes les plus méfiantes à ouvrir des e-mails provenant de sources inconnues — voire de sources connues dont les comptes ont pu être compromis et détournés — afin de propager ensuite des logiciels malveillants et d’autres vecteurs d’attaque, de dérober des informations personnelles ou professionnelles, ou encore d’obtenir un accès illicite à des réseaux, clouds, applications et données sensibles.

L’une des raisons les plus souvent avancées pour expliquer la récente explosion des attaques par hameçonnage réside dans les mesures de télétravail imposées à la suite de la pandémie de COVID-19. De nombreux salariés, prestataires et autres membres du personnel ont été contraints de travailler depuis leur domicile ou à distance, ce qui a rapidement attiré l’attention malveillante des cybercriminels. Ces derniers ont compris qu’il était fort probable que les personnes travaillant à distance subissent une pression accrue, relâchent leur vigilance et commencent à cliquer sur des liens dans pratiquement n’importe quel e-mail, même ceux qui, en temps normal, auraient éveillé leurs soupçons. Ils savent également que les télétravailleurs peuvent utiliser des appareils personnels dans le cadre d’une politique BYOD, lesquels ne disposent pas forcément des outils habituellement employés par les entreprises pour les protéger contre des attaques telles que l’hameçonnage. Les cybercriminels et les pirates informatiques estiment aussi que les personnes travaillant à domicile ne disposent peut-être pas d’une bande passante suffisante pour maintenir leurs logiciels de sécurité actifs ou à jour, et qu’elles risquent de les désactiver ou de ne pas installer leurs mises à jour. Et bien souvent, ils ont raison.

Hameçonnage et chiffrement

Face à l’augmentation rapide des attaques de phishing, le nombre de sites de phishing utilisant le chiffrement a progressé au même rythme. Selon le récent rapport 2020 de F5 Labs sur le phishing et la fraude, près de 72 % des liens de phishing redirigent les victimes vers des sites web chiffrés en HTTPS. Cela signifie que la grande majorité des sites de phishing malveillants semblent désormais être des sites web légitimes et fiables, capables de tromper facilement même les employés les plus avertis. Ces données ont également été corroborées par les recherches présentées dans d’autres rapports, notamment un rapport de Venafi qui a mis au jour des domaines suspects imitant des sites de vente au détail et utilisant des certificats valides pour donner une apparence légitime aux sites de phishing, entraînant le vol de données sensibles relatives aux comptes et aux paiements.

Et les sites web malveillants ne sont pas les seuls à exploiter le chiffrement TLS pour paraître convaincants et légitimes. C’est également le cas des destinations vers lesquelles les logiciels malveillants diffusés par des attaques de phishing envoient les données dérobées aux victimes et à leurs organisations ; ces destinations sont appelées zones de dépôt. Selon le rapport Phishing and Fraud Report 2020 de F5 Labs, la totalité — 100 % — des incidents impliquant des zones de dépôt sur lesquels le centre des opérations de sécurité (SOC) de F5 a enquêté en 2020 utilisaient le chiffrement TLS.

Détecter les menaces dans le trafic chiffré n’est pas chose facile

Il existe aujourd’hui de nombreuses solutions permettant de lutter contre le phishing sous différents angles. Certaines visent à former le personnel à reconnaître et à gérer les attaques de phishing afin d’en réduire le taux de réussite et l’efficacité. D’autres sont axées sur la sécurité de la messagerie et offrent une protection contre le spam, les logiciels malveillants, les pièces jointes malveillantes, les attaques par compromission de la messagerie professionnelle (BEC), et bien plus encore. Il existe également des services de gestion de la messagerie électronique des organisations. Certaines offres vont même jusqu’à faire transiter le trafic web d’une organisation par un proxy, à le reproduire ou à le simuler, puis à transmettre aux appareils locaux du code à exécuter ou une version simulée de la page web, dépourvue de tout code sous-jacent suspect ou potentiellement malveillant.

Bien que toutes ces solutions soient excellentes, le problème du traitement du trafic chiffré demeure. Si le trafic est chiffré, il doit être déchiffré avant de pouvoir être analysé afin d’y détecter des logiciels malveillants et d’autres codes dangereux. Cela vaut aussi bien pour le trafic chiffré entrant dans l’organisation lorsque des utilisateurs cliquent sur des liens malveillants susceptibles de contenir des logiciels malveillants dans des e-mails de phishing, téléchargent des pièces jointes contenant du code malveillant ou accèdent à des sites web malveillants qui semblent authentiques et inoffensifs parce qu’ils disposent du « bon » certificat de chiffrement, que pour le trafic chiffré sortant qui exfiltre des données volées vers une zone de dépôt chiffrée ou communique avec un serveur de commande et de contrôle (C2) afin d’obtenir de nouvelles instructions ou de nouveaux déclencheurs destinés à lancer encore davantage d’attaques.

De plus, cela ne tient même pas compte du fait que les réglementations gouvernementales en matière de protection de la vie privée, telles que le règlement général sur la protection des données (RGPD) dans l’Union européenne (UE), le California Consumer Privacy Act (CCPA), ou de nombreuses autres réglementations actuellement débattues dans des pays du monde entier, comportent généralement des dispositions interdisant le déchiffrement des informations personnelles des utilisateurs, comme leurs données financières ou de santé. Tout déchiffrement du trafic chiffré devrait respecter ces exigences en matière de confidentialité, sous peine d’exposer toute organisation qui enfreindrait ces réglementations à des poursuites judiciaires et à de lourdes amendes.

Mais attendez, ce n’est pas tout…

Cela étant dit, les attaques de phishing actuelles utilisant le chiffrement présentent d’autres aspects dont les organisations doivent avoir conscience. Le rapport 2020 de F5 Labs sur le phishing et la fraude a également révélé que plus de 55 % des zones de dépôt utilisent un port SSL / TLS non standard, tandis que plus de 98 % des sites web de phishing utilisent des ports standard, tels que le port 80 pour le trafic HTTP en clair et le port 443 pour le trafic chiffré. Cela signifie que, notamment pour le trafic chiffré sortant, il ne suffit pas d’analyser les ports standard. Les solutions déployées doivent analyser et déchiffrer le trafic sortant sur les ports non standard. Cette mesure est indispensable pour mettre fin à la dissimulation et à l’exfiltration de données critiques.

Aujourd’hui, pour contrer les menaces chiffrées véhiculées par les attaques de phishing, les entreprises doivent inspecter l’ensemble du trafic SSL / TLS entrant afin de détecter et de bloquer tout trafic web malveillant ou susceptible de provenir d’une tentative de phishing. Cette inspection doit toutefois permettre d’éviter intelligemment le déchiffrement du trafic chiffré contenant des informations sensibles sur les utilisateurs, telles que des données financières ou de santé. En outre, les entreprises doivent désormais bloquer purement et simplement, ou au minimum surveiller, les ports web sortants non standard afin d’empêcher les logiciels malveillants d’établir des communications chiffrées avec des serveurs C2 et des zones de dépôt, et ainsi prévenir l’exfiltration de données ou le déclenchement d’attaques. D’autres éléments essentiels doivent également être pris en compte, notamment le type de chiffrement pris en charge par les équipements de la chaîne de sécurité. Par exemple, si un attaquant sait qu’un équipement de sécurité donné ne prend pas en charge la confidentialité persistante (également appelée confidentialité persistante parfaite, ou PFS), il peut exploiter cette faiblesse afin que l’équipement laisse simplement passer le trafic chiffré. Cette situation est particulièrement coûteuse et dangereuse dans les environnements où les équipements de la chaîne de sécurité sont montés en série. Si l’équipement qui ne prend pas en charge la PFS laisse passer le trafic sans l’inspecter, tous les autres équipements de la chaîne feront de même.

Sans la mise en place de ces protections, en complément de formations de sensibilisation à la sécurité et de solutions de sécurité de la messagerie ou de lutte contre le phishing, les organisations s’exposent à des attaques, à des violations de données ainsi qu’au vol de données sensibles de l’entreprise et des utilisateurs.

Pour savoir comment F5 SSL Orchestrator peut éliminer l’angle mort de sécurité créé par le trafic chiffré et déjouer les techniques de dissimulation utilisées lors de l’exfiltration et du vol de données critiques, cliquez ici.

À propos de l’auteur

Jay KelleyResponsable senior du marketing produit | F5

Autres articles de Jay Kelley