Mantra.ms

Le prochain ransomware qui va infecter votre entreprise s’appelle-t-il…Microsoft ? On connait la tendance qu’ont les hackers à utiliser des outils légitimes pour propager leur attaques. Par exemple : - Dropbox pour envoyer des phishings 🎣 - TeamViewer pour se connecter & réaliser des actions à distance 🛜 - GoogleSheet pour exfiltrer de la donnée 📤 Et j’en passe. Les outils informatiques font partie de l’arsenal classique des hackers pour passer sous les radars. C’est maintenant au tour de BitLocker et ça va un cran plus loin, comme l’ont découvert des chercheurs de Kaspersky. Pour rappel BitLocker est un utilitaire créé/géré par Microsoft. Il a pour mission de chiffrer les données d’un PC d’un utilisateur dans le cas où, par exemple, cet ordinateur serait perdu ou volé. Et donc éviter que cette donnée ne tombe entre de mauvaises mains. Les hackers de “ShrinkLocker” ont réussi a le détourner. Voilà leur approche : 1️⃣ Pour commencer, ils infectent le PC de l’utilisateur avec leur malware (via du phishing, vulnérabilité, etc.) 2️⃣ Leur malware va ensuite désactiver les protections de base de BitLocker, et définir une clé de chiffrement. 3️⃣ Ils vont ensuite lancer BitLocker, qui va donc faire son travail, c’est à dire chiffrer tous les disques durs des PC infectés. 4️⃣ Et au redémarrage de la machine, un joli écran bleu vous attend donc : “*There are no more recovery options, please contact your administrator*” 🟦 Car l’attaquant a préalablement supprimé toutes les options de rétablissement (qui normalement permettent de revenir en arrière)… 5️⃣ c’est donc cette fois-ci impossible de rétablir le fonctionnement du PC. Et de retrouver ses données. Sauf bien sûr avec l’aide des hackers A diffuser ! PS : il n’y pas de recette miracle pour détecter cette attaque mais voici quelques recommandations, en commentaires 

Voilà comment les hackers exploitent actuellement Microsoft Teams pour vous phisher → Jamais en panne d’inspiration, les attaquants utilisent de plus en plus Teams pour délivrer toutes sortes de charges vers nos utilisateurs. La plateforme, prévue pour la collaboration, s’y prête parfaitement : - Usage & adoption importante en interne - Ouverture par défaut vers l’extérieur - Peu de couches de sécurité par rapport à l’email Voilà comment les hackers procèdent : 1️⃣ 𝗨𝘁𝗶𝗹𝗶𝘀𝗮𝘁𝗶𝗼𝗻 𝗱𝗲 𝗹𝗮 𝗰𝗼𝗻𝗻𝗲𝗰𝘁𝗶𝗼𝗻 𝗲𝘅𝘁𝗲𝗿𝗻𝗲 La configuration de base de Teams permet à une personne externe à l’entreprise de rentrer en contact avec n’importe quel collaborateur. Forcément les hackers ne vont pas se priver…en se faisant passer pour qui ils souhaitent... 2️⃣ 𝗖𝗼𝗻𝘁𝗼𝘂𝗿𝗻𝗲𝗺𝗲𝗻𝘁 𝗱𝗲𝘀 𝗺𝗲𝘀𝘀𝗮𝗴𝗲𝘀 𝗱'𝗮𝘃𝗲𝗿𝘁𝗶𝘀𝘀𝗲𝗺𝗲𝗻𝘁𝘀 En théorie, une personne de l’extérieur est identifiée comme telle et l’utilisateur en est averti. Mais, en pratique, il y a des moyens de contourner cette protection. Par exemple, si je créé un groupe de chat, puis que je sors la cible du groupe que j’ai moi même créé, alors la mention disparaît... et l'utilisateur n'y voit que du feu Bug ou feature? Je vous laisse choisir. 3️⃣ 𝗠𝗮𝗾𝘂𝗶𝗹𝗹𝗮𝗴𝗲 𝗱𝘂 𝗻𝗼𝗺 𝗱𝗲 𝗹’𝗶𝗻𝘁𝗲𝗿𝗹𝗼𝗰𝘂𝘁𝗲𝘂𝗿 L’attaquant peut aller plus loin pour renforcer sa crédibilité. Comme renommer le nom du groupe de chat, par exemple par “ support-it@company.com”. Ainsi le collaborateur pensera d'autant plus que le message vient de l’interne. 4️⃣ 𝗖𝗼𝗻𝘁𝗼𝘂𝗿𝗻𝗲𝗺𝗲𝗻𝘁 𝗱𝗲𝘀 𝗽𝗿𝗼𝘁𝗲𝗰𝘁𝗶𝗼𝗻𝘀 𝗮𝗻𝘁𝗶-𝘂𝗽𝗹𝗼𝗮𝗱 𝗱𝗲 𝗳𝗶𝗰𝗵𝗶𝗲𝗿 En théorie il n’est pas possible pour une personne extérieure à l’entreprise d’envoyer un fichier via Teams. En théorie, oui mais en pratique, non. Une méthode a été trouvée pour contourner cette protection. Elle consiste à héberger le fichier via un SharePoint et d’en modifier légèrement l’URL. Et voilà comment l’utilisateur se retrouve avec un malware prêt à télécharger via Teams 5️⃣ 𝗨𝘁𝗶𝗹𝗶𝘀𝗮𝘁𝗶𝗼𝗻 𝗱’𝗼𝘂𝘁𝗶𝗹𝘀 𝗼𝗽𝗲𝗻-𝘀𝗼𝘂𝗿𝗰𝗲 𝗽𝗼𝘂𝗿 𝗺𝗮𝘀𝘀𝗶𝗳𝗶𝗲𝗿 𝗹𝗲𝘀 𝗮𝘁𝘁𝗮𝗾𝘂𝗲𝘀 Compliqué à faire? Non. Des outils open-source existent pour massifier ces attaques, par exemple TeamPhisher. L'outil va énumérer tous les comptes Teams d’une société, tester s’il y a une ouverture sur l’extérieur et réaliser toutes les actions pré-citées automatiquement.    Voilà comment n’importe quel collaborateur peut se retrouver en contact avec un malware, via Teams. Activement utilisé actuellement - à diffuser auprès de vos équipes ! Dans un prochain post, je vous explique les actions de remédiations possibles contre ces attaques. cc Anouar Elaidi Crédits Video: BadAdoption