GS Mag : Quel bilan faites-vous de l’activité cybercriminelle en 2010 ?
Guillaume Lovet : Vu sous l’angle de la lutte contre la cybercriminalité, l’année 2010 me semble avoir été marquée par deux tendances :
1. Plusieurs démantèlements spectaculaires de réseaux cybercriminels dans des pays "occidentaux" qui ont signé la convention contre le cybercrime du conseil de l’Europe. Par exemple Le gang du gigantesque botnet Mariposa (12 millions de machines) en Espagne. Ou plus récemment, une série d’arrestations de mules (des intermédiaires utilisés comme "passeurs" d’argent par les cybercriminels d’Europe de l’Est) aux Etats-Unis et au Royaume-Uni, responsables d’avoir transféré "à l’Est" plus de 70 millions de dollars.
2. Très peu d’arrestations de gangs dans les pays qui n’ont pas signé la convention (Russie, Chine, etc...). En particulier, le gang des "Rogue Antivirus" (qu’on appelle aussi les Scareware), qui gèrent un business qui rapporte $150 millions de dollars par an, probablement depuis l’Ukraine. Quand au gang qui distribue ZeuS (qui lui aussi embarqua, fut un temps, un module qui garantissait la non-infection des systèmes ukrainiens), son business est difficile à chiffrer, mais au prix où se vendent leurs kits ($800 à plus de $4000 pour les versions les plus avancées), je me fais aucun soucis pour leur retraite (annoncée après la fusion avec SpyEye).
Conclusion ? Le cyber rideau de fer entre l’Occident et l’Est, que j’évoquais déjà en 2007, ne vacille guère... Essayez pour vous en convaincre de transférer de l’argent sur un compte PayPal en Ukraine, ou de faire livrer un achat Amazon en Russie.
GS Mag : Quels ont été les cas d’attaques les plus marquants ?
Guillaume Lovet : Sans aucun conteste le cas Stuxnet fut le plus marquant ; assez curieusement, la presse généraliste française ne s’en est que très peu emparé - à l’inverse de la presse généraliste internationale. Pourtant, Stuxnet est bien le virus le plus sophistiqué de l’histoire ; qui plus est, pour la première fois, un virus est utilisé comme une arme de guerre pour détruire physiquement un objectif stratégique (en l’occurrence une centrale nucléaire).
GS Mag : De nouveaux types de codes malveillants ont-ils fait leur apparition ?
Guillaume Lovet : En 2010, les innovations furent principalement du côté :
– 1. Des Ransomwares :
A l’origine, un ransomware est un virus qui encrypte les données de l’utilisateur infecté, et réclame une rançon contre la clef de décryption. C’est vieux comme Hérode (dès 1999, une variante du fameux ver Melissa tentait déjà de le faire), mais c’est revenu à la mode en 2006 et 2008 avec GpCode, Cryzip, etc... Mais ceux-ci se contentaient d’encrypter les données. Or en 2010, nous avons vu l’émergence de ransomwares qui encryptaient carrément le boot sector, empêchant la machine de démarrer jusqu’à versement de la rançon.
D’autre part, les Scareware / Rogue AV sont devenus tellement agressifs, qu’en 2010 la nuance avec un Ransomware devient ténue : en pratique, tant qu’on n’a pas acheté le "Fake Antivirus", la machine est tellement truffée de pop-ups qu’elle devient inutilisable.
– 2. Des virus mobiles :
On assiste à une explosion des virus mobiles motivés par l’argent et l’espionnage - alors que quasiment aucune nouvelle famille de virus mobiles de type "annoyware" (c’est-à-dire de nuisances pures, sans autre but) n’est apparue depuis 2 ans.
Si la plupart viennent de Russie (33%) et de Chine (28%) et ne concernent pour l’instant que leur marché domestique (Russie et Chine donc), on a aussi vu l’apparition en Espagne d’un code malicieux sur mobile particulièrement sophistiqué (d’ailleurs probablement un simple prototype, pour l’instant) : Zitmo (par ailleurs découvert par Fortinet).
Acronyme de "ZeuS-in-the-Mobile", Zitmo est la partie "mobile" du fameux kit d’interception de coordonnées bancaires ZeuS. Il se coordonne avec ce dernier pour intercepter les SMS de confirmation envoyés par les banques lorsqu’un utilisateur initie une transaction financière en ligne. En termes techniques, Zitmo se joue donc de l’authentification à deux facteurs.
GS Mag : Quels sont les nouveaux modes de propagation des menaces ?
Guillaume Lovet : A ma connaissance, il n’y a pas eu de mode de propagation nouveau en 2010, au sens strict. Les vecteurs d’infection restent : le réseau (WiFi, filaire, Bluetooth, etc...) et le hardware (clef USB, CD, smartcard infectée...).
Au sens plus large, je pense que la dernière innovation (et encore, ça reste une propagation à base de social engineering, comme les bons vieux mass-mailing worms) en termes de propagation doit être Koobface, qui a maintenant investit quasiment tous les réseaux sociaux (Facebook, MySpace, hi5, Bebo, Friendster, Twitter, etc).
GS Mag : Quelles sont les nouvelles menaces qui devraient émerger en 2011 ?
Guillaume Lovet : La nébuleuse cybercriminelle étant régie par des lois parfois chaotiques, faire ce genre de prédiction n’a pas beaucoup d’intérêt. Par exemple, j’avais prédit l’avènement des botnets sur mobiles dès 2006, avec une explication détaillée et chiffrée du business model... 5 ans après, on commence à peine à voir émerger les premiers botnets sur mobiles. Donc...
Tout au plus peut-on insister sur les tendances de 2010 qui vont très certainement se renforcer en 2011 (ransomware, cybercrime kits à la ZeuS/SpyEye, monétisation des mobiles...), mais là aussi, cela ne présente que peu d’intérêt, car ce n’est guère risqué.
