Le mois international de la sensibilisation à la sécurité informatique Octobre est arrivé et, puisque vous lisez cet article, vous savez probablement déjà que ce n’est pas seulement le mois d’Halloween. Vous vous attendiez peut-être à des bonbons ? Cela vous surprendra, mais vous n’allez pas finir la lecture de cet article avec les poches pleines de sucreries.

1. Le côté obscur de la cybersécurité
Le côté obscur de la cyLe mois international de la sensibilisation à la sécurité informatique
Octobre est arrivé et, puisque vous lisez cet article, vous savez probablement déjà que ce n’est pas seulement
le mois d’Halloween. Vous vous attendiez peut-être à des bonbons ? Cela vous surprendra, mais vous n’allez
pas finir la lecture de cet article avec les poches pleines de sucreries.
Ce mois-ci, la chose la plus effrayante n’est pas la vague interminable de cosplays Harley Queens qui déferlera
dans nos rues le 31 octobre. En ce moment, les cyber-menaces ont atteint un tel niveau d’horreur qu’il serait
facile de croire que des forces surnaturelles en soient à l’origine. Ne serait-ce que la semaine dernière, plusieurs
millions d’objets connectés ont été transformés en zombies. Cette été, nous avions également mentionné les
cyber-goules et la peur qu’elles inspirent aux dirigeants des entreprises du monde entier. Et, si nous tendons
suffisamment l’oreille, nous serions peut-être en mesure d’entendre le click qui ouvre la voie… vers le côté
obscur de la cybersécurité. Il n’y a pas de fin à cette histoire de cyber-horreur.
Et ce n’est pas tout. Selon l’Institut National des Standards et Technologie (NIST), les web-surfeurs souffrent
aujourd’hui d’une condition surnommée la cyber-fatigue. Est-ce seulement une conséquence de leur cyber-
incompétence ? Ou est-ce plutôt un signe de l’échec des campagnes d’information au sujet de la cybersécurité
? Et, si à force de vouloir sensibiliser, le résultat inverse se produisait ? Peut-être est-il temps de recentrer le
débat. Arrêtons de voir la sécurité informatique uniquement comme un ensemble de contraintes.
Les campagnes en cybersécurité devraient au moins s’inspirer, à leur échelle, des campagnes publicitaires
d’Halloween. Malgré leur déploiement global, le message véhiculé pour la promotion de l’événement horrifique
de l’année tourne autours de plusieurs éléments, mais reste en essence le même.
La nuit des malwares-vivants : les APT frappent de nouveau
Bien que la nuit des morts-vivants se veut être un évènement ponctuel, beaucoup d’autres occasions pour se
déguiser se présentent dans l’année. Mais les masques ne sont pas réservés qu’aux humains. Pour les malwares,
chaque jour est Halloween.
Cette semaine, par exemple, Kaspersky a annoncé avoir détecté une nouvelle menace persistante avancée,
surnommée StrongPity. Cet APT est parvenu à rester caché jusqu’à présent en exploitant seulement des
vulnérabilités 0-day à l’aide d’une approche modulaire (lire notre article à propos du Projet Sauron). Mais,
récemment, ses créateurs ont décidé qu’il était temps de lui trouver un déguisement. À leurs yeux, les
applications WinRAR et TrueCrypt semblent remplir cette fonction.
NDLR : WinRAR est un outil de compression des données pour Windows, qui chiffre les fichiers à l’aide de
l’algorithme AES-256. TrueCrypt est un outil dont on se sert pour le chiffrement intégral de disque dur, il n’a
pas été mis à jour depuis 2014. Ces deux applications gratuites sont largement utilisées par les utilisateurs
concernés par la protection de leurs données personnelles. Ce n’est un secret pour personne : les cybercriminels
adorent se mêler de la vie privée des autres.
Qu’est-ce que ce changement de cible signifie pour StrongPity ? Tout d’abord, cela implique une déviation du
plan de chasse initial. StrongPity ne poursuit plus activement sa prochaine victime, mais attend plutôt qu’elle

2. Êtes vous plutôt prédateur ou plutôt proie ?
Confrontés à cette réalité, les experts se voient jouer le rôle de Van Helsing dans le film homonyme. Leur
mission ? Vous protéger contre les pirates-vampires. Mais cela ne veut pas dire que vous êtes complètement
perdus sans leur aide.
Ce mois-ci, pour rester à l’abri de la terreur du StrongPity, vous n’avez qu’une seule option : assurez vous à
chaque fois que vous téléchargez une application en ligne que cela vient d’un site légitime. En ayant cette
réflexion avant de télécharger, vous réduisez au minimum les risques d’infection. Après, effectivement, vous
n’êtes pas à 100% immunisés. Ce qu’il resterait à faire est de vérifier la signature digitale du logiciel installé.
Vous trouverez ici un article très utile sur ce sujet, qui vous explique comment évaluer l’intégrité de vos
téléchargements.
Comme ceci n’est pas une tache facile pour les utilisateurs non-initiés à cette technique, les campagnes de
sensibilisation d’aujourd’hui militent pour un message plus simple, mais toutefois très efficace. « Arrêtez-vous.
Réfléchissez. Connectez-vous » est un slogan qui pourrait tout à fait vous empêcher de tomber dans le piège
d’un programme qui sort ses crocs. Se montrer sceptique peut se révéler parfois être une technique de survie
parfaitement justifiée, sans toutefois céder à la paranoïa. Après tout, vous n’ouvrez pas la porte à n’importe qui
pour Halloween.
À la place d’une conclusion, nous nous sommes permis de recueillir pour vous quelques sources utiles afin de
vous prémunir contre les cyber-horreurs :
1. Protégez vos sacs de bonbons avec des mots de passe puissants :
https://www.reveelium.com/en/yahacking-the-last-straw/
https://www.reveelium.com/en/cyber-hygiene-social-networks/
https://www.reveelium.com/en/fbios-rabbit-hole/
2. N’acceptez pas bonbons de la part de n’importe qui, ceci pourrait être un piège :
https://www.reveelium.com/en/target-human-behind-machine/
https://www.reveelium.com/en/cybersecurity-during-the-summer/
https://www.reveelium.com/en/apple-and-its-vulnerabilities/
3. Méfiez-vous des services demandés par quelqu’un que vous ne connaissez pas, cela peut être un grand
méchant loup :
https://www.reveelium.com/en/avoid-data-hostage-situation/
https://www.reveelium.com/en/locky-data-hijackers-strike/
https://www.reveelium.com/en/can-hospitals-stay-cyber-healthy/
https://www.reveelium.com/en/banking-malware-siege/
4. Immunisez vos objets connectés contre les fantômes d’Internet :
https://www.reveelium.com/en/iot-rise-of-the-machines/
https://www.reveelium.com/en/iot-jeopardizes-business-security/
https://www.reveelium.com/en/ddos-attacks-the-cyber-boogeyman-part-i/

3. Comme la cybersécurité reste un sujet très vaste, vous comprendrez que nous ne pouvons pas tout couvrir à
chaque fois. En tant que tel, nous avons trouvé ici quelques ressources supplémentaires publiées par l’ANSSI,
un vrai régal pour tous ceux qui veulent aller au-delà des campagnes de sensibilisation et de métaphores
spirituelles. Et, pourquoi pas, devenir le prochain Helsing du numérique.
Liens :
https://www.reveelium.com/fr/dark-side-of-cybersecurity-awareness-month/
https://www.itrust.fr/le-côté-obscur-de-la-cybersécurité