Zaventem – le 15 février 2019 – Check Point® Software Technologies Ltd. (NASDAQ : CHKP), un des principaux fournisseurs de solutions de cybersécurité à l’échelle mondiale, a publié son dernier Global Threat Index pour janvier 2019. Cet indice de la menace mondiale révèle un nouveau cheval de Troie ouvrant une porte dérobée qui affecte les serveurs Linux, et qui distribue le cryptomineur XMRig. Le nouveau malware, surnommé SpeakUp, est capable de réaliser toute tâche de manipulation et de l’exécuter sur les machines infectées.

Le nouveau cheval de Troie échappe pour l’instant aux logiciels antivirus de l’ensemble des fournisseurs de sécurité. Il s’est propagé par l’intermédiaire d’une série d’exploitations basées sur des commandes qu’il reçoit de son centre de contrôle, y compris la 8e vulnérabilité la plus exploitée, l’« injection de commande via HTTP ». Les spécialistes de Check Point voient en SpeakUp une menace significative, car il peut être utilisé pour télécharger et diffuser tout logiciel malveillant.

En janvier, les 4 variantes de maliciels les plus répandues étaient des cryptomineurs. Coinhive conserve sa place de maliciel numéro un, impactant 12 % des organisations dans le monde entier. XMRig a une fois encore été le deuxième logiciel malveillant le plus répandu, avec un impact mondial de 8 %. Il est suivi par Cryptoloot miner, qui affecte 6 % des organisations à travers le monde. Bien que l’on dénombre quatre cryptomineurs dans l’indice de janvier, la moitié des formes de maliciels parmi les dix meilleurs classés peuvent être utilisées pour télécharger des maliciels supplémentaires sur les machines infectées.

Maya Horowitz, Threat Intelligence Group Manager chez Check Point, explique : « Si janvier n’a pas été le théâtre de changements fondamentaux en ce qui concerne les formes de logiciels malveillants ciblant les entreprises à travers le monde, nous voyons poindre de nouvelles manières de distribuer les logiciels malveillants. Ces menaces constituent un avertissement singulier quant à l’avènement de menaces plus grandes en devenir. Les portes dérobées comme SpeakUp peuvent échapper à toute détection et distribuer des maliciels supplémentaires, potentiellement plus dangereux, vers les machines affectées. Et parce que Linux est largement utilisé dans les serveurs d’entreprise, nous nous attendons à voir la menace constituée par SpeakUp gagner en intensité et en gravité au cours de l’année. »

Classement des 3 maliciels les plus recherchés en janvier 2019 :
*Les flèches désignent l’évolution du classement par rapport au mois précédent.

1. ↔ Coinhive – Cryptomineur conçu pour effectuer du minage en ligne de la cryptomonnaie Monero quand l’utilisateur visite une page Web, à son insu ou sans son consentement, et sans qu’il en bénéficie. Le JavaScript implanté utilise une bonne partie des ressources de calcul des machines des utilisateurs finaux pour miner de la monnaie, et est susceptible de faire planter le système.

2. ↔ XMRig – logiciel ouvert de minage d’unité centrale utilisé pour le processus de minage de la cryptomonnaie Monero, et découvert pour la première fois en mai 2017.

3. ↑ Cryptoloot – Cryptomineur qui utilise la puissance et les ressources existantes de l’unité centrale ou du processeur graphique de la victime pour cryptominer – en ajoutant des transactions à la chaîne de blocs et en libérant de nouvelles devises. Concurrent de Coinhive, il essaie de lui couper l’herbe sous le pied en demandant un pourcentage de revenus inférieur aux sites Web.

Hiddad, la porte dérobée modulaire pour Android qui accorde des privilèges à des logiciels malveillants téléchargés, a remplacé Triada en tête du classement des maliciels sur mobiles. Lotoor suit au second rang, tandis que Triada chute à la troisième place.

Classement des 3 maliciels mobiles les plus recherchés en janvier :

1. Hiddad – Porte dérobée modulaire pour Android qui accorde des privilèges de super-utilisateur aux maliciels téléchargés, permettant une intégration dans les processus du système.

2. Lotoor – Outil de piratage qui exploite des vulnérabilités du système d’exploitation Android afin d’acquérir des privilèges racines sur les périphériques mobiles affectés.

3. Triada – Porte dérobée modulaire pour Android qui accorde des privilèges de super-utilisateur aux maliciels téléchargés, permettant une intégration dans les processus du système. Une mystification des URL chargées dans le navigateur a également été observée avec Triada.

Les spécialistes de Check Point ont également analysé les cybervulnérabilités les plus exploitées. CVE-2017-7269 conserve sa première place, avec un impact global de 47 %. À quelques encablures à peine, Web Server Exposed Git Repository Information Disclosure occupe la deuxième place, et OpenSSL TLS DTLS Heartbeat Information Disclosure prend la troisième position, impactant respectivement 46 % et 45 % des organisations du monde entier.

Classement des 3 vulnérabilités les plus exploitées en janvier :

1. ↔ Microsoft IIS WebDAV ScStoragePathFromUrl Buffer Overflow (CVE-2017-7269) – En envoyant une demande confectionnée sur un réseau à Microsoft Windows Server 2003 R2 via Microsoft Internet Information Services 6.0, un assaillant distant parvient à exécuter du code arbitraire ou à causer des situations de déni de service sur le serveur cible. L’attaque profite principalement d’une vulnérabilité de dépassement de tampon obtenue par validation incorrecte d’une en-tête longue dans une requête HTTP.

2. ↑ Web Server Exposed Git Repository Information Disclosure – Une vulnérabilité de divulgation d’information a été signalée dans les dépôts Git. L’exploitation fructueuse de cette faille est susceptible de permettre une divulgation accidentelle d’informations de compte.

3. ↓ OpenSSL TLS DTLS Heartbeat Information Disclosure (CVE-2014-0160 ; CVE-2014-0346) – Une vulnérabilité de divulgation d’information existe dans OpenSSL. Cette vulnérabilité est due à une erreur lors de la manipulation de paquets de pulsations TLS/DTLS. Un assaillant peut exploiter cette vulnérabilité pour divulguer des contenus de mémoire d’un client ou serveur connecté.

Le Global Threat Impact Index de Check Point et sa carte ThreatCloud Map exploitent les renseignements tirés du ThreatCloud de Check Point, le plus grand réseau collaboratif de lutte contre la cybercriminalité, qui produit des données de menace et des tendances d’attaques au départ d’un réseau mondial de détecteurs de menaces. La base de données ThreatCloud renferme plus de 250 millions d’adresses analysées en quête de bots, plus de 11 millions de signatures de logiciels malveillants et plus de 5,5 millions de sites Web infectés, et identifie des millions de types de logiciels malveillants quotidiennement.