Au printemps et à l’été 2021, des pirates informatiques sont entrés furtivement dans l’application logicielle de gestion des emplois propriétaire des Nations Unies (ONU), Umoja, accédant au réseau et prenant des données vitales à utiliser dans des attaques supplémentaires. « Les données extraites du réseau de l’ONU pourraient être utilisées pour cibler des entreprises au sein de l’ONU, et c’est potentiellement le cas actuellement » selon Stéphane Dujarric, porte-parole du Secrétaire général de l’ONU et détaillé dans ce rapport.
Ce n’est pas la première violation de l’ONU, en janvier 2020, les opérateurs derrière le malware bien connu Emotet ont pris l’objectif à l’ONU via une campagne de phishing avec l’intention de prendre les informations d’identification et de livrer le cheval de Troie TrickBot. Cette violation a finalement été attribuée à une faille de Microsoft SharePoint qui a entraîné la prise de 400 Go d’informations sensibles.
Possibilités d’amélioration à l’ONU
Manque d’authentification à deux facteurs
Le vol les qualifications dans la dernière attaque provenaient d’un compte sur l’application logicielle exclusive de gestion des tâches de l’ONU, Umoja. L’utilisateur du compte n’avait en fait pas autorisé l’authentification à deux facteurs (2FA), la référence en matière d’authentification, permettant aux pirates d’utiliser leurs qualifications pour accéder au logiciel et s’enfoncer plus profondément dans le réseau.
Mauvaise hygiène des mots de passe
Les pirates informatiques utilisent parfois la « Force brutale », un compte pour s’introduire. C’est là que les logiciels pirates tentent des millions de combinaisons de noms d’utilisateur et de mots de passe différents pour accéder aux comptes ciblés ; qui a pu être à l’origine de cette violation de l’ONU. Les attaques de force prendraient des années aux pirates informatiques pour cambrioler efficacement un compte qui respecte les normes de mot de passe CyberHoot et NIST 2017 d’avoir des mots de passe uniques de 14 caractères pour chaque compte que vous utilisez. Il est fort probable que le compte d’utilisateur violé avait une hygiène de mot de passe faible, permettant au pirate informatique de violer son compte. Rien n’indique si l’ONU utilise un superviseur de mot de passe, ce qui est vital pour la santé des mots de passe forts et une suggestion de base de CyberHoot pour tous les services à adopter.
Opportunités administratives
Le rapport a souligné que les pirates étaient à l’intérieur de leur systèmes pendant plusieurs mois (avril-août), ce qui a permis au pirate de se déplacer latéralement dans leurs systèmes. Le mouvement latéral des systèmes au sein de l’ONU peut avoir été réduit ou empêché en suivant le principe du moindre avantage. Ce concept aurait pu empêcher ce piratage avec les qualifications d’un seul utilisateur de l’ONU d’installer un logiciel de piratage supplémentaire lui permettant de se déplacer latéralement au sein du réseau de l’ONU. Il est également rapidement imaginable qu’une fois dedans, le pirate informatique puisse trouver d’autres points de défaillance à exploiter et que ce principe de moindre privilège n’ait pu que diminuer la progression du pirate informatique. Quoi qu’il en soit, CyberHoot aime l’idée de ralentir les pirates et de leur rendre la vie difficile.
Comment votre organisation peut-elle tirer des leçons de cet événement ?
Dans un premier temps, adoptez un gestionnaire de mots de passe (LastPass, 1Password ) pour conserver vos mots de passe et phrases secrètes. Il est nécessaire que vous adoptiez les normes NIST 2017 (spécial, non expirant, mot de passe/phrase de passe de 14 caractères) pour tous vos comptes. L’utilisation d’un mot de passe obsolète à 9 caractères vous expose à une menace considérable de compromission, similaire à l’utilisateur de l’ONU.
Deuxièmement, il est également essentiel que l’authentification à deux facteurs (2FA) soit activée sur tous les comptes possibles. Si le pirate informatique dépasse d’une manière ou d’une autre votre nom d’utilisateur et votre mot de passe, vous aurez votre 2FA établi pour envoyer un code à votre téléphone au moyen d’un texte ou d’une application d’authentification (LastPass, Google, Microsoft). Alors que les pirates peuvent forcer brutalement les mots de passe, ils ne peuvent pas accéder à votre téléphone portable (pas rapidement en tout cas) pour obtenir le 2ème élément requis pour l’authentification, protégeant éventuellement vos comptes qui l’utilisent contre la compromission.
Troisièmement, limiter l’accès des utilisateurs à et l’utilisation des opportunités administratives. Exiger de tous les utilisateurs qu’ils exploitent leurs environnements de bureau sans privilèges d’administrateur. L’élimination de l’accès administrateur des utilisateurs finaux peut empêcher les sites malveillants de configurer des applications logicielles avec des privilèges d’administrateur, les utilisateurs d’installer des applications logicielles potentiellement dangereuses ou boguées, et permet aux systèmes de fonctionner de manière plus fluide et plus efficace.
Quatrièmement, autorise uniquement les utilisateurs accéder aux informations nécessaires à leurs tâches quotidiennes. Si l’ONU avait suivi le principe du moindre privilège, elle aurait peut-être évité que quelques-unes des informations impliquées dans cette violation ne soient volées. Lorsque les contrôles de moindre avantage restent en place, seul un petit nombre d’utilisateurs de haut niveau (cadres dirigeants, partenaires, etc.) ont accès à la majorité des données d’une entreprise. Cela minimise considérablement la surface d’attaque permettant aux pirates de récupérer des informations.
PROTECTIONS SMB supplémentaires
En plus d’adopter les trois étapes ci-dessus, CyberHoot recommande les meilleures pratiques suivantes pour protéger les personnes et les services contre et limiter les dommages causés par les cyberattaques en ligne :
- Former les employés à trouver et à éviter les attaques de phishing par e-mail
- Test que les employés peuvent trouver et empêcher les e-mails de phishing
- Sauvegarder les informations à l’aide de la technique 3-2-1
- Effectuer une évaluation des menaces tous les deux à trois ans
- Travailler avec un responsable virtuel professionnel de la sécurité des détails (vCISO) pour encourager, guider et développer votre programme de cybersécurité à une fraction du coût d’embauche d’un membre du personnel de cybersécurité à temps plein.
Source :
Attaque par force brute – Terme Cybrary
Combien de temps pour diviser un mot de passe Statistiques
Un article de ThreatPost sur une violation de l’ONU
.
Toute l’actualité en temps réel, est sur L’Entrepreneur