comprendre les attaques man-in-the-browser - RSA
comprendre les attaques man-in-the-browser - RSA
comprendre les attaques man-in-the-browser - RSA
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
<strong>comprendre</strong> <strong>les</strong> <strong>attaques</strong><br />
<strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong><br />
analyse et réduction de ces menaces<br />
pour <strong>les</strong> <strong>in</strong>stitutions f<strong>in</strong>ancières<br />
Livre Blanc<br />
Contexte<br />
Les cybercrim<strong>in</strong>els utilisent des méthodes nouvel<strong>les</strong> et plus sophistiquées pour<br />
s’attaquer aux utilisateurs en ligne. Une des menaces en forte croissance déployées<br />
aujourd’hui est l’attaque troyenne « Man-<strong>in</strong>-<strong>the</strong>-Browser (MItB) ou “homme dans le<br />
navigateur”. Les <strong>attaques</strong> Man-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> font partie de l’évolution naturelle de la<br />
cybercrim<strong>in</strong>alité, évolution résultant d’une sécurité en ligne plus forte et d’une prise de<br />
conscience plus grande du grand public. La propagation des <strong>attaques</strong> Man-<strong>in</strong>-<strong>the</strong><strong>browser</strong><br />
est favorisée par <strong>les</strong> <strong>attaques</strong> de spear phish<strong>in</strong>g, la popularité de sites de<br />
réseaux sociaux et l’augmentation de l’<strong>in</strong>fection par téléchargement. L’année dernière, il<br />
y a eu une augmentation exponentielle du nombre de ces <strong>attaques</strong> contre des<br />
<strong>in</strong>stitutions f<strong>in</strong>ancières dont nombre de banques européennes et américa<strong>in</strong>es.<br />
PrésentatIon des attaqUes Man-In-<strong>the</strong>-Browser<br />
Une attaque « <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> » vise à <strong>in</strong>tercepter <strong>les</strong> données qui transitent sur un<br />
canal de communication sécurisé entre un utilisateur et une application en ligne. Un<br />
cheval de troie s’<strong>in</strong>cruste dans le navigateur de l’utilisateur et peut être programmé pour<br />
s’activer dès que cet utilisateur accède à des sites spécifiques, comme des sites de<br />
banque en ligne. Une fois activé, le cheval de troie « <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> » <strong>in</strong>tercepte et<br />
<strong>man</strong>ipule toute <strong>in</strong>formation communiquée en ligne et en temps réel par l’utilisateur.<br />
nombre de famil<strong>les</strong> de trojans (chevaux de troie) sont utilisées pour mener des <strong>attaques</strong><br />
MItB, on peut citer notamment Zeus/spyeye, UrLzone, silent Banker, s<strong>in</strong>owal et Gozi.<br />
Certa<strong>in</strong>s chevaux de troie MItB sont tellement avancés qu’ils rendent <strong>les</strong> fraudes encore<br />
plus aisées. Ils utilisent des fonctionnalités de programmation pour automatiser<br />
entièrement la procédure, de la contam<strong>in</strong>ation à l’encaissement. Les chevaux de troie<br />
MItB offrent de nombreuses autres capacités, dont :<br />
• Insertion de code HTML pour permettre l’affichage de pages sophistiquées d’<strong>in</strong>génierie<br />
sociale (i.e: <strong>in</strong>sertion d’un champ dans une page <strong>in</strong>vitant l’utilisateur à saisir le numéro<br />
et le code PIn de sa carte bancaire, en complément de son identifiant et mot de passe).<br />
• Fenêtres Pop-ups HTML ou JavaScript pour communiquer en temps réel avec la victime<br />
(i.e : de<strong>man</strong>dant à la victime d’entrer un « one-time-password » valide ou de divulguer<br />
<strong>les</strong> réponses à ses questions secrètes).<br />
• Interaction en temps réel de chevaux de Troie avec des bases de données de comptes<br />
de mu<strong>les</strong> pour faciliter le transfert automatique d’argent.
Le processus d’encaissement<br />
(ou cash out) via des<br />
comptes de mu<strong>les</strong> est devenu<br />
totalement automatisé.<br />
Certa<strong>in</strong>es versions du cheval<br />
de troie Zeus/spyeye, par<br />
exemple, sont construites<br />
avec des scripts qui<br />
<strong>in</strong>teragissent avec des outils<br />
de gestion de mu<strong>les</strong>. Chaque<br />
fois qu’une transaction MItB<br />
est tentée via une mach<strong>in</strong>e<br />
<strong>in</strong>fectée, le cheval de troie se<br />
met en relation avec l’outil de<br />
gestion de mule et tire le 1er<br />
numéro de compte de mule<br />
disponible pour recevoir <strong>les</strong><br />
fonds volés.<br />
Le chem<strong>in</strong>ement ou flux basique d’une attaque MItB est le suivant 1 :<br />
1. Un utilisateur est <strong>in</strong>fecté par un cheval de troie MItB<br />
2. Lorsque l’utilisateur démarre une session de banque en ligne, le cheval de troie se met<br />
en action et lance ses fonctionnalités MItB<br />
3. L’utilisateur effectue toutes <strong>les</strong> étapes d’au<strong>the</strong>ntification, y compris l’au<strong>the</strong>ntification à<br />
deux facteurs, si nécessaire. Le cheval de troie attend en silence une connexion réussie<br />
et/ou que l’utilisateur <strong>in</strong>itialise un transfert d’argent.<br />
4. Le cheval de troie <strong>man</strong>ipule <strong>les</strong> détails de la transaction (exemple le bénéficiaire et le<br />
montant du transfert). Le compte du bénéficiaire légitime est remplacé par un compte<br />
de mule du fraudeur.<br />
5. Le cheval de troie ma<strong>in</strong>tien une vue en apparence légitime de la transaction en utilisant<br />
des techniques d’<strong>in</strong>génierie sociale. Il affiche de fausses pages htML à l’utilisateur,<br />
montrant <strong>les</strong> détails de la transaction 2 legitime (telle que saisie par l’utilisateur). si une<br />
au<strong>the</strong>ntification supplémentaire est nécessaire pour term<strong>in</strong>er la transaction, le cheval<br />
de troie peut <strong>in</strong>teragir avec l’utilisateur pour qu’il saisisse en temps réel <strong>les</strong><br />
<strong>in</strong>formations pour la méthode d’au<strong>the</strong>ntification exigée par son <strong>in</strong>stitution f<strong>in</strong>ancière.<br />
Ce qui rend <strong>les</strong> <strong>attaques</strong> MItB diffici<strong>les</strong> à détecter du coté serveur de la banque est que<br />
toutes <strong>les</strong> actions menées semblent être effectuées depuis le navigateur de l’utilisateur<br />
légitime. Les caractéristiques tel<strong>les</strong> que langue w<strong>in</strong>dows et adresse IP semblent<br />
identiques aux données réel<strong>les</strong> de l’utilisateur. Ceci crée un vrai défit : comment<br />
dist<strong>in</strong>guer <strong>les</strong> transactions au<strong>the</strong>ntiques des malveillantes.<br />
Taux d’InFecTIon exPonenTIeL<br />
aujourd’hui, l’accroissement dramatique du nombre d’<strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> (et la<br />
diffusion de logiciels malveillants en général) est favorisé par divers vecteurs dont le<br />
spear phish<strong>in</strong>g, l’augmentation des sites de réseaux sociaux, et l’<strong>in</strong>fection par<br />
téléchargement 3 .<br />
Le spear phish<strong>in</strong>g est un contributeur important dans la diffusion des <strong>attaques</strong> <strong>man</strong>-<strong>in</strong><strong>the</strong>-<strong>browser</strong>.<br />
Utilisant des techniques bien ficelées d’<strong>in</strong>génierie sociale, <strong>les</strong> crim<strong>in</strong>els<br />
lancent des campagnes sophistiquées de spear phish<strong>in</strong>g ciblant <strong>les</strong> clients de banque<br />
d’entreprise et des <strong>in</strong>dividus a haut potentiel f<strong>in</strong>ancier. La disponibilité sur <strong>in</strong>ternet de<br />
données sur <strong>les</strong> personnes, notamment sur des sites comme Facebook et L<strong>in</strong>kedIn,<br />
permet aux crim<strong>in</strong>els de recueillir assez d’<strong>in</strong>formations crédib<strong>les</strong> sur leurs cib<strong>les</strong> avant de<br />
leur envoyer des emails extrêmement crédib<strong>les</strong> et qui ont de fortes chances de générer<br />
une réponse. Le spear phish<strong>in</strong>g ne cible pas uniquement des consommateurs, il<br />
s’<strong>in</strong>téresse aussi aux employés dans l’entreprise. quarante-c<strong>in</strong>q pour cent des employés<br />
<strong>in</strong>diquent avoir reçu un email de phish<strong>in</strong>g au travail 4 .<br />
La popularité et le nombre important d’utilisateurs des réseaux sociaux ont aussi<br />
contribué à l’expansion des chevaux de troie et malware. Le trafic important et la portée<br />
mondiale de ces sites en ont fait une cible de choix pour <strong>les</strong> crim<strong>in</strong>els. aujourd’hui, 40 %<br />
des utilisateurs de réseaux sociaux ont subi une forme d’attaque 5 par malware.<br />
1 Ceci est une description générale d’<strong>attaques</strong> MItB. Il peut y avoir d’autres cas et scénarios, mais <strong>les</strong> étapes sont<br />
communes à la plupart des <strong>attaques</strong> MItB constatées par rsa. dans ce document, nous focalisons sur <strong>les</strong><br />
trojans automatiques dans la <strong>man</strong>ipulation des données d’une transaction générée par l’utilisateur légitime.<br />
2 Certa<strong>in</strong>s trojans sont programmés pour remplacer le champs “solde” du compte utilisateur, et afficher un solde<br />
exactement comme il devait être après la transaction légitime de l’utilisateur.<br />
3 Un programme qui est automatiquement téléchargé sur la mach<strong>in</strong>e de l’utilisateur sans son consentement ou<br />
connaissance. Le téléchargement peut avoir lieu sur simple visite d’un site web ou consultation d’un email.<br />
4 rsa 2011 workplace security report<br />
5 sophos security threat report 2011<br />
PaGe 2
sa a mené une étude<br />
approfondie exam<strong>in</strong>ant <strong>les</strong><br />
menaces MItB et le réseau<br />
de mu<strong>les</strong> qui <strong>les</strong> supportent.<br />
Parmi <strong>les</strong> <strong>in</strong>formations<br />
remontées de l’étude des<br />
opérations de gestion de<br />
mu<strong>les</strong>, on note:<br />
• age moyen d’une mule: 31<br />
• durée de vie moyenne d’un<br />
compte de mule : 3 jours<br />
(ceci reflète la moyenne entre<br />
la première et la dernière<br />
utilisation du compte, pas<br />
depuis quand la mule a été<br />
recrutée)<br />
• nombre moyen de tentatives<br />
de fraudes par compte de<br />
mule : 18<br />
• Montant moyen transféré via<br />
une mule: $3,980 pour la<br />
banque de détail<br />
enf<strong>in</strong>, la contam<strong>in</strong>ation par téléchargement caché (drive-by downloads ) aussi joué un<br />
rôle majeur dans la croissance des <strong>attaques</strong> MItB. Un drive-by downloads est <strong>in</strong>itialisé<br />
quand un utilisateur est redirigé vers un site spécifiquement créé par des crim<strong>in</strong>els af<strong>in</strong><br />
d’<strong>in</strong>fecter des utilisateurs – le plus souvent après avoir cliqué sur un lien dans un email.<br />
dans d’autres cas, <strong>les</strong> crim<strong>in</strong>els exploitent <strong>les</strong> vulnérabilités de sites légitimes pour y<br />
mettre du code malveillant qui redirige le trafic vers des po<strong>in</strong>ts d’<strong>in</strong>fection: l’utilisateur<br />
télécharge a<strong>in</strong>i un trojan, sans avoir une quelconque connaissance qu’il a été <strong>in</strong>fecté.<br />
aujourd’hui, environ 2 pages sur 1000 affichées aux utilisateurs dans <strong>les</strong> résultats des<br />
moteurs de recherche contiennent un drive-by downloads 6 .<br />
Le résultat f<strong>in</strong>al est la croissance exponentielle du nombre d’utilisateurs <strong>in</strong>fectés par une<br />
forme quelconque de malware. Le trojan bancaire le plus répandu est Zeus/spyeye<br />
impliqué dans 80% des <strong>attaques</strong> ciblant <strong>les</strong> <strong>in</strong>stitutions f<strong>in</strong>ancières au premier trimestre<br />
2011 7 . Cette famille de malware n’est pas seulement la plus largement diffusée, c’est<br />
aussi celle connue comme ayant <strong>les</strong> caractéristiques et fonctionnalités MItB <strong>les</strong> plus<br />
sophistiquées disponib<strong>les</strong> à la vente sur le marché souterra<strong>in</strong> des crim<strong>in</strong>els.<br />
MITB - caracTérISTIqueS eT FoncTIonnaLITéS<br />
Les capacités du <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> ont rejo<strong>in</strong>t le top des désirs de la plupart des<br />
crim<strong>in</strong>els. après la mise en oeuvre couronnée de succès de fonctionnalités MItB dans<br />
Zeus, d’autre trojans ont suivi la tendance notamment : Bugat, Clod, Gozi (v2, 2010),<br />
Lamp, Mimicker, Patcher, silent Banker, silon, spyeye, syscron, et UrLZone. tous ces<br />
trojans ont certa<strong>in</strong>es fonctionnalités MItB pour automatiser des transactions<br />
frauduleuses utilisant des scripts spécifiques. Ci-dessous un exemple de certa<strong>in</strong>es<br />
fonctionnalités MItB communes à nombre de famil<strong>les</strong> troyennes actives actuellement:<br />
Zeus/SpyEye<br />
Zeus/spyeye a la capacité d’identifier et <strong>in</strong>tercepter en temps réel <strong>les</strong> différents types de<br />
trafic Internet et est exploité pr<strong>in</strong>cipalement pour lancer des <strong>attaques</strong> automatisées, qui<br />
utilisent par exemple une série d’identifiants personnels de la victime et d’identifiants de<br />
ses périphériques. Zeus/spyeye facilite aussi le détournement <strong>man</strong>uel de la session<br />
active <strong>in</strong>ternet d’une victime. Pour réussir ceci, le crim<strong>in</strong>el a beso<strong>in</strong> que la victime soit<br />
présente en ligne et prête à fournir un otP valable selon la de<strong>man</strong>de.<br />
Pour entrer dans une session en cours, le crim<strong>in</strong>el doit jouer à la perfection le rôle de la<br />
victime. Il aura par exemple beso<strong>in</strong> d’accéder aux cookies de la victime. or <strong>les</strong> cookies<br />
httP ont une signature numérique propre associée af<strong>in</strong> qu’ils soient utilisab<strong>les</strong><br />
uniquement pour la personne prévue. mais comme un cookie ne peut pas être contrefait;<br />
<strong>les</strong> crim<strong>in</strong>els doivent <strong>les</strong> voler af<strong>in</strong> de pouvoir ensuite présenter le cookie nécessaire au<br />
serveur de la banque et a<strong>in</strong>si gagner l’accès à une session bancaire en ligne légitime.<br />
Par ailleurs, il n’est pas toujours possible d’<strong>in</strong>tercepter secrètement une session bancaire<br />
en cours; Zeus/spyeye offre donc des moyens pour pouvoir détourner l’attention de<br />
l’utilisateur : il propose a<strong>in</strong>si la fonctionnalité d’<strong>in</strong>jection de code htML , ce qui permet<br />
de présenter à l’utilisateur de faux messages contextuels, par exemple des messages de<br />
ma<strong>in</strong>tenance l’<strong>in</strong>for<strong>man</strong>t que la session a été temporairement suspendue.<br />
Une variante de spyeye, a même permis à un crim<strong>in</strong>el de supplanter la de<strong>man</strong>de de<br />
déconnexion de l’utilisateur légitime et a<strong>in</strong>si cont<strong>in</strong>uer la transaction en arrière-plan. en<br />
effet dès que l’utilisateur a soumis ses habilitations, le trojan spyeye a présenté une<br />
fausse page d’<strong>in</strong>formation <strong>in</strong>diquant à l’utilisateur que ses données de sécurité étaient<br />
en cours de vérification. La figure 1 montre le faux message affiché à l’utilisateur lui<br />
de<strong>man</strong>dant de pas fermer ou recharger la page, puisque en réalité le crim<strong>in</strong>el est<br />
toujours connecté sur à la même session et exécute un transfert d’argent frauduleux.<br />
6 Microsoft Intelligence report, Volume 9: 100<br />
7 rSa Fraudaction quarterly Trojan report, april 2011<br />
PaGe 3
Figure 1: exemple de fausse page qui<br />
pourrait être présentée à des<br />
utilisateurs <strong>in</strong>fectés au cours d’une<br />
attaque <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong><br />
SilentBanker<br />
Le trojan silentBanker offre de nombreuses fonctionnalités avancées MItB dont :<br />
• Scripts MITB qui <strong>in</strong>terceptent des données envoyées de la victime vers la banque<br />
• un capteur oTP qui peut <strong>in</strong>tercepter et voler des codes SMS, des numéro Tan<br />
(transaction authorisation number) et autres codes one-time password (otP) utilisés<br />
par <strong>les</strong> banques pour au<strong>the</strong>ntifier un transfert d’argent par un utilisateur.<br />
• Injections HTML loca<strong>les</strong> pour imiter <strong>les</strong> sistes web des s<strong>in</strong>titutions f<strong>in</strong>ancières ciblées;<br />
silentBanker utilise des <strong>in</strong>jections htML surtout pour obtenir des mots de passe otP.<br />
Généralement silentBanker attend qu’une victime se connecte avec succès au vrai site<br />
web de la banque, et là il <strong>in</strong>jecte un nouveau contenu htML dans la page. Les champs<br />
nouvellement <strong>in</strong>jectés <strong>in</strong>citent <strong>les</strong> victimes à divulguer des données sensib<strong>les</strong>, rarement<br />
de<strong>man</strong>dées par leur banque, comme le numéro de leur carte de paiement et leur PIn.<br />
URLzone<br />
UrLzone a la capacité d’<strong>in</strong>jecter un code dans une page web chargée dans le navigateur<br />
de l’utilisateur afon de lancer des <strong>attaques</strong> MItB. UrLzone utilise le détournement de<br />
session traditionnel pour voler <strong>les</strong> codes otP des clients af<strong>in</strong> de réaliser des transactions<br />
frauduleuses. Pour réussir une attaque MItB, UrLzone compte sur une variété de<br />
techniques d’<strong>in</strong>génierie sociale. en général, ceci est exécuté grâce à une autre <strong>in</strong>jection<br />
de code qui – après que l’utilisateur ait fournit un code otP valable – crée une page avec<br />
un faux message d’erreur (ex:, “nous ne sommes pas en mesure de term<strong>in</strong>er votre<br />
transaction actuellement. Merci de réessayer plus tard”).<br />
Gozi<br />
Une variante récente de Gozi est programmée pour voler de nombreux types de données;<br />
Gozi possède des <strong>in</strong>jections qui ont déjà réussi à voler des codes token sMs et des<br />
numéros tan. Il a également des scripts qui récupèrent 8 l’<strong>in</strong>formation complémentaire<br />
telle que limites quotidiennes de transfert et soldes de comptes chèque, épargne et carte<br />
de crédit.<br />
Les logs du trojan Gozi contenant <strong>les</strong> procédures de transactions automatisées montrent<br />
clairement que Gozi est préprogrammé pour déterm<strong>in</strong>er quel pourcentage du solde de<br />
compte peut être transféré à la fois. Pour déterm<strong>in</strong>er la somme à transférer, Gozi<br />
récupère d’abord le solde du compte courant. La figure 2 montre un enregistrement créé<br />
par Gozi lors de l’exécution des transferts automatisés d’argent. Le Log du trojan montre<br />
que Gozi prend le solde du compte et <strong>les</strong> limites quotidiennes de transfert et ensuite<br />
utilise le tan pour f<strong>in</strong>ir le transfert.<br />
8 Le data scrap<strong>in</strong>g (récupération de données) est utilisé par <strong>les</strong> trojans pour accéder au<br />
source code de la page, y localiser <strong>les</strong> données pert<strong>in</strong>entes et <strong>les</strong> envoyer au crim<strong>in</strong>el.<br />
PaGe 4
Figure 2: un log du Trojan gozi<br />
montrant un transfert de monnaie<br />
automatique MItB<br />
reduIre La Fraude exIge une SecurITé MuLTI-nIveaux<br />
après une <strong>in</strong>vestigation <strong>in</strong>tensive sur <strong>les</strong> trojans et logiciels malveillants, spécifiquement<br />
<strong>les</strong> <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong>, on peut tirer plusieurs conclusions :<br />
1. La protection lors du log<strong>in</strong> n’est pas suffisante pour arrêter <strong>les</strong> <strong>attaques</strong> MItB. Même si<br />
l’utilisateur légitime est connecté sur le compte, <strong>les</strong> trojans MItB sont capab<strong>les</strong> de faire<br />
des transferts d’argent de ce compte pendant la session bancaire de l’utilisateur.<br />
2. Les <strong>attaques</strong> MItB sont diffici<strong>les</strong> à détecter sans monitor<strong>in</strong>g et protection des<br />
transactions. Un trojan MItB peut détourner un poste utilisateur de sorte que n’importe<br />
quelle transaction malveillante exécutée apparaitra toujours comme provenant de<br />
l’utilisateur légitime. donc au-delà du suivi du poste et de l’adresse IP, de puissantes<br />
fonctionnalités de profilage comportemental sont <strong>in</strong>dispensab<strong>les</strong> à la détection MItB.<br />
3. Comme certa<strong>in</strong>s trojans utilisent des <strong>in</strong>jections htML pour de<strong>man</strong>der des habilitations<br />
nécessaires à une au<strong>the</strong>ntification additionnelle, l’au<strong>the</strong>ntification hors-bande est plus<br />
résistante au MItB car elle contourne le canal <strong>in</strong>ternet.<br />
4. Les recherches <strong>man</strong>uel<strong>les</strong> sur <strong>les</strong> fraudes MItB ne peuvent pas être efficaces. en effet<br />
un trojan peut être entièrement automatisé pour exécuter l’<strong>in</strong>tégralité du processus en<br />
temps réel – de l’<strong>in</strong>fection à l’encaissement. donc plus la fenêtre de temps pour<br />
valider le transfert de fonds est réduite, mo<strong>in</strong>s il y aura de temps pour exam<strong>in</strong>er<br />
<strong>man</strong>uellement ces cas de transfert. Il est donc <strong>in</strong>dispensable de mettre en œuvre une<br />
au<strong>the</strong>ntification additionnelle (de préférence une vraie au<strong>the</strong>ntification hors bande).<br />
5. L’<strong>in</strong>telligence est un élément important de la réduction de la fraude. Les comptes de<br />
mu<strong>les</strong> par exemple jouent un rôle majeur dans le processus d’encaissement. L’accès à<br />
l’<strong>in</strong>telligence fraude est cruciale au développement d’une solution efficace.<br />
Une approche de sécurité multi-niveaux –comb<strong>in</strong>ant un monitor<strong>in</strong>g de transaction selon<br />
le risque, la détection, l’arrêt et <strong>les</strong> services d’<strong>in</strong>telligence sur <strong>les</strong> <strong>attaques</strong> de trojans,<br />
a<strong>in</strong>si que des capacités hors bande– fournit solide défense contre <strong>les</strong> menaces <strong>man</strong>-<strong>in</strong><strong>the</strong>-<strong>browser</strong>.<br />
Les <strong>in</strong>stitutions f<strong>in</strong>ancières répondent au défi des <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-te<strong>browser</strong><br />
grâce aux solutions rsa suivantes:<br />
• Transaction Monitor<strong>in</strong>g: rsa ® transaction Monitor<strong>in</strong>g s’<strong>in</strong>téresse aux activités conduites<br />
post-log<strong>in</strong> af<strong>in</strong> de détecter un comportement <strong>in</strong>habituel qui pourrait <strong>in</strong>diquer une<br />
tentative de fraude ou une activité de trojan. La solution fonctionne avec n’importe<br />
quelle au<strong>the</strong>ntification forte existante et peut être déployée de <strong>man</strong>ière totalement<br />
<strong>in</strong>visible pour l’utilisateur f<strong>in</strong>al. Par ailleurs, rsa transaction Monitor<strong>in</strong>g offre des<br />
PaGe 5
fonctions avancées pour identifier un comportement de trojan, par exemple détecter un<br />
détournement <strong>man</strong>uel de session, des comptes de mu<strong>les</strong> et des <strong>in</strong>jections htML.<br />
• Trojan : Détection, Shutdown et Intelligence: rsa ® Fraudaction anti-trojan service a<br />
pour but de réduire l’impact des trojans à travers l’iedntification et le shutdown des<br />
po<strong>in</strong>ts d’<strong>in</strong>fection trouvés et le blocage des ressources utilisées par le trojan pour<br />
communiquer (c’est a dire: serveur drop, serveurs de Com<strong>man</strong>d & Control). en<br />
complément le service essaye d’extraire <strong>les</strong> habilitations volées et <strong>les</strong> <strong>in</strong>formations sur<br />
<strong>les</strong> comptes de mu<strong>les</strong> ouverts pour recevoir <strong>les</strong> transferts d’argent frauduleux.<br />
• <strong>RSA</strong> eFraudNetwork: rsa ® adaptive au<strong>the</strong>ntication et rsa transaction Monitor<strong>in</strong>g<br />
exploitent des <strong>in</strong>formations sur <strong>les</strong> modè<strong>les</strong> de fraude contenues dans le référentiel de<br />
données rsa ® eFraudnetwork . L’eFraudnetwork est alimenté de données sur la fraude<br />
fournies par un vaste réseau de clients, utilisateurs f<strong>in</strong>aux, IsPs, et autres parties<br />
tierces. régulièrement, <strong>les</strong> analystes du rSa anti-Fraud com<strong>man</strong>d center apportent de<br />
nombreues contributions d’<strong>in</strong>telligence sur la cybercrim<strong>in</strong>alité.<br />
• Au<strong>the</strong>ntification Hors-bande: rsa offre une au<strong>the</strong>ntification téléphonique hors-bande<br />
permettant aux utilisateurs d’entrer un one-time password sur le clavier de leur<br />
téléphone. L’autehntification hors-bande permet une puissante protection contre <strong>les</strong><br />
<strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> car elle sépare le processus d’au<strong>the</strong>ntification du canal<br />
web channel, le rendant a<strong>in</strong>si plus difficile à compromettre.<br />
Monitor<strong>in</strong>g de Transactions<br />
La protection de la connexion est essentielle, mais elle n’est pas suffisante car <strong>les</strong><br />
pirates ont développé une technologie capable de <strong>man</strong>ipuler <strong>les</strong> transactions après le<br />
log<strong>in</strong>. La protection de transaction se réfère à la capacité d’une organisation à surveiller<br />
et identifier <strong>les</strong> activités suspectes post-connexion – une capacité souvent associée à<br />
une solution de surveillance des fraudes basée sur le risque.<br />
La plupart du temps, <strong>les</strong> transactions exigent un examen plus approfondi, car el<strong>les</strong><br />
présentent un risque plus important que le simple fait de se connecter à un compte. Par<br />
exemple, un utilisateur non autorisé peut obtenir l’accès à un compte mais le risque<br />
majeur se produit si une transaction, par exemple un transfert de l’argent disponible sur<br />
le compte, est tentée. dans de tels cas, une solution de protection des transactions<br />
alertera <strong>les</strong> équipes de fraudes ou bien défiera <strong>les</strong> utilisateurs de <strong>man</strong>ière appropriée.<br />
rsa transaction Monitor<strong>in</strong>g s’appuie sur le moteur en auto-apprentissage rsa risk<br />
eng<strong>in</strong>e qui évalue en arrière plan, <strong>les</strong> risques pour tous <strong>les</strong> utilisateurs. La solution peut<br />
s’associer à n’importe quelle autre solution d’au<strong>the</strong>ntification existante et passer<br />
entièrement <strong>in</strong>aperçue aux yeux de l’utilisateur. Lorsqu’un utilisateur tente d’effectuer<br />
une transaction, le risque est évalué au niveau de chaque activité et un score unique est<br />
attribué. Lorsque ce score dépasse le seuil acceptable (déf<strong>in</strong>i par l’entreprise qui a<br />
déployé la solution) ou qu’une politique <strong>in</strong>terne n’est pas respectée, un <strong>in</strong>cident est<br />
ouvert dans l’outil rsa Case Manager. Cet outil permet la gestion et l’<strong>in</strong>vestigation<br />
complète de l’<strong>in</strong>cident avec une focalisation sur <strong>les</strong> transactions de risque le plus élevé.<br />
en cas de risque extrême ou lorsque le temps nécessaire à l’étude d’un <strong>in</strong>cident est<br />
<strong>in</strong>suffisant, l’utilisateur est challengé en avec un appel téléphonique hors bande en<br />
temps réel avant que la transaction soit menée à son terme.<br />
rsa transaction Monitor<strong>in</strong>g est aussi capable de détecter <strong>les</strong> tojans en réalisant des<br />
analyses comportementa<strong>les</strong> avancées. Les comportements habituels des utilisateurs sont<br />
passés au crible et lorsqu’un comportement s’écarte de ce modèle, le score de risque de<br />
cet utilisateur augmente. L’analyse des comportements utilisateurs, notamment <strong>les</strong><br />
activités de paiements qu’il effectué, est essentielle au niveau des transactions. Cela est<br />
particulièrement vrai pour le trojan Man-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong>, du fait qu’il patiente le temps<br />
qu’un utilisateur se connecte à son compte bancaire. Il n’<strong>in</strong>tervient qu’une fois la<br />
connexion établie.<br />
PaGe 6
au cours de la session, certa<strong>in</strong>s modè<strong>les</strong> peuvent révéler un comportement <strong>in</strong>habituel.<br />
Par exemple, l’ajout d’un nouveau bénéficiaire suivi d’un versement immédiat en sa<br />
faveur apporte la preuve d’un comportement atypique. Ce type d’activité est <strong>in</strong>détectable<br />
à la connexion. en outre, transaction Monitor<strong>in</strong>g offre davantage de fonctionnalités<br />
avancées pour détecter <strong>les</strong> trojans , comme la détection du piratage <strong>man</strong>uel de session,<br />
l’analyse des modè<strong>les</strong> comportementaux des trojans, la détection de compte mule et<br />
d’<strong>in</strong>sertion de code htML.<br />
Transaction Monitor<strong>in</strong>g repose également sur rSa®eFraudnetwork, un référentiel<br />
<strong>in</strong>ter-entreprise de modè<strong>les</strong> de fraudes détectées et remontées par le large réseau rsa<br />
de clients, IsP et autres parries tierces contributeurs de communauté à travers le<br />
monde. Lorsqu’une activité est identifiée comme comportant un risque élevé, <strong>les</strong><br />
données de la fraude, le profil de la transaction, l’adresse IP et <strong>les</strong> empre<strong>in</strong>tes<br />
numériques du périphérique sont transférés à un référentiel de données partagé.<br />
Le réseau eFraudnetwork alimente directement en données de fraude le système<br />
transaction Monitor<strong>in</strong>g et se révèle l’une des nombreuses sources utilisées dans<br />
l’affectation d’un score de risque. Il comprend également des données sur <strong>les</strong> comptes<br />
mule provenant du service rSa Fraudaction anti-Trojan.<br />
Trojan : détection, shutdown et <strong>in</strong>telligence<br />
Le service rSa Fraudaction anti-Trojan, un élément essentiel de la solution rSa<br />
Fraudaction, se concentre sur l’atténuation de l’impact des <strong>attaques</strong> de chevaux de Troie.<br />
rsa s’est particulièrement <strong>in</strong>téressé aux <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> , <strong>les</strong> a analysées<br />
et a <strong>in</strong>tégré l’<strong>in</strong>telligence de leur concept dans le service rSa Fraudaction anti-Trojan.<br />
Une détection, un blocage et un arrêt précoces, tels sont <strong>les</strong> éléments fondamentaux<br />
permettant de limiter l’impact d’un cheval de troie et d’atténuer <strong>les</strong> dommages<br />
occasionnés. toutefois, le fait de fermer ou de bloquer l’accès aux zones d’<strong>in</strong>fection, aux<br />
zones de mise à jour, aux sites de dépôt et aux messageries de diffusion, se révèle une<br />
procédure bien plus compliquée que prévu. de plus, <strong>les</strong> trojans constituent une menace<br />
plus complexe à traiter dans la mesure où des milliers de variantes de ces programmes<br />
crim<strong>in</strong>els existent.<br />
Grâce à son travail avec <strong>les</strong> pr<strong>in</strong>cipa<strong>les</strong> <strong>in</strong>stitutions f<strong>in</strong>ancières et à sa surveillance des<br />
nombreuses <strong>attaques</strong>, rSa a créé des liens avec certa<strong>in</strong>s des plus importants FaI et<br />
bureaux d’enregistrement de sites au monde. Le centre antifraude, rSa anti-Fraud<br />
Com<strong>man</strong>d Center renforce ces liens de <strong>man</strong>ière à engager un processus 24x7 de<br />
cessation et d’abstention.<br />
Le laboratoire rSa Fraudaction research Lab renforce <strong>les</strong> po<strong>in</strong>ts forts et <strong>les</strong> services de<br />
rsa. Cette équipe de chercheurs chevronnés est dédiée à l’<strong>in</strong>vestigation et étude des<br />
derniers outils, technologies et tactiques utilisés par <strong>les</strong> cybercrim<strong>in</strong>els. Cette équipe a<br />
pour objet d’affronter <strong>les</strong> nouvel<strong>les</strong> menaces, comme <strong>les</strong> <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> et<br />
entend mettre au po<strong>in</strong>t <strong>les</strong> outils et <strong>les</strong> processus nécessaires pour <strong>les</strong> stopper dans <strong>les</strong><br />
plus brefs délais.<br />
Capacités hors-bande<br />
Les méthodes de communication hors bande (out-of-Band) constituent une arme<br />
puissante contre ces menaces sophistiquées, car el<strong>les</strong> contournent le canal de<br />
communication le plus souvent utilisé par <strong>les</strong> pirates, à savoir Internet. Cela se révèle<br />
tout particulièrement vrai dans le cas des <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong> lorsqu’un cheval<br />
de troie s’<strong>in</strong>stalle directement dans le navigateur de l’utilisateur. Les méthodes de<br />
communication hors bande utilisent par exemple le courrier postal, le téléphone, ou un<br />
message texte (aussi appelé sMs pour short Message service).<br />
Le module rsa adaptive au<strong>the</strong>ntication out-of-band Phone fournit aux utilisateurs un<br />
passecode à usage unique qui s’affiche dans leur navigateur web. Le système génère<br />
l’appel et compose automatiquement l’appel téléphonique. L’appel passe en revue <strong>les</strong><br />
PaGe 7
www.rsa.com<br />
détails de la transaction et <strong>in</strong>vite l’utilisateur à saisir sur le clavier de son téléphone, le<br />
passecode à usage unique affiché dans son navigateur web. Une fois le numéro saisi sur le<br />
téléphone, puis confirmé, la transaction se poursuit sans <strong>in</strong>terruption.<br />
Il s’agit là d’une « véritable » au<strong>the</strong>ntification hors bande, car le passcode est saisi sur le<br />
téléphone et non sur l’ord<strong>in</strong>ateur <strong>in</strong>fecté (comme cela est habituellement le cas lorsque<br />
le mot de passe est reçu via la messagerie électronique ou sMs).<br />
ConCLUsIon<br />
Les cybercrim<strong>in</strong>els n’ont de cesse de faire évoluer leurs outils et leurs tactiques pour<br />
contourner <strong>les</strong> défenses mises en place même par <strong>les</strong> <strong>in</strong>stitutions f<strong>in</strong>ancières <strong>les</strong> plus<br />
consciencieuses en matière de sécurité. de nos jours, <strong>les</strong> <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong><br />
constituent l’une des menaces <strong>les</strong> plus complexes ciblant <strong>les</strong> utilisateurs et affectant <strong>les</strong><br />
<strong>in</strong>stitutions f<strong>in</strong>ancières dans le monde entier. La protection de la connexion à elle seule<br />
ne peut suffire à <strong>les</strong> bloquer. Les <strong>in</strong>stitutions f<strong>in</strong>ancières entreprises doivent comb<strong>in</strong>er un<br />
monitor<strong>in</strong>g basé sur le risque des transactions, la détection, l’arrêt et l’<strong>in</strong>telligence sur<br />
<strong>les</strong> trojans, et des fonctionnalités hors bande pour une véritable sécurité multi-niveaux<br />
capable de réduire l’impact des <strong>attaques</strong> <strong>man</strong>-<strong>in</strong>-<strong>the</strong>-<strong>browser</strong>.<br />
A PRoPoS dE <strong>RSA</strong><br />
<strong>RSA</strong>, est le premier fournisseur de solutions sécurité, de gestion du risque et de la<br />
conformité pour l’accélération bus<strong>in</strong>ess. <strong>RSA</strong> contribue au succès des plus grandes<br />
entreprises mondia<strong>les</strong> en solutionnant leurs challenges de sécurité <strong>les</strong> plus<br />
complexes et sensib<strong>les</strong>. Ces défis comprennent notamment gérer le risque<br />
organisationnel, sécuriser l’accès mobile et la collaboration, prouver la conformité et<br />
sécuriser <strong>les</strong> environnements virtuels et Cloud.<br />
En comb<strong>in</strong>ant <strong>les</strong> contrô<strong>les</strong> métiers sensib<strong>les</strong> majeurs au niveau de la certification<br />
d’identité, du data Loss Prevention, du chiffrement et tokenization, de la protection<br />
contre la Fraude et du SIEM avec des capacités eGRC leaders de l’<strong>in</strong>dustrie a<strong>in</strong>si que<br />
des services efficaces de consult<strong>in</strong>g, <strong>RSA</strong> apporte la visibilité et la confiance à des<br />
millions d’identités utilisateurs, aux transactions qu’el<strong>les</strong> exécutent et aux données<br />
qu’el<strong>les</strong> génèrent.<br />
EMC 2 , EMC, <strong>RSA</strong>, et le logo <strong>RSA</strong> sont des marques déposées ou des marques d’EMC Corporation aux Etats Unis et<br />
autres pays. Toutes <strong>les</strong> autres marques citées sont la propriété de leurs détenteurs respectifs.<br />
©2010-2011 EMC Corporation. Tous drooits réservés. Publié aux USA.<br />
FR MITB wP 0611