Toute communication entrante peut constituer une menace pour une organisation et l’échange de fichiers n’y échappe pas. Les fichiers reçus de tiers peuvent contenir un code malveillant intégré dans un document inoffensif.
Les solutions de sécurité n’interagissent pas avec les menaces comme le ferait un être humain. C’est pourquoi certains types de logiciels malveillants échappent à la plupart des outils de sécurité comme les pièces jointes protégées par mot de passe, le quishing (hameçonnage par QR code) et les données cachées dans les images.
Voici quelques tips afin de rester protégé !
Les pièces jointes protégées par mot de passe
L’ironie des pièces jointes protégées par mot de passe est que, bien qu’elles soient destinées à renforcer la sécurité, la plupart des outils renoncent à les analyser car ils ne disposent pas des mots de passe nécessaires pour les ouvrir. Au lieu d’être analysées, elles sont reconnues comme des fichiers qui ne peuvent pas être ouverts et sont donc transmises par défaut au destinataire sans aucun contrôle interne.
L’ouverture de ce type de fichier représente un risque considérable. Il existe plusieurs moyens de contourner ce problème, mais le plus efficace et le plus pragmatique consiste à bloquer par défaut tous les fichiers protégés par mot de passe. Si un utilisateur attend un fichier de ce type provenant d’un contact de confiance, il peut alors l’autoriser manuellement, dans le cadre d’une procédure définie par l’organisation.
Il est contre-productif de déléguer cette tâche aux administrateurs système, déjà très sollicités. Exiger d’eux qu’ils collectent les mots de passe, ouvrent et analysent manuellement chaque fichier ralentit le flux de travail et accroît la charge opérationnelle.
La meilleure approche reste donc de former les utilisateurs à obtenir les mots de passe directement auprès d’expéditeurs fiables et à appliquer de bonnes pratiques de sécurité.
Le quishing ou hameçonnage par QR Code
Le quishing est une méthode de phishing qui exploite les QR codes. Le problème, c’est que les solutions de sécurité traditionnelles analysent les URL dans le corps des messages, mais rarement les images. Les cybercriminels profitent de l’automatisme avec lequel les utilisateurs scannent des QR codes (menus de restaurants, parcmètres, applications, etc.), souvent sans réfléchir.
Comment contourner cela ?
La première barrière de protection reste la vigilance des utilisateurs. Scannez uniquement les QR codes provenant de sources fiables. Scanner un code inconnu revient à cliquer sur un lien suspect, un réflexe que beaucoup d’utilisateurs ont appris à éviter dans les e-mails.
Ici, comme pour les fichiers protégés par mot de passe, la sensibilisation des utilisateurs est une stratégie clé pour atténuer les risques.
En ce qui concerne les approches techniques de vérification des QR codes, il faut utiliser une solution d’inspection approfondie du contenu. Ces solutions vont au-delà des mots et des phrases, et recherchent plutôt des ensembles d’objets pour aider à déterminer si le message est dangereux ou non.
Cela signifie qu’il faut examiner la structure du message et sa provenance.
Par exemple, un type de fichier peut être renommé en .txt, mais après une inspection plus approfondie, il s’avère être un fichier exécutable. Dans l’un des cas classiques originaux, le virus « Anna Kournikova » a exploité précisément cette faille. Les utilisateurs recevaient ce qui semblait être un fichier image (« AnnaKournikova.jpg.vbs »), mais en réalité, l’extension malveillante était ajoutée à la fin. Pour aggraver les choses, les premières versions d’Outlook ne pouvaient pas afficher le nom complet du fichier. Bien qu’il s’agisse de l’un des exemples les plus anciens, ce type de stratagème est, étonnamment, toujours utilisé aujourd’hui.
Dans d’autres cas, un fichier peut indiquer qu’il ne fait que 1 000 octets, mais après une inspection approfondie des paquets, il s’avère qu’il fait en réalité 3 000 octets. Quelque chose est caché ici, et ce n’est généralement pas bon signe.
Grâce à l’inspection approfondie du contenu, vous examinez chaque élément de l’e-mail à la recherche de comportements suspects.
- Expéditeur : l’expéditeur est-il valide ?
- Source : l’hôte d’envoi est-il un expéditeur légitime pour ce domaine ?
- URL : est-elle bonne ou mauvaise ? A-t-elle une bonne réputation ? Depuis combien de temps existe-t-elle ?
- Certificat : le certificat TLS est-il toujours valide ?
- Contenu du message : y a-t-il du contenu frauduleux ?
- Fichier joint : que contient-il ? Quelle est sa taille ?
Concernant les QR codes, ceux-ci sont examinés à l’aide de la reconnaissance optique de caractères (OCR) ou d’un autre code conçu à cet effet.
À partir de là, si le QR code contient une URL, l’ensemble du processus est répété. Si la réponse à l’une de ces questions est « non », le QR code est supprimé.
Voyons cela en action. Dans les deux fichiers de test suivants, un code QR contient le texte « confidentiel de l’entreprise » et l’autre une URL.
Exemple 1
Dans le premier exemple, la solution détecte le texte « Confidentiel » et bloque le message. Dans la réalité, au lieu de « Confidentiel », le QR code peut contenir une URL qui, une fois scannée par un téléphone, ouvrira un lien (malveillant) dans le navigateur de votre téléphone. Il peut également demander à votre téléphone d’appeler un numéro, qui pourrait être un numéro surtaxé qui augmentera votre facture mensuelle.
Exemple 2
Dans un autre scénario, un QR code piégé contenant une URL est neutralisé et nettoyé par la solution de notre éditeur Fortra, garantissant une image sûre.
Les données cachées dans les images
Cette menace, proche du quishing, repose sur la stéganographie, une technique qui consiste à dissimuler du code malveillant dans des images ou des vidéos. Si ce code reste invisible pour l’œil humain, il peut être activé pour exécuter des actions malveillantes ou récupérer des fichiers distants.
Des outils de stéganographie sont recommandés pour analyser ces images et rechercher des données inattendues dans la structure des fichiers. Dans les images, il existe des « poches » dans la structure des fichiers où les attaquants peuvent insérer du code malveillant. Les outils de stéganographie trouvent ces codes et les exposent.
Par exemple, vous pouvez avoir un fichier inoffensif qui semble ne rien faire, mais une fois extrait du fichier image (grâce au processus de stéganographie), il peut être utilisé comme une arme. Il peut s’agir d’un nouveau code ou d’une URL vers un fichier hébergé qui peut être récupéré et exécuté.
Lorsqu’une image infectée arrive, même si elle est seulement suspecte, les solutions de sécurité des e-mails effectuent ces étapes :
- Décomposition immédiate de l’e-mail,
- Enregistrement des données essentielles qui composent l’image,
- Élimination de toutes les données parasites ou suspectes,
- Reconstruction de l’image, le tout en moins d’une seconde.
En d’autres termes, la solution transforme le fichier pour créer une nouvelle version de l’image. Cela garantit que toutes les données « cachées » sont supprimées et que le destinataire reçoit des données propres.
Conclusion
Les cybermenaces modernes deviennent de plus en plus subtiles, échappant aux outils de sécurité traditionnels. Pour y faire face, il est essentiel de combiner formation des utilisateurs et technologies avancées.
Avec des outils comme l’inspection approfondie du contenu, la reconnaissance optique de caractère, la passerelle de messagerie sécurisée et l’analyse des paquets, vous renforcez la posture de sécurité de votre organisation et protégez les données échangées.
