REPORTAGE  
New Security Magazine 173 – février 2025

Cybersécurité : Prévisions pour 2025

L’année 2024 a vu de nombreuses initiatives se concrétiser en matière de cybersécurité, comme la Convention des Nations Unies contre la cyberciminalité et la collaboration franco-britannique dans l’action Pall Mall pour lutter contre l’utilisation abusive de logiciels espions. Aux États-Unis, d’importantes lois ont été adoptees, dont l’AI Act, le Cyber Resilience Act (CRA), le Cyber Solidarity Act ainsi que la NIS2. Cette démarche se poursuit aujourd’hui avec de nouvelles stratégies et de nouveaux financements destinés à renforcer la cyberdéfense de l’Union. Aux États-Unis, une mise à jour de la National Cyber Security Strategy a permis d’introduire 100 initiatives destinées à renforcer la cyber-résilience. D’importantes actions, comme l’Executive Order on Maritime Cyber Security, sécurisent les ports et les navires. Le gouvernement australien a posé les bases d’une proposition de loi sur la cybersécurité, avec des mesures visant à résister aux paiements de rançons et à imposer une obligation de les signaler. Malgré tout, cette année, la situation reste préoccupante. Nul besoin d’être grand clerc pour constater que les cybermenaces continuent d’augmenter, tant en volume qu’en sophistication, en raison des avancées technologiques, de la vulnérabilité des systèmes d’IA générative, des tensions géopolitiques et des récompenses attrayantes pour les états et les dirigeants.

Ransomware

Dans le domaine des rançongiciels, RansomHub est devenu le premier groupe RaaS, en prenant la place du service LockBit qui avait été interrompu. Il devrait conserver longtemps cette position cette année. Le RaaS est toutefois un environnement cybercriminel hautement compétitif, au sein duquel les gangs imaginent souvent des innovations et des changements dans leurs programmes de partenariat pour tenter d’attirer plus de partenaires et de devenir plus rentables. Lorsque certains concurrents s’avèrent plus rentables, des partenaires habiles peuvent très bien ajuster leurs alliances.

Les EDR-killers sont fréquents dans les attaques de ransomware. Cette année, la plupart des acteurs de pointe amélioreront ce type d’outils, optimisant ainsi leur protection et les rendant plus difficiles à détecter. Cette tendance montre que les outils de sécurité tels que l’EDR sont une épine dans le pied des cybercriminels et qu’ils font tout ce qu’ils peuvent pour les supprimer ou les désactiver. La plupart des nouveaux venus qui tentent de se faire une place dans l’écosystème RaaS encoderont probablement leurs crypteurs en Rust ou Go, comme les groupes établis, afin de permettre une diffusion plus large sur toutes les plateformes avec un seul code.

IA

Pour l’IA, on prévoit un changement géopolitique et une éventuelle déréglementation des médias sociaux et des entreprises technologiques. Cela pourrait entraîner une baisse de la qualité du contenu, combinée à une augmentation rapide des campagnes de spam, de scam et de phishing générées par l’IA, une tendance déjà observée en 2024. Les contenus de mauvaise qualité générés par l’IA peuvent également servir d’appât pour les utilisateurs vulnérables des médias sociaux, qui peuvent alors être, d’une part, ciblés par des campagnes de désinformation et, d’autre part, manipulés pour devenir leurs « amplificateurs en ligne ». Cela pourrait rendre semi-automatiques les activités des troll farms et des content farms, actuellement utilisées par des états et des groupes hostiles.

On prévoit que les cybercriminels utiliseront les récents développements de petits modèles GPT open-source, en les entraînant sur des données provenant de comptes de médias sociaux détournés. Cela peut leur permettre d’imiter les styles de communication et de se faire passer pour des victimes dans diverses escroqueries, telles que les urgences familiales ou les escroqueries amoureuses, rendant ainsi ces activités frauduleuses encore plus convaincantes

Cette année a également été marquée par une augmentation des faux comptes ou des comptes dupliqués de célébrités et d’autres personnalités publiques sur les médias sociaux. Ces profils malveillants utilisent des vidéos deepfake ainsi que d’autres contenus générés par l’IA dans le but de paraître légitime et digne de confiance. En conséquence, l’importance des outils d’authentification, tels que les badges « vérifiés » sur les médias sociaux, ne cesse d’augmenter.

Infostealers

Une chose est certaine: en 2024, l’Operation Magnus a signifié la fin de RedLine Stealer. Bien que le créateur de RedLine n’ait pas encore été arrêté (aujourd’hui) et qu’il puisse théoriquement retenter sa chance, il est peu probable qu’il veuille relancer le logiciel malveillant, surtout après avoir été publiquement identifié et inculpé par la justice.

L’autre partie importante de l’opération RedLine – à savoir les entreprises affiliées – pourrait vouloir aller encore plus loin, dans la mesure où les forces de l’ordre disposent désormais d’une base de données avec leurs noms d’utilisateur et leur dernière adresse IP utilisée. Bien que cela soit insuffisant pour identifier les personnes qui se cachent derrière ces pseudonymes, ceux-ci sont désormais considérés comme « très importants pour la police ». Le vide juridique créé par le démantèlement de RedLine entraînera probablement une augmentation des activités d’autres infostealers MaaS.

Menaces mobiles

En 2024, ESET a analysé des attaques menées à l’aide d’un nouveau vecteur de compromission ciblant les appareils mobiles Android et iOS. Il utilise les Progressive Web Apps (PWA) et WebAPK pour contourner les mesures de sécurité traditionnelles et duper les utilisateurs dans le but d’installer des applications malveillantes qui volent les données bancaires. Ces applications imitent les interfaces bancaires légitimes, permettant aux cybercriminels d’obtenir des identifiants de connexion, des mots de passe et des codes d’authentification à deux facteurs, qui sont ensuite utilisés pour obtenir un accès illégal aux comptes des victimes.

Les cybercriminels continuant d’innover, l’utilisation des PWA et des WebAPK à des fins malveillantes ne va cesser d’augmenter. Pour les cybercriminels, ces technologies constituent une méthode efficace et pratique pour diffuser les pishing-apps sans avoir besoin de l’approbation de l’app store. La nature indépendante de la plateforme des PWA permet également aux cybercriminels de cibler un public plus large, ce qui rend ces attaques plus évolutives et plus fréquentes.

Sur la base des attaques impliquant des PWA et des WebAPK, on s’attend à une augmentation des menaces ciblant la plateforme iOS. Historiquement, les politiques strictes de l’App Store d’Apple ont rendu difficile la diffusion d’applications malveillantes, de sorte que les utilisateurs pensent que leurs appareils iOS sont intrinsèquement sûrs. Les menaces peuvent également se propager par le biais d’autres canaux, tels que des sites web malveillants, des attaques de type phishing, des pièces jointes compromises, des tactiques d’ingénierie sociale et des publicités malveillantes placées dans les moteurs de recherche, sur les médias sociaux et sur des sites web, dont aucun ne dépend de l’App Store. En revanche, Apple réagit généralement aux nouvelles menaces et met à jour ses mécanismes de sécurité.

Nous assisterons également à une augmentation des logiciels malveillants mobiles et non mobiles utilisant le kit de développement logiciel (SDK) open-source Flutter. Flutter a été conçu dans le but de créer des applications multi-plateformes et de simplifier le développement. Il est également utilisé pour rendre les malwares et les applications trojan plus efficaces et pour les diffuser.

Certaines applications SpyLoan, par exemple, ont déjà abusé de ce SDK. Flutter est également utilisé comme outil anti-analytique pour rendre les efforts d’ingénierie inverse plus complexes. L’augmentation de l’utilisation de Flutter à de telles fins dépend de plusieurs facteurs, tels que l’apprentissage du langage de programmation Dart par les acteurs de la menace. Il est important de noter que la communauté de la cybersécurité crée activement de nouveaux outils et de nouvelles techniques pour disséquer et comprendre la complexité des applications Flutter.

Affaires publiques

Maintenant que le NIS2 est obligatoire, les pays de l’UE doivent implémenter la directive dans leur législation nationale. Seuls quelques pays l’ont fait, et de grands pays comme l’Allemagne et la France devraient l’implémenter cette année, mais ce réalignement ne sera pas identique dans tous les pays de l’UE. Les organisations qui cherchent à se mettre en conformité doivent être conscientes des spécificités locales.

Si les micro- et petites entreprises sont généralement exemptées, les grandes entreprises de certains secteurs critiques peuvent exiger de leurs fournisseurs – y compris de petites entreprises – qu’ils se conforment aux obligations de déclaration en cas de cyberattaque. Les fournisseurs et vendeurs de toutes tailles doivent donc se préparer, sous peine d’être exclus à l’avenir. Dans certains secteurs couverts par la NIS2, des mesures de sécurité plus strictes peuvent encourager les cybercriminels à cibler des objectifs plus faciles, tels que des entreprises non couvertes par la directive.

Les entreprises qui ne sont pas en mesure de respecter les normes plus strictes imposées par la directive sont également plus exposées au risque d’extorsion. Cette situation pourrait commencer à ressembler à ce qui s’est passé en 2018, lorsque la réglementation GDPR est entrée en vigueur en 2018, et que les gangs de ransomware ont commencé à l’utiliser comme levier contre leurs victimes.

Une nouvelle législation de l’UE sur la cybersécurité a également été adoptée en 2024, avec notamment l’AI Act conçue pour réglementer les systèmes d’IA en mettant l’accent sur la transparence et la confiance, le Cyber Resilience Act (CRA), qui garantit la cybersécurité des produits comportant des éléments numériques, et le Cyber Solidarity Act, qui établit un réseau de ‘security operations centers’ (SOC) interconnectés dans l’ensemble de l’UE.

Cette dynamique devrait se poursuivre jusqu’en 2025 et devrait être soutenue par des stratégies supplémentaires et de nouveaux financements visant à renforcer les capacités de cyberdéfense de l’UE, une priorité essentielle de la nouvelle Commission européenne.