Le retour des publicités malveillantes

Les publicités malveillantes, ce n’est pas nouveau. Mais les hackers ont tendance à recycler les vieilles tactiques. « La cybersécurité, c’est en quelque sorte jouer au jeu de la taupe : vous frappez une menace, et elle resurgit plus tard ailleurs », affirme Max Jennings, expert en cybersécurité à Chicago. Il s’agit selon lui d’un phénomène cyclique : une fois la cybermenace démasquée, les pirates cessent de l’exploiter.

Du recyclage des vieilles tactiques

Dès qu’une cybermenace se fait oublier, tous les « outils » dont disposent les hackers retrouvent leur efficacité. « C’est actuellement le cas des publicités malveillantes. La sensibilisation du grand public il y a quelques années a entraîné une perte d’efficacité et leur disparition progressive du paysage. Mais les voilà de retour », nous explique M. Jennings.

Selon Spamhaus, les publicités malveillantes sont montées en flèche en janvier 2023. Les acteurs malveillants exploitent Google Ads pour usurper l’identité de marques telles que Adobe Reader, Gimp, Microsoft Teams, OBS, Slack ou Thunderbird et diffuser des malwares comme AuroraStealer, IcedID, Meta Stealer, RedLine Stealer et Vidar sur les appareils de leurs victimes.

Selon Spamhaus, les usurpateurs appâtent leurs victimes grâce à des publicités Thunderbird et les redirigent sur une fausse page. Dès qu’elles cliquent dessus, les victimes téléchargent à leur insu la charge utile IcedID.

« Certaines de ces publicités sont tellement bien faites qu’on ne se doute pas une seule seconde qu’elles sont malveillantes », met en garde M. Jennings.

Bonnes pratiques pour les MSP

De quelles solutions les MSP disposent-ils pour endiguer la recrudescence des publicités malveillantes, qui s’ajoutent aux autres menaces déjà présentes ?

« Contrairement à d’autres types d’attaques, les publicités malveillantes exploitent la nature humaine, ce qui les rend difficiles à combattre quels que soient les outils technologiques dont on dispose. Cela dit, les MSP ne doivent en aucun cas baisser les bras », précise M. Jennings.

Certaines données indiquent que l’efficacité des publicités malveillantes augmente pendant les week-ends et les jours fériés. Si les effectifs sont réduits en fin de semaine, le niveau de vigilance l’est aussi, c’est pourquoi les entreprises doivent veiller à renforcer leur sécurité 24 heures sur 24 et 7 jours sur 7. Selon plusieurs études, pas moins d’une publicité sur cent comporte une charge utile malveillante.

« C’est beaucoup, compte tenu du nombre de publicités qui défilent sur le Web », estime M. Jennings. Un retour au fondamentaux s’impose, sans toutefois oublier le rôle majeur que joue la formation de l’utilisateur dans la lutte contre les publicités malveillantes.

Mesures pour prévenir les attaques par publicités malveillantes

Blocage des publicités : « Dites non aux publicités. C’est simple et efficace », nous conseille M. Jennings. Vous neutraliserez la plupart des menaces, même si certaines sont susceptibles de passer entre les mailles du filet. Cependant, cette mesure n’est pas applicable à tous les environnements professionnels «, ajoute-t-il. « Bon nombre d’entreprises accueillent les publicités dans leur écosystème et les exploitent pour surveiller le comportement des consommateurs et celui de leurs concurrents. » Il est toutefois préférable d’installer un bloqueur de publicités si ces dernières ne présentent aucun intérêt dans le domaine d’activité de votre client.

Politique de sécurité des contenus (CSP) : définir les domaines autorisés à afficher du contenu sur votre site Web. « Il s’agit d’empêcher l’exécution des scripts non autorisés et d’éviter ainsi que les utilisateurs ne téléchargent des malwares à leur insu », explique M. Jennings. Pourtant, les services informatiques en sous-effectif et surchargés de travail négligent souvent cette solution plutôt simple à mettre en œuvre.

Sensibilisation et formation à la sécurité : comme c’est souvent le cas, la solution la moins onéreuse consiste à miser sur les ressources humaines. « Former et sensibiliser vos équipes aux cyberrisques vous permettra d’éliminer en grande partie l’erreur humaine », recommande M. Jennings.

Voici quelques consignes à inclure dans votre programme de sensibilisation :

• Ne jamais cliquer sur une publicité dont l’apparence n’est pas professionnelle (il convient de préciser toutefois que les hackers ne cessent de se perfectionner, et il en va de même pour leurs annonces).
• Ne jamais cliquer sur une publicité qui comporte des fautes d’orthographe, incompatibles avec l’apparence professionnelle mentionnée ci-dessus.
• Ne jamais consulter une publicité n’ayant aucun rapport avec votre historique de recherche récent/habituel. Si un utilisateur reçoit une annonce pour soins capillaires antichute alors qu’il ne s’est jamais intéressé à ce genre de produit, il a tout intérêt à rester vigilant.

Désactiver Flash et/ou Java : ne pas utiliser Flash et Java. En effet, bon nombre de signalements indiquent que les deux constituent un point d’entrée pour les attaques par publicités malveillantes. Si vous pouvez éviter de vous en servir, faites-le. « Java et Flash restent indispensables pour certaines entreprises. Si vous n’êtes pas dans ce cas, n’hésitez pas à vous en séparer afin d’éliminer un point d’entrée », recommande M. Jennings.

« Les MSP ne pourront jamais éliminer toutes les menaces », met en garde Max Jennings, avant d’ajouter : « Ce que vous pouvez faire, c’est adopter ces mesures pour mettre toutes les chances de votre côté et réduire significativement le risque d’une attaque par publicité malveillante. »

Cet article a initialement été publié sur SmarterMSP.com. Abonnez-vous à SmarterMSP.com pour obtenir les toutes dernières informations sur la cybersécurité et les actualités qui vous aideront à améliorer votre activité de MSP.