Libre Expression

Étiquette : cAcTUS

  • Fuites de données personnelles, et après ?

    Fuites de données personnelles, et après ?

    L’affaire qui affecte les clients de l’opérateur français Free est malheureusement ordinaire. Une cyberattaque perpétrée par une ou plusieurs individus dont le but est de faire de l’argent. Les données de 19 millions d’abonnés sont dans la nature, à vendre au plus offrant. Après SFR en septembre, Free est victime d’une intrusion non autorisée avec accès à diverses informations confidentielles dont l’IBAN, avec l’aide d’un complice en interne. Existe-t-il un risque ? Que faire en cas d’usurpation ?

    Aucune entreprise n’est épargnée : Lumiplan par le ransomware Cactus, Cerp Bretagne Nord et European External Action Service (EEAS) par Hunters, le groupe Althays, Billaud et l’imprimerie Peau par Qilin, Schneider Electric par Hellcat et le groupe Fimar par Bluebox. Ses cyberattaques de type ransomware sont revendiquées depuis le début du mois de novembre 2024.

    Quid de vos données ?

    Après SFR, c’est au tour de Free d’être touché par une intrusion non autorisée. L’opérateur a révélé le samedi 26 octobre 2024 que les données de 19 millions de ses clients sont volées. Un courriel est parvenu à chaque abonné. L’ensemble de ces données est une goutte d’eau parmi les passées, futures et actuelles fuites. La différence est ici la présence de l’IBAN (International Bank Account Number). Mais quelles conséquences ?

    Comme l’explique Benoit Grunemwald, expert en cybersécurité chez ESET dans un article de Numerama « des sociétés peu scrupuleuses se livrent à des malversations pour faire souscrire à des abonnements frauduleux à partir de cet IBAN. »

    La méthode est simple. Zojo sur son compte X l’explique. Il suffit d’avoir accès, ici, à Stripe. Vous créez un produit lambda, pour certifier l’identité, vous vous servez des informations (prénom, nom, etc.)… Puis après le délai légal de paiement, vous êtes crédité.

    Heureusement, il existe des procédures et protections pour éviter d’être lésé. Pour se protéger, il suffit de se pencher régulièrement votre compte, et faire opposition si nécessaire. Contrôlez les créanciers autorisés, vous pouvez également émettre une liste blanche de prélèvements SEPA, interdire les actions en provenance de certains pays, vérifier les mentions décrivant ledit créancier. L’avantage est aussi d’examiner si vous avez stoppé tous les qui ne sont plus indispensables.

    (Crédits : capture d’écran/Free)

    Depuis Free et Free Mobile, dépose plainte, le 25 octobre 2024, auprès du procureur de la République. L’ordonnance est rendue le 12 novembre 2024. Elle exige « le numéro de téléphone de cette personne, la ou les adresses IP qui ont pu être recueillies lors de la création du compte Telegram et de l’envoi de ce message, ainsi que les ports-source desdites adresses IP, Toutes informations utiles à l’identification de la personne recherchée, telles que prévues par les dispositions des articles L. 34-1 et R. 10-13 du code des postes et communications électroniques, Toutes informations disponibles dans ce contexte légal, et qui pourraient se rapporter à tout autre nouveau compte ou fonctionnalité de messagerie Telegram qui seraient utilisés par le pirate. »

    Données personnelles données volontairement

    Les fuites de données sont toujours problématiques. Si comme tout opérateur ou fournisseur d’accès à l’Internet, les civilités semblent nécessaires, qu’en est-il pour les applications que tout un chacun utilise sur son ordiphone ? Sachant que peu de personnes consultent ces centaines de lignes, et que la grande majorité coche la case certifiant l’acceptation et lecture des conditions générales de vente (CGV), ou bien la politique de confidentialité. Prenons alors un exemple parmi tant d’autres (Meta, Tinder, la plateforme TikTok, qui est devenue incontournable, au même titre que le smartphone pour naviguer.

    Celle-ci est en vigueur depuis le 4 décembre 2024. « Nous recueillons vos informations de trois manières : les informations que vous fournissez, les informations recueillies automatiquement et les informations provenant d’autres sources. » D’ores et déjà, la firme chinoise annonce la couleur.

    Il collecte ainsi le contenu utilisateur, notamment « les photos, les vidéos, les enregistrements audio, les flux en direct (livestreams), les commentaires, les hashtags, les avis, les évaluations, ainsi que les métadonnées associées (telles que la date, le lieu et l’auteur(-rice) du contenu). » Sans oublier la teneur des messages envoyés et reçus.

    Mieux encore… imaginez que dans votre registre téléphonique, une ou plusieurs personnes n’utilisent pas les « réseaux sociaux », pour tout un tas de raisons valables. La plateforme recueille « les informations du répertoire de votre appareil, comme les noms, numéros de téléphone et adresses e-mail », si vous choisissez de synchroniser vos contacts, précisent-ils.

    Cerise sur le gâteau, « nous conservons les renseignements aussi longtemps que nécessaire pour alimenter la Plateforme et pour les autres fins énoncées dans la présente Politique de confidentialité. » Vous pouvez ainsi, à titre de curiosité récupérer l’ensemble des données de votre compte.

    Ce qui est intéressant est qu’outre-Atlantique, les différentes autorités souhaitent clore la plateforme, sans l’interdire, car l’utilisation d’une application ou des médias sociaux est une décision personnelle. François-Philippe Champagne, ministre de l’innovation, de la science et de l’industrie déclare que le gouvernement canadien agit « pour faire face aux risques spécifiques de sécurité nationale liés aux opérations de ByteDance Ltd au Canada ». (Crédits : Anna Shvets/Pexels)

    « Le gouvernement ne bloque pas l’accès des Canadiens à l’application TikTok ou leur capacité à créer du contenu. […] Il est important que les Canadiens adoptent de bonnes pratiques en matière de cybersécurité et évaluent les risques possibles de l’utilisation de plateformes et d’applications de médias sociaux. » L’exemple est applicable à toute application, logiciel, jeu-concours, carte de fidélité… il est donc nécessaire de prendre le temps de lire les conditions générales de vente, la politique de confidentialité avant de signer, de cocher.

  • Ransomware : les données volées comptent jusqu’à plusieurs Terabytes et totalisent des rançons de plusieurs centaines de millions de dollars

    Ransomware : les données volées comptent jusqu’à plusieurs Terabytes et totalisent des rançons de plusieurs centaines de millions de dollars

    Les opérateurs usant de ransomware prennent encore moins de pincettes pour diffuser les données volées. Suite aux cyberattaques, il est légion de voir des chiffres hallucinants et effrayants. D’autant que si le nombre de petites attaques réussies augmente de manière significative, les cyberattaques envers les grosses entreprises ne sont pas en reste. Le but persistant toujours l’argent des rançons. En 2022, la somme récoltée passait de 766 millions de dollars à 457 selon Chainalysis. Elle pourrait s’élever à 900 millions de dollars en 2023, selon le rapport.

    D’un côté comme de l’autre, la liste des victimes des divers ransomwares s’allonge. Les Cl0P, Alphav ou encore LockBit proposent même les archives dans différentes pages ou onglet. Chez LockBit, les informations sont à hauteur de 275 Gb pour Aimtron, 243 Gb pour Ibafrance, plus de 4 Tb en plusieurs fichiers pour Mundo-r ou encore Ifcaire est annoncé à 181 Gb. Tout comme l’agence Magnum dernièrement placardée qui devrait voir ses données exposées pour le 29 juillet 2023.

    Alors quand Snatch affiche 4 TB d’informations sur l’hôpital général de Tampa dans le centre ouest de la Floride, cela permet de relativiser. Ou davantage avec la compagnie chinoise Ningbo Joyson Electronic Corp. où cette fois c’est pas moins de 20 TB. (Crédits : capture d’écran/Snatch)

    Pour comprendre l’ampleur des chiffres, il suffit de différencier les millions et les milliards, ou les Megabytes aux Terabytes. Si 1 Mb équivaut à une seconde, cela représente 11 jours, 46 minutes et 40 secondes. Pour 1 Tb, cela symbolise 31 ans, 251 jours, 7 heures 46 minutes et 40 secondes. Soit un écart de 31 ans, 240 jours et 7 heures.

    Rien à cacher ?

    Souvent, la phrase entendue est « ça va, je n’ai rien à cacher ! » . D’autant plus si vous vivez pécuniairement de votre vie privée sur les réseaux sociaux. Pour les autres, vous n’avez rien à cacher jusqu’au moment où vous faites partie intégrante des données exposées, vous comprenez que c’est problématique. L’usurpation d’identité est courante, les faux également. Quand les données sont recoupées, analysées, cela devient une mine d’or pour toute personne les utilisant. Lorsque le groupe de cybercriminels usant du ransomware Alphv/BlackCat révélerait des données du groupe Estée Lauder et de VOG (Home of apples). Ainsi de nombreuses identités et autres informations pourraient être jetées en pâture. Vous pouvez ainsi croiser des données pour en obtenir davantage et ainsi attaquer de plus grosses entreprises.

    Un jeune homme de 26 ans sera jugé par le tribunal judiciaire de Paris le 15 novembre 2023, relate FranceTVinfo. Il est convoqué pour une comparution immédiate sur reconnaissance préalable de culpabilité. Il est soupçonné d’avoir commis le vol de données personnelles de 2 800 employés du journal Le Monde. (Crédits : Elias/Pixabay)

    Gagner encore plus d’argent

    Le rapport de Chainalysis indique que les sommes payées avaient diminué en 2021. Il faut dire que 2020 et 2021, les profits engendrés atteignaient des sommets avec respectivement 765 et 766 millions de dollars. Selon les dernières observations de Chainalysis, les cyberattaques avec rançongiciel ont rapporté en 2023 près de 450 millions de dollars aux cybercriminels, au premier semestre 2023.

    Si certains ransomwares ont disparu, comme Conti ou Revil/Sodinokibi, Cl0P et LockBit font la part belle aux cyberattaques. Sans oublier les nouveaux venus : cAcTUS, Médusa, Akira, 8Base, Bianlian… Les sommes des rançons pourraient atteindre les 900 millions cette année, selon les estimations de Chainalysis. (Crédits : Chainalysis)

    Coverware indique qu’au deuxième trimestre de 2023, le pourcentage de cyberattaque par ransomware ayant donné paiement d’une rançon par la victime chute à 34 %. Pour autant le nerf de la guerre est l’argent. Prenons l’exemple d’un cabinet médical qui voit l’ensemble de ses données chiffrées, et qui faute de sauvegarde subit un impact dévastateur. L’impact est de 100 %, mais sa réserve financière est faible, donc la rançon ne pourra qu’être minime.

    Selon l’analyse de Coverware, le groupe CloP aurait gagné entre 75 et 100 millions de dollars rien qu’avec la campagne MoveIT, peu de cibles, mais de fortes rançons. « À titre indicatif, ce montant est supérieur au budget annuel du Canada en matière de sécurité offensive ». (Crédits : Coverware)

    De l’autre côté, une multinationale aura un système de protection des systèmes d’information sans doute élevé. Donc le bénéfice de toute attaque doit être supérieur aux coûts, c’est le B.A.BA de chaque entreprise, légale ou non, faire du profit. Coverware explique que le groupe criminel Cl0P a « augmenté de façon spectaculaire la demande moyenne qu’il adresse aux victimes. […] un très faible pourcentage de victimes a pris la peine d’essayer de négocier, sans parler d’envisager de payer. Celles qui l’ont fait ont payé beaucoup plus que les campagnes CloP précédentes, et plusieurs fois plus que la rançon moyenne mondiale de 740 144 $ (+126 % par rapport au premier trimestre 2023). » Que les cyberattaques soient le fait de groupes criminels ou d’États, le but de perturber la disponibilité ou compromettre l’intégrité des processus commerciaux et opérationnels.

  • Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Situées au sud de l’Europe, deux entités du savoir ont subi ces attaques cybernétiques. La première se déroule au début du mois de mai 2023, la seconde dix jours plus tard. D’un côté comme de l’autre, rien n’indique à ce stade de l’enquête d’une quelconque fuite. Aucune revendication n’est encore connue. Pas plus de preuves précisant que des données n’ont pas été volées selon les communiqués. Brighton Hill Community School est quant à lui victime de fuites de données de l’action du ransomware Vice Society.

    L’école polytechnique de Leiria au centre du Portugal a subi une cyberattaque le 2 mai 2023. « À ce jour, aucune preuve n’a été détectée que des informations sensibles aient été volées, que ce soit au niveau de la communauté étudiante ou dans le cadre du fonctionnement des services de l’institution », pouvait-on lire dans un communiqué publié jeudi 11 mai 2023 en fin d’après-midi.

    Les systèmes internes « sont en cours de récupération et sont progressivement mis à disposition » depuis le 11 mai. L’accès au site est donc celui d’une copie avant l’incident cybernétique. À ce jour, « aucune demande de rançon n’a été formalisée ». (Crédits : capture d’écran)

    Selon l’École polytechnique de Leiria, « le Bureau de crise est depuis le début articulé avec les autorités compétentes, à savoir le Centre national de cybersécurité, la Commission nationale pour la protection des données et la police judiciaire ». Le rétablissement d’un plus grand nombre des services se poursuivrons explique l’entité. « Par mesure de prévention, après l’alerte d’attaque cybernétique, toutes les plateformes en ligne ont été désactivées, y compris l’accès à Internet, qui a déjà été rétabli, ainsi que l’accès au courrier électronique », ajoute l’institution.

    Leiria, Saragosse, Brighton…

    Dans la nuit de mercredi à jeudi 10 et 11 mai 2023, l’université de Saragosse subit une cyberattaque. « Le bureau de coordination de la cybersécurité, qui dépend du ministère de l’Intérieur, a alerté le campus aragonais de la tentative d’accès aux serveurs de l’institution par le biais d’au moins deux comptes d’utilisateur avec accès VPN », a confirmé l’institution universitaire. La direction a signalé qu’il pourrait s’agir d’une attaque par ransomware de type Lockbit. Or depuis peu un nouveau ransomware est apparu : cAcTUS.

    « Dans les attaques observées jusqu’à présent, les attaquants ont obtenu un accès en exploitant des vulnérabilités connues de systèmes VPN avant d’effectuer des déplacements latéraux pour déployer des outils de surveillance et de gestion à distance (RMM) afin de réussir à persister sur le réseau », explique Lucian Constantin dans Le Monde Informatique. Suite à ces événements et aux recommandations du Centre de cryptologie, le campus a momentanément fermé l’accès à distance. Les usagers qui en font la demande devront désormais se soumettre à un processus particulier.

    Les attaques contre les établissements d’enseignement sont régulières. Ci-dessus, les opérateurs derrière AvosLocker ont comme preuve de leurs attaques fait fuiter des documents. Snatch affiche Lawrence Family Development Charter School, Vice Society les établissements de Lakeland Community College, Lewis & Clark College, Berkeley County School… Des communes sont elles également victimes comme l’Américaine Dallas ou l’Espagnole Carballo.

  • Un nouveau ransomware fait son apparition : cAcTUS

    Un nouveau ransomware fait son apparition : cAcTUS

    Un nouveau venu dans le monde criminel de l’Internet. Le ransomware cAcTUS est apparu actif au minimum dès le mois de mars 2023, explique Bleeping Computer. La liste s’allonge. Dans la liste des cyberattaques observées, il se procure l’accès en exploitant des vulnérabilités dans les appliances VPN. Ils visent les grandes entités commerciales. Les fichiers chiffrés affichent « .cts1 », bien que selon les analystes de Kroll Cyber Threat Intelligence l’extension varie en fonction des victimes.

    Comme chacun des ransomwares, ils recourent au chiffrement des documents et le vol des données pour recevoir une somme certaine d’argent. La principale particularité de ce rançongiciel est l’utilisation d’un chiffrage pour protéger son fichier binaire. L’usage d’un chiffreur est subtil, dans le sens où il est nécessaire d’avoir une clé pour déchiffrer le binaire indispensable à l’exécution du programme malveillant. « La clé est fournie dans un fichier contenant du texte aléatoire nommé ntuser.dat qui est chargé via une tâche planifiée », explique Laurie lacino pour Kroll.

    Le nom « cAcTUS » est dérivé du nom de fichier fourni dans la demande de rançon, « cAcTuS.readme.txt », et de l’auto-déclaration de nom dans la note de rançon elle-même, mentionne l’équipe de chercheurs dans l’étude. (Crédits : svklimkin/Pixabay)

    Cactus emploie un chiffrage pour protéger son fichier binaire, ce qui est rare pour ce type de programme malveillant. Les cybercriminels utilisent un script batch pour extraire le binaire du ransomware à l’aide de l’archiveur 7-Zip. L’archive ZIP d’origine est supprimée puis le déploie avec un drapeau spécifique pour l’exécution. L’ensemble du processus est inhabituel et les chercheurs pensent qu’il s’agit d’empêcher la détection de l’encrypteur du ransomware. Au moi de mai, hors mis Cactus, « nous pouvons rajouter BlackSuit ou encore le groupe Ra », martèle ZATAZ.