Libre Expression

Étiquette : Dassault

  • Le site du ransomware Ragnar Locker n’est plus !

    Le site du ransomware Ragnar Locker n’est plus !

    Le 19 octobre 2023, une coopération d’une dizaine de pays et de leurs services de police a fait tomber le site de Ragnar Locker. Le groupe de cybercriminels affichait plus d’une centaine de victimes, dont une concentration dans les domaines de l’énergie, mais pas seulement. Désormais sur le site de fuite et de divulgation des données volées est affiché que les sites Web avaient été saisis dans le cadre d’une « action coordonnée de maintien de l’ordre au niveau international ».

    Une opération conjointe est menée du 16 au 20 octobre 2023. Elle est le point final d’une enquête commencée en octobre 2021. Des recherches ont été effectuées en République tchèque, en Espagne et en Lettonie. La « cible principale » a été arrêtée à Paris le 16 octobre, et son domicile en République tchèque a été perquisitionné révèle Europol. Il a été déféré devant les juges d’instruction du tribunal judiciaire de Paris.. « L’infrastructure du ransomware a également été saisie aux Pays-Bas, en Allemagne et en Suède, et le site web associé à la fuite de données sur Tor a été supprimé en Suède. »

    L’infrastructure du ransomware a été saisie aux Pays-Bas, en Allemagne et en Suède. Le site web de fuite de données a été supprimé en Suède. En octobre 2021, des enquêteurs avaient été déployés en Ukraine. Ce qui avait conduit à l’arrestation de deux opérateurs importants de Ragnar Locker.

    En place du site de suite de l’organisation criminelle Ragnar Locker se trouve une image mentionnant une quinzaine de services de Police. Pas moins de dix pays ont collaboré pour ainsi démanteler le site. Les suspicions d’origine d’action des membres pointeraient vers la Russie. Des victimes furent exposées tout au long de la vie du site : Soltek Pacific, Dassault, Adata, Astro Industries, LDLC, Tap Air Portugal, Malayan Flour Mills Bhd, Cantalk… et le dernier en date du 12 octobre 2023 Scotbeff dont la quantité de renseignements était de 82,3 GB.

    Comme preuve de la saisie des systèmes d’information, désormais sur le site de fuite sur le darknet est affichée l’image ci-dessus. (Crédits : capture d’écran)

    Les opérateurs derrière Ragnar Locker avaient même poussé le vice en achetant des encarts publicitaires sur Facebook en 2020. Le chercheur Brian Krebs révélait l’information le 10 novembre 2020. C’était dans la soirée du lundi 9 novembre 2020 qu’une campagne publicitaire commençait à apparaître sur Facebook. Ladite annonce mettait en porte à faux la victime italienne : Campari Group. La rançon demandée était de 15 millions de dollars., qui a reconnu le 3 novembre que ses systèmes informatiques avaient été mis à l’écart par une attaque de logiciels malveillants.

    Le groupe italien célèbre pour ses marques de liqueur comme Frangelico, Epsolon, Grand Marnier… se voyait dérober 2 TB d’informations. (Crédits : DR)

    « La cybercriminalité implique des réseaux criminels très organisés, interconnectés et générant des chiffres d’affaires dont beaucoup d’entreprises légitimes ne pourraient que rêver. Ils sont partout, très puissants et motivés par l’appât du gain, la malveillance et le profit financier », explique Stephen Kavanagh, Directeur exécutif des Services de police d’INTERPOL. L’opération menée conjointement par différents services tels Europol, le FBI et en France la Gendarmerie nationale à permis de fermer le site, comme en début d’année pour le ransomware Hive mais les codes demeurent.

  • LDLC dans la tourmente

    LDLC dans la tourmente

    C’est par un communiqué de presse du lundi 29 novembre 2021 que le groupe LDLC relatait avoir « détecté un incident de cybersécurité dans ses systèmes informatiques, ayant entraîné un accès non autorisé aux données de l’entreprise », mais « n’a pas eu d’impact sur les opérations commerciales du Groupe ». Les opérateurs derrière Ragnar_Locker ont publié un échantillon de renseignements dérobés sur le système d’information de la firme, ainsi que plusieurs captures d’écran.

    Les assaillants derrière le ransomware sont clairs dans le message « Si le Groupe LDLC souhaite arrêter le processus de fuite et éviter d’autres publications, il en a déjà été informé et sait comment nous contacter ». Ils ajoutent avec une pointe sarcastique « n’oubliez pas de vérifier vos e-mails ». « Aujourd’hui, nous publions le premier lot de données, mais si le Groupe LDLC ne nous contacte pas, nous continuerons à télécharger des données jusqu’à ce que toutes les informations soient divulguées », préviennent-ils, depuis les premiers dévoilements sur le site de fuites.

    Les opérateurs par cette preuve de fuite montrent qu’ils étaient en mesure de suivre les échanges de l’équipe de réponse à incident. Les cyberdélinquants démontrent qu’ils ont encore un plus large accès à son système d’information, ainsi qu’à ses postes de travail. Par cette preuve, la compromission est possiblement. (Crédits : capture d’écran)

    LDLC précisait néanmoins que les données clients n’étaient pas concernées et que ses équipes de sécurité s’affairaient à une « analyse approfondie » afin de renforcer les mesures de protection mises en œuvre. Comme rappelle Le MagIT ce que soulignait Jérôme Saiz, du cabinet Opfor Intelligence : « dans une crise cyber, il faut considérer que l’on n’a plus confiance en ses moyens de communication ».

    Outre les captures d’écran, Ragnar_Locker relaie également deux archives en téléchargement. Elles sont respectivement pour l’une de 8,5 Go et pour l’autre de 21 Go compressées, que le groupe affirme avoir volées. Le groupe indique avoir « notifié » le groupe LDLC de l’attaque et du vol de données, mais n’avoir reçu aucune réponse de sa part, ce qui l’a poussé à commencer la diffusion de ces dernières.

    Des investigations se poursuivent. « Même si certaines données à caractère personnel ont pu être consultées, cela ne concerne en aucun cas les informations sensibles relatives aux clients des sites internet marchands du Groupe », assure LDLC. (Crédits : capture d’écran)

    Ce qui doit être lu entre les lignes est que LDLC refuse de payer la rançon réclamée par le groupe d’assaillants, d’autres fichiers seront répandus. Ragnar Locker est connu pour lancer des attaques de codes malveillants de type ransomware, doublé souvent d’un chantage à la diffusion de datas volées sur leur site dédié. Ragnar_Locker a également publié trois captures d’écran suggérant que le groupe s’est intéressé de près à l’infrastructure virtualisée de LDLC.

    Ragnar_Locker serait actif depuis au moins avril 2020. Il avait notamment visé l’avionneur Dassault Falcon Jet, avec près de 87 Go d’informations compressées, ou encore l’éditeur de jeu vidéo Capcom lors du mois d’août 2020 pour un total de 196, 58 Go de données compressées.

    « L’attaque pourrait d’ailleurs avoir commencé avec l’exploitation de la vulnérabilité CVE-2021-21985 », informe Le MagIT. En effet, cette faille permet à attaquant non authentifié d’exécuter du code arbitraire à distance, avec qui plus est un haut niveau de privilèges. De plus, des codes d’attaques sont disponibles publiquement pour la vulnérabilité CVE-2021-21985 et le CERT-FR a connaissance d’exploitations actives de celle-ci. Cette dernière est connue pour être exploitée dans le cadre de cyberattaques avec déploiement de ransomware. Cette vulnérabilité état documentée par l’ANSSI le 7 juin 2021, avec des recommandations de sécurité pour les architectures basées sur VMware vSphere ESXI.