Libre Expression

Étiquette : Databreach

  • Le Salvador a reçu 24 millions de cyberattaques en trois mois

    Le Salvador a reçu 24 millions de cyberattaques en trois mois

    Le nombre est conséquent. Sur l’année 2023, l’entreprise de cybersécurité Fortinet tient les comptes. Elle indique que le pays d’Amérique centrale qu’est le Salvador a subi pas moins de 24 millions de cyberattaques. Toutes ces agressions se sont déroulées lors du premier trimestre de 2023. L’Amérique latine est en proie à une chasse appuyée. Le Mexique, le Brésil, la Colombie, le Pérou ou encore le Costa Rica endurèrent dans un temps plus ou moins proche des attaques plus ou moins dévastatrices.

    La cible des cybercriminels ? Tout système d’information que ce soit votre smartphone, tablette, IoT, votre ordinateur personnel ou professionnel. La finalité engrangée de l’argent, des secrets, des données… En France, les dernières victimes sont la ville d’Angoulême et l’agglomération Grand Angoulême, le 24 juillet 2023. Les deux entités ont subi une cyberattaque. L’origine de l’attaque cybernétique serait un simple courriel explique le reportage de France 3.

    Les images diffusées peuvent informer de systèmes, outils ou renseignements pour mieux cibler les cyberattaques prochaines. (Crédits : capture d’écran/Facebook/Angoulême)

    11 millions en janvier, 9 millions en mars

    Le pays qui compte près de 7 millions d’individus voit ses infrastructures mises à rude épreuve. Les méthodes les plus classiques de ces cybercrimes sont le phishing, des documents corrompus, des manques accrus de sécurité. Elles sont souvent conjuguées à différentes offensives, par exemple les ransomwares, les dénis de services (DDoS).

    Les dommages peuvent paralyser partiellement, ou complètement un pays en souffrance comme le fut le Costa Rica. Elles sont des vecteurs d’attaques lors de conflits armés, de guerre commerciale, de guerres armées, de déstabilisation. (Crédits : StockSnap/Pixabay)

    Le pays dans cette région d’Amérique, le Costa Rica détient le record avec deux milliards. Les pays d’Amérique latine les plus visés sont sans conteste le Mexique, le Brésil, la Colombie et le Pérou. Cette partie du monde concentre plus de 360 milliards d’attaques ou tentatives d’attaques explique le quotidien La Prensa Grafica. Une cyberhygiène semble nécessaire, car un adage précise que tout incident « informatique » est issu de l’entité située entre la chaise de bureau et le système d’information.

    Le groupe « Guacamaya » s’attaque aux sites des armées

    En septembre 2022, le gouvernement mexicain se retrouvait confronté à l’une, sinon la plus grande cyberattaque., du moins celle connue du public. Ainsi, des dizaines de milliers de courriels étaient exposés. Les premiers datent de 2016 à septembre 2022. Ils révélaient l’état de santé du président Andrés Manuel López Obrador, des différents chefs de l’armée chilienne, soit 6 téraoctets d’informations plus ou moins sensibles du ministère de la Défense nationale chilienne, la Sedena.

    Ce sont 10 téraoctets d’informations, dont certaines ultrasensibles, qui étaient volés au Chili, au Mexique, au Salvador, au Pérou et en Colombie par le groupe de cyberactivistes, Guacamaya. Comme dans les précédentes affaires, des journalistes ont commencé à en divulguer le contenu. (Crédits : Latinus/YouTube)

    Selon Latinus l’objectif principal du groupe, qui se fait appeler « Guacamaya », était de révéler des informations de l’armée chilienne, qu’il a réussi à pénétrer, ainsi que les serveurs Internet des armées du Salvador, du Pérou, de la Colombie et du Mexique. De même l’état-major interarmées (EMCO) avait contraint la ministre chilienne de la Défense, Maya Fernández à revenir au Chili pour gérer une cellule de crise. Les activistes de « Guacamaya » n’en étaient pas à leur première opération. En août 2022, selon la plateforme DdoSecrets.com, ils divulguent plus d’un téraoctet de courriels provenant de sociétés minières et pétrolières du Brésil, de Colombie, du Chili, de l’Équateur, du Guatemala et du Venezuela, relate El Universal. Les actions contre les multinationales, gouvernements, Pays… passent désormais via l’Internet, une nouvelle guerre à d’ores et déjà commencée.

  • Ransomware : les données volées comptent jusqu’à plusieurs Terabytes et totalisent des rançons de plusieurs centaines de millions de dollars

    Ransomware : les données volées comptent jusqu’à plusieurs Terabytes et totalisent des rançons de plusieurs centaines de millions de dollars

    Les opérateurs usant de ransomware prennent encore moins de pincettes pour diffuser les données volées. Suite aux cyberattaques, il est légion de voir des chiffres hallucinants et effrayants. D’autant que si le nombre de petites attaques réussies augmente de manière significative, les cyberattaques envers les grosses entreprises ne sont pas en reste. Le but persistant toujours l’argent des rançons. En 2022, la somme récoltée passait de 766 millions de dollars à 457 selon Chainalysis. Elle pourrait s’élever à 900 millions de dollars en 2023, selon le rapport.

    D’un côté comme de l’autre, la liste des victimes des divers ransomwares s’allonge. Les Cl0P, Alphav ou encore LockBit proposent même les archives dans différentes pages ou onglet. Chez LockBit, les informations sont à hauteur de 275 Gb pour Aimtron, 243 Gb pour Ibafrance, plus de 4 Tb en plusieurs fichiers pour Mundo-r ou encore Ifcaire est annoncé à 181 Gb. Tout comme l’agence Magnum dernièrement placardée qui devrait voir ses données exposées pour le 29 juillet 2023.

    Alors quand Snatch affiche 4 TB d’informations sur l’hôpital général de Tampa dans le centre ouest de la Floride, cela permet de relativiser. Ou davantage avec la compagnie chinoise Ningbo Joyson Electronic Corp. où cette fois c’est pas moins de 20 TB. (Crédits : capture d’écran/Snatch)

    Pour comprendre l’ampleur des chiffres, il suffit de différencier les millions et les milliards, ou les Megabytes aux Terabytes. Si 1 Mb équivaut à une seconde, cela représente 11 jours, 46 minutes et 40 secondes. Pour 1 Tb, cela symbolise 31 ans, 251 jours, 7 heures 46 minutes et 40 secondes. Soit un écart de 31 ans, 240 jours et 7 heures.

    Rien à cacher ?

    Souvent, la phrase entendue est « ça va, je n’ai rien à cacher ! » . D’autant plus si vous vivez pécuniairement de votre vie privée sur les réseaux sociaux. Pour les autres, vous n’avez rien à cacher jusqu’au moment où vous faites partie intégrante des données exposées, vous comprenez que c’est problématique. L’usurpation d’identité est courante, les faux également. Quand les données sont recoupées, analysées, cela devient une mine d’or pour toute personne les utilisant. Lorsque le groupe de cybercriminels usant du ransomware Alphv/BlackCat révélerait des données du groupe Estée Lauder et de VOG (Home of apples). Ainsi de nombreuses identités et autres informations pourraient être jetées en pâture. Vous pouvez ainsi croiser des données pour en obtenir davantage et ainsi attaquer de plus grosses entreprises.

    Un jeune homme de 26 ans sera jugé par le tribunal judiciaire de Paris le 15 novembre 2023, relate FranceTVinfo. Il est convoqué pour une comparution immédiate sur reconnaissance préalable de culpabilité. Il est soupçonné d’avoir commis le vol de données personnelles de 2 800 employés du journal Le Monde. (Crédits : Elias/Pixabay)

    Gagner encore plus d’argent

    Le rapport de Chainalysis indique que les sommes payées avaient diminué en 2021. Il faut dire que 2020 et 2021, les profits engendrés atteignaient des sommets avec respectivement 765 et 766 millions de dollars. Selon les dernières observations de Chainalysis, les cyberattaques avec rançongiciel ont rapporté en 2023 près de 450 millions de dollars aux cybercriminels, au premier semestre 2023.

    Si certains ransomwares ont disparu, comme Conti ou Revil/Sodinokibi, Cl0P et LockBit font la part belle aux cyberattaques. Sans oublier les nouveaux venus : cAcTUS, Médusa, Akira, 8Base, Bianlian… Les sommes des rançons pourraient atteindre les 900 millions cette année, selon les estimations de Chainalysis. (Crédits : Chainalysis)

    Coverware indique qu’au deuxième trimestre de 2023, le pourcentage de cyberattaque par ransomware ayant donné paiement d’une rançon par la victime chute à 34 %. Pour autant le nerf de la guerre est l’argent. Prenons l’exemple d’un cabinet médical qui voit l’ensemble de ses données chiffrées, et qui faute de sauvegarde subit un impact dévastateur. L’impact est de 100 %, mais sa réserve financière est faible, donc la rançon ne pourra qu’être minime.

    Selon l’analyse de Coverware, le groupe CloP aurait gagné entre 75 et 100 millions de dollars rien qu’avec la campagne MoveIT, peu de cibles, mais de fortes rançons. « À titre indicatif, ce montant est supérieur au budget annuel du Canada en matière de sécurité offensive ». (Crédits : Coverware)

    De l’autre côté, une multinationale aura un système de protection des systèmes d’information sans doute élevé. Donc le bénéfice de toute attaque doit être supérieur aux coûts, c’est le B.A.BA de chaque entreprise, légale ou non, faire du profit. Coverware explique que le groupe criminel Cl0P a « augmenté de façon spectaculaire la demande moyenne qu’il adresse aux victimes. […] un très faible pourcentage de victimes a pris la peine d’essayer de négocier, sans parler d’envisager de payer. Celles qui l’ont fait ont payé beaucoup plus que les campagnes CloP précédentes, et plusieurs fois plus que la rançon moyenne mondiale de 740 144 $ (+126 % par rapport au premier trimestre 2023). » Que les cyberattaques soient le fait de groupes criminels ou d’États, le but de perturber la disponibilité ou compromettre l’intégrité des processus commerciaux et opérationnels.

  • L’intégralité des données de l’hôpital Clínic de Barcelone mis en ligne par Ransom House

    L’intégralité des données de l’hôpital Clínic de Barcelone mis en ligne par Ransom House

    Celui qui avait subi une cyberattaque le 5 mars 2023 voit quatre mois plus tard tout ou partie de ses données en libre accès sur le DarkWeb. Suite à cette offensive cybernétique et à la propagation des informations, l’entité de santé alerte sur les possibles tentatives de malversations. « Il est conseillé à chacun d’être attentif au risque de faire l’objet de tentatives de fraude ou d’usurpation d’identité ou de fraude ». Les données diffusées représentent plus de 4, 5 Térabytes, soit 4500 GB.

    Les cybercriminels usant du ransomware « Ramsom House » qui ont mené la cyberattaque contre l’hôpital le 5 mars dernier, ont publié toutes les données qu’ils ont dérobées selon l’hôpital, qui a confirmé que la publication ou l’utilisation de ces données constituait un délit.

    Cinq jours après l’attaque, une demande de rançon de 4,5 millions de dollars était formulée. Le but était de restituer les données, contre menue monnaie. La Generalitat s’y refusait. La réponse des opérateurs derrière Ransom House ne se faisait pas attendre. Le 30 mars, le groupe publiait entre trois et quatre gigaoctets des informations volées. Le 16 avril, les pirates ont à nouveau livré des données volées.

    Des lignes et des lignes de données se suivent, des dossiers de protocoles, des informations sur des biopsies… sans parler des informations concernant le personnel, rien n’échappe à cette fuite massive d’informations. (Crédits : capture d’écran/Ransom House)

    Dans le communiqué du 5 juillet 2023, l’établissement de santé met en garde « tous ceux qui pourraient accéder, intentionnellement ou non, aux données confidentielles volées illégalement, qu’ils pourraient commettre un délit de divulgation de secrets prévu par le Code pénal, et que le corps des Mossos d’Esquadra pourrait les poursuivre dans le cadre des procédures policières et judiciaires correspondantes ».

  • Cyberattaque contre la compagnie pétrolière canadienne Suncor Energy

    Cyberattaque contre la compagnie pétrolière canadienne Suncor Energy

    Une cyberattaque d’ampleur a touché l’entreprise Suncor Energy inc. le vendredi 23 juin 2023. Les experts estiment que l’incident cybernétique pourrait constituer la plus importante atteinte à la cybersécurité d’une société pétrolière et gazière dans l’histoire du Canada. La compagnie pétrolière basée à Calgary n’a fourni aucun détail sur l’attaque. Seul le communiqué de presse stipule qu’elle avait « subi un incident de cybersécurité ». Les paiements s’effectuaient par argent « liquide », tous règlements par voie électronique étaient proscrits, car non fonctionnels.

    Le 26 juin 2023, l’entreprise canadienne Suncor Energy reconnaissait qu’une cyberattaque contre elle eut lieu. Elle par ricochet obligé chaque usager à régler leurs transactions en argent liquide. Des centaines de stations-service appartenant à sa filiale Petro-Canada, ont été touché à travers le pays. Suncor est la deuxième plus grande compagnie pétrolière du Canada. Par un communiqué elle informait l’ensemble de ses clients qu’elle était confrontée à un « incident de cybersécurité » et qu’elle prenait des mesures avec des experts externes « pour enquêter sur la situation et la résoudre ».

    « Alors que nous nous efforçons de résoudre cet incident, certaines transactions avec des clients et des fournisseurs pourraient être affectées », informe le communiqué. Cet incident remémore celui de Colonial Pipeline. En effet « je pense qu’il pourrait s’agir du Canadian Colonial Pipeline, dans la mesure où Suncor représente une part importante de l’économie », relate Ian L. Paterson, PDG de la société de cybersécurité Plurilock Security Inc. La société a déclaré qu’il n’y avait aucune preuve que les données des clients, des fournisseurs ou des employés aient été compromises ou utilisées à mauvais escient.

    La gravité ne sera connue qu’après enquête. La société a déclaré qu’il n’y avait aucune preuve que les données des clients, des fournisseurs ou des employés aient été compromises ou utilisées à mauvais escient. Rien d’alarmant, si ce n’est quelques points essentiels. Imaginons que la monnaie soit exclusivement numérique ? Que faire en cas de panne ? Que se passera-t-il lorsque les moyens de paiement électronique tomberont en panne ? Qu’en est-il de notre argent si une cyberattaque est dirigée vers la BCE ?

    Se dirige-t-on vers un euro purement numérique ? Est-il possible de voir le papier-monnaie disparaître ? Les infrastructures pétrolières et gazières restent des cibles de choix car elles sont vitales pour l’économie du pays, d’un continent. (Crédits : Gerd Altmann/Pixabay)

    La banque centrale européenne travaille sur un euro numérique depuis 2020. Les craintes sont nombreuses quant à la disparition de la monnaie liquide. Le 28 juin 2023, la Commission européenne a tenté d’apaiser les peurs en déposant un dossier législatif sur le sujet explique Numérama. Le document indique clairement et spécifiquement que l’euro numérique ne va « absolument pas » remplacer les billets de banque, continue l’article. Chacun se fera une opinion à ce sujet.

  • Le ransomware Play revendique la cyberattaque contre la Fédération Française de Rugby

    Le ransomware Play revendique la cyberattaque contre la Fédération Française de Rugby

    La finale du championnat de France vient juste de couronner Toulouse face à La Rochelle, qu’un coup de tonnerre tombe sur l’ovalie, à moins de 78 jours de la coupe du monde. Mais le groupe revendique et affiche ce mercredi 21 juin 2023 d’autres victimes françaises. Le groupe Pacte novation basée à Issy-les-Moulineaux. Le premier est spécialisé en ingénierie informatique, mais comprend Novasys Inégénierie et Assigraph International. Puis le groupe Salins, l’un des principaux saliniers européens.

    C’est par un post de l’Union Sportive Néracaise qui annonçait que la Fédération française de Rugby avait subi une « cyberattaque majeure » le 12 juin dernier que l’information apparaissait. Le 21 juin 2023, la fédération n’avait pas donné de nouvelle suite à la mise en place d’une cellule de crise. Le groupe criminel Play indique laisser un délai avant la publication des données le 27 juin.

    Le communique de presse a été publié ce jeudi 22 juin.
    « La Fédération Française de Rugby tient à rappeler que la protection des données du réseau fédéral reste une de ses plus grandes priorités.. » (Crédits: Capture d’écran/FFR)

    La fédération à depuis publié un communiqué indiquant que l’attaque serait survenue entre le 7 et le 8 juin. « Dès que l’attaque a été identifiée, le 8 juin à midi, les équipes de la FFR ont rapidement pris des mesures », explique l’entité. Cette attaque a principalement affecté les serveurs de messagerie. C’est également le cas pour les groupes Salins et PacteNovation. Le site du dernier n’est plus accessible en ligne.

    Le groupe de cyberdélinquants Play affiche 19 victimes de leurs attaques dans le même jour de la fête de la musique. LeMagIT informait de cette mise en ligne et revendication de la cyberattaques. (Crédits : capture écran/Play)

    La firme usant du ransomware a également mis en ligne les entreprises Luis Simoes dans la logistique et le transport au Portugal, Allpro Consulting Group au Texas, PWI Engineering dans le New Jersey, Omnipol en Tchéquie… Tout autant d’entreprises qui risquent de voir leurs données accessibles à tout un chacun sur le dark web.

  • L’Espagne touchée comme les autres par les cyberattaques

    L’Espagne touchée comme les autres par les cyberattaques

    La société espagnole Hiberus victime d’une cyberattaque. L’entreprise a détecté il y a quelques jours qu’un groupe de cybercriminels avait infiltré via une cyberattaque une partie du réseau de l’entreprise. Cette attaque des systèmes d’information a été contenue et l’entreprise fonctionne désormais normalement, relate l’entreprise. De l’autre côté, l’université publique Pompeu Fabra a alerté les Mossos et l’agence catalane de cybersécurité suite l’incident informatique de ce mardi 13 juin 2023.

    En octobre 2021, l’université de Barcelone, l’UAB ne répondait plus, totalement déconnecté de l’Internet. Mais hier, c’est l’université Pompeu Fabra de Barcelone qui réussissait à rétablir la connexion au réseau internet après plusieurs heures. L’établissement avait établi un plan de mesures préventives pour éviter un incident informatique qu’elle a pu détecter. En attendant la résolution de l’incident, l’équipe informatique décidait de préserver les données de l’université en coupant la connectivité avec le monde extérieur.

    « Les mesures prises visent à assurer le bon fonctionnement de l’infrastructure informatique de l’université. En ce sens, la collaboration de l’ensemble de la communauté universitaire est sollicitée afin de minimiser les risques éventuels et de garantir le développement normal de la vie universitaire », assure le communiqué.

    Diplômes universitaires falsifiés

    La police nationale ibérique annonçait sur Twitter avoir arrêté 20 personnes qui ont acquis des diplômes universitaires falsifiés. Une organisation proposait moyennant finance de faux documents avec les cachets de plus de 30 universités.

    La société technologique Hiberus cyberattaquée

    L’entreprise de conseil en technologie Hiberus atteste avoir subi une attaque, qui a affecté ses systèmes d’information. Des documents relatifs aux contrats de travail et aux fiches de paies semblent être exfiltrés relate Escudo Digital. Ce que confirme la firme dans son communiqué. Les conséquences pourraient être la divulgation des données volées.

    Selon le désir, la somme a débourser allait de 300 à 1000 euros. Les exfiltrations de données peuvent servir à créer de faux diplômes, pièces d’identités… L’administration suisse était ciblée par des cyberattaques de type déni de services, chaque offensive dépeint une volonté de nuire. (Crédits : Policia Nacional)

    Selon Hiberus, la cyberattaque a été maîtrisée et, dès qu’elle en a eu connaissance, elle a activé toutes les mesures de réponse immédiate, « y compris nos équipes d’experts en cybersécurité et des collaborateurs externes pour garantir la sécurité de nos systèmes ». Elle indique avoir procédé à la révision et à la mise à jour de ses systèmes antivirus et que des mesures « correctives » qu’elle a mises en œuvre consiste à notifier l’incident à l’Agence espagnole de protection des données et à la police nationale. « Dans le cadre des mesures préventives de l’entreprise, nous travaillons déjà à l’amélioration et à l’évolution de nos systèmes de sécurité. »

  • Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Situées au sud de l’Europe, deux entités du savoir ont subi ces attaques cybernétiques. La première se déroule au début du mois de mai 2023, la seconde dix jours plus tard. D’un côté comme de l’autre, rien n’indique à ce stade de l’enquête d’une quelconque fuite. Aucune revendication n’est encore connue. Pas plus de preuves précisant que des données n’ont pas été volées selon les communiqués. Brighton Hill Community School est quant à lui victime de fuites de données de l’action du ransomware Vice Society.

    L’école polytechnique de Leiria au centre du Portugal a subi une cyberattaque le 2 mai 2023. « À ce jour, aucune preuve n’a été détectée que des informations sensibles aient été volées, que ce soit au niveau de la communauté étudiante ou dans le cadre du fonctionnement des services de l’institution », pouvait-on lire dans un communiqué publié jeudi 11 mai 2023 en fin d’après-midi.

    Les systèmes internes « sont en cours de récupération et sont progressivement mis à disposition » depuis le 11 mai. L’accès au site est donc celui d’une copie avant l’incident cybernétique. À ce jour, « aucune demande de rançon n’a été formalisée ». (Crédits : capture d’écran)

    Selon l’École polytechnique de Leiria, « le Bureau de crise est depuis le début articulé avec les autorités compétentes, à savoir le Centre national de cybersécurité, la Commission nationale pour la protection des données et la police judiciaire ». Le rétablissement d’un plus grand nombre des services se poursuivrons explique l’entité. « Par mesure de prévention, après l’alerte d’attaque cybernétique, toutes les plateformes en ligne ont été désactivées, y compris l’accès à Internet, qui a déjà été rétabli, ainsi que l’accès au courrier électronique », ajoute l’institution.

    Leiria, Saragosse, Brighton…

    Dans la nuit de mercredi à jeudi 10 et 11 mai 2023, l’université de Saragosse subit une cyberattaque. « Le bureau de coordination de la cybersécurité, qui dépend du ministère de l’Intérieur, a alerté le campus aragonais de la tentative d’accès aux serveurs de l’institution par le biais d’au moins deux comptes d’utilisateur avec accès VPN », a confirmé l’institution universitaire. La direction a signalé qu’il pourrait s’agir d’une attaque par ransomware de type Lockbit. Or depuis peu un nouveau ransomware est apparu : cAcTUS.

    « Dans les attaques observées jusqu’à présent, les attaquants ont obtenu un accès en exploitant des vulnérabilités connues de systèmes VPN avant d’effectuer des déplacements latéraux pour déployer des outils de surveillance et de gestion à distance (RMM) afin de réussir à persister sur le réseau », explique Lucian Constantin dans Le Monde Informatique. Suite à ces événements et aux recommandations du Centre de cryptologie, le campus a momentanément fermé l’accès à distance. Les usagers qui en font la demande devront désormais se soumettre à un processus particulier.

    Les attaques contre les établissements d’enseignement sont régulières. Ci-dessus, les opérateurs derrière AvosLocker ont comme preuve de leurs attaques fait fuiter des documents. Snatch affiche Lawrence Family Development Charter School, Vice Society les établissements de Lakeland Community College, Lewis & Clark College, Berkeley County School… Des communes sont elles également victimes comme l’Américaine Dallas ou l’Espagnole Carballo.

  • Un nouveau ransomware fait son apparition : cAcTUS

    Un nouveau ransomware fait son apparition : cAcTUS

    Un nouveau venu dans le monde criminel de l’Internet. Le ransomware cAcTUS est apparu actif au minimum dès le mois de mars 2023, explique Bleeping Computer. La liste s’allonge. Dans la liste des cyberattaques observées, il se procure l’accès en exploitant des vulnérabilités dans les appliances VPN. Ils visent les grandes entités commerciales. Les fichiers chiffrés affichent « .cts1 », bien que selon les analystes de Kroll Cyber Threat Intelligence l’extension varie en fonction des victimes.

    Comme chacun des ransomwares, ils recourent au chiffrement des documents et le vol des données pour recevoir une somme certaine d’argent. La principale particularité de ce rançongiciel est l’utilisation d’un chiffrage pour protéger son fichier binaire. L’usage d’un chiffreur est subtil, dans le sens où il est nécessaire d’avoir une clé pour déchiffrer le binaire indispensable à l’exécution du programme malveillant. « La clé est fournie dans un fichier contenant du texte aléatoire nommé ntuser.dat qui est chargé via une tâche planifiée », explique Laurie lacino pour Kroll.

    Le nom « cAcTUS » est dérivé du nom de fichier fourni dans la demande de rançon, « cAcTuS.readme.txt », et de l’auto-déclaration de nom dans la note de rançon elle-même, mentionne l’équipe de chercheurs dans l’étude. (Crédits : svklimkin/Pixabay)

    Cactus emploie un chiffrage pour protéger son fichier binaire, ce qui est rare pour ce type de programme malveillant. Les cybercriminels utilisent un script batch pour extraire le binaire du ransomware à l’aide de l’archiveur 7-Zip. L’archive ZIP d’origine est supprimée puis le déploie avec un drapeau spécifique pour l’exécution. L’ensemble du processus est inhabituel et les chercheurs pensent qu’il s’agit d’empêcher la détection de l’encrypteur du ransomware. Au moi de mai, hors mis Cactus, « nous pouvons rajouter BlackSuit ou encore le groupe Ra », martèle ZATAZ.

  • Cyberattaque : Dallas sous la coupe du ransomware Royal

    Cyberattaque : Dallas sous la coupe du ransomware Royal

    La ville américaine de Dallas sous le joug d’une cyberattaque depuis mercredi 3 mai 2023. Une panne informatique, comme souvent, laissait planer le soupçon d’une cyberattaque. CBS News Texas annonçait qu’une partie du système de communication de la police de Dallas était tombée en panne, comme d’autres services de la ville. Les doutes n’ont duré qu’un temps, la confirmation est venue de la ville de Dallas elle-même. Cette attaque perturbe de nombreux services, dont les activités de police.

    « Une attaque par ransomware contre la ville de Dallas, qui a eu un impact significatif sur la police et compromis diverses institutions municipales, a été lancée par un groupe prolifique appelé Royal », ont déclaré des responsables jeudi. Ce que confirme le chef de la police de Dallas, Eddie García, en déclarant que les opérations du département ont été « considérablement affectées ».

    « Bien que l’origine de la panne fasse toujours l’objet d’une enquête, j’ai bon espoir que le risque soit maîtrisé. Pour les services concernés, les plans d’urgence préparés et mis en œuvre à l’avance portent leurs fruits », soulignait aux premières le responsable des services de la ville de Dallas, T.C. Broadnax.

    Mercredi matin, un certain nombre de serveurs avaient été compromis par le ransomware. L’équipe de la ville, ainsi que ses fournisseurs, travaillent activement à isoler le ransomware pour empêcher sa propagation. Mais également à éradiquer le ransomware des serveurs infectés, pour restaurer tous les services actuellement touchés.

    « Depuis que les services d’information et de technologie de la ville de Dallas ont détecté une cyber-menace mercredi matin, les employés ont travaillé d’arrache-pied pour contenir le problème et assurer la continuité du service à nos résidents. […] Nous nous excusons pour la gêne occasionnée et remercions les habitants de leur compréhension, car nous continuons à travailler 24 heures sur 24 jusqu’à ce que le problème soit résolu. Pour les mises à jour, veuillez garder un œil sur dallascitynews.net », martelait le directeur général de la ville, T.C. Broadnax.

    Les services se veulent rassurants sur la remise en service des différents systèmes d’information. Si bien que les élections prévues ce samedi semblent être maintenues, relate DallasNews. Les services de la ville pensent avoir isolé le problème, mais ils ont encore beaucoup de travail à faire pour rétablir les systèmes correctement. Des sources ont déclaré à CBS News Texas que la ville était sur le point de supprimer le ransomware sans avoir à payer les sommes demandées.

  • Ransomware : cyberattaques d’hôpitaux, industries pharmaceutiques, universités…

    Ransomware : cyberattaques d’hôpitaux, industries pharmaceutiques, universités…

    Peu importe le continent ou le pays, les cyberattaques continuent. Des noms des groupes tels que BlackCat, Clop, LockBit, Vice Society… pour ne citer qu’eux. Les cybergroupes criminels affichent de très nombreuses victimes. De nombreuses personnes voient donc leurs données jetées en pâture. Quelles personnes sont à condamner ? Il serait facile de dire que la faute incombe à l’être placé entre le bureau et la chaise. La difficulté semble être multiple, où chacun porte une part de responsabilité.

    Si de nombreuses attaques cybernétiques sont revendiquées, combien ne le sont pas ? Le plus inquiétant est sans doute ces dernières. Le vol de données pour des raisons étatiques, d’espionnage industriel, purement crapuleuses, ou pour de la surveillance de nos amis, de nos ennemis, faites vos jeux. Depuis le début de l’année les attaques vont crescendo.

    Selon Kron Briefing, 117 cyberattaques ont eu lieu en janvier 2023, 124 en février et 149 en mars dans le monde. En avril, elles seraient de 86. De janvier à mars 2023, le trio de tête est composé des États-Unis, de l’Allemagne et de la France. Au 27 avril, l’Allemagne afficherait 18 attaques subies, le Canada 11, Israël 10, les États-Unis 8 et la France 6. L’hôpital Pembina aux États-Unis (Pembina County Memorial Hospital) voit plus de 200 Mo de données sensibles diffusées par Avos Locker en guise de preuve. Le reste des données est à vendre.

    Le ransomware BlackCat revendique les attaques contre la firme suisse Bernina qui fabrique des machines à coudre et à broder, l’Indien Sun Pharma, le Brésilien Fundação Carlos Chagas, l’Américain Transformative Healthcare qui fournit des solutions de soins à divers hôpitaux. Les opérateurs revendiquent avoir exfiltré plus d’un TB de données (Rapports médicaux, rapports du personnel paramédical, détails sensibles sur les patients, factures, contacts, informations sur les partenaires…).

    Chez Vice Society, l’armateur grec Neptune Lines, les universités Lakeland et Lewis et Clark avec bien sûr de très nombreux documents confidentiels. Des groupes français sont affichés. Le ransomware Play indique rendre publiques prochainement les données d’entités françaises : un groupe de Commissaires de Justice à Bordeaux, le groupe Gambetta. De son côté, Lockbit menace l’entreprise BG2i en formation professionnelle en Pays de Loire… La liste s’implémente à chaque instant.