Libre Expression

Étiquette : DDoS

  • Une loi interdit les mauvais mots de passe

    Une loi interdit les mauvais mots de passe

    Il faut le lire pour le croire. Le flegme britannique est légendaire. Ainsi les sujets de Sa Majesté Charles III possèdent une nouvelle loi. Elle interdit d’utiliser certains mots de passe. Son but prévenir les fuites de données, les cyberattaques. Du moins, ne pas faciliter la tâche des « hackers » sur le WEB. Si la bienséance n’est pas de mise, la logique l’est. La multiplicité des objets connectés, les utilisateurs qui par facilité usent du même mot de passe… sont des vecteurs par lesquels les personnes mal intentionnées passent.

    Il est des raisonnements qui pourraient traverser la Manche. Sans effet de manche, le mot de passe est un sujet majeur, pas un simple tour de passe-passe. Les moyens mnémotechniques pour se remémorer le précieux sésame existent. Pour autant, plus ou moins facile selon l’âge de l’utilisateur.

    Une loi pour interdire les mots de passe par défaut

    Une nouvelle loi outre-Manche interdit les mots de passe par défaut sur les appareils dits « intelligents ». C’est le Centre national de cybersécurité (NCSC) qui en est l’origine. Il appelle les fabricants à se conformer dès le 29 avril 2024 à une nouvelle loi. Elle proscrit l’utilisation des mots de passe par défaut.

    phishing-password-scam

    « La loi, connue sous le nom de Product Security and Telecommunications Infrastructure act (ou PSTI act), aidera les consommateurs à choisir des appareils intelligents qui ont été conçus pour fournir une protection continue contre les cyberattaques », déclare le NCSC.

    Les mots de passe « 123456 » ou « password » sont utilisés en France par plus de 6 millions d’individus. D’ailleurs, les mêmes mots de passe tels que « admin » ou « 12345 » sont désormais interdits au Royaume-Uni.

    Les cyberattaques, quelles qu’elles soient, font l’objet d’une lutte internationale. Puisqu’ils courants et faciles à deviner, la loi prohibe l’usage de ces mots de passe. C’est une première mondiale.

    (Crédits : Mohamed Hassan/Pixabay)


    « Une maison remplie d’appareils intelligents pourrait être exposée à plus de 12 000 attaques de piratage provenant du monde entier en une seule semaine, avec 2 684 tentatives de deviner des mots de passe faibles sur cinq appareils », relate News Sky.

    Une recrudescence d’appareils connectés

    Au Royaume-Uni, 99 % des adultes ont à minima un appareil « intelligent ». De plus les foyers britanniques détiennent neuf équipements connectés en moyenne. Les chiffres sont éloquents outre-Manche : 57 % des ménages possèdent une télévision, 53 % un assistant vocal et un sur deux arbore une montre ou un bracelet de fitness, l’ensemble dit « smart ».

    Cette loi semble être à l’heure anglaise. Les dix mots de passe les plus utilisés en 2023 sont : 123456, password, qwerty, liverpool, 123456789, arsenal, 12345678, 12345, abc123, chelsea.

    Cette loi tend à mettre en œuvre un ensemble de normes de sécurité minimales. L’exemple cité par les journaux anglais est le réseau de zombies DDoS tel que Mirai.

    Mirai, explique Cloudflare « c’est un logiciel malveillant qui infecte les appareils intelligents qui fonctionnent grâce à des processeurs ARC ». Ce qui les transforme en un réseau de « zombies » contrôlés à distance. L’ensemble compose un réseau de botnet, utilisé pour lancer des attaques DDoS.

    (Crédits : freestocks-photos/Pixabay)


    La mutation, tel un virus, de Mirai inquiète. The Hacker News relate la déclaration d’Omer Yoachimik et Jorge Pacheco : « Quatre attaques DDoS HTTP sur 100, et deux attaques DDoS L3/4 sur 100 sont lancées par un botnet variante de Mirai« ». Le code source a été rendu public, tel un open source, au fil des ans, de nombreuses mutations ont eu lieu.

    Des amendes records

    Dorénavant les fabricants sont tenus de fournir des appareils n’utilisant pas des mots de passe par défaut devinables, ou simples. Le Royaume-Uni devient ainsi le premier pays au monde à interdire les noms d’utilisateur et les mots de passe par défaut sur les appareils IoT. Le rapport de Cloudflare sur les menaces DDoS pour le premier trimestre 2024, indique que les attaques basées sur Mirai continuent.

    Ces attaques perdurent huit années après que le botnet original ait été démantelé. Paras Jha, Josiah White et Dalton Norman, âgés de 20 à 21 ans plaident coupable lors de leurs procès.

    Les objets connectés concernés sont les sonnettes de porte intelligentes, les baby-phones et caméras de sécurité, tablettes cellulaires, smartphones, consoles de jeux.

    Mais aussi les appareils électroménagers intelligents. C’est à dire les ampoules, les prises, bouilloires, thermostats, fours, réfrigérateurs, nettoyeurs jusqu’aux machines à laver.

    Cette loi vise à instruire ou éduquer. Cet ensemble de normes de sécurité minimales vise à empêcher les appareils vulnérables d’être intégrés dans un réseau de zombies DDoS tel que Mirai.

    (Crédits : urish/Pixabay)


    Au Royaume-Uni on ne plaisante pas avec les amendes. Les entreprises qui ne respectent pas les dispositions de la loi PSTI s’exposent à des rappels et à des sanctions pécuniaires, avec des amendes pouvant aller jusqu’à 10 millions de livres sterling (11,64 millions euros) ou 4 % de leur chiffre d’affaires annuel global, selon le montant le plus élevé.

  • Une cyberattaque concerne potentiellement 43 millions de Français

    Une cyberattaque concerne potentiellement 43 millions de Français

    France Travail (ex Pôle Emploi) est victime d’une cyberattaque entre le 6 février et le 5 mars 2024. Ce mercredi 13 mars, l’organisme alerte sur le « risque de divulgation » de données personnelles. Elle touche « potentiellement » 43 millions de personnes. Les informations personnelles sont susceptibles d’être divulguées et d’être exploitées de manière illégale. Après Almerys et Viamedis, la cyberattaque contre les services du Premier ministre, deux jours avant la révélation de France Travail.

    Fin août 2023, Pôle Emploi explique que l’un de ses prestataires est « victime d’un acte de cybermalveillance ». La potentielle conséquence est la compromission de données relatives aux « demandeurs d’emploi inscrits en février 2022 et d’anciens usagers de Pôle emploi ». Ledit prestataire est l’entreprise Majorel, qui martelait être « pleinement, investis dans la poursuite des investigations et mets tout en œuvre pour les mener à bien dans les meilleurs délais ».

    43 millions d’usagers potentiellement concernés

    À la suite d’une intrusion non autorisée, il existe un risque de divulgation des données personnelles. Elles sont susceptibles d’être divulguées, exploitées de manière illégale. Après avoir déposer plainte, les investigations sont en cours.

    Les données exposées sont les suivantes : prénom et nom, date de naissance, numéro de sécurité sociale, identifiant France Travail, numéros de téléphone, adresses e-mail et postale.

    « Les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cybermalveillance. Il n’existe donc aucun risque sur l’indemnisation » continu France Travail.

    Le risque « zéro » n’existe pas.

    (Crédits : capture d’écran)


    L’opérateur public indique que la base de données contient les données personnelles d’identification des personnes actuellement inscrites depuis 20 ans. Ensuite, les personnes non inscrites sur la liste des demandeurs d’emploi, mais ayant un espace candidat. Un système de dépôt de plainte simplifié est mis en place.

    Quid des attaques contre les services du Premier ministre ?

    Comme l’écrit LeMagIT, « une cyberattaque d’une “intensité inédite” aux airs de tempête dans un verre d’eau » se déroule le 11 mars 2024. Le groupe Anonymous Sudan se targue des articles mentionnant leur cyberattaque. Le groupe fait parler de lui dès janvier 2023. Ils seraient un groupe d’hacktivistes pro-russe qui s’attaque à ceux qui soutiennent l’Ukraine.

    Lors d’une campagne en mars 2023, le groupe vise des installations médicales, universités et aéroports en France. « Ces attaques étaient motivées par un dessin représentant le prophète Mahomet et qui aurait fait référence aux caricatures controversées du magazine Charlie Hebdo. »

    « La principale tactique […] des attaques DDoS sur le Web à partir de serveurs publics en nuage, en dissimulant les sources d’attaque derrière et à travers des milliers de proxys HTTPS/SOCKS », explique Radware.

    Anonymous Sudan change son mode opératoire dans le second semestre 2023 explique LeMagIT. « Il s’appuie sur le botnet Skynet-Godzilla, partageant une promotion à 100 $ la journée, fin novembre dernier. »

    (Crédits : Capture d’écran/AS/Telegram)


    Les attaques visent Israël, l’Inde, la France, l’Australie en avril 2023. Puis revendique les perturbations contre Outlook, Teams, SharePoint Online, OneDrive for Business et de la plateforme cloud Azure. « Les attaques d’Anonymous Sudan se caractérisent par des attaques par DDoS Web associées à des vagues UDP et SYN floods. Les attaques proviennent de dizaines de milliers d’adresses IP uniques avec un trafic UDP pouvant atteindre 600 Gbps et des vagues de requêtes HTTPS jusqu’à plusieurs millions de requêtes par seconde. »

    Attaque versus communication

    Les attaques cybernétiques de type Déni de service (DDoS) sont légion. Avec un investissement réduit, vous disposez d’un maximum d’efficacité. En 2022, Microsoft subit 1435 attaques de type DDoS par jour. Le but est toujours de nuire. Pour un euro investi, c’est plusieurs centaines de milliers d’euros de dégâts.

    En 2023, chaque attaque coûte en moyenne 500 000 dollars aux entreprises. Les personnes dernières usées de défiguration de site et de DDoS

    La communication autour de l’attaque est importante. Une attaque DDoS peut être utilisée pour camoufler une autre offensive.

    Ce qui peut étonner, est la mise en avant ce ces attaques. La France est régulièrement attaquée. L’Assemblée nationale voit son site tomber en novembre 2023.

    (Crédits : Elchinator/Pixabay)


    Comme martèle LeMagIT, la publicité faite autour de ces attaques questionne. « Les incidents cyber au sujet dont l’État ne parle pas ne manquent pas. Choisir de communiquer sur ce DDoS, et saisir l’opportunité de se positionner en victime à coût nul, n’a rien d’innocent. »

  • Quelques jours après son démantèlement, LockBit est de retour ?

    Quelques jours après son démantèlement, LockBit est de retour ?

    La coopération des différentes forces de police met hors d’état 34 serveurs du ransomware-as-a-service LockBit. Actif depuis 2019, il est reconnu comme le rançongiciel le plus nocif et le plus prolifique. Les dégâts se chiffrent en milliards d’euros. Sauf qu’après l’effet d’annonce et la couverture médiatique, il semble être de retour. La seule certitude est que la coopération policière fonctionne, que le ransomware a souffert. L’opération Cronos nuit gravement à la capacité et la crédibilité du groupe cybercriminel.

    L’action internationale coordonnée entre police et justice débouche le 19 février 2024 à une mise hors ligne de 34 serveurs. Une faille PHP est exploitée à l’insu du groupe de cybercriminels. Deux membres sont arrêtés en Pologne et en Ukraine sur demande des autorités françaises.

    Opération Cronos

    L’opération implique les services de police et de justice de plusieurs pays (États-Unis, Grande-Bretagne, France, Japon, Suisse, Canada, Australie, Pays-Bas, Suède et Allemagne) avec un appui de plusieurs autres pays (Finlande, Pologne, Néo-Zélande, Ukraine). Trois mandats d’arrêt internationaux et cinq actes d’accusation sont émis par les autorités judiciaires françaises et américaines, communique Europol.

    L’exploitation qui a duré plusieurs mois a abouti à la compromission de la plate-forme principale de LockBit. C’est également d’autres infrastructures critiques qui ont servi à leur entreprise criminelle.

    Il s’agit de 34 serveurs en Allemagne, aux Pays-Bas, aux États-Unis, en Finlande, en France, en Suisse, en Australie et au Royaume-Uni.

    Les autorités ont ainsi gelé plus de 200 comptes de cryptomonnaie liés à l’organisation criminelle. Cela souligne l’engagement pris. La perturbation de perturber les incitations économiques qui poussent les attaques de rançongiciels.

    (Crédits : capture d’écran)


    La faille CVE-2023-3824 exploitée par les forces de police

    Quand les rôles s’inversent, le gendarme devient voleur. La comparaison avec le jeu enfantin s’arrête ici. Les forces de l’ordre ont exploité la faille connue sous CVE-2023-3824.

    Une vulnérabilité trouvée dans PHP à 8.0.29 est classée critique. Cela concerne la fonction phar_dir_read du composant PHAR Handler.

    La désormais célèbre faille qui a fait tomber le ransomware Lockbit lors de l’opération Cronos le 20 février 2024. Lors du chargement d’un fichier phar, et de la lecture des entrées du répertoire PHAR, une vérification insuffisante de la longueur peut entraîner un débordement de la mémoire tampon de la pile. Ce qui conduit potentiellement à une corruption de la mémoire ou à un RCE.

    Ce problème peut permettre à un attaquant d’initier une corruption de la mémoire en obligeant l’application à ouvrir une archive .phar spécialement conçue. Ainsi l’attaquant la permission de corrompre la mémoire ou de provoquer une condition de déni de service (DDoS). (Crédits : capture d’écran)


    L’exécution de code à distance (Remote Code Exécution) est utilisée pour exposer une forme de vulnérabilité. Elle peut être exploitée lorsque l’entrée de l’utilisateur est injectée dans un fichier ou une chaîne, et que l’ensemble du paquet est exécuté sur l’analyseur du langage de programmation.

    LockBit est de retour ?

    « Le 19 février 2024 […] à 6 h 39 UTC j’ai trouvé une erreur sur le site 502 Bad Gateway, j’ai redémarré nginx – rien n’a changé, j’ai redémarré mysql – rien n’a changé, j’ai redémarré PHP – le site a fonctionné. À 20 h 47, j’ai constaté que le site affichait une nouvelle erreur 404 Not Found nginx. J’ai essayé d’entrer sur le serveur via SSH et je n’ai pas pu, le mot de passe ne convenait pas, comme il s’est avéré plus tard, toutes les informations contenues sur les disques ont été effacées. »

    Celui qui semble être le CEO du ransomware explique qu’en raison de sa négligence personnelle et de son irresponsabilité, il n’a pas mis à jour PHP à temps. Il évoque cependant un autre style d’attaque comme 0day.

    Les sites avaient disparu de la toile, comme annoncé. Mais 5 jours après un nouveau site vitrine apparaît. « LockBit dispose toujours d’une infrastructure en ligne qui fonctionne toujours. Il est assez ahurissant de constater que depuis 4 ans et 170 jours, ces types se livrent à des cambriolages d’écoles et d’hôpitaux et qu’ils viennent encore d’en faire », explique Kevin Beaumont, chercheur en sécurité.

    « Aucun FBI avec ses assistants ne peut m’effrayer et m’arrêter, la stabilité du service est garantie par des années de travail continu. »


    Depuis 63 victimes sont placardées sur le site de fuite. Les derniers en date sont l’hôpital texan Ernest Health, l’agence napolitaine en immobilier de luxe, stock developement avec 1 TB d’informations, l’entreprise chinoise de communication SunWave…

  • Cyberattaques… quels sont les coûts et conséquences ?

    Cyberattaques… quels sont les coûts et conséquences ?

    Peu importe la cible touchée par une cyberattaque, elle subit des dommages. Plus l’offensive est sophistiquée, plus les conséquences peuvent être désastreuses. Les attaquants peuvent s’en prendre à vos terminaux de différentes manières. Les plus connues sont par le déni de service (DDoS), par ransomware ou rançongiciel… Si l’entreprise trinque, les clients également. Retour sur deux exemples parmi tant de victimes à chaque seconde : la commune de Saguenay au Canada et l’entreprise réunionnaise Colipays.

    La ville de Saguenay a été la cible en octobre 2023 d’une cyberattaque. Rapidement, les systèmes informatiques ont été mis en sécurité, et des mesures de protection étaient mises en place assurait la clinique. L’entreprise Colipays subissait une attaque cybernétique durant les périodes de Noël affectant la livraison de clients. Leur nombre selon la première estimation entre 200 et 500.

    Quel est le coût d’une cyberattaque ?

    Il est difficile de faire à brûle-pourpoint une estimation Il y a les coûts directs et ceux qui sont indirects. Les premiers sont facilement quantifiables, les seconds moins. Comme les terroristes, leurs buts sont de maximiser l’impact pour nuire à votre défense future. Aussi, ils cherchent à minimiser les frais de l’attaque pour un maximum de dégâts. L’attaque terroriste qui a marqué les esprits et celle contre les tours jumelles, le World Trade Center le 11 septembre 2021. Les conséquences se chiffrent, car « les dépenses de sauvetage et de déblaiement ainsi que les frais connexes ont été estimés à au moins 11 milliards de dollars. »

    Les coûts directs facilement quantifiables.

    Les coûts premiers sont la possible rançon ainsi que les frais de justice. Puis le renforcement des moyens de sécurisation, des données corrompues ainsi que la mise en conformité réglementaire. Les enquêtes techniques avec les notifications aux clients de l’intrusion, et les relations publiques.

    En octobre dernier, la ville canadienne de Saguenay est victime d’une cyberattaque. C’est à travers ses équipes informatiques, qui ont réagi rapidement, que les dommages n’ont pas été causés.

    Saguenay a dû dépenser de 35 000 à 40 000 $ pour répondre à une attaque informatique dont elle a été victime en octobre dernier.

    « Il n’y a absolument rien auquel les pirates ont pu avoir accès, a confirmé Dominic Arseneau, porte-parole de la Ville de Saguenay. Le rapport final disait que l’objectif des pirates n’était pas forcément de voler des données de la Ville, mais plutôt d’usurper l’identité de la Ville pour hameçonner d’autres personnes par la suite ».

    (Crédits : Mohamed Hassan/Pixabay)

    Peu après l’attaque de la commune, c’est la clinique qui subit les foudres. Le ou les personnes à l’origine ont eu accès aux prénoms, noms, adresses, numéros de téléphone, jusqu’au numéro d’assurance maladie et des informations sur leur couverture d’assurance. « Il est important de noter qu’à l’heure actuelle, nous n’avons aucune indication [voulant que] vos renseignements personnels […] aient été mal utilisés », expliquait le Dr Michel Bérubé, directeur médical de ladite clinique.

    Les coûts indirects

    Une entreprise victime d’une attaque peut voir son image ternie. La méfiance voire défiance peut s’installer chez les clients, les partenaires, jusqu’aux investisseurs. La marque Lise Charmel, groupe lyonnais avait été placé en redressement judiciaire suite à la cyberattaque qui avait bloqué l’entreprise un mois durant. La procédure judiciaire a été retirée de la période d’observation depuis le 30 septembre 2021.

    Le groupe recouvrait le chemin de la rentabilité et du chiffre d’affaires. C’est un petit « miracle » tout de même après « le black-out total » sur la production, mais aussi la création, les achats, la logistique, jusqu’aux e-mails.

    L’entreprise réunionnaise Colipays rétablit la vérité après la cyberattaque subie depuis les fêtes de fin d’année 2023. Le remboursement prévu au 15 janvier 2024 est décalé au vu du nombre de dossiers à traiter.

    « Si aucune date fixe de remboursement ne peut aujourd’hui être annoncée, nous pouvons juste à ce jour vous dire que tous nos clients seront remboursés, c’est notre engagement et notre promesse », communique Colipays sur Zinfos974. La gestion des réclamations via courriel les a conduits à renforcer leurs équipes. Vingt personnes, qui ont dû être formées à cette mission. (Crédits : Mohamed Hassan/Pixabay)

    Les conséquences se découvrent les unes après les autres. « Nous comprenons l’impact que cette situation peut avoir sur nos clients, et nous nous engageons à rembourser intégralement chaque personne victime du piratage », indique l’entreprise. D’autant que les réseaux sociaux se sont transformés en pugilat. LA transparence est de mise. Surtout après être entré en contact avec un groupe formé sur Facebook. « Certains commentaires excèdent la limite du raisonnable, car particulièrement virulent, et peuvent être sanctionnés judiciairement », martèle l’entreprise.

    La facture indirecte est toujours plus élevée

    Les coûts directs sont conséquents, mais ils sont minimisés par l’ampleur des coûts indirects. Ils sont l’augmentation des primes d’assurance, l’interruption des activités, la déprécation de la marque, la baisse du chiffre d’affaires, perte de confiance des clients voire des investisseurs… jusqu’au dépôt de bilan. Dans le monde digital dans lequel nous vivons, la protection des données et des infrastructures est plus qu’une nécessité absolue.

    La Capitale des Flandres cyberattaque indiquait un coût d’un million d’euros, qui est désormais estimé à 1,7 million relate La Voix du Nord. « Entre 50 et 60 % des PME ayant été victimes de cyberattaques mettent la clé sous la porte dans les dix-huit mois qui suivent », estime le directeur régional Grand Est d’Orange Cyberdefense, Gérard Vallet en réponse aux questions de L’Alsace.

    Près d’une année après avoir été la cible de hackers qui au moment des faits avait bloqué la quasi-totalité des systèmes informatiques, Clestra, fabricant bas-rhinois de cloisons pour bureaux et salles blanches, n’en finit pas de payer les conséquences de cette cyberattaque. Comme des sociétés outre-Atlantique.

    Clestra hauserman, victime d’une cyberattaque qui lui aurait coûté entre 7 et 8 millions d’euros, a entraîné sa mise en redressement judiciaire, les piratages informatiques peuvent avoir des répercussions très graves.

    (Crédits : Mohamed Hassan/Pixabay)

    « C’est la principale raison qui a amené l’entreprise au dépôt de bilan », indique Amar Laadra, responsable CGT métallurgie. Le bilan de l’année 2022 des conséquences financières des cyberattaques envers les entreprises françaises est sans appel. Elles ont coûté 2 milliards d’euros à la France en 2022. Selon le cabinet de conseil Asterès, qui se fonde sur l’analyse de 385 000 cyberattaques en France en 2022. « La compromission des informations d’identifications est la première cause de violation pour 19 % des entreprises. L’hameçonnage qui arrive juste après touche 16 % des organisations. Il s’agit également de la cause de violation de données la plus coûteuse en 2022 pour 4,91 millions de dollars en moyenne », martèle le gouvernement. Malgré la prise de conscience des enjeux de la cybersécurité, les entreprises et collectivités restent mal protégées, avec un manque cruel de « culture informatique ».

  • Cyberattaques de l’Assemblée nationale et du syndicat pour l’assainissement parisien, SIAAP

    Cyberattaques de l’Assemblée nationale et du syndicat pour l’assainissement parisien, SIAAP

    Durant la période du vendredi 17 au dimanche 19 novembre 2023 deux attaques cybernétiques ont eu lieu en France. La première visait le SIAAP (Syndicat interdépartemental pour l’assainissement de l’agglomération parisienne), l’autre est celle revendiquée par le groupe Kromsec contre l’Assemblée nationale. Le même groupe avait sévi en juillet de cette année : sa cible le ministère de la Justice. Il avait fait fuiter des données d’un millier de magistrats et d’avocats.

    Le syndicat interdépartemental pour l’assainissement de l’agglomération parisienne par un communiqué de presse indique être la victime d’une « cyberattaque d’ampleur ». Depuis vendredi 17 novembre, les « développements ce week-end de la cyberattaque […] en ont confirmé l’étendue et la virulence. » Selon le communiqué de presse les équipes sont à pied d’œuvre pour « empêcher au maximum la propagation depuis et vers l’extérieur de l’attaque repérée en fin de semaine. »

    L’entreprise est pour la seconde fois, en moins d’un mois la cible d’une cyberattaque. Le 24 octobre 2023, un message contenu dans un courriel frauduleux invitait le destinataire à cliquer. Il prétendait une migration de messagerie. « […] cette attaque a rapidement été maîtrisée et l’infrastructure informatique reste opérationnelle. »

    Une réaction en cascade s’enchaîna. Des messages furent émis vers d’autres administrations à partir du serveur d’envoi du SIAAP. Il serait dans la possibilité que durant l’attaque par courriel du mois d’octobre, une charge dormante soit déposée pour un déclenchement ultérieur, simple hypothèse et interrogation.

    (Crédits : jhenning/Pixabay)

    L’Assemblée nationale touchée une fois de plus

    Durant le même week-end, l’Assemblée nationale fait l’objet d’une attaque DDoS. Elle est revendiquée, preuve à l’appui par le groupe Kromsec. Le groupe n’en est pas à son coup d’essai. Œuvrant depuis 2022, ils divulguaient des informations personnelles de 1122 magistrats et avocats. Sur un canal Telegram, des coordonnées bancaires, courriels professionnels, civilités, numéros de téléphone… étaient exposés relate Nathalie Chiotis sur Cyberjustice. Samedi 18 novembre 2023, le collectif de hackers se targue sur sa chaîne Telegram d’avoir « accès à toutes les informations hébergées dans le système ».

    Le 27 mars 203, l’Assemblée nationale subissait une attaque DDoS du groupe russophone NoName057 (16). Cette fois c’est Kromsec qui revendique l’attaque contre la chambre basse ce 17 novembre 2023. Il y aurait également une exfiltration de données.

    Dans un message accompagnant les six captures avec des données comme preuve, le groupe indique aimer la France : « Chère France, nous avons un petit message pour toi. L’ancien pays où les droits de l’homme ont été mentionnés pour la première fois en Europe… Quelle est la raison de votre situation actuelle ? […] Nous pensons que cela changera dès que possible. Nous vous aimons. Mais que le gouvernement aille au diable ! »

    « Ils revendiquent l’attaque du site de l’Assemblée même si, pour l’instant, rien ne permet d’affirmer que l’opération a réussi. Ils m’ont également dit qu’ils avaient accès au système interne, mais je n’ai reçu aucune preuve », stipule Clément Domingo, alias SaxX (ingénieur en cybersécurité) au Parisien.

    (Crédits : capture d’écran/Kromsec)

    Kromsec, pirates en herbe ?

    Leur première annonce faisait grand bruit lorsqu’ils diffusaient, via trois liens des photos et informations d’environ 400 de Talibans présumés, relate Zataz. « Nous sommes là pour lutter pour la justice, l’égalité et les droits de l’homme. » Ils sont six a composer le groupe de pirates Kromsec selon les informations de Zataz. « c’est ainsi que les six adolescents [Spid3r – X3nocrates – Loki – Zeitbor – Novidades – Cr4x0n] cachés derrière le groupe de pirates Kromsec annonce vouloir aider le monde. »

    Ils apparaissaient sur des sites connus tels Raid Forum, Breached ou encore Hydra, proche des Anonymous sans y être affilié. Peu de temps après avoir commencé à vendre ou tenter de le vendre les données volées, l’un de leurs membres était arrêté par les forces de l’ordre, Cr4x0n.

    « L’un de nos chers membres, Cr4x0n, a été arrêté à la suite d’un rapport de police. La police n’était pas la seule impliquée […] et nous avons trouvé le fameux “espion”. Nous ne tolérons aucun type d’infiltration dans KromSec, que ce soit pour rapporter ou publier des informations en ligne », martèle le groupe.

    (Crédits : capture d’écran/Kromsec)

  • Cyberattaques d’aéroports et de la filiale de Boeing, Jeppesen

    Cyberattaques d’aéroports et de la filiale de Boeing, Jeppesen

    Deux attaques d’aéroports sur le sol britannique par le groupe russophone UserSec, deux cyberattaques par ransomware une sur le sol mexicain et une sur le tarmac américain. Ces dernières seraient l’œuvre du ransomware LockBit, bien que pour Boeing Jeppesen, la revendication soit supprimée du site de fuite (au bouclage de l’article). Ce qui remémore une attaque dont la même filiale du géant américain avait subi les dommages en novembre 2022. Elle avait perturbé de nombreux vols.

    Le site de l’aéroport de Manchester en Angleterre est depuis revenu en ligne. Le 30 octobre 2023, les opérateurs du groupe UserSec revendiquaient l’attaque cybernétique de l’aéroport de Manchester. Sur le canal Telegram, ils affichent la couleur en ciblant des compagnies au Royaume-Uni. « Première cible, le plus grand aéroport du pays, l’aéroport de Manchester. Pour le moment, les serveurs sont hors service et le site est hors service. […] Ce site sera indisponible jusqu’à 20 h 30, heure de Moscou, puis nous passerons à la cible suivante », expliquent-ils. Si la durée d’indisponibilité du site WEB fut plus courte qu’indiqué, ils tendent à démontrer leurs capacités.

    Les logiciels malveillants ont eu, et continuent d’avoir un impact sur les utilisateurs comme Nitrokod. UserSec avait déjà ciblé le territoire britannique en août 2023 avec les attaques sur les aéroports de Birmingham et de Belfast. (Crédits : London Gatwick Airport/X)

    Mais une autre menace est révélé à demi-mots par London Gatwick Airport : « Assurez-vous de vous adresser à nous ». Des copies de sites, de pages WEB, etc. peuvent être mises en place pour tromper les usagers. Puis, comme annoncé par UserSec, c’est au tour de l’aéroport de Gatwick de subir les foudres d’UserSec. Le lieu n’est pas choisi au hasard, Gatwick est deuxième plus important aéroport du Royaume-Uni, en effet plus de 45 millions de passagers y transitent chaque année.

    Attaque de l’aéroport de Querétaro

    De l’autre côté de l’océan atlantique, c’est au Mexique qu’une cyberattaque d’ampleur, au sein de l’aéroport international de Querétaro (AIQ). Elle est revendiquée par le ransomware plus que connu LockBit. Le groupe cybercriminel laisse jusqu’au 27 novembre 2023 à l’aéroport pour satisfaire leurs exigences, faute de quoi ils publieront les données récupérées.

    Trois documents sont d’ores et déjà affichés par les opérateurs derrière le ransomware. Preuves des données en leur possession. (Crédits : capture d’écran/LockBit)

    Selon les autorités, « à aucun moment la sécurité opérationnelle de l’aéroport n’a été compromise et que l’organisation et son infrastructure fonctionnent normalement ». Une déclaration de l’AIQ a indiqué qu’une « cyberattaque a été subie, dérivée d’un acte involontaire du personnel de l’organisation interagissant avec un fichier contenant un logiciel malveillant. » L’entité aéroportuaire continue en indiquant que « des enquêtes ont été lancées en collaboration avec les autorités compétentes afin de déterminer la nature, l’étendue et les parties responsables. »

    Boeing confirme la cyberattaque

    En Amérique du Nord, c’est le principal concurrent d’Airbus qui est sur le devant de la scène. En effet, le géant de l’aérospatiale Boeing confirmait qu’un « cyberincident » avait eu lieu. Elle se serait déroulée vers le 28 octobre 2023. L’entreprise a confirmé l’incident de cybersécurité. « Il porte atteinte à l’activité de pièces détachées et de distribution », relate 20minutes. Aucune perturbation au niveau de la sécurité. L’entreprise enquête activement en collaboration étroite avec les forces de l’ordre et les autorités compétentes.

    Certaines revendications disparaissent des sites de fuite. C’est le cas pour l’entreprise américaine Boeing. Un accord a t-il été trouvé ? (Crédits : capture d’écran/LockBit)

    Étrangement, le post a été supprimé. TechCrunch rappelle que lorsqu’une le dossier est supprimé, c’est souvent « un signe qu’une organisation a accepté de négocier avec les pirates, ou payée tout ou partie de la demande de rançon. À la demande de TechCrunch, Boeing a refusé de dire s’il avait reçu une demande de rançon ou si la société avait payé. » La compagnie avait subi un cyberincident il y a tout juste un an, suivi par une enquête. Cet incident avait provoqué des perturbations dans la planification des vols le 4 novembre 2022, et le besoin d’accroître la sécurité pour ces lieux sensibles.

  • Le Salvador a reçu 24 millions de cyberattaques en trois mois

    Le Salvador a reçu 24 millions de cyberattaques en trois mois

    Le nombre est conséquent. Sur l’année 2023, l’entreprise de cybersécurité Fortinet tient les comptes. Elle indique que le pays d’Amérique centrale qu’est le Salvador a subi pas moins de 24 millions de cyberattaques. Toutes ces agressions se sont déroulées lors du premier trimestre de 2023. L’Amérique latine est en proie à une chasse appuyée. Le Mexique, le Brésil, la Colombie, le Pérou ou encore le Costa Rica endurèrent dans un temps plus ou moins proche des attaques plus ou moins dévastatrices.

    La cible des cybercriminels ? Tout système d’information que ce soit votre smartphone, tablette, IoT, votre ordinateur personnel ou professionnel. La finalité engrangée de l’argent, des secrets, des données… En France, les dernières victimes sont la ville d’Angoulême et l’agglomération Grand Angoulême, le 24 juillet 2023. Les deux entités ont subi une cyberattaque. L’origine de l’attaque cybernétique serait un simple courriel explique le reportage de France 3.

    Les images diffusées peuvent informer de systèmes, outils ou renseignements pour mieux cibler les cyberattaques prochaines. (Crédits : capture d’écran/Facebook/Angoulême)

    11 millions en janvier, 9 millions en mars

    Le pays qui compte près de 7 millions d’individus voit ses infrastructures mises à rude épreuve. Les méthodes les plus classiques de ces cybercrimes sont le phishing, des documents corrompus, des manques accrus de sécurité. Elles sont souvent conjuguées à différentes offensives, par exemple les ransomwares, les dénis de services (DDoS).

    Les dommages peuvent paralyser partiellement, ou complètement un pays en souffrance comme le fut le Costa Rica. Elles sont des vecteurs d’attaques lors de conflits armés, de guerre commerciale, de guerres armées, de déstabilisation. (Crédits : StockSnap/Pixabay)

    Le pays dans cette région d’Amérique, le Costa Rica détient le record avec deux milliards. Les pays d’Amérique latine les plus visés sont sans conteste le Mexique, le Brésil, la Colombie et le Pérou. Cette partie du monde concentre plus de 360 milliards d’attaques ou tentatives d’attaques explique le quotidien La Prensa Grafica. Une cyberhygiène semble nécessaire, car un adage précise que tout incident « informatique » est issu de l’entité située entre la chaise de bureau et le système d’information.

    Le groupe « Guacamaya » s’attaque aux sites des armées

    En septembre 2022, le gouvernement mexicain se retrouvait confronté à l’une, sinon la plus grande cyberattaque., du moins celle connue du public. Ainsi, des dizaines de milliers de courriels étaient exposés. Les premiers datent de 2016 à septembre 2022. Ils révélaient l’état de santé du président Andrés Manuel López Obrador, des différents chefs de l’armée chilienne, soit 6 téraoctets d’informations plus ou moins sensibles du ministère de la Défense nationale chilienne, la Sedena.

    Ce sont 10 téraoctets d’informations, dont certaines ultrasensibles, qui étaient volés au Chili, au Mexique, au Salvador, au Pérou et en Colombie par le groupe de cyberactivistes, Guacamaya. Comme dans les précédentes affaires, des journalistes ont commencé à en divulguer le contenu. (Crédits : Latinus/YouTube)

    Selon Latinus l’objectif principal du groupe, qui se fait appeler « Guacamaya », était de révéler des informations de l’armée chilienne, qu’il a réussi à pénétrer, ainsi que les serveurs Internet des armées du Salvador, du Pérou, de la Colombie et du Mexique. De même l’état-major interarmées (EMCO) avait contraint la ministre chilienne de la Défense, Maya Fernández à revenir au Chili pour gérer une cellule de crise. Les activistes de « Guacamaya » n’en étaient pas à leur première opération. En août 2022, selon la plateforme DdoSecrets.com, ils divulguent plus d’un téraoctet de courriels provenant de sociétés minières et pétrolières du Brésil, de Colombie, du Chili, de l’Équateur, du Guatemala et du Venezuela, relate El Universal. Les actions contre les multinationales, gouvernements, Pays… passent désormais via l’Internet, une nouvelle guerre à d’ores et déjà commencée.

  • Cyberattaques contre l’administration suisse

    Cyberattaques contre l’administration suisse

    L’administration suisse a fait les frais de plusieurs attaques par déni de services (DDoS). Les allocutions du président de l’Ukraine, Volodymyr Zelensky, à l’étranger sont souvent suivies d’une cyberattaque. Ainsi le conflit armé se trouve d’un côté, le conflit cybernétique de l’autre. Plusieurs entités de l’administration suisse étaient inaccessibles le lundi 12 juin 2023. La raison en est une attaque DDoS contre les systèmes de l’administration fédérale. Les sites WEB en question sont à nouveau accessibles.

    À trois jours de l’allocution du président ukrainien par vidéo, au parlement suisse ce jeudi 15 juin à 14h, la chambre subissait une attaque DDoS. Le groupement NoName057(16) a revendiqué en ligne cette attaque. Ce groupe était également à l’origine de l’attaque sur parlament.ch rendue publique la semaine dernière.

    En effet jeudi 8 juin 2023, le président du Conseil national, Martin Candinas, alertait ses collègues de l’accessibilité intermittente du site du parlement helvétique. Peu de temps après les autorités affirmaient que « La cause en était des attaques contre l’infrastructure du site web, qui ont pu être neutralisées par des mesures appropriées. Aucun système interne ni aucune donnée n’ont été touchés ».

    Hasard du calendrier ou non, l’attaque contre l’État suisse s’est produite le 12 juin, « Jour de la Russie ». C’est un jour férié qui marque la proclamation, en 1990, de la souveraineté de la Fédération de Russie vis-à-vis de l’URSS, explique Le Matin. (Crédits : Le Matin)

    Le Temps révélait la cyberattaque contre la société de solution informatique allemande Xplain. « Compte tenu des informations actuelles, l’attaque par rançongiciel contre l’entreprise Xplain, dans le cadre de laquelle une partie des données volées a été publiée sur le darknet, pourrait également concerner des données opérationnelles de l’administration fédérale. Des analyses approfondies sont en cours », affirme le Centre national pour la cybersécurité. Ce qui est sûr, le groupe russophone NoName057(16) n’est pas un inconnu outre Rhin. Des attaques DDoS avaient visé l’Assemblée nationale française.

    Six fichiers compressés de plus de 2.5 GB de données sont accessibles sur le site de fuite du ransomware Play. (Crédits : capture d’écran/Play)

    Le 31 mai dernier, une attaque contre le stationnement payant était-elle une coïncidence à la venue du président français à Bratislava ? Quoi qu’il en soit le stationnement payant était en dysfonctionnement toute la journée.

    Les membres du groupe CyberTriad revendiquaient l’origine de la cyberattaque.

    La ville confirmait ceci sur les réseaux sociaux : « En raison d’une panne de service informatique, le paiement des frais de stationnement dans les parcmètres et les applications mobiles ne fonctionne pas actuellement. Ainsi, le paiement des frais de stationnement dans les zones réglementées par le PAAS ne sera pas vérifié aujourd’hui jusqu’à 12h00. Nous travaillons à la réparation de la panne, merci de votre compréhension ». Un autre post apparaissait à 16h, le problème n’étant pas encore réglé.

  • BMW France, l’Assemblée nationale et Séché Environnement victimes de cyberattaque en France

    BMW France, l’Assemblée nationale et Séché Environnement victimes de cyberattaque en France

    Lundi 27 mars 2023, le site de l’Assemblée nationale a été mis hors ligne quelques heures. Une attaque par déni de service distribué (DDoS) est à l’origine du dysfonctionnement. L’attaque cybernétique serait l’œuvre du groupe #NoName057 (16). L’entité qui se revendique prorusse affiche sur le réseau Telegram ses attaques. La réforme des retraites engagée par le gouvernement français, n’est en rien l’élément déclencheur. Le soutien de la France à l’Ukraine serait le grief.

    Durant la majeure partie de la journée de lundi, le site WEB de l’Assemblée nationale affichait « Le site est actuellement en maintenance ». L’attaque serait due au soutien de la France à l’Ukraine. Ce, dans le conflit qui l’oppose à la Russie depuis plus d’un an. Le groupe pro-Kremlin est à l’origine d’une série d’attaques DDoS au cours des derniers mois. Ses victimes sont notamment des aéroports polonais et des sites WEB administratifs après que Varsovie ait livré des chars Leopard à l’Ukraine. Des cibles existent au Danemark, en République tchèque, Finlande et en Lituanie relate Politico.

    Le message affiché par le site de l’Assemblée nationale à la suite de l’attaque DDoS revendiquée par le collectif NoName057 (16), ce lundi 27 mars 2023. (Crédits : Capture d’écran)

    L’accès au site de la chambre basse a été rétabli aux alentours de 17 heures, le 27 mars. L’attaque « est restée circonscrite à l’accès au site et n’a pas eu de conséquences sur son fonctionnement […] ni sur les données des parlementaires et des agents », relate l’Assemblée dans un communiqué de presse.

    Le groupe d’opérateurs derrière NoName057 (16) ciblait plusieurs banques danoises lors d’une attaque par DDoS mardi 10 janvier 2023. Parmi elles figuraient certaines des plus grandes institutions financières, dont la Jyske Bank et la Sydbank. (Crédits : Johan Wessman/CC BY 3.0)

    Selon le dernier rapport publié par l’ENISA, la crise russo-ukrainienne définit une nouvelle ère pour la cyberguerre et l’hacktivisme. « Le paysage des attaques DDoS, à l’instar de ce qui s’est passé pour COVID-19 après 2019, a été affecté par les changements géopolitiques introduits par la guerre entre la Russie et l’Ukraine qui a débuté le 24 février 2022 lorsqu’une série d’attaques coordonnées a été lancée contre le gouvernement ukrainien et les institutions financières. »

    Le ransomware Play News revendique l’attaque de BMW France. Selon toute vraisemblance, les opérateurs laissent jusqu’au 9 avril 2023 à l’entité pour négocier. Passé ce délai, les données seront probablement publiées comme c’est le cas pour La Cave Beblenheim ou le cabinet d’expertise comptable Paillet & associés par LockBit 3.0. (Crédits : capture d’écran)

    Lundi 27 mars 2023, c’est également le système informatique de l’entreprise Séché Environnement qui était victime d’une cyberattaque. L’origine de cette attaque n’est pas encore identifiée, mais Séché Environnement a déposé plainte explique France Bleu.

  • 733 attaques informatiques en 2021 pour la Santé

    733 attaques informatiques en 2021 pour la Santé

    Le rapport du ministère des Solidarités et de la Santé vient de tomber sur les bureaux. Les quarante-deux pages du compte rendu annuel de l’observatoire des signalements d’incidents de sécurité des systèmes d’information pour le secteur santé dressent un tableau sans équivoque. Entre 2020, et l’année passée, le nombre d’incidents à tout simplement doublé, passant de 369 à 733. C’est aussi 582 établissements de santé qui ont été la cible d’une attaque.

    La croissance des évènements est conséquente, pour rappel en 2019 392 avaient été dénoncés. L’année 2021 a été marquée par de nombreux incidents majeurs liés à des attaques par ransomware (CH de Dax, Villefranche-sur-Saône ou Arles), mais aussi à l’exfiltration massive de données (AP-HP), et dernièrement le GHT. L’utilisation de courriels malveillants, autrement dit la technique dite de l’hameçonnage est très développée par les attaquants pour chercher à compromettre un système d’information.

    incidents déclarésstructures déclarantesdemandes d’aides par CERT santéInterventions d’appuiSuivi par le FSSISuivi par l’ANSSIInformation au CORRUSS (1)
    202036929090327144
    202173358218980173617
    En coordination avec le CERT Santé (Computer Emergency Response Team), l’ANSSI et le FSSI (Fonctionnaire de Sécurité des Systèmes d’Information) sont intervenus directement au profit de 37 structures de santé, dans le suivi de la gestion d’un incident ou l’appui à la réponse. (Crédits : Ministère des Solidarités et de la Santé)

    Les victimes de ces attaques les plus graves sont pour 36 d’entre eux des établissements de santé publics, dont 19 opérateurs de services essentiels (OSE). Ces incidents étaient liés à des attaques par rançongiciel, des compromissions par chevaux de Troie, de comptes (AD, VPN ou messagerie), la vente d’identifiants sur Internet, l’exploitation de vulnérabilités sur des équipements de sécurité ou encore des dysfonctionnements graves de systèmes critiques. Deux cliniques privées et un EHPAD visé par un , et dix prestataires fournisseurs de services spécifiques santé et médico-sociaux

    (Crédits : Ministère des Solidarités et de la Santé)

    Les 603 signalements ont été effectués pour la majorité en jours et heures ouvrés (82 %). Ensuite 74 l’ont été après 18 h, 19 avant 9 h en jours ouvrés, seuls 37 durant les week-ends et jours fériés. L’état des incidents informatiques varie. Ils ont été résolus pour 240 en 2021 (162 en 2020), 231 en cours d’investigation (98 en 2020), 190 en cours de résolution pour 73 l’an passé. Les régions pour lesquelles le nombre de signalements est le plus important sont l’Occitanie et l’Île-de-France avec respectivement 92 et 81 signalements.

    (1) : Centre opérationnel de réception et de régulation des urgences sanitaires et sociales