Un début d’année de moindre envergure, semble-t-il, sur les attaques par ransomware à travers le monde, sauf en France. La tendance dans l’hexagone est sensiblement équivalente. Le Groupement d’Intérêt Public Action contre la Cybermalveillance (GIPACYMA) dénombre 167 demande d’assistance en janvier 2022, contre 169 le mois précédent. Cela dit, ce n’est pas parce que les actions des malfaiteurs ne sont pas publiques, que leurs offensives n’existent pas. La prudence comme la rigueur sont les maîtres mots.
Le site « Cybermalveillance » du gouvernement a vu sa notoriété croître depuis sa création. En 2021, la fréquentation compte plus de 2 000 000 visiteurs uniques, contre 1 235 545 visiteurs en 2020. Ce qui va de pair est que plus de 135 000 victimes sont venues chercher de l’assistance depuis le 1er janvier, contre 105 000 l’année précédente, soit une augmentation de 28.57 %. Les victimes en ce début d’années sont nombreuses :
Le GIP ACYMA est mal connu du grand public, pourtant il est nécessaire d’en prendre connaissance avant d’avoir besoin de leurs services. Il en est de même lorsque vous êtes victime d’un accident, qu’il soit domestique, professionnel, ou sur la voie publique… des gestes, des réflexes, des conduites à tenir, souvent issues de retour d’expérience (RETEX) regroupe des acteurs étatiques impliqués tels que l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
La commune de Saint-Cloud a été victime d’une attaque par ransomware des opérateurs derrière LockBit. Ils ont divulguées toute ou partie des données exfiltrées des différents systèmes d’information de la ville, exposant des civilités, des coordonnées… (Crédits : capture d’écran)
Le mois de février dénombre les offensives malveillantes contre SVAJeanRozé (Alphv, 01/02/2022), Air Calédonie, Ametis (LockBit, 04/02/2022), l’HôteldesCèdres (LockBit, 04/02/2022), Progereal (LockBit, 04/02/2022). Les attaques lorsqu’elles sont détectées font l’objet de procédure, mais les personnes derrières tout ceci sont à même de conserver les données sans demander de rançon, ni divulgation. Les informations glanées pourraient être le point de départ d’un conflit économique, politique, voire armé.
L’année 2022 débute que les attaques par ransomware s’enchaînent. Après Hardisk (Qlocker), PaulBeuscher (Grief) et le pôle Léonard de Vinci à Chambray-lès-Tours, c’est la commune de Saint-Jean-de-Maurienne d’être la cible d’une infection par rançongiciel. Tous les serveurs et le réseau informatique sont paralysés depuis dimanche 16 janvier 2022. La communauté de communes (EPCI) Cœur de Maurienne Arvan fait parti des victimes. Le retour à la normale n’est pas avant fin janvier explique la commune dans son communiqué.
Alors que les vacances scolaires d’hiver pointent le bout leur nez le 4 février au soir, la commune savoyarde est proie d’un ransomware. Lundi 17 janvier 2022, les 300 agents de l’EPCI Cœur de Maurienne Arvan (3CMA) et de la ville trouvaient une note leur interdisant de reconnecter de quelque manière leur système d’informations, communément appelés pc. L’offensive serait de la même envergure que celle subie par la ville d’Annecy le 25 novembre 2021, ou encore que les centres hospitaliers d’Albertville et Annecy. La « ComCom » avait commencé à déployer un système de protection, rapporte France Bleu, qui a permis de parer une partie de l’attaque et de sauver une partie des données.
Pas de retour à la normale prévue avant la fin du mois de janvier martèle la présidence de la 3CMA. Impossible de joindre la communauté de communes, le centre communal d’action sociale, l’office de Tourisme Montagnicimes, le syndicat de Pays de Maurienne. Seule la mairie de Saint-Jean-de-Maurienne est disponible au 04 79 64 11 44. (Crédits : DR)
Immédiatement, Jean-Paul Margueron, Président de la 3CMA, déposait plainte, une enquête est en cours. Un certain nombre de services en ligne seront donc inopérants durant cette période. De la même manière, la 3CMA, le CIAS et plusieurs services sont injoignables téléphoniquement, rappelle le communiqué de la 3CMA.
Alors que tous les gouvernements prônent le retour au télétravail, les sécurités sont-elles de mise ? Le SARS-CoV-2 occupe peu ou prou la totalité du paysage médiatique, quand ce n’est pas la campagne pour l’élection présidentielle. Ce n’est pour autant pas la seule information ni contamination à travers la planète. Celle ressentie par les codes malveillants d’opérateurs que nous appelons communément « Virus ». Les attaques par ransomware sont prolifiques en cette année 2021, et promettent une année 2022 du même acabit.
Le tout premier de l’année fut le groupe OMV System France, par le ransomware Darkside en date du 3 janvier 2021, revendiqué le 19. Si certaines organisations semblent tomber aux oubliettes, comme Avaddon, il faut rester prudent. AlphaVM réclame l’offensive et les 650 GB de données sur Snop Group. Également 151 GB exfiltrés de Douglas Shaw & Associates. Bl@cktor explique que les entreprises attaquées avec lesquelles un accord est trouvé ne verront pas leurs données publiées. Pour les autres bl@ckt0r « publiera ici la notification de violation de données et commencera à échanger leurs données exfiltrées. » L’université UNEXCA de la Grande Caracas au Venezuela est l’une des cibles. La somme de 30 000 $ est demandée. Des coordonnées sont affichées et mentionnent numéro de carte d’identité, prénom, nom, date de naissance…
Le message est clair. « Nous avons des informations qui vont soit intéresser vos concurrents, soit causer des dommages à votre entreprise », martèlent les opérateurs derrière AlphaVM. Contactez-nous avant que nous publiions les données affichent-ils le 21 décembre 2021. (Crédits : capture d’écran)
Clop affiche Swirespo (Singapour), Muschert-gierse (Allemagne), MTMRecognition (USA) avec des quantités astronomiques de renseignements comme des courriels. Concernant la firme américaine, au total plus de 700 000 adresses mail sont répertoriées.
Entropy fait partie des nouveaux ransomwares tissant petit à petit sa toile et les fuites des attaques sur le site de leaks. (Crédits : capture d’écran)
Grief est prolixe tant en offensive qu’en mise à jour des données exposées, comme en date du 28 décembre 2021, des données du bureau national de radiodiffusion et de télécommunications. Ainsi le groupe de ransomware Midas relate de nombreuses attaques (New Corp, Texas Entreprises, GEW Corporation Limited…).
La France cible de choix
Les cibles, comme les municipalités sont telles que les attaques quadrillent l’hexagone de part en part. En janvier 2021, OMV System France (3/1-Darkside), Coffim (4/1-NetWalker), le 16 la ville d’Angers subissait une attaque par ransomware. « Dans la nuit de vendredi à samedi, une cyber attaque a fixé le système d’information de la ville d’Angers et de la métropole. Le diagnostic a conclu à une attaque de type rançongiciel qui a frappé La Rochelle, Aix Marseille, Vincennes, l’ADEME… dans un passé récent », twittait la commune. Revil/Sodinokibi a revendiqué l’attaque de la société UCAR perpétrée le 20 janvier, le 2 février 2021. Le conseil départemental de la Vienne se retrouvait sans téléphone ni ordinateurs, des suites d’une attaque informatique. La clinique de l’Anjou à travers ses personnels hospitaliers se rendait compte à 4 h, le 23 janvier que plus rien ne fonctionnait. La commune d’Houilles victime de chiffrement de données puis de demande de rançon (30-1), le même jour, la Châtaigneraie tombe sous le coup de PYSA. Enfin Darkside revendique le vol de plus de 30 Go de données sensibles de Wonderbox.
Février : le 1er , Pénélope par Darkside, BVA (Conti), le 2 SVI Assurances (Avaddon), le 5 Mutuelle Nationale des Hospitaliers (RansomExx), Groupe Leader Interim, le 6 Signabois, le 9 le Centre Hospitalier de Dax (Ryuk), Trigano (Revil/Sodinokibi), le groupement Hospitalier de Dordogne le 11 février 2021, le 15, l’hôpital Nord-Ouest de Villefranche-sur-Saône (Ryuk), 1001 Vies Habitat, l’hôpital de La Chatre, le 16 la boulangerie Wach de Selestat, la mairie de Pontault-Combault, l’AFNOR le 18 (Ryuk), Bénéteau bloqué le 19 février, une usine classée Seveso à Béziers, comme Burgo Adrennes, le 21 Chalon-sur-Saône et Manutan (DoppelPaymer). Le lendemain, Charles André SAS. Lactalis s’en sort grâce à une détection en amont. Cashmag par Avaddon le 28
Les mois se suivent et se ressemblent. Le mois de mars affichent vingt-deux attaques :
CGG (1/3, Cl0p), CEE Schisler (1/3, Conti), Communauté de communes de l’Est lyonnais, Soflog (3/3, DoppelPaymer), Servimo (3/3), Jacquet Metals (4/3, Conti), Rainbow Guyanne (5/3), Coallia (6/3), Centre hospitalier d’Oloron (8/3), SDIS 14 (9/3), SDIS 47 (10/3), La compagnie du SAV (10/3, Avaddon), Mersen (15/3, Mount Locker/Astro Team), Groupe Upperside Capital Partners (19/3, Conti), Montagne et Neige Développement (22/3), Asteelflash (24/3, Revil), Institut de formation santé de l’Ouest (26/3, Ragnarok), Yposkesi (27/3, Babuk), Targetcom (28/3, Avaddon), Goron (30/3, DoppelPaymer), Montagnettes (30/3, Ragnarok), et Pierre Fabre (31/3, Revil)
Albioma, Toshiba TFIS, Atalian, iQera, Acer Finance, Berger-Levrault, Otago Productions, Axa (Asie), Stelliant, Mauffrey, Fraikin, Arca Assurances, Iserba, Despretz, STAM, Funbreak, Le Volcan, Syndex, V2 Location, Alma SAS, Cabinet Remy Le Bonnois, Assurcopro
Aqualung Trading, Tendriade, Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Demarne Frères, Cerba, Arketeam, Deux-Sèvres Habitat, 4murs, Au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes d’Armor, SEPUR, Maître Prunille, Voltalia, Groupe Traon Industrie Développement, Inserm Transfert, Imprimerie Lamazière, Epsilon Hydraulique, Always International, Assurances et Courtage Lyonnais, Alltech France, Lenaja, Groupe Confiance Immobilier, Xefi, CCI Bordeaux-Gironde, Assu2000, Villepinte
Groupe PCM, Fichorga, Keyrus, Royatonic, Centre Hospitalier de Périgueux, Erstein, Aris-Services, MHR, Socoplan, CGP Industries, Six cabinets d’avocats, Groupe Profil, Elven, Résidence Les Châtaigniers
Centre Hospitalier d’Arles, Solware, L’Argus, AssurOne, Luçon, Alispharm
Septembre
Octobre
Novembre
Décembre
Ransomwares
Vivea, Telecom Sud Paris, Annoncez-vous, La Martiniquaise, Cromology, Steel Projects, Champagnes & Châteaux, LinkOffice, Conflans-Saint-Honorine, Fugybat, Maitrex
Un CFA d’Essonne, Groupe Avril, April, Fandi, CEPI Management, Dalloyau, Jean Floc’h, Chryso, Bureau d’étude thermique Saison Paragot (Chartres), GPV France, Eduservices, Bureau Veritas, Syndicat intercommunal informatique de Bobigny, Orchestra, Annecy, Verlingue, LDLC, Agglomération du Grand Guéret,
Montceau-les-Mines, SVP Information Décisionnelle, Promhotel, Sud Trading Company, Chantelle, Fittingbox, Ressort Masselin, Mr Bricolage (44), Inetum, Château-Thierry, La liste du mois d’avril à décembre est très longue, et reste imbuvable même en tableau. La communauté d’agglomération Est Ensemble
La liste du mois d’avril à décembre des victimes est si longue, qu’elle reste imbuvable même en tableau. La communauté d’agglomération Est Ensemble Grand Paris finit l’année aux prises avec une cyberattaque (27 décembre) révèle LeMagIT.
La dernière faille est connue sous Log4Shell. L’année 2022 se doit d’être éducative pour le surf sur l’Internet et les manières de se protéger, d’autant que les opérateurs derrière les ransomwares sont toujours à la recherche de la faille.
Tandis que tous ne pensaient qu’à célébrer la fête d’Halloween, les attaques par ransomware firent figure d’épouvante sur plusieurs continents. Les 37 000 étudiants et 4 000 professeurs de l’université autonome de Barcelone (UAB) ne pouvaient imaginer être contaminés par un autre virus que le SARS-CoV-2… ce fut le cas avec le PYSA (Protect your system amigo), mais également des écoles américaines, des cliniques et hôpitaux à travers le monde, les transports de la communauté de Toronto, Solware qui partage son expérience pour prévenir, ainsi que la toute puissante NRA.
Depuis le 11 octobre 2021, rien ne va plus dans la capitale catalane, de nombreux élèves de l’UAB sont privés de leurs courriers électroniques universitaires, de WiFi, de base de données… Les professionnels reconnaissaient déjà qu’il faudrait « des heures, des jours ou des semaines » pour que la normalité soit rétablie. Ce qui n’est toujours pas le cas, qui plus est, les discours n’évoquent plus de « jours ou peut-être de semaines », mais des mois, peut-être décembre ou janvier 2022. Dès le 15 octobre 2021, les équipes examinent, et vérifient, un par un, l’état de plus de 10 000 systèmes informatiques des différents bâtiments et facultés pour voir s’ils étaient endommagés, sur la base d’un test effectué avec une clé USB qui contient un kit de diagnostic, relate le 20 minutes espagnol.
Tous les utilisateurs sont invités à changer de mot de passe pour accéder aux applications de l’environnement Microsoft. « Nous rappelons que pour créer un nouveau mot de passe, ils doivent d’abord donner une adresse e-mail alternative, différente de celle qu’ils utilisent à l’UAB. » (Crédits : capture d’écran)
Les responsables de l’établissement nient avoir été en relation avec les cybercriminels concernant une rançon. Si des professionnels invités dans l’émission « Els Matins » de TV3 parlaient de trois millions d’euros, le recteur de l’UAB, Javier Lafuente, dément être prêt à payer cette somme ou toute autre, affirme The News Trace.
Près de 1000 écoles américaines attaquées en 2021
Outre-Atlantique, le district scolaire de Janesville (Wisconsin) a subi une attaque par code malveillant de type ransomware durant le week-end du 23-24 octobre. Ce qui a eu pour conséquence de bloquer l’accès des élèves, du personnel et des parents à plusieurs systèmes et programmes en ligne (Infinite Campus, Classlink, manuels et ressources). L’équipe informatique a contacté la Division of Enterprise Technology Cyber Response Team de l’État, le FBI et le ministère américain de la Sécurité intérieure. Cette mésaventure n’est que la dernière en date d’un nombre croissant d’attaques par ransomware contre des administrations municipales et des écoles. En août 2021, 58 avaient touché autant de districts scolaires et organisations éducatives dans tout le pays, dont 830 écoles individuelles. « Il y a eu 84 incidents en 2020 », indique WPR. Brett Callow, chercheur chez Emsisoft, a partagé la liste avec Motherboard, elle comprend 73 districts scolaires, soit 985 établissements d’enseignement.
Le porte-parole du district scolaire, Patrick Gasper, a confirmé dans un courriel que Janesville avait souscrit une cyberassurance, et que le groupe était en contact avec son agent d’assurance au sujet de l’évènement. (Crédits : capture d’écran Facebook)
« 2021 : l’année des ransomwares » pourrait être le titre d’une œuvre cinématographique. La réalité dépasse souvent la fiction. Certaines attaques ont fait couler beaucoup d’encre aux États-Unis : Colonial Pipeline ou le fournisseur de viande JBS. Ainsi que le « Colegio medico de Chile » en septembre 2021, révélé un mois plus tard. Un peu plus au nord, le Canada n’est pas mieux loti. La ville de Clarence-Rockland subissait lundi 25 octobre une infection des systèmes d’information. Une semaine plus tôt, c’est l’hôpital du district de Kemptville qui signalait un « incident de cybersécurité », comme la Société de transport de l’Outaouais (STO) début septembre. « La situation à laquelle nous nous habituons de plus en plus, c’est que les cybercriminels balayent Internet complètement, de part en part, et cherchent des systèmes vulnérables », explique Steve Waterhouse, chargé de cours en sécurité de l’information à l’Université de Sherbrooke et ancien agent de sécurité des systèmes d’information au ministère de la Défense nationale canadien.
Des données de santé dans la nature
Pléthores d’hôpitaux, de cliniques sur les cinq continents ont été ciblés par les attaques, mais dans quel but ? La raison semble toute trouvée, au vu des nouvelles disséminées ici et là, l’argent. Pendant que la planète se suspend à quelque chose d’invisible à l’œil nu, de l’ordre d’un diamètre de 50 à 140 nanomètres (le cheveu mesure entre 50 et 100 micromètres, mille fois plus grand). Donc, les forces de défense sont dirigées vers le SARS-CoV-2, tandis que celle des systèmes d’information et outils informatiques de plus en plus prégnants dans nos sociétés est délaissée, depuis bien longtemps. Le tout, en espérant naïvement que les criminels adoptent une éthique quant aux cibles si sensibles. Souvent les attaques se soldent par une demande de rançon, les communiquées de presse ne spécifient, que peu ou prou, cette information. Il y a deux jours, le 2 novembre 2021, le plus grand centre de cancérologie de Las Vegas indiquait avoir subi une infection par ransomware, lors du « Labor Day » au mois de septembre. Le centre affirme que les données des patients ont pu être compromises. Les pirates ont pu obtenir les noms, adresses, dates de naissance et numéros de sécurité sociale des patients dans les dossiers médicaux. Le centre informe actuellement les patients actuels et anciens concernés.
Les grands groupes criminels ont fait un communiqué de presse, au début de la crise, pour dire que, temporairement, ils suspendaient les attaques contre les hôpitaux
La fuite de 500 000 dossiers de patients en Bretagne, l’hôpital d’Arles, en France pour ne citer qu’eux, en Belgique la clinique située à Bouge, le groupe de cliniques privées Pallas infectées en août 2021. Outre-Atlantique, des experts sont préoccupés par l’étendue des dommages causés aux banques de données du système de santé de Terre-Neuve-et-Labrador, à la suite d’une cyberattaque détectée en fin de semaine dernière. « Lorsqu’une attaque par ransomware se produit, tous les services sont arrêtés dans un hôpital. Les médecins, les infirmières, ils n’ont pas accès aux dossiers et ne peuvent donc pas fournir des soins efficaces aux patients », a déclaré Ed Gaudet, PDG de Ciensient à CBS News. Comme en France, les infections par ransomware procurent des effets négatifs à long terme sur les hôpitaux, selon une nouvelle analyse menée par la Cybersecurity and Infrastructure Security Agency (CISA) « Les effets en aval comprennent l’annulation ou le report d’opérations chirurgicales et de traitements contre le cancer, la fermeture de plusieurs sites de collecte de tests COVID-19, l’incapacité de soumettre des images radiologiques et la perte de communication entre les hôpitaux du réseau ». Cela ajoute des complications supplémentaires lorsque des lits sont à 80 % occupés, et que les établissements, de l’hexagone, sont obligés de déprogrammer des opérations de toutes sortes.
Le ministre de la Santé, John Haggie a déclaré mardi 2 novembre 2021 qu’on ne pouvait pas encore déterminer précisément l’ampleur de l’arriéré qui serait créé par la cyberattaque présumée, ni sur le temps qu’il faudrait pour reconstruire et restaurer les services. (Crédits : DR)
Au début du mois d’octobre, UMass Memorial Health, un système de soins de santé situé à Worchester, dans le Massachusetts, prévenait 209 048 patients que leurs informations privées avaient pu être compromises. « Le 25 août 2021, nous avons terminé le processus d’identification des personnes dont les informations étaient contenues dans les comptes. Pour les patients, les informations concernées comprenaient les noms, les dates de naissance, les numéros de dossier médical, les informations sur l’assurance maladie et les informations cliniques ou de traitement, telles que les dates de service, les noms des prestataires, les diagnostics, les informations sur les procédures et/ou les informations sur les prescriptions. Pour les participants à un régime de santé, les informations concernées comprenaient les noms, les numéros d’identification des souscripteurs et les informations relatives au choix des prestations. Pour certaines personnes, un numéro de sécurité sociale et/ou un numéro de permis de conduire étaient également concernés », stipule le communiqué en date du 25 août 2021.
Purement financier
La cyberattaque contre l’hôpital Hillel Yaffe de Hadera est purement financière, évoque le responsable de la cybersécurité au sein du ministère de la Santé, Reuven Eliyahu. « C’est probablement un groupe de hackers chinois qui s’est séparé d’un autre et qui a commencé à travailler au mois d’août », explique-t-il dans un entretien accordé à la radio militaire.
« Le personnel et les experts externes en cybersécurité continuent de résoudre l’attaque par ransomware, gazouille TTC. Les systèmes touchés par l’attaque sont toujours hors service, mais nous nous efforçons de les rétablir en toute sécurité. » (Crédits : capture d’écran YouTube)
Les opérateurs derrière les offensives par ransomware stoppent les systèmes — empêchant l’accès aux dossiers des patients, la transmission des images radiologiques et d’autres fonctions qui augmentent le risque pour eux — jusqu’à ce qu’une somme soit payée. Les pirates russophones à l’origine de cette vaste campagne de piratage (FIN12) vérifieraient les comptes bancaires avant de sélectionner leurs victimes, exigeant des rançons qui peuvent se chiffrer à plusieurs millions de dollars.
70 % des entreprises payent la rançon
La dernière entreprise attaquée est l’agence de transport en commun connue sous le nom de TTC (Toronto Transit Commission). Elle exploite les services d’autobus, métro, tramway et de transport adapté dans la capitale de l’Ontario. « L’étendue complète de l’attaque est en cours d’examen et la TTC travaille avec des experts des forces de l’ordre et de la cybersécurité sur la question », a déclaré Stuart Green, un porte-parole de la compagnie. L’entreprise fournit un service de transport en commun jusqu’à 1,7 million de personnes par jour. « Selon une nouvelle étude près de 70 %, des organisations canadiennes qui ont été victimes d’une attaque par ransomware l’an dernier ont payé les rançons demandées pour éviter les temps d’arrêt, les atteintes à la réputation et d’autres coûts », selon la chaîne CTV News.
Les opérateurs derrière Grief affichent 623, 2 mégaoctets de données de la NRA. Des lettres datant de 2016 à l’attention de quatre sénateurs, des membres de l’association, mais aussi le budget des différences assurances pour l’année 2022. (Crédits : capture d’écran)
Du 29 avril au 12 mai 2021, Colonial Pipeline était à l’arrêt total. La panne a entraîné de longues files d’attente dans les stations-service, dont beaucoup étaient à sec, et une hausse des prix du carburant. Car la société transporte environ 2,5 millions de barils de carburant de la côte du Golfe du Mexique à la côte Est. Colonial a payé aux pirates, qui étaient affiliés à un groupe de cybercriminels lié à la Russie et connu sous le nom de DarkSide, une rançon de 4,4 millions de dollars peu après le piratage. Les pirates avaient également volé près de 100 gigaoctets de données de Colonial Pipeline et avaient menacé de les divulguer si la rançon n’était pas payée.
Le groupe Avril opère dans 19 pays et emploie 7600 salariés. En 2020, son chiffre d’affaires s’élève à 5,8 milliards d’euros. Il possède comme filiale Lesieur, l’huile Puget, Diester, œufs Matines (France), Bunica (Roumanie), Taous, El Kef (Maroc)… (Crédits : capture d’écran)
Le groupe français Avril a été victime d’une cyberattaque mercredi 3 novembre 2021. C’est un groupe agro-industriel international d’origine française spécialisé dans l’alimentation humaine, l’alimentation animale, l’énergie et la chimie renouvelable. Toutes les mesures nécessaires à la protection des systèmes d’information ont immédiatement été mises en place dans l’ensemble du Groupe, comme la coupure de son réseau IT. Avril confirme que « certains siègeset site du groupe fonctionnent en mode dégradé » et indique « mettre tout en œuvre pour continuer ses activités et servir ses clients ».
Attaque ton ennemi quand il n’est pas préparé, apparais quand tu n’es pas attendu
Sun Tzu
Qu’en sera-t-il pour le lobbying extrêmement puissant et source de conflit, qu’est la NRA (National Rifle Association) ? « La NRA ne discute pas des questions relatives à sa sécurité physique ou électronique. Cependant, la NRA prend des mesures extraordinaires pour protéger les informations concernant ses membres, ses donateurs et ses opérations – et elle est vigilante à cet égard », a écrit Andrew Arulanandam, directeur général des affaires publiques de la NRA. Les experts en cybersécurité sont convaincus que « Grief est une initiative d’un groupe de cybercriminels russes qui utilisait auparavant le pseudonyme Evil Corp », actuellement sous le coup de sanctions de la part du département du Trésor américain, explique NBC News. Le constat semble amer, quel que soit l’endroit sur le globe. « Dans le cyberespace, la bataille est un marathon ; c’est une guerre continue. C’est la Troisième guerre mondiale. C’est un champ de bataille où se trouvent des milliards de combattants », évoque dramatiquement Reuven Eliyahu.
Échanger pour mieux se protéger
Solware Auto est depuis près de 35 ans au cœur du monde de l’automobile et de ses évolutions, car il est un logiciel de gestion et facturation qui est au cœur de nombreux garages. Le 12 août 2021, les équipes de Solware découvrent que leurs serveurs ont été chiffrés par le ransomware Conti. L’attaque a supprimé des données de sauvegarde et le chiffrement de données de production. « Cet incident a eu notamment pour conséquence de perturber l’accès à plusieurs applications hébergées, affectant ainsi de nombreux clients usagers du DMS winmotor2 », relate Le Journal de l’Automobile. « Face au fléau de la cybercriminalité et les attaques par ransomware, nous avons absolument besoin d’une immunité collective ! C’est la raison pour laquelle j’ai décidé de partager ma malheureuse expérience et de rompre la loi du silence qui prévaut en ces circonstances, y compris et surtout avec nos confrères et concurrents du marché du DMS automobile, dont certains avec lesquels j’ai déjà échangé », annonce Gérald Ferraro.
Les attaques par code malveillant ne faiblissent pas, que ce soit à l’étranger comme en France. Sept entreprises de l’hexagone, pour le mois de septembre 2021 sont les jouets de malversation : Annoncez-vous, Télécom Sud Paris par CoomingProject, La Martiniquaise par Blackmatter, Cromology et Champagnes Thiénot par Grief, puis Steel Projets par Everest. Si les rançongiciels sont de plus en plus présents, et redoutables quant à leurs méthodes, qu’est-ce qu’un ransomware ? Quels buts ? Quel fut le premier ?
L’agence nationale de la sécurité des systèmes d’information (ANSSI) définit « un rançongiciel est un code malveillant empêchant la victime d’accéder au contenu de ses fichiers afin de lui extorquer de l’argent. La très grande majorité des rançongiciels a actuellement la capacité de chiffrer des fichiers stockés sur le réseau de la victime. » Ne pas confondre programme (malware) et code malveillant le premier est réservé aux logiciels, le second est un script qui profite des vulnérabilités des sites, dans l’intention de charger un programme malveillant.
Ces lignes de code ont pour but d’afficher la date et l’heure en plusieurs formats sous Python. Il se loge et se cache dans divers endroits. Ainsi l’attaque trouve son vecteur dans un courriel, une connexion avec un équipement infecté (clé USB, câble…), navigation, fausse mise à jour, l’exploitation d’une vulnérabilité…(Crédits : mes exemples)
L’agence du numérique en santé donne des conseils. En cas de bugs inattendus, de lenteur du système, d’un disque dur anormalement actif, des messages étranges , la désactivation des logiciels de sécurisation… elle préconise de déconnecter le poste, sans l’éteindre, et surtout d’avertir les techniciens et le responsable des SSI (sécurité des systèmes d’information).
Le 1er mars 2021, l’agence nationale de la sécurité des systèmes d’information (ANSSI) publiait un document qui faisait état de la menace. « La tendance à la hausse des attaques par rançongiciel à l’encontre d’organisations publiques et privées, identifiée depuis 2018, s’est à nouveau confirmée en 2020, tant à l’échelle internationale que nationale », alerte-t-elle. En effet de 2019 à 2020, c’est une augmentation de 255 % des offensives stipule l’ouvrage. Aucune discipline d’activité ni zone géographique n’est épargnée, bien au contraire. L’observation démontre un accroissement des assauts contre des collectivités locales, du domaine de l’éducation, du secteur de la santé et d’entreprises de services numériques.
Comme le jour de marché, les marchands disposent leurs étalages. Dessus s’affichent les produits, leurs noms avec l’étiquette des prix. (Crédits : capture d’écran)
Qui plus est lorsque « la rentabilité des attaques par rançongiciel, est bien supérieure à leur coût de mise en œuvre, explique la prolifération des groupes d’attaquants et laisse présager une constance, si ce n’est une hausse, de la menace liée aux rançongiciels dans les années à venir. » Pour les cibles, les coûts et dégâts causés sont multiples et variés. Ils peuvent être des pertes financières, d’exploitation, une atteinte à l’image, perte de clients, de données… il arrive parfois que la somme soit payée pour diverses raisons.
Big Game Hunting, RaaS et double extorsion
Les moyens choisis sont pléthores quand il s’agit d’infecter un terminal, mais trois se détachent. Le triptyque offensif affiche le Big Game Hunting, le ransomware-as-a-service (RaaS) et la double extorsion.
Le premier est littéralement la chasse au gros gibier. Elles portent références aux associations de malfaiteurs derrière les ransomwares qui ne recherchent que des cibles majeures. Telles que les réseaux d’entreprises, multinationales, plutôt que de s’en prendre aux petits. C’est une façon de gagner plus d’argent des compagnies victimes, ayant beaucoup plus à perdre que des simples données de particuliers. Ce type d’attaque s’est intensifié en 2019, la plupart visant des fournisseurs de services gérés, des écoles américaines, des gouvernements locaux américains et, plus récemment, des entreprises plus grandes en Europe.
Les opérateurs derrière le ransomware GoldenEye demandaient 300 dollars américains pour chaque terminal infectés. En France Saint-Gobain avait reconnu l’être. Un mois après l’affaire WannaCry, et les nombreux dégâts occasionnés à l’internationale comme dans l’hexagone, par exemple chez Renault à Douai. (Crédits : DR)
Le ransomware-as-a-service (RaaS) a évolué depuis sa première apparition. Classiquement, il est un code malveillant qui crypte presque instantanément les données à l’aide d’un chiffrement RSA (initiales des inventeurs : Ronald Rivest, Adi Shamir et Leonard Adleman). Moyennant le paiement d’une somme d’environ 300 dollars, la clé de déchiffrement vous était envoyé. Ces deux campagnes d’attaques font évoluer la sécurité des systèmes d’information des diverses sociétés. La première NotPetya, puis celle qui est considérée comme la plus grande attaque par ransomware de l’histoire de l’Internet, WannaCry.
Histoire de WannaCry
Le 12 mai 2017, une attaque par d’une ampleur encore inconnue affectait plus de 200 000 victimes à travers le monde. Il est un « crypto-ver ransomware », qui a ciblé les terminaux exécutant le système d’exploitation (OS) Microsoft Windows en chiffrant les données et en exigeant des paiements de rançon en Bitcoin. « Il est considéré comme un ver de réseau car il inclut également un mécanisme de transport pour se propager automatiquement.» À travers le code de distribution, il recherche les dispositifs vulnérables, puis utilise l’exploit EternalBlue pour y accéder et enfin l’outil DoublePulsar (Backdoor ou porte dérobée de la NSA) pour s’installer et exécuter une copie de lui-même. À l’origine, il s’agirait, sans aucune confirmation de la performance du groupe nord-coréen Lazarus. Quid des correctifs ? Microsoft avait publié, deux mois auparavant, un correctif de sécurité contre cette vulnérabilité. Nombreux individus et organisations ont payé pour apprendre. En ne mettant pas régulièrement à jour leurs systèmes, ils ont été exposés à l’attaque. Comme l’écrit la journaliste Samantha Schwartz sur « Cybersecurity Dive ».
La diffusion d’informations suite à une attaque par ransomware est de plus en plus fréquente, surtout quand les cibles n’acquittent pas la rançon. (Crédits : Capture d’écran)
« La facilité avec laquelle une organisation criminelle peut franchir votre périmètre, quel qu’il soit, à notre époque, et accéder aux biens est bien plus simple que ce que même moi j’aurais pensé lorsque je travaillais dans la communauté des renseignements », déclarait Justin Fier directeur de la cyberintelligence et des analyses chez Darktrace. « Cela m’inquiète que nous soyons en 2021 et que ces mots sortent même de ma bouche pour vous », assurait-il face à Samantha Schwartz. Ils ne se contentent plus de chiffrés les informations, ils visent avant tout à les exfiltrer, les crypter (en laissant des preuves convaincantes de la présence de l’attaquant dans le réseau), puis vient l’extorsion. Enfin, lorsque les rançons demandées ne sont pas payées ou que la cible refuse, il y a publication des données volées sur l’Internet (Web, DeepWeb, DarkWeb…). Car le but premier des opérateurs est de gagner de l’argent, ce par n’importe quel moyen. Puis, les attaques dissimulent peut-être des opérations à finalités commerciales, d’espionnages, ou encore comme le NotPetya à finalité destructrice.
À quand remonte le premier ransomware ?
À peine un mois après la chute du Mur de Berlin, entre le 8 et le 12 décembre 1989, 20 000 disquettes 51/4 d’information sur le sida ont été envoyées depuis Londres en Europe, en Afrique, en Scandinavie, en Australie… Les destinataires sont des délégués d’un congrès mondial sur le virus du sida, qui s’est tenu à Stockholm en octobre 1988. La disquette contenait un questionnaire interactif sur ledit virus. À l’intérieur un programme pernicieux de type cheval de Troie, connu sous le nom de PC Cyborg. Il est conçu pour crypter des sections du répertoire racine du disque dur d’un terminal. Eddy Willems travaillait pour une compagnie d’assurance en Belgique, don patron lui demanda d’en vérifier la teneur. Il s’en saisit, l’insère dans le lecteur prévu à cet effet. Ce n’est que bien plus tard, qu’il remarque qu’« il y avait un message à l’écran me demandant de payer. Il me demandait d’envoyer 189 dollars à une boîte postale au Panama, sinon je ne pourrais plus utiliser mon ordinateur », raconte-t-il.
L’information a été conté, le logiciel décortiqué, disséqué de fonds en comble par la revue Virus Bulletin de janvier 1990. Sur un document de vingt pages, les auteurs usent de l’ingénierie inverse ou rétro-ingénierie. (Crédits : Developpez.com)
Il éteint l’ordinateur et emploie une disquette de démarrage pour le relancer. Il a constaté que ses répertoires étaient toujours là, mais qu’ils étaient cachés et que les dénominations des fichiers avaient été remplacés par des chaînes de caractères aléatoires. Heureusement, le contenu de ses fichiers n’était pas altéré, seules leurs appellations semblaient bizarres. « J’ai pensé : c’était du chiffrement. Mais c’était complètement ridicule. Le programme n’avait pas été créé par un vrai informaticien », dit-il. Le disque d’information contenait deux fichiers de programme, install.exe et aids.exe, écrits en QuickBASIC 3.0 et compilés de manière standard avec le compilateur fourni (v5.60) explique le rapport de 20 pages. Les forces de l’ordre remontaient vers le biologiste évolutionniste de Harvard, Docteur Joseph Popp. Arrêté pour avoir diffusé le virus informatique, et plusieurs chefs d’accusation de chantage, il avait été déclaré mentalement inapte à être jugé. Il meurt dans un accident de la voie publique le 27 juin 2006.
La firme japonaise, Tokio Marine Holdings, a dévoilé lundi 16 août 2021 avoir subi une attaque par code malveillant de type ransomware auprès de sa branche de Singapour. La branche visée est celle du plus important assureur japonais de biens et de risques divers. C’est à minima le troisième grand assureur à annoncer une infection par ransomware au cours des derniers mois, après CNA et AXA. De cette fin d’août, c’est le second cette semaine, avec Ryan Specialty Group — qui vient de lancer une introduction en bourse — à révéler un cyberincident.
La multinationale qui possède une division aux États-Unis et propose un produit de cyberassurance a déclaré ne pas avoir d’indication immédiate que des informations sur ses clients aient été violées. De telles données pourraient être une mine d’or pour les opérateurs malveillants, pour eux-mêmes ou des employeurs possibles, qui pourraient les utiliser à des visées d’extorsion, d’espionnage, de pression… ce en fonction du montant des couvertures des potentielles victimes. Tokio Marine Holdings a annoncé que sa branche de Singapour, Tokio Marine Insurance Singapore (TMiS), a été touchée par une attaque de ransomware. « Nous nous excusons sincèrement pour tout désagrément et toute préoccupation causés à nos clients ou aux parties liées, a déclaré Tokio Marine. Le groupe a pris des mesures de sécurité de l’information jusqu’à présent et s’efforcera de faire des efforts supplémentaires pour garder les informations de nos clients ainsi que nos informations confidentielles protégées. » L’entreprise japonaise a affirmé qu’elle tentait toujours de déterminer l’étendue des dommages et avait engagé un fournisseur externe pour l’aider. La société a déclaré qu’elle avait isolé le réseau affecté et qu’elle avait prévenu les forces de l’ordre locales.
Le président de l’assureur japonais Tokio Marine Holdings, Tsuyoshi Nagano, s’adressant aux médias en 2015. (Crédits : JIJI PRESS/AFP via Getty Images)
C’est au moins le troisième grand assureur à révéler une attaque par ransomware au cours des derniers mois, après CNA et AXA. Et c’est le deuxième cette semaine, avec Ryan Specialty Group (RSG), après son introduction en bourse, à dévoiler un cyberincident.
Le 21 mars 2021, CNA Financial Corporation (septième compagnie d’assurance commerciale aux États-Unis) souffrait une infection par codes malveillants. Elle avait été ciblée par le ransomware « Phoenix CryptoLocker », qui hors mis d’avoir crypté 15 000 appareils sur le réseau, avait également volé des fichiers contenant des informations sur les clients. L’assureur américain révélait dans une déclaration que « l’ANC a déterminé qu’elle avait subi une offensive de cybersécurité sophistiquée. L’attaque a provoqué une perturbation du réseau et a eu un impact sur certains systèmes de l’ANC, y compris le courrier électronique de l’entreprise ». Une source avait divulgué à BleepingComputer que Phoenix Locker serait une nouvelle famille de ransomware publiée par Evil Corp, en raison de similitudes dans le code, rédigeait Lawrence Abrams, dans son article.
Le ransomware « Avaddon » a depuis disparu des radars, laissant la place à de différents opérateurs derrière les noms de Grief, AvosLocker, ou encore LockBit. (Crédits : Capture d’écran)
Quasiment un mois, jour pour jour, le 16 mai 2021, les succursales du géant AXA basées en Thaïlande, en Malaisie, à Hong Kong et aux Philippines ont été frappées. « Vous pouvez nous féliciter pour l’attaque réussie de l’entreprise, nous avons crypté AXA Asia dans les pays suivants : Thaïlande (Krungthai-AXA), Philippine AXA investment, Hong Kong et Malaisie », se congratulaient les opérateurs. Ils revendiquaient posséder 3 To de données d’ordre médical (Antécédents, y compris des comptes rendus sur le VIH, l’hépatite, les MST et d’autres maladies), les réclamations des clients, les paiements aux clients, toutes les pièces d’identité des clients, comptes bancaires et tous les documents scannés des clients…
Vos opérateurs ciblent-ils les organisations qui ont une cyber-assurance ? Oui, c’est l’un des morceaux les plus savoureux.
REvil
L’attrait pour les compagnies d’assurance a été expliqué par un représentant des opérateurs du ransomware « REvil » dans une interview accordée à Dmitry Smilyanets, analyste du renseignement chez Recorded Future : « Oui, c’est l’un des morceaux les plus savoureux. Il faut surtout commencer par pirater les assureurs pour obtenir leur base de clients et travailler de manière ciblée à partir de là. Et après avoir parcouru la liste, il faut attaquer l’assureur lui-même ». Ces derniers temps, les cyberassureurs ont entamé une série de questions plus détaillées sur les mesures de protection en matière de cybersécurité des assurés avant de leur octroyer une couverture. Mais la succession d’attaques réussies récentes suggère que les compagnies pourraient elles aussi devoir renforcer leurs défenses.
La société de courtage nouvellement cotée en bourse RSG a fait état, lundi 16 août 2021, d’un incident de sécurité des données survenu aux alentours du 17 avril 2021. Elle a pris connaissance d’une « activité inhabituelle » liée à certains comptes de messagerie de salariés et diligentait une enquête qui s’est achevée le 30 juin 2021. L’entreprise déterminait que certaines boites mail d’employés avaient été lues sans permission entre le 4 et le 20 avril 2021. Il a été montré que certaines informations propres concernant un nombre limité de personnes étaient accessibles, mais pas nécessairement consultées par des individus non autorisés.
Ryan Specialty Group est une organisation internationale d’assurance spécialisée qui fournit des solutions innovantes aux courtiers, agents et compagnies d’assurance. (Crédits : DR)
Les informations accessibles comprenaient les :
noms
numéros de permis de conduire
numéros de sécurité sociale
informations sur les comptes financiers
numéros de passeport
informations médicales
informations sur l’assurance maladie
numéros d’identification délivrés par le gouvernement
numéros d’identification fiscale
noms d’utilisateur, email et mots de passe
dates de naissance de certaines personnes
L’annonce intervient quelques semaines seulement après que RSG ait fait ses débuts en tant que société publique. Les actions de Ryan Specialty Group Holdings Inc. ont augmenté de 9 % à la Bourse de New York le 23 juillet dernier, ce qui a donné une capitalisation boursière de 6,5 milliards de dollars à l’entreprise de courtage d’assurance fondée et dirigée par le vétéran de l’industrie Patrick Ryan. Il n’est pas le seul courtier d’assurance à signaler des incidents de données. L’automne dernier, le courtier Arthur J. Gallagher a fait état d’une attaque par ransomware survenue entre le 3 juin 2020 et le 26 septembre 2020. Depuis, il fait face à une poursuite judiciaire (suite à l’infection par ransomware survenue entre le 3 juin 2020 et le 26 septembre 2020), principalement par deux anciens employés (Jason Myers, de Californie, et John Parsons, de Louisiane). Les plaignants allèguent que Gallagher n’a pas respecté les normes gouvernementales fédérales et étatiques ainsi que les normes de l’industrie pour protéger leurs informations personnelles. Ils affirment qu’eux-mêmes, des clients et d’autres salariés de Gallagher ont subi des préjudices, ont engagé des frais et sont confrontés à la perspective d’un « risque actuel et imminent de vol d’identité à vie ».
Comme souvent outre-Atlantique, les litiges se terminent devant la cour, en bataille pour des dommages et intérêts. Le procès s’intitule Myers v. Arthur J. Gallagher. La plainte a été déposée auprès du tribunal de district des États-Unis pour le district nord de l’Illinois. (Crédits : DR)
La société incriminée a déclaré qu’elle avisait les individus potentiellement concernés et offrait gratuitement des services de surveillance du crédit et de protection de l’identité pendant 24 mois par l’intermédiaire d’Experian à ceux dont les informations intimes étaient accessibles dans les comptes de messagerie au moment de l’incident. Ce qui, selon les requérants, est « totalement inadéquat ». Ils réclament des dommages-intérêts compensatoires, statutaires, nominaux et punitifs, des frais de justice et des services de surveillance du crédit, mais pas seulement. Les plaignants demandent au tribunal d’ordonner à Gallagher de faire tester régulièrement la sécurité de son réseau par des tiers, d’améliorer la formation de son personnel de sécurité et d’acheter ou de financer des services de surveillance du crédit pour ses clients.
Peu encore touchée, la Suisse a fait l’objet d’attaques par ransomware cet été. Différentes entreprises dans des domaines aussi divers que variés sont devenues des proies. Le comparateur en ligne Comparis, le fabricant de machines pour l’entretien des voies ferrées, Matisa, sans oublier les composants de Huber+Sühner, l’horloger Swatch Group, les stores Griesser. Comparis et Credaris ont d’ores et déjà avisé les autorités de poursuite pénale.
Toutes travaillent en étroite collaboration avec leurs unités spécialisées en cybercriminalité. « Une plainte contre inconnu a été déposée », communique le groupe Comparis et Crédaris. La compagnie avec 80 millions de visites quotidiennes a contrairement à ce qu’elle avait initialement affirmé, a bel et bien versé une rançon (NDLR 400 000 euros réclamés en juillet 2020) aux opérateurs qui avaient paralysé ses systèmes, révèle Le Temps.
La firme suisse twittait, le 8 juillet 2021, que le CEO Steven Neubauer s’exprimerait à la télévision. (Crédits : capture d’écran Twitter)
Imaginez maintenant le scénario suivant : « Vous apprenez soudain que votre assurance s’est fait voler toutes vos données personnelles. On retrouve ainsi, en libre accès sur le web, vos dernières analyses médicales effectuées dans un laboratoire. Tout comme la liste de vos achats au supermarché, ainsi que l’ensemble de votre correspondance avec votre notaire. La raison est simple : toutes ces entreprises, basées en Suisse, se sont fait pirater, écrit Anouch Seydtaghia, dans Le Temps. Depuis longtemps, l’alerte est donnée, avec raison, par des experts […] à force de crier au loup, plus personne n’y prête attention. Or les hackers ciblent aujourd’hui la Suisse avec une violence jamais atteinte. »
Au sein du darknet, le groupe derrière le ransomware « Grief » affiche les preuves de son infection. (Crédits : capture d’écran)
Les opérateurs derrière le ransomware « Grief » revendiquent l’infection du fabricant de machines pour l’entretien des voies ferrées. Sur le site de l’entreprise, un message précise que « Matisa a été ce 20 Juillet 2021 la cible d’une cyberattaque de type rançongiciel (ransomware). À la suite de cette attaque, une partie des systèmes d’informations ont été bloqués ou isolés du réseau informatique par mesure de sécurité. » Ainsi le site de comparaison zurichois Comparis, Swatch Group (en 2020), le constructeur d’hélicoptères Kopter par le ransomware « Lockbit » (en 2020), l’entreprise électrique Huber + Suhner (en 2020), le groupe médical Hirslanden ont subit des attaques par codes malveillants.
La série d’attaques par ransomware se poursuit
Jeudi 12 août 2021, le groupe de cliniques privées Pallas est infecté. Présent dans une vingtaine de communes en Suisse alémanique, le réseau spécialisé dans la chirurgie plastique et oculaire annonçait l’attaque sur son site web, en précisant sur le bandeau que « nous ne sommes actuellement joignables que par téléphone au numéro +41 58 335 00 00. Nous vous remercions de votre compréhension et vous prions de bien vouloir nous excuser pour tout désagrément. » Grâce au déploiement immédiat d’experts en sécurité internes et externes ainsi que des autorités responsables, le problème avait été rapidement identifié et est maintenant traité par « nos spécialistes à toute vitesse », rassure la société.
Le site du groupe de cliniques spécialisées opère à rétablir les infrastructures. Aucune rançon n’a été mentionnée. (Crédits : capture d’écran)
Les renseignements des patients n’auraient pas été affectés, selon le communiqué. Les employés de la clinique ont toutefois été incapables d’accéder aux données des patients, car elles avaient été chiffrées, a précisé une porte-parole de la société. Les interventions chirurgicales se déroulent néanmoins normalement. Avec l’aide d’experts en sécurité internes et externes ainsi que celle des autorités compétentes, le groupe a pris des mesures contre l’attaque. Les hôpitaux sont confrontés à un conflit d’objectifs, écrit le centre national pour la cybersécurité suisse (NCSC), à savoir « investir le plus d’argent possible dans la santé afin de soigner les patients, mais ne pas négliger la sécurité informatique ».
C’est l’infection de plus d’un million de victimes, et jusqu’à 1500 entreprises, par le ransomware « REvil/Sodinokibi » qui fait la une des différentes presses, qu’elles soient en version papier, web, radiophonique ou télévisuelle. Pour autant, quand le tout numérique est le fer de lance des sociétés et des gouvernements de la planète, faut-il s’étonner ? Notre santé, nos comptes en banque, nos vies sur les réseaux « sociaux »… tout est data, donc tout est monnayable !
Le monde paye pour apprendre. Cette formule, souvent reprise dans les articles sportifs, illustre le futur. De nombreuses entreprises font les frais de cybercriminels. La différence se fait sur le point de vue. Ainsi, tapis dans l’ombre, ils traquent la faille, l’exploit…
Kaseya atteint par un crochet au menton
Ce lundi 5 juillet 2021, le monde se réveille groggy avec cette affaire, lorsque l’on regarde les journaux nationaux et internationaux. La firme revendique : « Avec Kaseya, proposez des services de gestion, de surveillance et de sécurité informatique de tout premier ordre. Rendez vos équipes plus productives sans augmenter vos ressources, grâce à des solutions de gestion informatiques évolutives, sécurisées et fiables. » Cela dit, la protection totale n’existe pas. Vous ne pouvez arrêter un individu voulant voler, il est primordial de prendre des dispositions. « Installer une porte blindée, de dernière génération, à l’entrée de votre domicile, ne vous dispense pas de fermer les fenêtres de derrière, restées ouvertes. »
Cyrille Chausson, sur le site « LeMagIT », écrit un article en 2019 à ce sujet. « La société propose une plateforme unifiée qui permet de centraliser la gestion des composants clés d’une infrastructure pour les PME. De la gestion des accès et des identités jusqu’à celle des terminaux utilisateurs », explique-t-il. Les grandes entreprises ont pléthores de tâches journalières, et, comme tout un chacun, délègue. Kaseya s’est fixé comme mission d’offrir une plateforme unifiée multi-usage.
La quantité des terminaux touchés peut effrayer, c’est l’effet domino observé depuis les infections des opérateurs derrière les différents ransomwares. Certains mettent la clé sous la porte, quand d’autres commencent, à l’instar de Lorenz, Hive, Grief, Prometheus ou Vice… (Crédits : capture d’écran)
Sa cible, les établissements de taille moyenne ou intermédiaire, elles comptent de 1 à 4 000 salariés. Pour ces sociétés, le management de l’infrastructure IT n’est pas un sujet pour elles. Cette dernière a besoin d’être définie pour comprendre l’ampleur de l’infection par codes malveillants. « L’infrastructure de la technologie de l’information (IT) fait référence aux composants combinés nécessaires au fonctionnement et à la gestion des services et des environnements informatiques de l’entreprise. »
Un retex (NDLR Retour d’expérience) sera effectué pas tant pour blâmer, mais pour en tirer les leçons indispensables.
L’entreprise Kaseya n’est pas une inconnue du Vieux Continent. La multinationale y réalise un tiers de son chiffre d’affaires. Le Royaume-Uni et l’Allemagne sont les marchés les plus porteurs sur cette zone. La France est certes en retrait, mais avec l’Allemagne, il s’agit du pays qui connaît la plus forte croissance, assure encore le CEO (NDLR chief executive officer ou président-directeur général). La conformité avec le RGPD fait partie des préoccupations des entreprises hexagonales, attirées par Kaseya.
Plus de 1500 cyberattaques au 1er juillet
« Nous avions compté plus de 1 600 attaques avec ransomware en 2020. Au premier juillet, nous en étions à environ 1 500. Ce chiffre a été largement dépassé le lendemain, du fait des activités du gang REvil, avec le rançongiciel Sodinokibi », relate Valéry Marchive. La demande de rançon est de 70 millions de dollars en Bitcoins, ce qui représente 45 000 par société. Une baisse de 11 % de la somme est concédée par les opérateurs, après d’âpres discussions. Ou, comme l’écrivent les chercheurs de chez Sophos, l’oublie d’effacement des snapshots de Windows, les Volume Shadow Copies, ouvrant la voie à des restaurations simplifiées, pourraient être à l’origine de la ristourne.
« Certains facteurs se distinguent dans cette attaque par rapport aux autres. Premièrement, en raison de son déploiement massif, REvil ne fait aucun effort apparent pour exfiltrer des données. Les attaques ont été personnalisées dans une certaine mesure en fonction de la taille de l’organisation, ce qui signifie que les acteurs de REvil ont eu accès aux instances du serveur VSA et ont pu identifier les clients individuels des MSP comme étant différents des grandes organisations. Et il n’y avait aucun signe de suppression des Shadow Copies, un comportement courant chez les ransomwares qui déclenchent de nombreuses défenses contre les logiciels malveillants. »
Le Cabinet est implanté à Paris, Bordeaux, Lille et Lyon, plaide dans toute la France. Il collabore avec de nombreuses associations de victimes de dommages corporels (l’UNAFTC, l’AVIACAAM…). Rémy LE BONNOIS est membre fondateur de l’association ANADAVI. (Crédits : Capture d’écran)
Lors d’une audition à huis clos, début juin, par la Commission de la défense nationale et des forces armées de l’Assemblée nationale, Guillaume Poupard, directeur général de l’Agence nationale pour la sécurité des systèmes d’information (ANSSI), indiquait qu’« après avoir détecté 15 000 attaques possibles sur les serveurs de Microsoft Exchange, nous avons prévenu les quelques milliers de victimes potentielles que nous avons réussi à joindre, 3 % d’entre elles seulement nous ont répondu ». Cette situation met en exergue les disparités de statut et de fonctionnalité entre les gendarmes du genre. Une différence notable des pouvoirs de l’ANSSI de son homologue outre-Atlantique.
« Je saisis cette occasion pour vous dire qu’il manque à l’ANSSI un pouvoir d’injonction. […] Il est inacceptable que des gens auxquels on dit : “Vous êtes assis sur une bombe”, ne traitent pas la question. Une disposition légale donnant à l’ANSSI un pouvoir d’injonction serait une étape supplémentaire […] dans une logique d’accompagnement de la montée en compétences, mais il en va de la cybersécurité nationale », martèle Guillaume Poupard.
Aux États-Unis, ils peuvent utiliser un pouvoir d’injonction, récemment durci. Quand une faille du type de celle qui a affecté Microsoft Exchange est détectée, le Cybergendarme écrit à toutes les agences fédérales en leur prodiguant 48 heures pour les corriger, après quoi la sanction tombe. (Crédits : capture d’écran)
Pas moins de 28 attaques ont été perpétrées en France pour le mois de juin. Conti se taille la part du lion avec au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes-d’Armor, Maître Prunille, Voltalia, groupe Traon Industrie Développement, Assu2000 (29/06). Everest cible les entreprises françaises. Ils diffusent 820 GB de données relatives au cabinet Rémy Le Bonnois, mais pas seulement. L’imprimerie Lamazière, Epsilon hydraulique, Always international, Assurances et Courtage lyonnais, Alltech France, Groupe Confiance Immobilier, Xefi. REvil s’est attaqué à Tendriade, le groupe LV à Demarne Frères, Xing à Aqualung Trading. Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Deux-Sèvres Habitat, Sepur, CCI Bordeaux-Gironde, ou encore la commune de Villepinte et Lenaja par Grief.
