Libre Expression

Étiquette : Hotarus Corp

  • Ransomware, une année record

    Ransomware, une année record

    Alors que tous les gouvernements prônent le retour au télétravail, les sécurités sont-elles de mise ? Le SARS-CoV-2 occupe peu ou prou la totalité du paysage médiatique, quand ce n’est pas la campagne pour l’élection présidentielle. Ce n’est pour autant pas la seule information ni contamination à travers la planète. Celle ressentie par les codes malveillants d’opérateurs que nous appelons communément « Virus ». Les attaques par ransomware sont prolifiques en cette année 2021, et promettent une année 2022 du même acabit.

    Le tout premier de l’année fut le groupe OMV System France, par le ransomware Darkside en date du 3 janvier 2021, revendiqué le 19. Si certaines organisations semblent tomber aux oubliettes, comme Avaddon, il faut rester prudent. AlphaVM réclame l’offensive et les 650 GB de données sur Snop Group. Également 151 GB exfiltrés de Douglas Shaw & Associates. Bl@cktor explique que les entreprises attaquées avec lesquelles un accord est trouvé ne verront pas leurs données publiées. Pour les autres bl@ckt0r « publiera ici la notification de violation de données et commencera à échanger leurs données exfiltrées. » L’université UNEXCA de la Grande Caracas au Venezuela est l’une des cibles. La somme de 30 000 $ est demandée. Des coordonnées sont affichées et mentionnent numéro de carte d’identité, prénom, nom, date de naissance…

    Le message est clair. « Nous avons des informations qui vont soit intéresser vos concurrents, soit causer des dommages à votre entreprise », martèlent les opérateurs derrière AlphaVM. Contactez-nous avant que nous publiions les données affichent-ils le 21 décembre 2021. (Crédits : capture d’écran)

    Clop affiche Swirespo (Singapour), Muschert-gierse (Allemagne), MTMRecognition (USA) avec des quantités astronomiques de renseignements comme des courriels. Concernant la firme américaine, au total plus de 700 000 adresses mail sont répertoriées.

    Entropy fait partie des nouveaux ransomwares tissant petit à petit sa toile et les fuites des attaques sur le site de leaks. (Crédits : capture d’écran)

    Grief est prolixe tant en offensive qu’en mise à jour des données exposées, comme en date du 28 décembre 2021, des données du bureau national de radiodiffusion et de télécommunications. Ainsi le groupe de ransomware Midas relate de nombreuses attaques (New Corp, Texas Entreprises, GEW Corporation Limited…).

    La France cible de choix

    Les cibles, comme les municipalités sont telles que les attaques quadrillent l’hexagone de part en part. En janvier 2021, OMV System France (3/1-Darkside), Coffim (4/1-NetWalker), le 16 la ville d’Angers subissait une attaque par ransomware. « Dans la nuit de vendredi à samedi, une cyber attaque a fixé le système d’information de la ville d’Angers et de la métropole. Le diagnostic a conclu à une attaque de type rançongiciel qui a frappé La Rochelle, Aix Marseille, Vincennes, l’ADEME… dans un passé récent », twittait la commune. Revil/Sodinokibi a revendiqué l’attaque de la société UCAR perpétrée le 20 janvier, le 2 février 2021. Le conseil départemental de la Vienne se retrouvait sans téléphone ni ordinateurs, des suites d’une attaque informatique. La clinique de l’Anjou à travers ses personnels hospitaliers se rendait compte à 4 h, le 23 janvier que plus rien ne fonctionnait. La commune d’Houilles victime de chiffrement de données puis de demande de rançon (30-1), le même jour, la Châtaigneraie tombe sous le coup de PYSA. Enfin Darkside revendique le vol de plus de 30 Go de données sensibles de Wonderbox.

    • Février : le 1er , Pénélope par Darkside, BVA (Conti), le 2 SVI Assurances (Avaddon), le 5 Mutuelle Nationale des Hospitaliers (RansomExx), Groupe Leader Interim, le 6 Signabois, le 9 le Centre Hospitalier de Dax (Ryuk), Trigano (Revil/Sodinokibi), le groupement Hospitalier de Dordogne le 11 février 2021, le 15, l’hôpital Nord-Ouest de Villefranche-sur-Saône (Ryuk), 1001 Vies Habitat, l’hôpital de La Chatre, le 16 la boulangerie Wach de Selestat, la mairie de Pontault-Combault, l’AFNOR le 18 (Ryuk), Bénéteau bloqué le 19 février, une usine classée Seveso à Béziers, comme Burgo Adrennes, le 21 Chalon-sur-Saône et Manutan (DoppelPaymer). Le lendemain, Charles André SAS. Lactalis s’en sort grâce à une détection en amont. Cashmag par Avaddon le 28

    Les mois se suivent et se ressemblent. Le mois de mars affichent vingt-deux attaques :

    • CGG (1/3, Cl0p), CEE Schisler (1/3, Conti), Communauté de communes de l’Est lyonnais, Soflog (3/3, DoppelPaymer), Servimo (3/3), Jacquet Metals (4/3, Conti), Rainbow Guyanne (5/3), Coallia (6/3), Centre hospitalier d’Oloron (8/3), SDIS 14 (9/3), SDIS 47 (10/3), La compagnie du SAV (10/3, Avaddon), Mersen (15/3, Mount Locker/Astro Team), Groupe Upperside Capital Partners (19/3, Conti), Montagne et Neige Développement (22/3), Asteelflash (24/3, Revil), Institut de formation santé de l’Ouest (26/3, Ragnarok), Yposkesi (27/3, Babuk), Targetcom (28/3, Avaddon), Goron (30/3, DoppelPaymer), Montagnettes (30/3, Ragnarok), et Pierre Fabre (31/3, Revil)
    AvrilMaiJuinJuilletAoût
    Université de Montpellier, Vallauris Golf-Juan, Würth France, Hôpital de Saint-Gaudens, Bourbon, Ville de Douai, Isle-sur-la-Sorgue, Morières-lès-Avignon, In Extenso, Élancourt, Fondation Hopale, La Martinière, Azenn, Trescal, Cegos, Fondation santé des étudiants de France, Transports Fatton, Oré Peinture, CPIE Gâtine Poitevine, Protectim, Marietton Développement, API, Challenge The Room, UniLaSalle, Centre François-Baclesse, Santélys, Apperton, Dirickx, Interfel, CNE, Laurent Perrier, Groupe Hopps, Bourg Saint Maurice – Les Arcs, Invicta Group, Voies navigables de France, REOREV, Fédération CINOV, Infovista,Albioma, Toshiba TFIS, Atalian, iQera, Acer Finance, Berger-Levrault, Otago Productions, Axa (Asie), Stelliant, Mauffrey, Fraikin, Arca Assurances, Iserba, Despretz, STAM, Funbreak, Le Volcan, Syndex, V2 Location, Alma SAS, Cabinet Remy Le Bonnois, AssurcoproAqualung Trading, Tendriade, Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Demarne Frères, Cerba, Arketeam, Deux-Sèvres Habitat, 4murs, Au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes d’Armor, SEPUR, Maître Prunille, Voltalia, Groupe Traon Industrie Développement, Inserm Transfert, Imprimerie Lamazière, Epsilon Hydraulique, Always International, Assurances et Courtage Lyonnais, Alltech France, Lenaja, Groupe Confiance Immobilier, Xefi, CCI Bordeaux-Gironde, Assu2000, VillepinteGroupe PCM, Fichorga, Keyrus, Royatonic, Centre Hospitalier de Périgueux, Erstein, Aris-Services, MHR, Socoplan, CGP Industries, Six cabinets d’avocats, Groupe Profil, Elven, Résidence Les ChâtaigniersCentre Hospitalier d’Arles, Solware, L’Argus, AssurOne, Luçon, Alispharm
    SeptembreOctobreNovembreDécembreRansomwares
    Vivea, Telecom Sud Paris, Annoncez-vous, La Martiniquaise, Cromology, Steel Projects, Champagnes & Châteaux, LinkOffice, Conflans-Saint-Honorine, Fugybat, MaitrexÉditeur de solutions de billeterie, Bolbec, Transports Verlhac & Fils, Portalp, Courtoise Motors, Sides, Communauté de communes Sarrebourg Moselle-Sud, La Secan, Association des personnels d’Airbus, Trujas SAS, Cabinet Font Guillot, Audras & Delonnois, VKP, Neofidelys, Paris Society, Cabinet Cazenave, Lycée de la Joliverie (44), IDF Habitat, Un centre de radiothérapie à Melun, Fauveder, Polyclinique Bordeaux Nord, Greggio SAS, Communauté de communes Pays d’Apt Luberon, Saint Affrique, Troyes Aube Habitat, Idline, Prestataire du Cannet des Maures, Istres,Un CFA d’Essonne, Groupe Avril, April, Fandi, CEPI Management, Dalloyau, Jean Floc’h, Chryso, Bureau d’étude thermique Saison Paragot (Chartres), GPV France, Eduservices, Bureau Veritas, Syndicat intercommunal informatique de Bobigny, Orchestra, Annecy, Verlingue, LDLC, Agglomération du Grand Guéret,Montceau-les-Mines, SVP Information Décisionnelle, Promhotel, Sud Trading Company, Chantelle, Fittingbox, Ressort Masselin, Mr Bricolage (44), Inetum, Château-Thierry, La liste du mois d’avril à décembre est très longue, et reste imbuvable même en tableau. La communauté d’agglomération Est Ensemble54bb47h, AlphaVM, Arvin Club, Astro Team, AtomSilo, Avaddon, AvosLocker, Babuk, BlackByte, Bl4ckt0r, BlackMatter, Black Shadow, Bonaci Group, CL0P, CONTI, CoomingProject, Cuba, Darkside, DoppelPaymer, Entropy, Everest, Grief, Groove, Haron, Hitler, Hive, Hotarus, Karma Leaks, LockBit 2.0, LockData Auction, Lorenz, LV BLOG, MBC, Midas, Moses Staff, Mount Locker, Nefilim, NONAME, N3tw0rm, Pay2Key, Payload.bin, Prometheus, Pysa, Quantum, Ragnar_Locker, Ragnarok, Ranzy/AKO, RAMP, RansomEXX, REvil, Rook, Snatch, Spook, Suncrypt, SynACK, Vice Society, XING Team…
    La liste du mois d’avril à décembre des victimes est si longue, qu’elle reste imbuvable même en tableau. La communauté d’agglomération Est Ensemble Grand Paris finit l’année aux prises avec une cyberattaque (27 décembre) révèle LeMagIT.

    La dernière faille est connue sous Log4Shell. L’année 2022 se doit d’être éducative pour le surf sur l’Internet et les manières de se protéger, d’autant que les opérateurs derrière les ransomwares sont toujours à la recherche de la faille.

  • Hôpitaux, hôtels, banques… dans la ligne de mire

    Hôpitaux, hôtels, banques… dans la ligne de mire

    Les jours se suivent, et semblent se ressembler. Un hôpital israélien victime d’une attaque par ransomware, l’université de Sunderland fortement perturbée, la chaîne Meliá Hotels International affectée début octobre par un code malveillant, Olympus leader américain dans le domaine des technologies médicales est au chevet des experts, Banco Pichincha plus grande banque privée d’Équateur est hors service… jusqu’à l’utilisation du presse-papiers pour dérober 24 millions de dollars en cryptomonnaies.

    L’institution de cyberveille du gouvernement français alertait que FIN12 visait différents secteurs, dont l’éducation, la santé, la finance, la manufacture, et l’ingénierie. « FIN12 est un groupe cybercriminel particulièrement “agressif”. Ses proies sont essentiellement localisées en Amérique du Nord, en Asie Pacifique, ainsi qu’en Europe, l’agence. Auparavant, ce groupe était identifié sous le nom UNC1878. Il est réputé pour ses attaques envers les acteurs du domaine de la santé. »

    « L’hôpital utilise actuellement des systèmes alternatifs pour traiter ses patients. Les traitements médicaux se poursuivent comme d’habitude, à l’exception des procédures électives non urgentes. L’incident a été immédiatement signalé au ministère de la Santé et à Cyberpro, et pris en charge », explique l’institut. (Crédits : capture d’écran)

    L’investigation des services israéliens déterminera s’il y a un lien avec ledit groupe. Le centre médical Hillel Yaffe, situé dans la ville d’Hadera affirme pouvoir continuer à fonctionner, à l’exception des procédures non urgentes, en passant à des systèmes alternatifs. « Le ministère de la Santé et la direction nationale de la cybernétique ont été informés des détails de l’incident et coopèrent à l’enquête et au traitement de l’incident », a déclaré le ministère. En ajoutant que des avertissements avaient été envoyés à titre préventif à d’autres hôpitaux. En septembre, la société israélienne de cybersécurité Check Point a indiqué que les institutions de l’État étaient l’objectif de deux fois plus de cyberattaques que la moyenne des divers pays du monde, y compris le secteur de la santé, qui subit en proportion 1 443 attaques par semaine. Le rapport a révélé qu’en moyenne, une organisation ou entreprise israélienne sur 60 est ciblée chaque semaine par des attaques de ransomware, soit une augmentation de 30 % par rapport au taux de 2020, selon The Times of Israel.

    Le flegme britannique éprouvé

    L’alerte fut donné par un gazouillis des pontes de l’université de Sunderland. Ils ont confirmé qu’un certain nombre de systèmes informatiques restaient hors service et que les cours en ligne restent suspendus. « Les étudiants sont encouragés à se rendre sur tous les campus de l’université où l’enseignement en face à face se poursuit, et des bureaux d’information seront disponibles pour offrir des conseils et un soutien. Pour ceux qui étudient à l’étranger, des plans ont été mis en place pour s’assurer qu’ils puissent continuer à le faire, avec un minimum de perturbations », explique un porte-parole de l’université.

    S’il s’agit d’une opération informatique par code malveillant de type ransomware, comme l’avaient subit les facultés de Northumbria et Newcastle en 2020, l’affichage sur les réseaux sociaux d’une adresse mail n’est peut-être pas la meilleure idée (phishing). (Crédits : Facebook Sunderland)

    Le site Internet de l’institut demeure également fermé pour maintenance. « L’Université continue de subir des perturbations informatiques importantes qui pourraient avoir été causées par une cyberattaque. L’université travaille actuellement avec plusieurs organismes, dont la police, pour déterminer ce qui s’est passé exactement et l’étendue des problèmes. » Elle ajoute que ces lignes téléphoniques, leur site web et systèmes informatiques sont toujours hors service, mais le campus reste ouvert, il n’y aura pas de vacances anticipées.

    Plusieurs hôtels du groupe Meliá touchés

    « Aux premières heures du 4 octobre 2021, une attaque informatique a été détectée qui a affecté plusieurs hôtels du Groupe, après quoi la société a activé ses protocoles de réponse et ses travaux de confinement, convoquant le Comité de crise, qui a déployé les plans de continuité des activités », indiquait le communiqué. Depuis l’accès dans divers hôtels de la multinationale, dont le Meliá Barcelona Sky, est rétabli.

    Le groupe avait déjà subi ce même genre de désagrément en septembre 2021. Cette fois, c’est son réseau européen, moyen-oriental et africain qui était visé. La demande de rançon émanait des opérateurs derrière BlackMatter. (Crédits : DR)

    Olympus, leader dans le domaine des technologies médicales enquête à l’heure actuelle sur un incident potentiel de cybersécurité décelé le 10 octobre 2021. Ce dernier perturbe ses systèmes aux États-Unis, Canada et Amérique latine. « Dès la détection d’une activité suspecte, nous avons immédiatement mobilisé une équipe d’intervention spécialisée comprenant des experts en criminalistique, et nous travaillons actuellement avec la plus haute priorité pour résoudre ce problème », indique Olympus dans un communiqué publié deux jours après l’attaque. Dans le cadre de l’enquête « nous avons suspendu les systèmes affectés et avons informé les partenaires externes concernés », communique sur son site mardi 12 octobre 2021. Les résultats récents de l’analyse suggèrent que l’incident a été contenu dans les Amériques sans impact connu sur d’autres régions.

    La banque privée d’Équateur Banco Pichincha hors service

    La plus grande banque privée d’Équateur a vu ses systèmes d’information attaqués. Durant le week-end du 9 et 10 octobre, les opérations, les guichets automatiques ainsi que son portail sur l’internet ont été perturbés. « Au cours des dernières heures, nous avons identifié un incident de cybersécurité sur nos systèmes informatiques qui a partiellement désactivé nos services. Nous avons pris des mesures immédiates pour isoler les systèmes potentiellement affectés du reste de notre réseau et avons mis en place des experts en cybersécurité pour aider à l’enquête », stipule l’organisme fiduciaire sur sa page Facebook, information partagée plus de 7 000 fois depuis sa publication le lundi 11 octobre 2021. Depuis, le statu quo demeure, c’est pourquoi mercredi matin, les files d’attente sont légion, les retraits et les paiements par carte ne pouvaient être réalisés que dans les agences.

    Un employé de banque a poliment précisé aux consommateurs qu’il n’était pas possible d’effectuer des règlements au Service des impôts (SRI) ou à l’Institut équatorien de sécurité sociale (IESS), explique le journal équatorien El Universo. (Crédits : El Universo)

    Cette attaque n’est pas s’en rappeler celle encourue en début d’année par la même banque et le ministère des finances en Équateur, déjà fragilisé par la crise du SARS-CoV-2 et ses conséquences. Le groupe « Hotarus Corp » revendiquait l’attaque et le vol de « 31 636 026 millions d’enregistrements de clients et 58 456 enregistrements de systèmes sensibles », y compris des numéros de cartes de crédit. Les opérateurs derrières le ransomware avait déclaré à BleepingComputer qu’elle avait dérobé « des informations sensibles du ministère, des courriels, des informations sur les employés, des contrats. » La Commission de développement économique de l’Assemblée équatorienne avait (mercredi 13 octobre 2021) convoqué plusieurs autorités que sont le ministre des Télécommunications, la présidente du conseil judiciaire, les surintendants des banques, des sociétés et des assurances, et le représentant des organismes établissements de crédit. Pour faire la lumière sur les causes et conséquences de cette mise hors service des prestations de Banco Pichincha et la souffrance ressentie par les citoyens, survenue deux fois en une seule année.

    Le presse-papiers comme entrée

    Une ou plusieurs personnes ont développé un malware pour s’emparer des mots de passe et identifiant, conservés dans le presse-papiers des victimes. C’est un outil qu’utilise tout un chacun, le fameux « copier-coller ». L’affluence des cryptomonnaies provoque des envies auprès d’individus mal intentionnées. C’est pourquoi de nombreuses malversations consacrées au cambriolage de cryptomonnaies (fausses clefs USB, applications Android frauduleuses) font les gros titres. Cette fois-ci, c’est 24, 7 millions de dollars subtilisés en Bitcoin, Ethereum et Dogecoin. L’analyse d’Avast a permis de découvrir plus de 1 300 nouvelles adresses de portefeuilles qui ont été utilisées pour transférer ses fonds. Les chercheurs en cybersécurité de la firme attribuent cette opération au module de vol de presse-papiers du botnet « MyKings », en s’appuyant sur les travaux réalisés par les spécialistes de SophosLabs. Il est un botnet implacable de longue date qui est actif depuis au moins 2016.

    À l’heure des piratages, des fuites de données ici et là, il est parfois nécessaire de prévenir une fois de plus, avant la catastrophe. (Crédits : Uwe Baumann/Pixabay)

    Il apparaît plus que nécessaire, dorénavant, de vider son presse-papiers. Depuis la mise à jour 1809 d’Octobre, Windows 10 peut conserver trace de tout ce que vous y copiez grâce à la fonctionnalité historique. Pour l’effacer, une manière simple est de créer un raccourci, sur votre bureau pour le nettoyer à chaque instant comme explique PCAstuces. Mais également pour ceux sous OS Androïd, il suffit d’appuyer longuement sur la touche personnalisable de votre clavier. Ensuite, choisissez « Presse-papiers » pour afficher le contenu du presse-papiers sur Android avec succès. N’oubliez pas les applications (Facebook Messenger, WhatsApp…), un homme averti en vaut deux. Pour les aficionados de la pomme, le presse-papiers ne se vide qu’au redémarrage du téléphone, à priori. Concernant, les Macintosh, choisissez de vous rendre sur Finder, puis Edition et vous accédez au presse-papiers. À vous de jouer !