Libre Expression

Étiquette : infostealer

  • Une fuite de données gigantesque

    Une fuite de données gigantesque

    Les fuites de données sont désormais légion. De France Travail à Boulanger, en passant par Cultura, vos, nos, mes données se retrouvent sur la toile dans de mauvaises mains. Une fois compilé, l’ensemble des informations permet de faire tout ou presque. Connue sous le nom de « vip-v3 », elle renferme 95 millions de données compromises de citoyens français. Outre-Atlantique une enquête est en cours sur le vol de données personnelles de 77 099 clients du groupe américain Fidelity Investments.

    En plein milieu du mois d’août 2024, Fidelity Investments, société américaine spécialisée dans la gestion d’actifs pour le compte de tiers, se retrouve dans le collimateur de cybercriminels. Leurs données ont été compromises, l’ensemble des portefeuilles représente une somme supérieure à 4 fois la dette publique de la France : 14 000 milliards de dollars d’actif.

    Une fuite au pays de l’Oncle Sam

    Un attaquant créée deux faux profils pour s’introduire. Selon le bureau du Procureur du Maine (Maine Attorney General), l’incident se serait déroulé entre le 17 et le 19 août 2024. Le rapport des violations est éloquent.

    La multinationale emploie plus de 75 000 personnes dans 11 pays d’Amérique du Nord, d’Europe, d’Asie et d’Australie. La firme est l’un des plus grands gestionnaires d’actifs au monde, avec 14,1 milliards d’actifs sous administration et 5,5 milliards de dollars sous gestion.

    « Nous avons détecté cette activité le 19 août et nous avons immédiatement pris des mesures pour mettre fin à l’accès. Une enquête a été rapidement lancée avec l’aide d’experts externes en matière de sécurité », déclare Fidelity dans le courrier1 adressé aux personnes concernées. (Crédits : capture d’écran/Maine.Gov)

    La société déclare que « les noms, les numéros de sécurité sociale et les informations sur les permis de conduire étaient compromis », relate TechCrunch, mais les comptes clients ou les fonds de Fidelity ne seraient pas en danger. En mars, cette société faisait, déjà la douloureuse expérience de subir une violation des données de 28 000 clients2 détenant des assurances vie. Tout juste la moitié de personnes touchées par la cyberattaque du mois de mars 2024 contre l’établissement Bank of America.

    95 millions de données de citoyens français

    Ce qui devait arriver arriva ! À force de voir ici et là des fuites de données, un opérateur inconnu stocke des informations personnelles provenant de différentes violations de données françaises et les compile dans une base de données au nom évocateur « vip-v3 ».

    « L’équipe de recherche de Cybernews, avec Bob Dyachenko, chercheur en cybersécurité et propriétaire du site WEB SecurityDiscovery [.] com, a découvert un serveur Elasticsearch ouvert contenant un trésor pour les cybercriminels », relate le site éponyme3 le 27 septembre 2024.

    Le dossier en question contenait 95 350 331 documents provenant d’au moins 17 violations de données. Sa taille totale est de 30,1 Go. Le nombre d’habitants en France, selon l’INSEE au 1er janvier 2024, de 68 373 433 personnes.

    Les noms de fichiers avec l’extension « .txt » sont plus ou moins explicites quant à la possible origine des fuites : Lyca scrappe, Pandabuy-Email, darty.com, discorde 1-2024, dvm, electro-depot.fr, db-vandb, Snapchat SQL, frsfr, go-sport.com-export, intersport-scrapped.fr, ldlc, corsegsm.com, pinterest, minecraft.fr-forum, sfr.fr, shadow.tech.

    (Crédits : Capture d’écran/Cybernews)

    « Étant donné que la base de données est accessible au public depuis une longue période, il est très probable que d’autres acteurs malveillants ont déjà copié les données et pourraient les utiliser pour des activités criminelles », explique CyberNews. Les conséquences d’une telle base de données sont des attaques de spearphishing de plus en plus personnalisés, des détournements de comptes en ingénierie sociale et bien d’autres.

    Une base de 50 000 dossiers de l’opérateur RED de SFR

    « Cher client, le 3 septembre dernier, SFR a détecté un incident de sécurité portant sur un outil de gestion de commandes de ses clients. Cet incident a entraîné un accès externe non autorisé à des données personnelles vous concernant », explique l’opérateur à ses clients.

    Les particuliers comme professionnels sont touchés. « Un groupe de hackers/cybercriminels/jeunes débutants dans la cybercriminalité française a publié l’équivalent de 900 Mo de données de l’opérateur SFR », écrit SaxX.

    Les données concernées sont : prénom, nom, coordonnées renseignées au moment de la commande (numéro de téléphone, adresse électronique et postale, adresse de livraison le cas échéant), données contractuelles (offre souscrite, contenu de la commande), IBAN, ainsi que le numéro d’identification du terminal et de la carte SIM (pour les commandes de terminal mobile). SaxX relate sur le réseau X qu’« ils ont l’air vraiment très jeunes et ne sont pas encore rompus au code la cybercriminalité. » Il se questionne sur la compromission de techniciens chez l’opérateur ou encore de stealers.

    La société évolue, le monde cybercriminel aussi.

    (Crédits : capture d’écran/SaxX/X)

    L’hygiène numérique se doit d’être une norme. « Les jeunes générations sont particulièrement vulnérables : 52 % des membres de la génération Z et 46 % des milléniaux ont déclaré avoir subi des pertes à la suite d’escroqueries en ligne », écrit ITSocial. La cyberattaque du ransomware, RansomHouse sur l’université Paris Saclay est un possible exemple. Une piqûre de rappel avec les conseils aux usagers, et en cas de doute, un tour du côté de l’ANSSI pour lire un document fort intéressant : le guide d’hygiène informatique.

    1. https://www.maine.gov/cgi-bin/agviewerad/ret?loc=1360 ↩︎
    2. https://www.securityweek.com/fidelity-investments-notifying-28000-people-of-data-breach/ ↩︎
    3. https://cybernews.com/security/french-records-exposed-by-mysterious-data-hoarder/ ↩︎
  • Fuite de données de 27 millions de clients Boulanger

    Fuite de données de 27 millions de clients Boulanger

    La fuite des données de clients de l’entreprise Boulanger est une parmi d’autres. Ce sont donc exactement 27 561 592 lignes de la firme Boulanger qui se retrouve à être en vente sur le dark web. Mais c’est le cas pour les transports dijonnais avec DiviaMobilités, sans oublier l’entreprise Cultura. Les fuites de données s’enchaînent. La dernière est suite à une intrusion non autorisée d’un prestataire informatique externe. Comme la fuite de 43 millions d’usagers de France Travail, ex-Pôle Emploi en début d’année 2024.

    En quelques jours, plusieurs enseignes communiquent sur le fait d’être victime de cyberattaques. Cultura annonce par voie de presse qu’un prestataire informatique est victime d’une intrusion non autorisée. Les données divulguées sont conséquentes. Il s’agit des prénoms, noms, identifiants clients, numéro de téléphone mobile, adresse de courriel et postale, et les produits achetés. Mais c’est sans oublier la société de transports Divia à Dijon, qui est elle aussi victime d’une cyberattaque.

    De nombreuses données en vente

    « Les données relatives aux mots de passe et aux données bancaires ne sont pas compromises », assure le communiqué de Cultura. La faille est corrigée, les mesures correctives appliquées. Si vous avez reçu ce type de courriel de la part de Boulanger, alors il est fort à parier que vos données sont parmi les 27 millions de clients.

    Comme pour Cultura, l’enseigne Boulanger se veut rassurante. « Aucune donnée bancaire client n’est concernée. D’ores et déjà, l’incident est circonscrit. »

    Boulanger, pour autant, ne confirme pas le nombre de 27 millions de clients concernés. Next relate la précision de la firme : « Les données récupérées sont uniquement des données de livraison (adresse, mail, téléphone) et concerne uniquement quelques centaines de milliers de clients. […] »

    SaxX explique quant à lui, sur X (Ex-twitter), que de son côté que le 7 septembre 2024 une personne avait mis en vente « une base de données comportant 27 561 592 lignes de #Boulanger ».

    Dans cette base de données à vendre, on retrouve « prénom, nom, numéro de téléphone, adresse postale complète, coordonnées géographiques (latitude et longitude), e-mail… », affirme SaxX. Depuis, le même cybercriminel divulgue 2,6 millions de comptes clients de chez Cultura.

    (Crédits : capture d’écran)

    À Dijon, c’est l’entreprise DiviaMobilités qui, à travers l’un de ses prestataires a essuyé une cyberattaque, à la fin du mois d’août 2024. Le 4 septembre, « nous avons découvert cette action malveillante », stipule Nolwenn Leguillon la directrice de communication de Keolis Dijon Mobilités à Le Bien Public. Les prénoms, noms, dates de naissance, numéros de téléphone et IBAN de certains clients ont fuité. L’utilisation d’infostealer est envisagé au commencement. « La plupart du temps, à l’origine, survient un infostealer », affirme SaxX.

  • Que sait-on de la fuite des données de 33 millions d’assurés Français ?

    Que sait-on de la fuite des données de 33 millions d’assurés Français ?

    Une personne malintentionnée a réussi à s’approprier les données plus que sensibles concernant le tiers payant. Le pourcentage de Français potentiellement touché par cette fuite est conséquent. Un assuré sur trois selon les estimations serait impacté. Les entreprises victimes d’une intrusion non autorisée sont les sociétés Viamedis et Almerys. Elles sont 84 au total. Quatre-vingt-quatre organismes de complémentaire santé sont impactés.

    Les données ainsi exposées sont l’état civil, prénom et nom, la date de naissance, le numéro de sécurité sociale, l’identité de l’assureur complémentaire ainsi que les détails de garantie de santé. Les deux entités ont subi une attaque cybernétique à cinq jours d’intervalle.

    Assurés et professionnels de santé touchés par les cyberattaques

    Cette fuite connaît une ampleur sans précédent, car elle touche des données de santé. Mais l’ampleur remémore celle qui concernait le réseau social Facebook en 2021. Une fuite de 500 millions d’utilisateurs dont 20 millions en France, avec une amende de 265 millions de dollars à la clé par la DPC (équivalent de la CNIL en Irlande). Les attaques ont été révélées le 29 janvier et le 3 février 2024.

    Le modus operandi est comparable pour les deux sociétés françaises spécialisées dans la gestion du tiers payant. Selon les informations de RTL, « les escrocs auraient usurpé l’identité de soignants pour entrer dans la plateforme de gestion du tiers payant de l’opérateur et accéder à de nombreuses informations personnelles avant la déconnexion du portail une fois l’intrusion découverte. »

    Viamedis a déposé une plainte auprès du Procureur de la République. Et comme le prévoit le règlement général sur la protection des données (RGPD), l’incident a été notifié à la CNIL et aux autorités compétentes.

    L’enquête est en cours pour déterminer les causes et conséquences, ainsi que le modus operandi du ou des cybercriminels.

    (Crédits : capture d’écran/Viamedis)

    Si les assurés voient leurs données s’épandre dans la nature et sur la toile, il n’est rien face aux fuites des professionnels. À savoir « la raison sociale, le prénom, le nom, l’adresse de courriel électronique, le login Viamedis.net, le numéro de téléphone, l’adresse postale, le RIB, le numéro Finess, le numéro Siret et l’appartenance éventuelle à un réseau de soins, pour les professionnels de santé », confie Valérian Ponsinet, le président de la commission convention et système d’information de la FSPF (Fédération des syndicats pharmaceutiques de France). Pour vérifier si votre mutuelle est concernée, le plus simple et plus rapide étant de la contacter.

    Usurpation d’identité, fraudes, phishing…

    Les craintes sont fondées pour des tentatives d’usurpations d’identités, du phishing… et toute autre possibilité de fraude grâce aux données exfiltrées. Comme le démantèlement, fin janvier 2024 d’un trafic de faux documents au niveau national. Trois hommes interpellés il y a deux semaines à Marseille, Grenoble et Rosny-sous-Bois en Seine–Saint-Denis. Ils sont poursuivis pour aide au séjour en bande organisée, fourniture et obtention indue de faux documents.

    Le marché connaît une hiérarchie comme tout commerce. Les numéros de sécurité sociale sont une véritable niche financière pour les escrocs. Ils peuvent être revendus sur le dark web.

    Ainsi utilisés pour usurper l’identité de leur propriétaire, sachant qu’avec les autres fuites régulières, connues ou non, les données sont croisées et complétées.

    Le seul inconvénient est de taille, il est impossible de changer de numéro de sécurité sociale. D’autant que la procédure dans le cas d’une usurpation d’identité est complexe et longue.

    (Crédits : Giesesamvitale/CNAMTS/GIE SESAM-Vitale)

    Il pourrait, hypothèse vraisemblable que des personnes mal intentionnées pourraient les utiliser pour du phishing. Par le biais de faux courriels se faisant passer pour leur mutuelle, les escrocs à travers des liens malveillants tenteraient de voler des informations bancaires.

    Les infostealers ont fait des ravages en 2023

    L’enquête toujours en cours ne livrera ses secrets que bien plus tard. Il existe une menace bien réelle : les infostealers. Ces petites bêtes ont collecté plus de 40 millions d’identifiants en 2023, explique LeMagIt. « L’année s’est achevée dans un déluge de divulgations, mais assez peu de détections », martèle le rédacteur en chef.

    Le total affiche 43, 638 millions d’identifiants compromis, seulement en France. De nombreux collaborateurs d’entreprises, dont des identifiants professionnels sont compromis explique HudsonRock.

    Le premier infostealer est apparu en 2006. Il est connu sou le nom de zeuS ou zbot. Son but collecter les informations puis disparaître. Le « Malware As A Service » (MAAS) est un logiciel qui peut être loué, les développeurs moyennent leur logiciel malveillant contre monnaie sonnante et trébuchante.

    Leur dangerosité tient en ce qu’il dérobe. Connu pour voler des justificatifs d’identité, il peut voler des tokens permettant de détourner l’authentification multifactorielle (MFA).

    (Crédits : Gerd Altmann/Pixabay)

    « Ce risque vaut particulièrement si des collaborateurs d’une organisation enregistrent, dans leur navigateur Web – sur une machine personnelle ou même de l’entreprise – des identifiants permettant l’accès à distance à des ressources du système d’information. » D’autant que l’attaque dont a été victime AnyDesk vient corrobore les craintes. Le CERT a publié un bulletin d’alerte sur la « prise de contrôle à distance par un acteur malveillant » le 5 février 2024.

  • Les clients d’Orange Espagne privés d’accès à internet durant quelques heures

    Les clients d’Orange Espagne privés d’accès à internet durant quelques heures

    Le fournisseur d’accès à l’Internet Orange Espagne a souffert d’une cyberattaque mercredi 3 janvier 2024. Si l’opérateur mentionne que l’installation était pratiquement revenue à la normale le jour même, la secousse du dysfonctionnement a bien été ressentie. La personne, dont le pseudo est « Snow » à l’origine de cette intrusion explique que le mot de passe n’était pas approprié. Des bots auraient été utilisés, mais une compromission par un infostealer semble plus que probable, comme le célèbre Raccoon stealer.

    La société Orange en Espagne a subi mercredi 3 janvier 2024 dans l’après-midi une cyberattaque. La conséquence fut la chute de l’accès à l’Internet pour l’ensemble de ses clients ibériques. Ce que confirme la société de téléphonie mobile via le réseau social X (ex-Twitter) : « Le compte d’Orange au Centre de coordination du réseau IP (RIPE) a subi un accès non autorisé qui a affecté la navigation. » Snow déplore sur le niveau de sécurité, indiquant même que le mot de passe serait « ripeadmin » et le manque d’authentification à double facteur (2FA).

    Les équipes de vx-underground ont dévoilé une capture d’écran relayée sur X (ex-Twitter) de la compromission d’Orange. Celle-ci démontre que l’enquête d’Hudson Rock indique le même mot de passe mentionné par Snow.

    Des informations indiquent que la famille d’info stealer est de type Raccoon, que la détection remonte au 4 septembre 2023 peu après 15 h 30. Le fait de prendre le contrôle d’un compte d’administration d’un opérateur tel qu’Orange, permet d’administrer vers des routes nouvelles. Donc d’attribuer des possibilités vers de nouvelles plages d’adresses IP.

    (Crédits : Hudson Rock)

    Le RIPE NCC se définit par « Réseaux IP Européens – Network Coordination Centre », elle est une organisation à but non lucratif. Son but la distribution des ressources internet, telles que les adresses IPv4, IPv6, les numéros d’Autonomous System (ASN) utilisés pour le routage entre opérateurs (avec l’utilisation du protocole BGP). Le RIPE dessert l’Europe, le Moyen-Orient et une partie de l’Asie.

    Mais qu’est-ce que c’est que ça ?

    Internet est une toile, un réseau de réseaux. Deux ordinateurs connectés forment un réseau. Mais ils ont besoin de protocole pour échanger. C’est à ce moment qu’intervient l’AS. L’Autonomous System est un très grand réseau ou groupe de réseaux ayant une politique de routage interne cohérente. « Chaque AS se voit attribuer un ASN unique, qui est un numéro permettant d’identifier l’AS ».

    Chaque AS contrôle un certain nombre d’adresses IP. « En général, chaque AS est exploité par une seule grande organisation, par exemple un fournisseur d’accès à Internet, une grande entreprise technologique, une université ou une agence gouvernementale », explique Cloudflare.

    Le BGP (Border Gateway Protocol) est un protocole d’échange de route externe, issu de l’EGP (exterior gateway protocol), utilisé sur le réseau Internet. En 1966, aux États-Unis, le premier réseau à transfert de paquets de données est conçu par la DARPA (Defense advanced research Projects Agency). Il est connu comme l’ancêtre de notre Internet, le fameux réseau ARPAnet.

    (Crédits : RÜŞTÜ BOZKUŞ/Pixabay)

    Chaque AS utilise ce protocole pour indiquer les adresses IP de direction pour la distribution des paquets. L’Internet Protocol (IP) est utilisé pour le routage. Sans lui ils rebondissent sur l’internet sans trouver la destination. Le BGP est un élément fondateur de l’Internet. Boris Rogier écrit sur Kadiska que « comme elle doit être configurée manuellement, elle est sujette aux erreurs humaines ainsi qu’aux attaques de sécurité. Dans un contexte de services numériques mondiaux, la surveillance du comportement de BGP en termes de découverte de chemins, de surveillance des performances, ainsi que de changements de chemins, devient critique ! »

    Le voleur de mots de passe : Raccoon stealer

    Le mot de passe est partout. Par manque de culture « informatique », utopisme ou fainéantise, tout un chacun use du même : un vrai bonheur pour les cybercriminels. D’autant que depuis avril 2019, le plus populaire des infostealer est né : Raccoon. Le 14 août 2023, le raton laveur annonçait son retour. L’information était partagée sur le compte X (ex-twitter) de vx-underground.

    Mark Sokolovsky à la genèse du Raccoon infostealer est en prison depuis le mois d’octobre 2022. Sauf qu’à chaque fois qu’un individu, ou un groupe est arrêté, son code demeure. Dans l’acte d’accusation du FBI, plus de 50 millions d’identifiants (courriels, comptes bancaires, numéros de cartes de crédit, sites WEB…) avaient été volés via cet outil en 2022.

    « Après la perte de notre coéquipier, nous avons pris la décision de ne pas abandonner notre projet et de continuer notre travail en son honneur. Raccoon Stealer 2.0 a été entièrement codé depuis le début. Nouveau back-end, nouveau front-end, absolument nouveau logiciel de vol », affirme le collectif.

    (Crédits : 3export)

    Ce logiciel se déploie classiquement. Une fois votre terminal compromis, le cybercriminel peut dérober les données d’environ 60 applications différentes. Le tableau de configuration du Raccoon v1 ci-dessus permet de nombreuses possibilités. « Notre équipe a travaillé sans relâche pour vous apporter nos derniers développements qui enrichiront votre expérience avec le stealer. Nous sommes fiers de vous présenter la mise à jour avec la version numéro 2.3.0. Les changements ont été implémentés sur la base du feedback et de l’analyse des besoins de nos clients et des tendances du marché. »