Étiquette : Leaks

L’hôpital Aoyama, à Osaka victime d’un ransomware
Un hôpital japonais de Fujiidera a été frappé le 27 avril 2022 par une cyberattaque qui serait le résultat d’un ransomware. Le code malveillant informatique exige une rançon, et empêche les patients d » accéder a leurs dossiers médicaux (DME). L’établissement connu sous le nom d’Aoyama de la ville de Fujiidera, dans la préfecture d’Osaka, a vu un examen extérieur illégal et le personnel n’a pas pu consulter aux DME de dizaines de milliers de bénéficiaires stockés sur le serveur de l’hôpital.
Selon un entretien avec le département de police d’Osaka et l’hôpital, aucune fuite d’informations n’a été confirmée, ni démentie. Les services de l’ordre ont consulté l’hôpital dans le cadre de l’enquête sur les circonstances de cette attaque. Selon l’hôpital, les imprimantes ont commencé à fonctionner toutes en même temps avant l’aube du 23 avril 2022, et une grande quantité de papier avec du texte en anglais a été imprimée. Les mots anglais « pay » et « ransom », qui suggèrent un virus de type rançon, sont également affichés sur l’écran de l’ordinateur.
En réponse à cette situation, Shigeyuki Goto ministre de la Santé, du Travail et du Bien-être a révisé les directives relatives aux mesures de sécurité pour les établissements médicaux, qui citent les mesures contre les « ransomwares » comme un problème urgent. Ci-dessus, le quartier général de la police préfectorale d’Osaka. (Crédits : DR)
À l’hôpital, les soins tels que la médecine interne, la chirurgie et la radiologie sont effectués, et comme il y a 87 lits, « nous poursuivons actuellement les soins médicaux en utilisant des données préliminaires, mais le temps d’attente pour les patients externes sera plus long ». En 2018, certains dossiers médicaux n’ont pas pu être consultés à l’hôpital municipal de la ville d’Uda, préfecture de Nara. Le Japon est malheureusement coutumier du fait. L’année dernière, à l’hôpital municipal de la ville de Tsurugi, préfecture de Tokushima, les dossiers médicaux électroniques et les systèmes comptables cryptés, et nous avons cessé d’accepter de nouveaux patients pendant approximativement deux mois, sauf pour les maternités. En janvier 2022, les hôpitaux de la ville de Kasugai, préfecture d’Aichi, subissait des dommages sensiblement identique, avec l’impossibilité d’accéder à environ 50 000 dossiers en ligne.
avril 30, 2022
Conti copie les données du renseignement péruvien
La menace des ransomwares lorsqu’elle est mise à exécution fait fuiter de nombreuses données sur le Darknet. Il arrive qu’elle soit sensible, voire très sensible, pour différentes raisons. Le Costa Rica en fait l’amère expérience. « Il faut environ 2 ou 3 jours pour télécharger le reste des informations, après quoi […] Nous voulons le dire une fois de plus : nous travaillons exclusivement pour les $$$. Nous ne poursuivons pas d’autres objectifs. » Les opérateurs sont passés un cran au-dessus en attaquant la Direction générale du renseignement péruvienne.
Après avoir attaqué différentes organisations étatiques au Costa Rica, les opérateurs derrière Conti ont ajouté la Direction nationale du renseignement du Pérou à leur longue liste de victimes. Les assaillants affirment avoir volé des informations sensibles dans ses systèmes sans crypter les données. « Leur copie, un lien vers un chat secret dans le réseau TOR a été envoyé à cette adresse xxx, s’il vous plaît contactez-nous si vous ne voulez pas de telles conséquences qui se sont produites au Costa Rica […] Vous souffrirez très sérieusement si ces documents deviennent publics. La torture, l’intimidation et la surveillance, c’est ce qui fait la réputation du département du contre-espionnage. Presque tous les documents téléchargés sont classés secrets », affirment les opérateurs sur leur site de fuite.
Des documents PDF classifiés ont également été publiés sur le site comme preuve de l’exfiltration des données. (Crédits : capture d’écran)
Le quotidien El Financiero souligne que le site web du Ministère de la science, de l’innovation, de la technologie et des télécommunications (MICITT) a été modifié par Conti, en employant une plateforme obsolète par manque de ressources. Le ministère a assuré qu’il profitait de la situation pour en utiliser un nouveau afin de réhabiliter ses services en ligne. En plus de mettre en ligne chaque jour de nouveaux fichiers à télécharger (661,28 GB), les cybercriminels ont ajouté au fil des jours les noms d’autres agences gouvernementales du Costa Rica, divulguant ainsi les informations d’au moins cinq entités publiques, tels le ministère du Travail (MTSS), la caisse d’allocation familiale (FODESAF)…
Les ministères costariciens mettent tout en œuvre pour rétablir les systèmes d’information. « Au même titre que les entités dont les systèmes n’ont pas été mis à niveau et d’autres systèmes anciens qui n’ont pas été remplacés en raison de problèmes budgétaires. » (Crédits : capture d’écran)
avril 29, 2022
Ransomware: Lockbit attaque Rio de Janeiro
Le ransomware Lockbit 2.0 affiche une nouvelle victime à son tableau de chasse. Au Brésil les proies d’attaque informatique qu’elles soient par déni de service, phishing… sont légion. Dans la nuit du jeudi 9 au vendredi 10 décembre 2021, le site internet du ministère de la Santé brésilien a été victime d’un ransomware. Peu de temps avant, plus de 226 000 fichiers totalisants 10 GB de renseignements se retrouvaient sur la toile : prénom, nom, courriel, numéros de téléphone, genre, dates de naissance, adresses et codes postaux, numéros de CPF.
Le secrétariat d’État aux finances de Rio de Janeiro confirmait vendredi 22 avril 2022 qu’il était confronté à une offensive par codes malveillants de type ransomware sur ses systèmes d’information. « Dans une menace émise jeudi, l’attaquant demande de l’argent en échange de la non-divulgation de données prétendument volées aux ordinateurs de Sefaz. Ces informations représentent à peine 0,05 % des données détenues par le Secrétariat », selon la porte-parole. Ainsi le Ransomware-as-a-Service divulgue 420 Go de données en tout genre, photos, dossiers immobilier, numéros de série de pompes à eau, de moteur d’ascenseur…
La Banque Centrale du Brésil a été victime vendredi 13 août 2021 d’une infection par ransomware, c’était la seconde en l’espace de quelques mois. En novembre 2020, c’était la Cour Électorale Supérieure du Brésil qui était paralysée pendant plus de deux semaines par une attaque. (Crédits : capture d’écran)
Un représentant du secrétaire d’État aux finances de Rio de Janeiro a déclaré à The Record qu’après avoir été menacés par un cybercriminel qui a pénétré dans leurs réseaux, ils ont alerté le gendarme brésilien qui a pour charge de faire respecter la loi sur les crimes numériques. La cité attire les malfaiteurs, car elle est l’un des cœurs financiers de l’Amérique du Sud, son économie se classant au 30^e rang des villes du monde en termes de PIB. Elle a exporté pour 32,5 milliards de dollars de marchandises en 2021.
avril 28, 2022
L’université américaine de Stratford attaquée
La ville de Stratford avait subi une attaque informatique, quasiment trois années jour pour jour. Les premiers problèmes survenaient le 14 avril 2019. La ville américaine avait choisi de payer 75 091 $ pour mettre fin à une récente cyberattaque. Cette fois c’est l’université qui vient d’être visée par le Ransomware Revil. Ils affirment détenir environ 60 Go de fichiers, passeports, rapports financiers et de nombreuses informations sur le personnel de l’établissement…
La municipalité avait cédé devant les exigences de l’opérateur, trois jours après avoir été infecté. L’attaquant avait installé un logiciel malveillant sur six des serveurs physiques de la ville ainsi que sur deux de ses serveurs virtuels, puis avait crypté tous les systèmes afin que les membres du personnel ne puissent accéder à aucune donnée. Il réclamait un total de 10 bitcoins qui, à l’époque, étaient évalués à 7 509,13 dollars chacun. Quelques jours plus tard, le 25 avril, les clés de décryptage ont été reçues de l’attaquant, aucune donnée n’avait été compromise assurait les autorités.
Les opérateurs derrière le ransomware Revil postent sur le site de fuite environ 60 Go. Sur la première partie se trouve l’accès aux budgets, finance, comptabilité confidentielle, des lettres de créance… (Crédits : Capture d’écran)
avril 25, 2022
Les centres hospitaliers du GHT victimes d’une cyberattaque
Le Groupement Hospitalier de Territoire (GHT) Cœur Grand Est subit une attaque informatique. Il comprend 9 établissements, 287 000 habitants, 12 pôles territoriaux, et 450 millions d’euros de budget consolidés. Les GHT ont été créés par la loi de modernisation du système de santé en 2016. La cyberattaque découverte ce mardi 19 avril 2022 touche l’ensemble des établissements. Une rançon de 1,3 million de dollars américains est demandée, par le groupe d’opérateurs américains Spy industrial.
Ce nouveau groupe de malfaiteurs réclame 1,3 million de dollars américains au groupe hospitalier s’il ne souhaite pas voir les fichiers volés diffusés sur Internet. De plus, ils ne réclament pas l’argent directement aux sociétés victimes de leurs actes malveillants, mais propose de vendre le butin du vol à tout un chacun, pour tout savoir sur leurs adversaires commerciaux.
Avant tout les victimes représentent 3 370 lits et places d’hospitalisation, 5 831 agents, 287 000 habitants sur le territoire du Groupe Hospitalier Cœur Grand Est. Au sein du GHT, les centres hospitaliers de Verdun Saint-Mihiel (établissement support qui a le rôle de « pilote »), de Bar-le-Duc, de Haute-Marne, de Saint-Dizier, de Vitry-le-François, de Montier-en-Der, de Wassy, de Joinville et le Centre Hospitalier Spécialisé de Fains-Véel. Si la prise en charge des patients n’a pas été affectée, des données administratives ont été volées, indiquait le groupement sur France-Bleu.
Au total 28,7 GB d’informations sensibles tels numéros de sécurité sociale, coordonnées bancaires… ou encore, dossiers médicaux. L’entreprise touchée par l’offensive informatique, n’est pas maître de son destin. Puisqu’ils ne demandent par de rançon aux victimes, mais s’adressent aux potentiels acheteurs… (Crédits : capture d’écran)
« La cellule de cyberveille du ministère de la Santé, l’ARS Grand Est et les services de police spécialisés sont en soutien du GHT Cœur Grand Est ». Une plainte va être déposée. Le Service Veille ZATAZ a pu constater dans les propos des pirates plusieurs faits inquiétants. « Ils expliquent permettre aux “concurrents” de tout savoir, et le cas échéant, de couler/ruiner la victime », explique Damien Bancal.
« Grâce à nos informations, vous pouvez refuser de vous associer à un partenaire sans scrupules, révéler les secrets de vos concurrents et de vos ennemis et gagner des millions de dollars en utilisant des informations privilégiées », revendique Industrial Spy. Ils affichent également une citation qui serait de Nathan Mayer Rothschild : « Celui qui possède l’information, possède le monde ».
Il existe trois types de vente sur le site d’Industrial Spy. Le Premium, accessible sept jours, avant, s’il n’est pas acheté, déplacé dans la section général. Mis à un prix bas et plus accessible. La dernière étape est dans le domaine libre, diffuser gratuitement sans être effacée des bases de données du site de fuite. (Crédits : capture d’écran)
Sur leur site de fuite sur le Darknet, il explique que « vous pouvez y acheter ou télécharger gratuitement des données privées et compromettantes de vos concurrents. Nous publions des plans, des dessins, des technologies, des secrets politiques et militaires, des rapports comptables et des bases de données de clients. Toutes ces données ont été recueillies auprès des plus grands sociétés, conglomérats et entreprises du monde entier, quelle que soit leur activité. Nous recueillons des données en utilisant la vulnérabilité de leur infrastructure informatique. »
avril 22, 2022
L’entreprise Dedalus condamnée à 1,5 million d’euros d’amende
Une fuite de données médicales qui avait fait grand bruit dans la presse et les chaumières. Le 23 février 2021, une divulgation d’informations massive concernant près de 500 000 personnes a été révélée dans les médias, qui mettait en cause la société Dedalus. La CNIL avait annoncé dès le lendemain mercredi 24 février 2021 qu’elle avait lancé une enquête pour savoir si les établissements (dont les données ont été volées) ont manqué à leurs obligations. Elle vient d’aboutir à la délibération le 15 avril 2022 à 1,5 million d’euros d’amende.
Une sanction qui ramène le sujet peu abordé lors du débat de l’entre-deux tours de l’élection présidentielle entre Marine Le Pen (RN) et Emmanuel Macron (LaREM) candidat à sa succession, de la sécurité réelle de nos données. Le règlement général de protections des données (RGPD), en plus de prodiguer des consignes de sécurisation des données, impose aux entreprises ayant subi une violation de leurs données de le signaler. Or la Commission nationale informatique et libertés (CNIL) déclarait ne pas en avoir été avertie. Plus inquiétant, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) avait communiqué mercredi 24 février 2021, avoir identifié l’origine de cette fuite de données dès le mois de novembre 2020, et prévenu le ministre des Solidarités et de la Santé, Olivier Véran.
Une année après la fuite, c’est 510 000 Françaises et Français qui sont à nouveau impactés par le même type d’incident informatique. Cette fois issue directement l’Assurance Maladie. Elle adressait une notification à la CNIL le 16 mars 2022 et déposait une plainte au pénal. (Crédits : capture d’écran)
Lesdites informations étaient les nom, prénom, numéro de sécurité sociale, nom du médecin prescripteur, date de l’examen, mais pas seulement. Plus dommageables pour les personnes elles-mêmes, des informations médicales à savoir si les patients sont atteints par le VIH, cancer, maladies génétiques, en situation de grossesses, les traitements médicamenteux suivis par le patient, ou encore des données génétiques ont ainsi été diffusées sur internet.
De nombreux manquements techniques et organisationnels en matière de sécurité ont été retenus à l’encontre de la société Dedalus Biologie dans le cadre des opérations de migration du logiciel vers un autre :
- absence de procédure spécifique pour les opérations de migration de données
- absence de chiffrement des données personnelles stockées sur le serveur problématique
- absence d’effacement automatique des données après migration vers l’autre logiciel
- absence d’authentification requise depuis internet pour accéder à la zone publique du serveur
- utilisation de comptes utilisateurs partagés entre plusieurs salariés sur la zone privée du serveur
- absence de procédure de supervision et de remontée d’alertes de sécurité sur le serveur
« Cette absence de mesures de sécurité satisfaisantes est l’une des causes de la violation de données qui a compromis les données médico-administratives de près de 500 000 personnes. Un manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement (article 28 du RGPD) », martèle la CNIL. Les articles 29 et 32 font également partie des manquements. Quand les opérateurs utilisant les Ransomware-a-as-Service attaquent des entreprises, tel Conti avec la cyberattaque subie par le Costa Rica, il faut souhaiter que l’exemple de Dedalus servent aux entités privées et publiques pour protégé, à défaut de retarder voire décourager les opérateurs malveillants de voler vos données comme les miennes.
avril 21, 2022
Ransomware: le Costa Rica dans la tourmente
Depuis maintenant quelques jours, les opérateurs derrière le ransomware Conti affichent des menaces si la rançon de 10 millions de dollars américains n’est pas réglée. « Nous avons téléchargé 1 TB des bases de données de votre portail […] ainsi que des documents internes, nous commencerons à publier ces données le 23 avril ». Le ministère des Finances publiques infiltré et crypté… le scénario du Costa Rica est une version bêta d’une cyberattaque mondiale contre un pays entier, revendiquent-ils.
Les instances gouvernementales costariciennes sont confrontées à une cyberattaque depuis le dimanche 17 avril 2022. Elle affecte le ministère des Finances, touchant l’outil de déclaration des impôts, de leur règlement et la plateforme de paiement des salaires des fonctionnaires. « Au cours des dernières heures, l’exposition de certaines des données appartenant à la Direction générale des douanes a été détectée, qui est en train de réaliser les processus d’investigation de l’information, comme établi dans le plan de réponse. Les données identifiées jusqu’à présent sont de nature historique et sont utilisées par le Service national des douanes. »
Le numéro d’identification, prénom, nom, adresse, coordonnées GPS, profession, courriel… sont des renseignements à la disposition des opérateurs usants de Conti. Ils menacent de révéler 1 TB d’informations. (Crédits : capture d’écran)
Si ces hackers publient des indications sensibles sur les contribuables, les criminels costariciens pourraient en profiter pour commettre d’autres délits dans le pays, prévient l’expert. « Nous avons pénétré leur infrastructure critique, obtenu l’accès à environ 800 serveurs, pompé environ 900 Go de bases de données et environ 100 Go de documents internes, bases de données au format MSSQL, mdf, ndf », expliquent les cybercriminels.
La rançon exigée pour ne pas divulguer les informations est de 10 millions de dollars, mais s’il n’y a pas de versement, les autorités doivent être conscientes que les données et les informations obtenues par les pirates seront en danger. Ce matin, 21 avril 2022 plus de 15 GB de données compressées sont disponibles. (Crédits : capture d’écran)
Le site web du ministère des Sciences, des technologies et des télécommunications a également été infecté. Ils ont mis à disposition 736 Mo de fichier EML, qui sont des courriels en données brutes, accessibles par un éditeur de texte. « Le pays ne peut pas s’exposer à payer de l’argent aux criminels, car il sera considéré comme un territoire vulnérable et exploitable pour d’autres organisations criminelles sur Internet », explique Adalid Medrano, avocat spécialisé dans le droit informatique et formateur en cybercriminalité.
avril 21, 2022
RaidForums n’est plus
Pour la majeure partie des personnes naviguant sur l’Internet, ce forum n’évoquera rien du tout. Il était un marché très fréquenté par les cybercriminels pour l’achat et la vente de données exfiltrées lors d’attaques informatiques. Les États-Unis ont lancé des poursuites pénales contre le présumé fondateur et administrateur en chef de « RaidForums », Diogo Santos Coelho, âgé de 21 ans. Ce dernier a été arrêté au Royaume-Uni le 31 janvier, à la demande des États-Unis. Il est depuis en détention en attendant la résolution de sa procédure d’extradition.
Révélé par Europol le 12 avril 2022, le marché en ligne « RaidForums » a été fermé, son infrastructure saisie dans le cadre de l’opération « TOURNIQUET ». Elle était coordonnée par Europol pour soutenir des enquêtes indépendantes aux États-Unis, au Royaume-Uni, en Suède, au Portugal et en Roumanie. L’administrateur du forum et deux de ses complices ont été arrêtés. « Un acte d’accusation n’est qu’une simple allégation, et tous les accusés sont présumés innocents jusqu’à ce que leur culpabilité soit prouvée au-delà d’un doute raisonnable dans un tribunal », dans l’acte d’accusation, Jessica Diane Aber procureur du District Est de la Virginie, aux États-Unis. « Nos efforts interagences pour démanteler cette plateforme en ligne sophistiquée — qui facilitait un large éventail d’activités criminelles — devraient soulager les millions de personnes qui en ont été victimes et servir d’avertissement aux cybercriminels qui ont participé à ce type d’activités néfastes, a déclaré Jessica D. Aber. L’anonymat en ligne n’a pas pu protéger le défendeur dans cette affaire de poursuites, et il ne protégera pas non plus les autres criminels en ligne. »
La saisie de RaidForums va perturber les nombreux membres, qui utilisaient cet espace pour proposer à la vente des bases de données piratées contenant des informations privées et financières, ainsi que pour organiser différentes actions, et des attaques de type « swatting » contre n’importe qui pour lui nuire.
Lancé en 2015, RaidForums était considéré comme l’un des plus grands forums de piratage au monde avec une communauté de plus de 750 000 usagers. Cette place de marché s’était fait connaître en vendant l’accès à des fuites de bases de données très médiatisées appartenant à un certain nombre de sociétés américaines de différents secteurs. Ces bases de données contenaient des informations sur des millions de cartes de crédit, des numéros de comptes bancaires et des informations d’acheminement, ainsi que les noms d’utilisateur et les mots de passe associés nécessaires pour accéder aux comptes en ligne.
L’expression « dormir sur ses deux oreilles » ne doit plus rien évoquer, auprès de ceux qui ont eu recours RaidForums à des fins criminelles… En février 2021, les données médicales de 500 000 français étaient notamment à vendre sur RaidForums, après le piratage de plusieurs laboratoires d’analyses médicales. (Crédits : DR)
Coelho a été inculpé de six chefs d’accusation pour conspiration, fraude de dispositif d’accès et vol d’identité aggravé. Il aurait aussi proposé un service payant d’« intermédiaire » consistant à assister personnellement aux transactions entre l’individu souhaitant commercialiser une base de données piratée et celle désirant l’acheter. Si l’administrateur présumé Diogo Santos Coelho a été arrêté fin janvier, maintenu en détention préventive au Royaume-Uni et que les autorités ne rendent publique la fermeture de RaidForums que maintenant, il est fort probable qu’ils ont à leur tour fait un tour de marché pour voir, aussi bien les marchandises pour les chalands et les vendeurs, recueillant de nombreuses et précieuses informations.
avril 14, 2022
Fuite de données massives en Albanie
Un watergate électronique comme le fut le scandale de Cambridge Analytica semble se profiler en Albanie, ou comme l’Affaire des écoutes illégales de l’Élysée sous François Mitterrand, en France. Deux bases de données circulent sur la toile. L’une contient des informations privées sur les salaires de citoyens albanais, et l’autre des renseignements confidentiels ainsi que des commentaires sur les préférences politiques qui a circulé en avril. Elles suscitent des inquiétudes quant à la sécurité publique dans le pays.
C’est un camouflet politique, car il s’agit de la seconde fuite selon le journal luxembourgeois, L’Essentiel. En effet, juste avant les élections législatives, près d’un million de données d’Albanais avaient fuité. En avril 2021, les informations privées d’environ 910 000 électeurs de Tirana ont été divulguées aux médias. Personne suite à l’enquête n’a jusqu’à présent été mis en cause. La base constituée serait la propriété du parti socialiste albanais.
Le 23 décembre 2021, le Premier ministre Edi Rama qualifiait cette fuite de « tentative de créer la confusion et de favoriser l’instabilité », laissant transparaître que les efforts de déstabilisation proviendraient de l’opposition divisée du pays. (Crédits : AFP)
Les procureurs de Tirana ont entamé des vérifications quelques heures après qu’une violation massive d’informations contenant des infos privées de citoyens a amorcé une circulation en ligne, initialement via « Whatsapp ». Les données contiennent les salaires, les postes, les noms des employeurs et les numéros d’identification de quelque 630 000 citoyens, issus des secteurs public et privé. Le fichier Excel qui a fait l’objet de la fuite contenait les salaires des citoyens pour le mois de janvier, tandis qu’un autre qui a commencé à circuler jeudi 23 décembre 2021 contenait les salaires d’avril.
Enri Hide, expert en sécurité et professeur à l’Université européenne de Tirana, qualifiait de « menace ouverte pour la sécurité nationale » ajoutant que « la réaction institutionnelle n’est pas du tout sérieuse et proportionnée au degré de risque ». « La cybersécurité doit être prise au sérieux. Nous avons besoin d’une stratégie basée non pas sur des lettres, mais sur un modus operandi. Nous avons besoin d’un protocole clair sur ce qui doit se passer si nous avons de telles fuites. Il n’y en a pas et c’est honteux », déclarait-il. Les employés des services secrets, des services de renseignement, des unités de renseignement militaire et des unités antiterroristes seraient particulièrement exposés, écrit Fjori Sinoruka dans Le Balkaninsight.
décembre 24, 2021
LDLC dans la tourmente
C’est par un communiqué de presse du lundi 29 novembre 2021 que le groupe LDLC relatait avoir « détecté un incident de cybersécurité dans ses systèmes informatiques, ayant entraîné un accès non autorisé aux données de l’entreprise », mais « n’a pas eu d’impact sur les opérations commerciales du Groupe ». Les opérateurs derrière Ragnar_Locker ont publié un échantillon de renseignements dérobés sur le système d’information de la firme, ainsi que plusieurs captures d’écran.
Les assaillants derrière le ransomware sont clairs dans le message « Si le Groupe LDLC souhaite arrêter le processus de fuite et éviter d’autres publications, il en a déjà été informé et sait comment nous contacter ». Ils ajoutent avec une pointe sarcastique « n’oubliez pas de vérifier vos e-mails ». « Aujourd’hui, nous publions le premier lot de données, mais si le Groupe LDLC ne nous contacte pas, nous continuerons à télécharger des données jusqu’à ce que toutes les informations soient divulguées », préviennent-ils, depuis les premiers dévoilements sur le site de fuites.
Les opérateurs par cette preuve de fuite montrent qu’ils étaient en mesure de suivre les échanges de l’équipe de réponse à incident. Les cyberdélinquants démontrent qu’ils ont encore un plus large accès à son système d’information, ainsi qu’à ses postes de travail. Par cette preuve, la compromission est possiblement. (Crédits : capture d’écran)
LDLC précisait néanmoins que les données clients n’étaient pas concernées et que ses équipes de sécurité s’affairaient à une « analyse approfondie » afin de renforcer les mesures de protection mises en œuvre. Comme rappelle Le MagIT ce que soulignait Jérôme Saiz, du cabinet Opfor Intelligence : « dans une crise cyber, il faut considérer que l’on n’a plus confiance en ses moyens de communication ».
Outre les captures d’écran, Ragnar_Locker relaie également deux archives en téléchargement. Elles sont respectivement pour l’une de 8,5 Go et pour l’autre de 21 Go compressées, que le groupe affirme avoir volées. Le groupe indique avoir « notifié » le groupe LDLC de l’attaque et du vol de données, mais n’avoir reçu aucune réponse de sa part, ce qui l’a poussé à commencer la diffusion de ces dernières.
Des investigations se poursuivent. « Même si certaines données à caractère personnel ont pu être consultées, cela ne concerne en aucun cas les informations sensibles relatives aux clients des sites internet marchands du Groupe », assure LDLC. (Crédits : capture d’écran)
Ce qui doit être lu entre les lignes est que LDLC refuse de payer la rançon réclamée par le groupe d’assaillants, d’autres fichiers seront répandus. Ragnar Locker est connu pour lancer des attaques de codes malveillants de type ransomware, doublé souvent d’un chantage à la diffusion de datas volées sur leur site dédié. Ragnar_Locker a également publié trois captures d’écran suggérant que le groupe s’est intéressé de près à l’infrastructure virtualisée de LDLC.
Ragnar_Locker serait actif depuis au moins avril 2020. Il avait notamment visé l’avionneur Dassault Falcon Jet, avec près de 87 Go d’informations compressées, ou encore l’éditeur de jeu vidéo Capcom lors du mois d’août 2020 pour un total de 196, 58 Go de données compressées.
« L’attaque pourrait d’ailleurs avoir commencé avec l’exploitation de la vulnérabilité CVE-2021-21985 », informe Le MagIT. En effet, cette faille permet à attaquant non authentifié d’exécuter du code arbitraire à distance, avec qui plus est un haut niveau de privilèges. De plus, des codes d’attaques sont disponibles publiquement pour la vulnérabilité CVE-2021-21985 et le CERT-FR a connaissance d’exploitations actives de celle-ci. Cette dernière est connue pour être exploitée dans le cadre de cyberattaques avec déploiement de ransomware. Cette vulnérabilité état documentée par l’ANSSI le 7 juin 2021, avec des recommandations de sécurité pour les architectures basées sur VMware vSphere ESXI.
décembre 9, 2021