La société britannique n’a pas perdu de son flegme, mais le désagrément est pourtant réel. Les expéditions vers l’international sont plus que fortement perturbées. Alors que le quotidien The Guardian confirmait l’attaque cybernétique du 20 décembre 2022, c’est au tour de l’une des plus grandes entreprises de services postaux et de colis au monde, de l’affirmer. Il y quelques mois un important fournisseur informatique du National Health Service (NHS) britannique était victime d’une attaque par ransomware.
« Nous sommes temporairement dans l’incapacité d’expédier des articles vers des destinations à l’étranger », a déclaré Royal Mail. Elle conseille à ses clients de conserver temporairement les envois destinés à l’international. Le temps nécessaire pendant qu’elle s’efforce de résoudre le problème. Ce qui complique les choses est que selon la société britannique, des milliers d’entreprises l’utilisent pour exporter dans le monde entier.
Les comptes Twitter d’au moins deux ministres importants du gouvernement semblent avoir été piratés ces dernières semaines, tandis que le journal Guardian a déclaré le mois dernier qu’il avait été touché par un « incident informatique grave » qui pourrait être une attaque par ransomware. (Crédits : Thomson/Reuters)
Royal Mail est une entité qui existe depuis 507 ans. Elle a été privatisée en 2013. En 2021, l’année fut difficile, avec la perte de millions de livres sterling en raison de la baisse des volumes de courrier, mais pas que. Une série de grèves du personnel dans le cadre d’une querelle sur les salaires et les conditions de travail a impacté la vieille dame.
Ce « cyberincident » est le dernier en date d’une liste d’événements liés à la cybersécurité en Grande-Bretagne. Les comptes Twitter d’au moins deux ministres importants du gouvernement semblent avoir été piratés ces dernières semaines. (Crédits : Christian Neßlinger/Pixabay)
Selon la recherche de JUMPSEC, le Royaume-Uni représente 314 cas sur un total mondial de 5 869 cas de ransomware. Le groupe de ransomware le plus répandu au Royaume-Uni depuis le début de la vague actuelle de ransomware en 2020 a été Conti, suivi de près par LockBit, ajoute JUMPSEC.
La date du 20 décembre 2022 a été confirmée par le géant britannique des médias. Selon l’organisation, une attaque « hautement sophistiquée ». La directrice générale de The Guardian Media Group, Anna Bateson, et sa rédactrice en chef, Katharine Viner ont corroboré la nouvelle dans une mise à jour envoyée par courriel à l’ensemble du personnel mercredi 11 janvier 2023 dans l’après-midi. Les données personnelles des employés ont été exposées. Le bureau de Londres est fermé par contrainte jusqu’au début février.
Le 21 décembre 2022, AnnaBateson, et KatharineVinerdéclaraient aux effectifs : « Comme chacun le sait, un incident grave a affecté notre réseau et nos systèmes informatiques au cours des dernières 24 heures. Nous pensons qu’il s’agit d’une attaque par ransomware, mais nous continuons à envisager toutes les possibilités. » Hier mercredi, quelques lignes « Guardian confirms it was hit by ransomware attack » attestent le rapport du gouvernement britannique de l’année passée. Il indique que 40 % des entreprises britanniques ont signalé des violations ou des attaques de cybersécurité au cours des 12 mois précédents. Selon les deux dirigeantes, une cyberattaque aurait été très probablement déclenchée par une tentative de « phishing ».
Le retour au travail dans les locaux a été reporté à minima au début du mois de février. Dans l’attente où le personnel habilité restaure l’ensemble du réseau et des systèmes d’information. (Crédits : DR)
L’Information Commissioner’s Office (équivalent de la CNIL), l’organisme britannique de surveillance des données, a été informé de l’attaque, de même que la police britannique. Le Guardian déclare qu’à cet instant de l’enquête, rien n’indique que les données personnelles des lecteurs et celles des abonnés ont été consultées. Il ne pense pas non plus que les données personnelles du personnel du Guardian US et du Guardian Australia aient été consultées.
Le cybergang qui a fuité les données de Maxey Moverley en mai 2022, et Nextlabs en octobre affiche 271 MB de l’américain Aviacode. L’entité indique que cela représente 1 % de l’ensemble des informations. Aviacode est la société qui fournit depuis plus de deux décennies des services de codage médical HIM. Ses clients sont des hôpitaux, centre d’imageries, groupes de médecins, etc. Omega applique la politique de la double extorsion, cible les organisations du monde entier et demande des millions de dollars de rançon.
En ce 11 janvier 2023, peu de choses sont encore connues de ce nouveau rançongiciel apparu en mai 2022. De nombreuses entreprises ont subi des attaques. Il semblerait que son vecteur d’attaque soit le phishing. « Cependant, nous savons que le ransomware ajoute l’extension .0mega aux noms des fichiers cryptés et crée des notes de rançon nommées DECRYPT-FILES.txt. », explique Bleeping en juillet 2022. Sur son site de fuite est affiché Aviacode. L’entreprise outre-Atlantique « fournit des services supérieurs de codage médical et de conformité au codage médical à des systèmes de soins de santé à grande échelle, des hôpitaux individuels, des groupes de médecins, des centres de chirurgie et des centres d’imagerie, ainsi qu’à des payeurs depuis plus de 20 ans ».
Sur son site de fuite, les opérateurs du ransomware0mega affichent un fichier de 271 MB compressé, qui représente selon les opérateurs 1 % de la totalité des données exfiltrées. Une fois ouvert, le fichier contient 856 éléments pour un poids de 379 MB. De nombreux dossiers sont affichés. Ils concernent les employés, les impôts, le budget, etc. Pour les employés des fiches de renseignements, des certificats de naissance, permis de conduire… jusqu’à des courriels indiquant une augmentation des prestations salariales. Des contrats de clients et de compagnie sont aussi divulgués.
Mais aussi des échantillons de bases de données où sont notifiés les dates de naissance, prénoms, noms, professions de plus de 5 000 personnes. Des copies de passeports, permis de conduire, acte de naissance, adresse, identifiant interne…
Ainsi que de nombreux documents internes avec des annotations, jusqu’au règlement et la bonne conduite des employés sont accessibles. Des informations sur ceux qui fournissent des solutions complètes solutions d’audit et de conseil aux entreprises. La compagnie basée à Salt Lake City aux États-Unis n’a pas encore communiquée sur cette affaire.
Ah, les réseaux sociaux, les plateformes d’échanges, d’écoute de musique et les différentes applications que nous installons sur nos « smartphones », quel bonheur. Oui sauf que pour utiliser ces outils vous laissez de très nombreuses données consciemment, ou presque. Avez-vous pris le temps de lire les accès que vous autorisez en installant une application ? Un système d’exploitation ? Non, je suis d’accord c’est vraiment barbant de tout consulter, en plus c’est en petit caractère…
Si vous n’avez jamais reçu de courriel de la part du site « Have i been Pwned » tant mieux. J’ai eu une indication de leur part dernièrement. Elle fait suite à la fuite d’informations de la plateforme française d’écoute de musique en streaming, Deezer. L’incident date de 2019, les données ainsi dérobées et mises en vente représentent 257 829 254 personnes, quasiment quatre fois la population française.
Les données proviendraient de la France pour 46,2 millions d’utilisateurs, le Brésil (37,1), la Grande-Bretagne (15,3), l’Allemagne (14,1), le Mexique (11,1), la Colombie (9,0), la Turquie (6,9), les États-Unis (6,4), l’Italie (5,0) et le Guatemala (4,4). (Crédits : Restore-Privacy.com)
Ainsi les informations exposées sont :
Les noms et prénoms
Les dates de naissance
Les adresses électroniques
Sexe
Données de localisation (ville et pays)
Date d’adhésion
ID de l’utilisateur
Ce qui est intéressant est de voir les différentes failles. Ainsi des données personnelles se retrouvent dans une fuite de 593 millions d’e-mails en 2016, en janvier 2019, elles font partie des 2,7 milliards avec 773 millions d’adresses courriel uniques, et en 2020 une exposition pour 70 millions d’individus. (Crédits : Haveibennpwned)
200 millions d’adresses e-mails
Un autre réseau, qui fait parler de lui depuis son rachat est twitter. Cette fois, une fuite, suite à un acte malveillant, de deux cents millions d’e-mails d’utilisateurs du réseau était publiée. Au commencement, l’exploit d’une vulnérabilité de l’API Twitter : elle permettait aux utilisateurs de saisir des courriels et des numéros de téléphone pour confirmer s’ils étaient associés à un identifiant Twitter. Par la suite, ils ont récupéré par une autre API les données publiques de Twitter relatives à l’identifiant. Ce qui a permis de créer des profils d’utilisateurs de Twitter. À quelles fins ? Usurper d’autre identité ? Propagande ? Phishing ? Ransomware ?
Au final, en épurant, supprimant les espaces, combinant les fichiers, 209 595 668 enregistrements apparaissent. « L’analyse des dates des fichiers originaux et des dates de création des comptes suggère fortement que ces données ont été collectées entre début novembre 2021 et le 14 décembre 2021 », relate une personne après étude des sources.
« Bien que Twitter ait corrigé cette faille en janvier 2022, plusieurs acteurs de la menace ont récemment commencé à divulguer gratuitement les ensembles de données collectées il y a plus d’un an », explique Lawrence Abrams pour BleepingComputer.
Le cybergang du ransomware BlackCat a trouvé un nouveau moyen de mettre la pression sur les victimes. Ils clonent le site WEB de sa victime pour faire fuiter les données. Une sorte de contrainte sur les victimes en mettant les différentes sociétés dans l’embarras. Comme préconisé, la victime a décidé de ne pas céder au règlement de la somme demandée. Cette démarche ajoute une menace encore au paysage déjà assombri. Une nouvelle extorsion contre la victime qui n’a pas satisfait aux exigences des acteurs de la menace.
La tension risque de monter d’un cran sur la toile, si ce n’est déjà fait depuis bien longtemps. Le 26 décembre 2022 sur son site de fuite, le gang revendiquait la compromission d’une entreprise en services financiers. Les opérateurs ont donc imité le site victime pour en diffuser les données dérobées. Le total des données disponibles est de 3,5 GB.
Les cybercriminels n’ont pas conservé les rubriques originales du site. Ils ont crée des rubriques pour organiser la divulgation des données. (Crédits : Bleepingcomputer)
Alerte du FBI en avril 2022
Un communiqué flash du 22 avril 2022 comptabilise entre le mois de mars et le 22 avril 2022 que le ransomware aurait réalisé des exploits aux nombres supérieurs de 60. Les indications donnent à penser au FBI que BlackCat serait lié au groupe DarkSide, auteur de la cyberattaque sur Colonial pipeline en 2021. En décembre 2022, la société colombienne d’énergie EPM (Empresas Públicas de Medellín) était victime d’une attaque par ransomware BlackCat, qui a perturbé les activités de la société et mis hors service ses services en ligne.
Le 27 décembre 2022, la société italienne Advanced Systems subissait une attaque par ransomware du cybergang Phobos. Peu de temps avant, c’est la commune de Sarno, au sud-est de Naples qui était touché par une cyberattaque. Red Hot Cyber rapporte la similitude entre les modes de fonctionnement. Le ransomware Phobos fait son apparition en 2018 et menace les serveurs des entreprises. Il use des protocoles de bureau à distance mal configurés. Il tient son nom du dieu grec de la peur, sa structure est comparable à Crysis et Dharma.
La commune de Sarno est victime d’une attaque de dernière génération relate la compagnie Advanced Systems spa, qui gère le système informatique du Palazzo di Città. L’affection de certains serveurs de l’entreprise est avérée, indique la société dans son communiqué. L’incident signalé aux forces de l’ordre, les procédures requises par le protocole de sécurité interne ont été engagés. « Une task force d’experts a été constituée, qui, avec l’aide de l’entreprise Swascan srl de Tinetxta spa, leader du marché des services GDPR, analyse l’incident, vérifie les serveurs et prépare les actions nécessaires pour rétablir la fonctionnalité normale des applications fournies. »
Le 29 décembre 2022, la société Advanced Systems avait remis en fonctionnement les services concernés. Cependant certaines opérations se déroulent encore. Si le confinement des systèmes infectés est réalisé, l’identification est en cours. C’est le cas pour l’analyse des journaux « d’après les premiers éléments, il n’y a aucune preuve d’exfiltration. »
Le ransomware Phobos
Les cybermalfaiteurs se servent de deux vecteurs d’attaques. Le premier à travers les campagnes de phishing, les personnes usant de ces lignes de codes volent des informations sur les comptes et les mots de passe, ou incite la cible à ouvrir une pièce jointe malveillante. Mais également en obtenant un accès direct à l’aide du protocole de bureau à distance (RDP). Le port spécifique visé par le ransomware est le port 3389, relate Avast. Des botnets scannent les systèmes qui ont gardé ce port ouvert. Ensuite, l’occasion est donnée aux cybercriminels de deviner les identifiants de connexion en utilisant un moyen comme l’attaque par force brute. La suite est documentée de nombreuses fois par les entreprises, hôpitaux, universités, en France, aux États-Unis … partout sur terre.
Le célèbre gang et plus prolifique ransomware ne cesse d’attaquer des entreprises. Cette fois c’est en Nouvelle-Zélande que cela se passe. Le fournisseur de services Mercury IT semble être la pièce principale. Mercury IT fournit une large gamme de services informatiques à des clients dans toute la Nouvelle-Zélande. Celui qui prodigue des services pour de nombreuses sociétés semble être la porte d’entrée aux autres publications sur le dark Web, avec plus de 500 TB de données selon LockBit.
Dans les cibles du cybergang des dommages collatéraux ou non, seule l’enquête le dira. Quoi qu’il en soit l’assureur santé Accuro, le cabinet d’architectes Catalyst Group, le programme de mentorat d’entreprise Business Central et l’entreprise de revêtements de sol commerciaux Polyflor. L’ensemble des données sont en vente à des prix divers et variés, de 99 000 et 999 000 dollars.
LockBit 3.0 a révélé dernièrement les données de la mairie de Brunoy, de l’office d’équipement hydraulique de Corse et de Thales. (Crédits : copie d’écran/LockBit)
Mercury IT avait pris connaissance de l’attaque le 30 novembre. « Nous avons appris que nous étions victimes d’un cyberincident après qu’un acteur malveillant et non autorisé ait eu accès à notre environnement de serveur, a déclaré Corry Tierny, directeur informatique de l’entreprise. Notre réponse pour comprendre comment cela s’est produit, et traiter les impacts est à un stade précoce |…] »
L’impact pourrait être conséquent. « Nous encourageons tous les clients de Mercury IT qui ont été touchés par cet incident et qui n’ont pas encore été en contact avec nous à contacter le Bureau du Commissaire à la protection de la vie privée », explique le commissaire à la protection de la vie privée.
Mercury IT a fait appel à une assistance externe après avoir signalé l’incident à la National Cyber Security Center (NCSC), la police néo-zélandaise, le CERT NZ et le commissaire à la protection de la vie privée. Ce dernier « prévoit d’ouvrir une enquête de conformité sur cet incident afin de pouvoir utiliser pleinement ses pouvoirs de collecte d’informations », a-t-il ajouté. Mercury IT a d’ailleurs travaillé avec le ministère néo-zélandais de la Justice et la société de soins de santé Te Whatu Ora, et aurait perdu 14 500 dossiers de coroners et 4 000 rapports d’autopsie.
Un cataclysme frappe la Colombie, après EPS Sanitas, et Omegapro, c’est le bâtiment dit « intelligent » de l’Empresas Públicas de Medellín (EPM) qui est victime d’un ransomware. L’édifice a été vidé de ses occupants le 12 décembre 2022 au soir. Ils sont dans l’obligation de travailler depuis leurs domiciles. Une attaque cybernétique aurait pris toutes les informations des ordinateurs de l’EPM à Medellín. Un ransomware est à la base de l’infection, les cybercriminels exigent une rançon de 5 millions de dollars pour libérer les données.
Dans une brève communication, les autorités reconnaissaient qu’ils avaient eu un « incident de cybersécurité », arguant cette raison pour le renvoi des employés chez eux. Ils assuraient que la situation n’avait « aucune incidence sur la fourniture adéquate des services publics d’énergie, eau et gaz ». En août de cette année, le bureau du procureur de FranciscoBarbisa avait été victime d’un acte similaire. Son bureau enquêtait sur de la corruption, des homicides et des abus sexuels. L’estimation des fichiers volés avoisinait les 5 To. Le cabinet a déclaré que cette fois le butin vol serait triple, soit 15 To.
EPM a indiqué que le paiement de ses obligations serait retardé en raison de la cyberattaque. L’Alliance Separa, composée de 15 organisations de ramasseurs de déchets, a demandé de trouver une solution aux frais de collecte impayés de décembre, seule source de revenus pour certains Colombiens. (Crédits : DR)
Fabio Assolini, le directeur de l’équipe de recherche et d’analyse de Kaspersky pour l’Amérique latine, a révélé qu’au cours des dix premiers mois de l’année plus de 65 000 attaques ont été enregistrées en Colombie.
Mauvaises nouvelles en cascade
La date du paiement de la redevance du ramassage des ordures reste inconnue. Elle représente le seul revenu de nombreuses organisations de ramasseurs de déchets. Le versement des frais pour le mois de décembre, les primes aux employés concernés et du salaire pour la deuxième quinzaine ne sont pas réglés. La conséquence est directe, il y a un appauvrissement d’une classe de la population colombienne déjà fragilisée.
Malgré les problèmes qui perdurent depuis plus d’une semaine, l’entreprise a permis le recouvrement de l’énergie prépayée à travers les banques ou l’application Nequi Colombia, afin de réduire les problèmes d’accès aux services publics. Un compteur pour l’énergie prépayé d’EPM en Colombie ci-dessus. (Crédits DR)
« Pour l’eau prépayée dans le canal des points directs Gana et PTR, ainsi que plus de 30 réservoirs d’eau potable pour les quartiers de la ville. Et l’énergie prépayée dans nos bureaux dans les canaux directs de Gana et à travers PSE des banques », a déclaré Claudia Gómez Maya, responsable de l’unité des offres aux ménages.
Plus d’un mois après la cyberattaque dont a été victime le Vanuatu, le 30 octobre 2022, les conséquences de l’incident cybernétique sont toujours présentes. Il faut préciser que les sites gouvernementaux touchés sont nombreux. Il ya celui du parlement, de la police, du Premier ministre et pas des moindres celui chargé des réponses aux cyberattaques. L’État du pacifique qui compte près de 315 000 habitants demandait de l’aide à l’Australie, elle même en proie à l’attaque de Medibank.
L’ensemble des sites WEB de l’assemblée, de la police et du bureau du Premier ministre de l’île du Pacifique sont désactivés. Les services de courriel, de l’intranet et les bases de données en ligne des écoles, hôpitaux et autres services d’urgence, ainsi que tous les services et départements gouvernementaux sont à l’arrêt. La population répartie sur plusieurs îles a dû se trouver des solutions pour payer les impôts, l’obtention de licences et de visas de voyage entre autres. Les différents individus ont fait face en usant de téléphone portable, d’adresses e-mail privées. Le précédent gouvernement avait reconnu l’attaque cybernétique qui se serait déroulée le 5 novembre 2022.
Des fonctionnaires utilisent des ordinateurs portables personnels, des stylos et du papier, sans oublier des machines à écrire. Le but faire tourner malgré tout le gouvernement du Premier ministre, Ishmael Kalsakau, entré en fonction quelques jours seulement après l’attaque du 30 octobre 2022. (Crédits : valerioerrani/Pixabay)
Hameçonnage via e-mails
Les problèmes auraient commencé peu de temps avant le 30 octobre 2022. « Des activités suspectes ont été remarquées dans des courriels adressés au ministère des Finances », explique un analyste financier au journal The Guardian. L’homme travaille en étroite collaboration avec les équipes de cybersécurité du ministère.
« C’était le chaos pendant les premiers jours, mais l’ensemble du gouvernement a créé des comptes Gmail alternatifs ou utilisé ses e-mails privés. Nous utilisons tous des téléphones et des téléphones portables pour communiquer. Mais nous sommes résilients au Vanuatu, qui est un petit pays, et nous pouvons gérer cela », a déclaré OliviaFinau, chargée de communication au ministère du changement climatique.
Des experts australiens ont aidé le Vanuatu à reconstruire l’ensemble de ses systèmes d’information afin qu’il soit plus sûr dans le futur. (Crédits : David Mark/Pixabay)
Pourquoi le Vanuatu serait visé par un ransomware ?
Les tractations vont bon train. « Nous ne savons pas encore qui est derrière cette attaque, mais un porte-parole du gouvernement a suggéré qu’il s’agissait d’une attaque extérieure, probablement de la région Asie. » Le Vanuatu est une nation clé qui entretient des relations avec les États-Unis, la Chine, l’Australie et la Nouvelle-Zélande.
Les positions de la République Populaire de Chine et les États-Unis d’Amérique sur différents sujets pourraient être à l’origine de cette attaque. L’île est devenue l’une des îles du Pacifique les plus proches de Pékin. Des investissements chinois ont permis de construire son parlement, son stade et son centre de convention. L’Australie, alliée des États-Unis, est depuis plus de quarante ans le principal bailleur de fonds et le plus proche partenaire de sécurité du Vanuatu, explique la BBC.
Depuis le 19 novembre 2022, des professionnels de santé sont revenus au papier et aux crayons, pendant que les experts des systèmes d’information s’efforcent de rétablir les différents outils opérationnels. One Brooklyn Health est un regroupement d’établissements hospitaliers qui s’occupent des personnes les plus pauvres de ma mégapole New York. Les 3 hôpitaux de l’organisation retrouvent peu à peu l’utilisation de divers services critiques a déclaré la direction.
Le groupement One Brooklyn Health comprend trois hôpitaux : Interfaith Medical Center, Brookdale Hospital Medical Center et Kingsbrook Jewish Medical Center. La direction a confirmé l’attaque, qui a été détectée pour la première fois fin novembre. Des experts en sécurité luttent depuis au rétablissement des outils. Leurs fermetures ont entraîné la coupure de postes de travail hospitaliers. Ceux grâce auxquels les prestataires de soins de santé accèdent aux dossiers médicaux, commandent des ordonnances et remplissent les dossiers des patients.
Des avancées conséquentes ont été effectuées. Sur l’origine de l’attaque cybernétique, et la demande de rançon, le FBI n’a donné aucune réponse. (Crédits : BankInfoSecurity)
« One Brooklyn Health a fait des progrès considérables dans son enquête et son processus de remédiation en réponse à un incident de cybersécurité que nous avons détecté fin novembre », a déclaré Mme Brown dans un communiqué. « Dans l’intervalle, tous nos hôpitaux et établissements sont ouverts, et nous continuons à fournir des soins à nos patients en utilisant des procédures d’arrêt bien établies pour lesquelles nos cliniciens et administrateurs sont largement formés. »
Amazing, One Brooklyn Hospital System (composed of merger of 3 hospitals) has been hacked and criminals are requesting a 5M ransom. Meanwhile, these vital facilities are functioning with pen & paper bc they won’t pay ransom. This according to a staff member.
Si l’information d’une rançon de 5 millions de dollars américains est ainsi exposée, le PDG de One Brooklyn Health, Laray Brown, a déclaré au personnel que 250 ordinateurs et 775 appareils mobiles ont été distribués dans les trois hôpitaux pour contourner les systèmes hors ligne depuis le 19 novembre.
