Libre Expression

Étiquette : ransomware

  • Les ransomwares (re) partent en guerre

    Les ransomwares (re) partent en guerre

    La recrudescence des attaques par codes malveillants est légion sur les sites de fuites. Sur les deux derniers jours, 20 et 21 juin 2022, LockBit 2.0 affiche neuf nouvelles victimes après avoir diffusé entre autres des données de la direction générale des impôts du Mali. Clop en revendique plus de 130 avec la propagation des renseignements exfiltrés, dont le cabinet d’avocats Lafournerie Wolfrom comprenant 91 dossiers d’un total de 61 949 Mo d’informations sensibles compressées.

    De très nombreuses pièces de la direction générale des impôts du Mali, des listes de sociétés avec des comptes quant aux règlements effectués, des pénalités, des succursales de compagnies européennes avec leurs données, des fiches de déclarations, des manuels ou des procédures ont été exfiltrées et diffusé. Le continent africain est touché par la cyberattaque effectuée par les opérateurs derrière le ransoware LockBit 2.0, mais pas seulement. AvosLocker a ciblé l’entreprise CR2.

    AvasLocker produit, en preuve des courriels d’actionnaires, tous les utilisateurs de l’annuaire actif avec leurs noms, titres, numéros de téléphone et e-mails de CR2. L’Amérique du Sud semble être une cible particulière. (Crédits : capture d’écran)

    Elle est une société irlandaise de logiciels bancaires qui fournit des technologies de services financiers mobiles, Internet et ATM à plus de 100 institutions fiduciaires de détail en Afrique, au Moyen-Orient et en Asie. Parmi ses clients figurent ANZ, Barclays, Standard Chartered, Botswana Savings Bank, Jordanian Bank al Etihad, la banque panafricaine Orabank, ainsi que Access Bank PLC et Diamond Bank au Nigeria.

    Alphv/BlackCat fait subir une cyberattaque au lycée public et américain Plainedge, à North Massapequa, État de New York. Des documents diffusés dévoilent des problèmes de santé, avec les prénoms et noms, mais aussi les civilités, téléphones privés, e-mail des différents personnels de l’établissement. (Crédits : Capture d’écran)

    LockBit 2.0 menace de diffuser les informations de la pharmacie Cirici située à Barcelone, avec peut-on imaginé des données inhérentes à la santé et les différents traitements de nombreux Espagnols. Au Pérou, à 300 kilomètres de Lima la capitale, la société Agricola Andrea est une victime au tableau de chasse. Elle emploie 3 145 personnes et exporte dans 32 pays, ce qui permet de collecter des renseignements de clients, pour effectuer des méfaits. Sigma Alimentos, entreprise mexicaine a subi une cyberattaque, dont plus d’1 TB serait diffusé. Elle propose des aliments réfrigérés dans plus de 18 États, et autant de clients. En Allemagne, la société de géothermie Build-It Construction. L’entreprise Rhenus qui offre des solutions de fret international répondant aux exigences de l’environnement de la chaîne d’approvisionnement sud-africaine, également touchée. Le complexe hôtelier situé à quelques kilomètres de Montpellier, Plage Palace à Palavas-les-Flots fait aussi partie des victimes.

  • Le milieu médical infecté par l’informatique

    Le milieu médical infecté par l’informatique

    Les hôpitaux font souvent dans les gros titres de la presse à travers le globe. En Amérique du Nord, deux faits corroborent cette situation, le premier à Boston aux USA, le second à Laval au Québec. La conclusion est qu’il existe une probabilité non nulle que de très nombreuses données sensibles soient potentiellement compromises. Elles représentent plusieurs millions d’informations, qui sont les civilités des patients, mais également les personnels soignants actuels ou passés.

    Une attaque informatique contre l’entreprise Shields Health Care Group basée au Massachusetts pourrait avoir compromis l’identité et les informations médicales d’environ 2 millions d’individus. Elles pourraient contenir les prénoms et noms, les numéros de sécurité sociale, dates de naissance, adresses, diagnostics, les données de facturation, les numéros d’assurance et du dossier médical et d’autres informations médicales ou de traitement. Shields a déclaré être en train d’examiner les données touchées. L’attaque a été signalé au ministère américain de la santé et des services sociaux que le 27 mai 2022. Le rapport initial faisait référence à un incident concernant un serveur de réseau, qui a compromis les informations de plus de 50 clients du prestataire. La déclaration fournie par les représentants de Shields indique un accès non autorisé sur une période de deux semaines en mars. L’opérateur a acquis des données, mais la société n’a confirmé le vol qu’après sa première alerte de sécurité à la mi-mars.

    Il serait temps de renforcer les systèmes d’information des personnels hospitaliers, pour qu’il ne soit concentré que sur les soins à apporter. (Crédits : David Mark/Pixabay)

    Quand les individus malveillants n’arrivent pas à conduire une attaque en ligne… ils viennent dérober directement les ordinateurs sur place, c’est ce qu’a vécu le CHU de Québec. Les malfaiteurs sont entrés par effraction dans la nuit du 5 au 6 juin 2022. Les services de Police ont déjà procédé à des arrestations. Une partie du matériel volé a été récupéré, cela dit l’établissement ne peut pas présumer que les informations contenues n’ont pas été transférées à un tiers. Cette fois, la patientèle ne serait pas impactée, mais les personnels hospitaliers passés comme présents, soit environ 10 000. Toutes personnes affectées par ce bris potentiel de confidentialité seront contactées, assure le CHU. Cela concerne tout individu ayant travaillé entre le 1er mars 1991 et le 14 mai 2022. Cette fois encore des données intéressantes pour toutes personnes désireuses de commettre des délits ou crimes :

    • Prénom et nom
    • Adresse personnelle
    • Numéro de téléphone privé
    • Courriel
    • Date de naissance
    • Numéro de sécurité sociale
    • CV
    • Impôts…

    « Jusqu’à maintenant, rien ne nous indique que les données contenues sur le matériel informatique volé auraient été utilisées à des fins malveillantes ou frauduleuses ni qu’elles auraient été vendues à des tiers. Nous demeurons en contact continu avec le service de police de la Ville de Québec afin de connaître le niveau de risque associé à l’utilisation malveillante ou à la vente de ces données. » Au début de l’année, le Réseau de santé de Scarborough (SHN) dit avoir été victime d’une cyberattaque à la fin de janvier, révèle Ici Radio Canada, le 26 mai dernier. La personne pourrait avoir eu accès aux civilités, adresses, carte d’assurance maladie… de certains patients. Le regroupement de trois hôpitaux (Birchmount, Centenary et General) précise que des activités inhabituelles ont été détectées dans ses systèmes le 25 janvier. La brèche a été colmatée le 1er février 2022 assure le SHN, néanmoins, il offre à ses patients un service gratuit de surveillance du dossier de crédit par le biais de la firme TransUnion, et ce, pendant deux ans, si la demande est effectuée avant le 30 septembre.


  • L’Informatique, arme de destruction massive ?

    L’Informatique, arme de destruction massive ?

    Georges W Bush, président des États-Unis cherchait des armes de destructions massives sous les tables, lors du diner des correspondants de la maison blanche, ils semblent qu’elles ne ressemblent pas à ce quoi nous nous attendions : informatique. Certaines opérations sont documentées, d’autres secrètes. Les attaques les plus connues sont WannaCry, NotPetya/ExPetr, Stuxnet, DarkHotel ou Mirai. Les attaques par déni de service sont fréquentes, comme celles par brute force.

    Cloudflare a révélé ce mardi 14 juin 2022 avoir bloqué la plus importante attaque, à ce jour, par déni de services (DDoS), avec 26 millions de requêtes par seconde. L’opération a été menée la semaine précédente contre l’un des clients de l’entreprise. « L’attaquant à l’origine de l’attaque a utilisé un botnet de 5 067 appareils relativement puissant puisque chaque machine a pu générer environ 5 200 requêtes par seconde au moment du pic ». Omer Yoachimik, Product Manager chez Cloudflare affirme que « pour contraster la taille de ce botnet, nous avons suivi un autre botnet beaucoup plus grand, mais moins puissant de plus de 730 000 appareils. » L’opération se distingue par le recours à des requêtes HTTPS.

    En moins de 30 secondes, ils ont lancé la bagatelle de 212 millions de requêtes. Elles provenaient de plus de 1 500 réseaux répartis dans un total de cent vingt-et-un États, principalement des États-Unis, du Brésil et de Russie. (Crédits : CloudFlare)

    Des pannes en Inde, qui ont été solutionnées, ont causé des problèmes de performance dans tout le pays. Ainsi Discord, l’assureur en ligne Acko, GitLab et la plateforme SaaS OSlash, comme des utilisateurs qui ont signalé des problèmes d’accès à Shopify, Udemy, Canva et Zerodha, rapporte DownDetector, un outil de surveillance du Web qui suit les rapports de panne. Le dysfonctionnement a été corrigé deux heures environ après son apparition. Un porte-parole de la société a déclaré que l’entreprise était confrontée à une panne dans « certaines parties de son réseau en Inde, en Indonésie et en Europe de l’Est », en précisant que la panne n’était pas imputable à une attaque. « La cause profonde du problème était une augmentation de la consommation de ressources due à la sortie d’un logiciel. Cloudflare a travaillé sur un correctif en quelques minutes, et le réseau fonctionne maintenant normalement », a-t-il ajouté.

    Les opérateurs usant le Ransomware-as-a-Service Vice Society revendiquent une attaque informatique à l’encontre du groupe Novelty qui affichait leur soutien à l’Ukraine, tout comme Agco. Une somme de 50 000 dollars avait été versée pour aider les communautés agricoles ukrainiennes concernées par le conflit armé avec la Russie. (Crédits : DR)

    Les différentes compagnies de production d’énergie comme Entega sont des cibles de choix par la pluralité des offres de services, donc de données. Les cyberattaques seraient-elles perpétrées au hasard ? Les opérateurs derrière les ransomwares sont des sociétés dont la finalité est de faire du profit. L’université de Pise en fait les frais, au vu du montant exigé par les opérateurs. D’autres émettent également un message politique, avec pour but de créer du chaos au sein des sociétés ciblées, quand il existe un espionnage étatique.

    Lors du Forum International de la #Cybersécurité, Guillaume Poupard, directeur de l’ANSSI pour quelques jours encore, expliquait que « si on devait se mettre des indicateurs, des ICP (Indicateur Clé de Performance), je ne suis pas sûr qu’on pourrait s’attribuer une très bonne note. Mais si on n’avait pas fait tout ce travail, ce serait encore pire. » Et de glisser une pointe d’humour dans un constat alarmant, en faisant référence au dernier rapport de l’ANSSI, « à lire si on n’est pas assez stressé ». Mais aussi à la situation du Costa Rica, en état d’urgence national depuis plus d’un mois « à cause d’un groupe criminel qui était censé avoir disparu suite à la crise en Ukraine », Conti pour ne pas le citer. « La pire des menaces est celle dont on parle le moins : la pression d’un espionnage étatique d’un niveau incroyable », poursuivait Guillaume Poupard. Non sans redouter que le jour où cette capacité deviendra offensive, au sens de destruction massive. « Ce jour-là, on comptera ceux qui se sont préparés au mieux »

  • Attaque informatique contre l’allemand Entega

    Attaque informatique contre l’allemand Entega

    Le fournisseur d’énergie électrique, entre autre, situé à Darmstadt, en Allemagne est victime d’une cyberattaque. Elle se serait produite dimanche 12 juin 2022. Le lendemain après-midi, Jochen Partsch, maire de la commune, évoquait dans un communiqué qu’une « grave attaque de pirates informatiques » aurait affecté, outre Entega, l’entreprise immobilière de la ville, Bauverein AG, la compagnie de transport urbain Heag mobilo et Heag-Holding. L’enquête est en cours.

    Lors d’une conférence téléphonique lundi à l’heure du déjeuner, Jochen Partsch s’est entretenu avec les entreprises concernées sur la situation. Les cyberattaques font partie de l’actualité, avec une prégnance quotidienne quelque peu préoccupante. Après que la société de location de voitures Sixt ait été victime d’une attaque de pirates informatiques il y a quelques jours, c’est Entega qui en subit les conséquences. L’approvisionnement énergétique n’a pas été affecté, le contraire aurait pu être dramatique, car la firme fournit à ses consommateurs de l’eau, de l’électricité et du gaz.

    Le groupe d’élimination des déchets et de services de Francfort FES est un client de l’opérateur de centres de données de Darmstadt Count and Care, qui appartient lui-même à la société d’énergie Entega AG et est devenu la cible d’une attaque de pirates informatiques dimanche 12 juin 2022. (Crédits : kalhh/Pixabay)

    En effet avec ses plus de 30 filiales, l’entreprise est active dans les domaines de la production, commerce et distribution d’énergie, et de télécommunication ainsi que de l’approvisionnement en eau potable. Elle exploite des installations pour l’épuration des eaux usées, l’incinération des déchets et propose des services de mesure, de facturation et d’informatique pour le secteur de l’énergie, un objectif de choix pour des individus malveillants.

    Partsch ajoutait que « tout sera mis en œuvre pour que les services soient à nouveau pleinement disponibles pour les citoyennes et citoyens le plus rapidement possible ». Outre Entega, Count + Care et les services municipaux de Mayence, les sites Internet de Heag Mobilo, Heag Mobibus, Bauverein, le portail client de l’entreprise de gestion des déchets EAD ainsi que la société Digitalstadt sont toujours hors ligne ce mercredi 15 juin, seul Bauverein a recouvré sa visibilité.

    Le porte-parole de l’entreprise d’Entega, M Ortmanns ne s’est pas épanché sur une possible exfiltration, ou une utilisation des données de bénéficiaires. Il est resté évasif que les origines de l’attaque, renvoyant logiquement au secret de l’instruction, car l’enquête policière est en cours.

    Selon le porte-parole d’Entega, il faudra attendre plusieurs jours avant que tout soit à nouveau opérationnel. L’enquête ne serait pas seulement menée par l’Office fédéral et régional de la police criminelle, mais aussi par le Cyber Competence Center (Hessen3C) du ministère de l’Intérieur de la Hesse. Les spécialistes informatiques de l’entreprise sont au chevet du malade 24 heures sur 24 depuis dimanche. Selon son estimation, « des professionnels étaient à l’œuvre, qui ont agi de manière ciblée et avec beaucoup d’énergie criminelle ». Des groupes de hackers russes tels que Killnet avaient mis en garde contre de possibles attaques il y a quelques semaines à peine.

  • L’université de Pise attaque par le ransomware AlphV/BlackCat

    L’université de Pise attaque par le ransomware AlphV/BlackCat

    Les attaques informatiques en Italie se succèdent. Après Ferrovie dello Stato, Armani, Martinelli Ginetto, le ministère de la transition écologique et dernièrement la ville de Palerme, c’est l’université de Pise qui est la cible du Ransomware-as-a-Service APLPHV/BlackCat. Les opérateurs derrière cette cyberattaque ont d’ores et déjà commencé à diffuser les premiers échantillons d’informations. Ils auraient en leur possession des plaques d’immatriculation, numéro de téléphone…

    Ils laissent apparaître quelques indications sur le site de fuite. L’image capturée et diffusée d’un fichier montre ce qui semble être une table de base de données, « vraisemblablement un serveur SQL », explique à juste titre RedHotCyber. De nombreuses informations telles que les identifiants et les mots de passe associés sont diffusés et lisibles. De plus des numéros de téléphone, des identifiants accompagnés des tokens. Un token d’authentification est un dispositif matériel ou logiciel nécessaire à un utilisateur pour accéder à une application ou à un système réseau de manière « plus sécurisée ».

    Des fichiers CSV seraient en possession des opérateurs malveillants. « Lorsque nous mettons ces données dans notre blog, certaines personnes pourraient rencontrer des difficultés dans la vie », menacent-ils. (Crédits : capture d’écran)

    Ensuite il affiche une liste de fichier de type CSV. En anglais, comma separated values, est une base des données recueillies. Ainsi ils auraient exfiltré 307 KB de courriel, téléphone comme l’exemple ci-dessus, 15 KB de courriels… « Bonjour, l’Université de Pise. Jouons à “l’Université s’endort, la mafia se réveille” ? UPD : Nous avons 10 k plaques d’immatriculation — téléphone — pass — nom de membre – numéro fiscal – étudiants — professeurs données. Aussi, n’oubliez pas que votre réseau dort profondément », communique ALPHV-Blackcat.

    Comme indique la capture d’écran publiée par le chercheur en sécurité Dario Fadda sur le blog « (in)sicurezza digitale », la rançon exigée par le cybergang criminel ALPHV/BlackCat est de 4,5 millions de dollars. (Crédits : (in)sicurezza digitale)

    La nouvelle fait froid dans le dos. Les opérateurs seraient en possession de 54 GB de données. Cela représenterait 8 001 dossiers pour 89 273 documents. Mais c’est le montant de la rançon demandée qui est gigantesque : elle est de 4, 5 millions de dollars. Si l’université de Pise règle ce montant avant le 16 juin 2022, autrement il passera à 5 millions.

  • Palerme attaquée par le ransomware Vice Society

    Palerme attaquée par le ransomware Vice Society

    La ville italienne de Parleme est à l’arrêt depuis l’attaque revendiquée par les opérateurs derrière le Ransowmare-as-a-Service Vice Society. Cinquième ville la plus peuplée d’Italie, elle est visitée par 2,3 millions de touristes chaque année. Le compte à rebours laisse à la municipalité jusqu’à dimanche 12 juin 2022 peu après 14 h avant de diffuser les données que les individus auraient en leur possession. Ils sont à l’origine d’une agression menée fin avril 2022 contre l’association bancaire italienne (Abi).

    Les experts informatiques locaux tentent de rétablir les systèmes depuis l’attaque, tous les services, les sites Web publics et les différents portails restent hors ligne. Selon les médias locaux, les systèmes touchés sont la gestion de la vidéosurveillance publique, le centre des opérations de la police municipale et tous les services de la commune. Ce quelques jours avant des élections municipales dont le premier tour est le 12 juin 2022, le second deux semaines plus tard.

    Après une enquête plus poussée, il a été jugé dangereux d’activer l’environnement de récupération, et qu’un processus de redémarrage sur le cloud n’était pas envisageable en raison du temps requit par les opérateurs (Aruba, TIM…) pour l’activation des espaces nécessaires, explique le SIPSI.

    Le rapport montre que le 2 juin à 6 h 30, un responsable de Sistema Palermo Innovazione SpA (Sispi) confirmait que le centre de données de la municipalité de Palerme avait subi une cyberattaque de type Ransomware avec une potentielle exfiltration de données. L’attaque a touché l’ensemble de l’infrastructure télématique du centre de données, y compris tous les systèmes d’information de l’entreprise. Des postes de travail répartis dans les bureaux de la mairie de Palerme connectés à celui-ci, le rendant indisponible et provoquant l’interruption totale des services rendus.

    « L’attentat, comme le souligne la municipalité de Palerme, ne remet pas en cause la régularité du scrutin du 12 juin, puisque le service de délivrance des certificats électoraux a été rétabli et fonctionne régulièrement », mentionne CorCom.

    En ce qui concerne les données, l’administration indique qu’« à ce jour, aucun chiffrage, suppression ou altération des données n’a été détecté, ce qui explique pourquoi les données sont désormais intactes, accessibles et utilisables. Malgré cela, et compte tenu de l’évolution du contexte, des efforts sont déployés pour détecter les éventuels vols de données ».

  • Mandiant victime du ransomware LockBit 2.0

    Mandiant victime du ransomware LockBit 2.0

    La société américaine de cybersécurité qui s’est fait connaître en février 2013 après avoir publié un rapport indiquant l’implication de la Chine dans l’espionnage informatique, mais également dans la participation à la réponse apportée à l’attaque contre Colonial Pipeline en mai 2021. Celle qui a été rachetée par FireEye en fin d’année 2013, avant d’en être séparée en juin 2021, a selon le site de fuite de LockBit 2.0 été la cible des opérateurs malveillants. Ils en revendiquent l’attaque et menacent de diffuser des informations sensibles à 22 h 35 ce 6 juin 2022.

    Aujourd’hui, lors de la RSA Conference la firme a annoncé le lancement de sa solution de protection contre les risques numériques qui exploite la puissance de la plateforme XDR multifournisseur Mandiant Advantage. Cela pour permettre une vue basée sur l’intelligence de la surface d’attaque globale d’une organisation et de l’activité ayant un impact sur l’entreprise sur le Deep et le Dark Web. La solution comprend les offres Mandiant et est conçue pour octroyer aux responsables de la sécurité d’atténuer de manière proactive les menaces avant qu’elles ne perturbent les opérations commerciales, explique la compagnie.

    Alors que Microsoft était pressentie pour un rachat, c’est Google qui allait pouvoir intégrer les services de Mandiant dans son offre cloud pour la coquette somme de 5,4 milliards de dollars. Mandiant est l’un des leaders mondiaux dans le domaine de la cyberdéfense et de la réponse dynamique aux incidents. L’annonce était effectuée le 8 mars 2022.

    « Pour rester implacables face aux cyberattaques de plus en plus sophistiquées et persistantes, les défenseurs doivent également avoir un aperçu de la surface d’attaque externe », a déclaré Chris Key, directeur des produits chez Mandiant. « Grâce aux renseignements et à l’expertise de première ligne de Mandiant, Digital Threat Monitoring et la solution de protection des risques numériques de Mandiant permettent aux défenseurs de transformer rapidement et facilement les informations en action pour atténuer les risques et aider à garder une longueur d’avance sur les menaces. »

    Il est difficile de protéger une position, si cette dernière n’est pas connue. Une surface d’attaque externe est la somme des actifs qui peuvent être exploités lors d’une attaque. Cela va des noms de domaine, certificats SSL, protocoles aux systèmes d’exploitation, serveurs, appareils IOT et services réseau. (Crédits : Reposify)

    Le nouveau module « Digital Threat Monitoring » est conçu, assure Mandiant, pour surveiller en permanence Internet, y compris le Deep et Dark Web, les blogs, les marchés clandestins, les médias sociaux… pour aider les organisations à découvrir les différentes conversations sur leur marque, et plus encore.

    Alors que se déroule du 6 au 9 juin la RSA Conférence qui est le grand rendez-vous des professionnels de la Cyber Sécurité à San Francisco, l’un des leaders du domaine devrait voir des renseignements sensibles ou ultrasensibles se retrouver sur le site de fuite du Ransomware LockBit 2.0.

    Les utilisateurs bénéficient d’une notification précoce des menaces d’une attaque imminente ou d’une fuite de données ou d’informations d’identification non détectée existante, permettant une réponse et une correction plus rapides, promet Mandiant. Les opérateurs derrière le ransomware LockBit auraient probablement imité une attaque contre la société de cybersécurité pour faire valoir sa non affiliation à un groupe basé en Russie. « Notre groupe n’a rien à voir avec Evil Corp. Nous sommes de vrais hackers underground du darknet, nous n’avons rien à voir avec la politique ou les services spéciaux comme le FSB, le FBI, etc. Nous sommes un groupe multinational, notre programme de partenariat comprend non seulement des Russes, mais aussi des Américains, des Chinois, des Iraniens, des Ukrainiens et de nombreuses autres nations », peut-on lire dans la déclaration.

    L’auteur de cette déclaration s’offusque de la Presse Jaune avide d’article de faible qualité mais procurant de nombreux “click” sur leur site WEB. “Ce n’est pas parce que FoxConn sera attaqué par tous les affiliés de ransomware du monde que Maxim Yakubets se cache derrière leurs marques.” (Crédits : capture d’écran)

    Mandiant affirme après avoir examiné le communiqué de LockBit, la société a déclaré que les pirates pouvaient avoir d’autres motifs à l’esprit. « Sur la base des données qui ont été publiées, rien n’indique que des données de Mandiant ont été divulguées, mais l’acteur semble plutôt essayer de réfuter le blog de recherche de Mandiant du 2 juin 2022 sur UNC2165 et LockBit », déclarait la société à Cybernews. Tout laisse à penser, jusqu’à preuve du contraire que cette affaire soit une campagne de communication. Le site de fuite de LockBit montre un fichier intitulé « mandiantyellowpress.com.7z » dans lequel sont disponible quatre captures d’écran et deux photos de voiture de luxe. « J’ai été véritablement surpris de lire des tweets venant de la presse jaune, Mandiant ne sont pas des professionnels », explique le communiqué de LockBit. En ajoutant que « le fait que quelqu’un utilise des outils similaires ne peut pas être la preuve que l’attaque est faite par la même personne », et mentionne que tous les scripts et outils sont disponibles sur la toile (Forum, Google, Githab).

  • Ransoware : attaques multiples en Argentine

    Ransoware : attaques multiples en Argentine

    Tandis que l’Argentine s’imposait 3 à 0 face à l’Italie, mercredi 1er juin 2022, dans un match de gala disputé à Wembley, deux entités sud-américaines se confrontaient à des cyberattaques rendues publiques. En premier, l’hôpital Julio Cecilio Perrando situé à Resistencia et la société Artear à Buenos Aires essuyait chacun une attaque informatique. Ces incidents des systèmes d’information rappellent celui subit par le Sénat argentin au mois de janvier 2022.

    La province de Chaco voyait son Tribunal supérieur de Justice (TSJ) annoncer que tous les services numériques étaient suspendus jusqu’au dimanche 16 janvier 2022, en raison de lignes de codes malveillantes qui avaient infecté les serveurs. Le 1er juin 2022, l’hôpital Perrando aurait selon les médias eu un message indiquant que pour récupérer leurs données chiffrées, l’organisme de santé devait acquitter une certaine somme.

    Les autorités n’affirment ni ne confirme s’il s’agit d’un ransomware, cependant les données seraient rendues illisibles, et pour pouvoir obtenir la clé de déchiffrement, il serait demandé une rançon, ce qui ressemble trait pour trait à la méthode d’un ransomware. (Crédits : DiarioNorte)

    La directrice, Nancy Trejo, a confirmé l’information au quotidien argentin « Diario Norte » ce qui s’était passé. Elle a toutefois assuré que cette mésaventure « n’affecte pas » les traitements aux bénéficiaires de soins et que les services sont assurés. « Toutes les procédures administratives et judiciaires ont été effectuées. […] les soins ambulatoires et hospitaliers sont totalement garantis. La seule chose à laquelle nous ne pouvons pas accéder est l’historique médical du patient, mais les soins ne sont pas entravés », confirme Nancy Trejo dans une interview accordée à Ciudad Television. Ce qui vient en contradiction à la déclaration d’un professionnel de santé ajustant que « vous ne pouvez pas accéder aux dossiers médicaux ou aux rendez-vous et il est difficile de visualiser des études telles que les tomodensitogrammes ou les radiographies ».

    Le même jour de juin, Artear, a subi une attaque informatique touchant certains de ses systèmes et son réseau de données, selon les médias de la société. Arte Radiotelevisivo Argentino (Artear) est une société appartenant au Grupo Clarín qui se consacre à la production et à la diffusion de diverses chaînes de télévision telles que eltrece, TN, Magazine, Quiero, Volver, Canal á.

    Le quotidien Télam mentionne qu’un gazouillis (ci-dessus) sur le compte de Telenoche, supprimé peu après sa publication, indiquait que « la société, qui possède les principales chaînes de télévision, a subi un piratage apparemment par un groupe russe et pour lequel ils demandaient de l’argent en échange » et en a attribué la responsabilité à un « groupe russe ».

    Bien que la teneur de l’attaque ne soit pas encore connue, une note publiée dans Clarín souligne qu’à l’instant les opérateurs malveillants « n’ont pas demandé de rançon, mais il n’est pas exclu que cela se produise dans les prochaines heures […] ».

  • Ransomware et cyberattaque au Costa Rica

    Ransomware et cyberattaque au Costa Rica

    Le 8 mai 2022, le président du Costa Rica, Rodrigo Chaves, déclarait l’état d’urgence national. La mesure était prise à la suite d’attaques informatiques envers les systèmes gouvernementaux perpétrés par les opérateurs derrière le Ransomware-As-A-Service, Conti. Hier 31 mai 2022, c’est la Caisse de sécurité sociale du Costa Rica (Caja Costarricense de Seguro Social : CCSS) qui venait de subir une attaque par codes malveillants.

    Aux premières heures du 31 mai 2022, la Caisse de sécurité sociale costaricienne essuyait une attaque informatique. Peu de temps après l’avoir détecté, tous les systèmes d’information sont par mesure de précaution, hors service annonçait la CCSS. Les tentatives d’accès ont détecté à 2 heures du matin, moment où les premières actions ont été immédiatement prises pour télécharger préventivement tous les systèmes d’information et éviter les dommages aux bases de données et aux processeurs. « Nous travaillons […] pour déterminer la marche à suivre et la manière de lever les systèmes critiques », a confirmé le directeur des technologies de l’information et de la communication de la CCSS, Roberto Blanco Topping.

    Une conférence de presse de plus de 45 minutes retransmise en vidéo a permis aux différents intervenants de confirmer que la CCSS a été la cible d’une attaque informatique de type ransomware, et de la conduite à tenir pour les personnes recevant des soins, et ceux à venir. (Crédits : capture d’écran/CCSS/Facebook)

    Depuis le début du mois de mai 2022, la CCSS coordonne et travaille avec le ministère des Sciences, de l’Innovation, de la Technologie et des Télécommunications et la Commission nationale d’urgence, dans le but de renforcer les actions visant à améliorer la portée de la cybersécurité institutionnelle. Lors d’une conférence de presse, l’organisme de santé a confirmé que l’attaque a, pour l’instant, touché 2 % de ses serveurs, de sorte qu’elle devra les examiner un par un pour exclure tout problème. « L’institution, lorsqu’elle a détecté le problème, a fermé les systèmes et restreint l’accès. Nous avons déconnecté tout Internet pour empêcher le cryptage et l’encapsulation des informations sur les serveurs. Nous avons, à ce jour, 30 serveurs touchés sur plus de 1 500, ils sont déjà identifiés, donc c’est assez contrôlé », informait Álvaro Ramos, président exécutif de la Caja.

    Sur un document de sept pages, l’ensemble des hôpitaux mentionnent les différents numéros de téléphone à contacter pour obtenir des renseignements. Conti a exfiltré 672,19 GB de données de différentes organisations gouvernementales, comme le ministère des Finances. (Crédits : DR)

    Les analyses ne permettent pas de certifier ni d’affirmer la date de reprise dite normale des systèmes, mais ils semblent afficher un optimisme à toute épreuve. « Nous devons effectuer un processus de vérification, mais, contrairement au piratage du ministère des Finances, il n’y a pas de demande de rançon sous forme d’argent et il est fort possible qu’ils n’aient pas réussi à crypter le système ni la base de données. Il nous semble, à titre préliminaire, qu’ils n’ont pas encapsulé les systèmes ou la base de données », a-t-il ajouté.

    « Les ordonnances doivent être manuelles, la pharmacie doit donner les médicaments et rédiger les ordonnances manuellement, bien sûr cela entraîne un retard, cependant, les services sont renforcés pour ne pas affecter le patient. »

    Pour autant une liste de numéros de téléphone a été mise à la disposition du public. Car le service de radiothérapie est totalement arrêté à l’hôpital Mexico. C’est ce qu’a confirmé le directeur du centre médical, Douglas Montero, lors d’une interview accordée à Teletica. La première conséquence de la cyberattaque de la CCSS. « En réalité, c’est tout l’hôpital qui est touché, les zones médicales, cliniques et administratives », a déclaré M. Montero.

  • Cyberattaque chez DIM

    Cyberattaque chez DIM

    Les usines en France sont les victimes collatérales des attaques informatiques. Celle de Massey Ferguson à Beauvais dans l’Oise, maintenant celle de Dim à Autun en Saône-et-Loire vint de placer ses salariés en chômage partiel, ce pour une durée indéterminée. D’après les informations, près de la moitié de l’effectif, qui compte 800 personnes, aurait été contrainte d’arrêter de travailler. Aujourd’hui 31 mai 2022, l’activité de l’usine Autunoise a considérablement ralentie.

    Selon le Journal de Saône-et-Loire, Dim Brands international a été victime d’une cyberattaque le 24 mai 2022, sur les serveurs américains. « Depuis le milieu de la semaine dernière, DBI est confronté à un sérieux incident impactant notre réseau informatique », indiquait le service communication du groupe en ajoutant que « nous avons pris toutes les mesures nécessaires et travaillons activement pour rétablir nos services le plus rapidement possible. En conséquence de cet incident, une partie de nos effectifs a été mise en chômage partiel en attendant de pouvoir redémarrer notre activité. Notre réseau de boutiques continue de fonctionner normalement. »

    Racheté par un fonds d’investissement américain, Regent LP, Dim abandonne le nom qui le rattachait à son précédent groupe, Hanesbrand. Depuis fin février ainsi, Hanes Europe Innerwear s’appellera désormais Dim Brands International (DBI). (Crédits : capture d’écran/DBI)

    Le problème semble toutefois en passe d’être réglé indique France 3. « Une partie des salariés revient sur site cet après-midi », a affirmé DIM à travers son service de communication. Il semblerait que tous les services n’étaient pas encore opérationnels, comme la vente en ligne. « Nous sommes désolés de vous informer que nous devons suspendre momentanément l’expédition de nos commandes. Bien évidemment, tous vos autres points de vente DIM restent à votre disposition. À très vite, l’équipe ecommerce DIM », indique sur son bandeau la marque.