Libre Expression

Étiquette : ransomware

Devenez un espion !
Qui n’a jamais espéré être celui ou celle qui casse un code inviolable, de trouver la combinaison d’un coffre rempli de pièces d’or, ou d’intercepter un message entre deux personnes, sans avoir été repéré. Ce rêve est accessible à tous, ou presque. Le CryptoChallenge 2022 commencera le 14 mars pour se clôturer le 14 juin 2022. Cette discipline est présente et utilisée chaque jour, l’affaire la plus célèbre du grand public est Enigma. Alan Turing fracassa le code qui permit de gagner un temps précieux, et de sauver de nombreuses vies en écourtant la 2^e Guerre mondiale.
Si vous êtes une personne intéressée, ou plus simplement curieuse, avec une véritable envie de vous creuser la tête, le CryptoChallenge est fait pour vous. Il se déroule du 14 mars au 14 mai 2022. Le site est à l’adresse suivante. Il est ouvert à tout public, cependant une fonctionnalité spécifique dédiée aux enseignants pour l’usage en classe (collège, lycée) existe. L’utilisation peut être faite en présentiel ou à distance. Cette année, il faut découvrir la personne « qui a volé les plans d’Ada Lovelace ». L’histoire fait évoluer les mœurs, passant de la sténographie à la cryptographie. Vers 600 avant notre ère, Nabuchodonosor II employait des crânes rasés, pas de panique, je vous explique. Il pensa à raser ses esclaves, tatouer le communiqué sur leur tête, et quand les cheveux avaient repoussé, il envoyait le « messager » pour être à nouveau rasé par le destinataire. Les spartiates utilisaient des scytales, qui n’étaient que des bâtons sur lesquels on enroulait en spirale une lanière de parchemin. Le texte, écrit préalablement ne pouvait être lu que par une personne possédant un bâton de même diamètre, en enroulant la bandelette de cuir.
Ada Lovelace, de son nom complet Augusta Ada King, comtesse de Lovelace, est une pionnière de la science informatique. Elle est principalement connue pour avoir réalisé le premier véritable programme, lors de son travail sur la machine analytique de Charles Babbage. (Crédits : joliesmaths.fr)
En 1586 apparaît le chiffre de Vigenère, qui est un système de cryptage par substitution polyalphabétique. Ce procédé a été percé par le major prussien Friedrich Kasiski qui a publié sa méthode en 1863. Depuis, il n’offre plus aucune sécurité. La cryptographie est l’étude des algorithmes et protocoles utilisés pour préserver la confidentialité de l’information et garantir son intégrité. L’ouvre-boite moderne est la cryptanalyse, mais qu’est-ce c’est ?
La cryptanalyse est la technique qui consiste à déduire un texte en clair d’un texte chiffré sans en posséder la clé. Ce serait trop simple, si l’affaire s’arrêtait là, forcément. Le processus par lequel on tente de comprendre un message en particulier est appelé une attaque. Comme partout, il existe plusieurs familles :
- L’analyse fréquentielle
- L’indice de coïncidence
- L’attaque par mot probable
- L’attaque par dictionnaire
- L’attaque par force brute
- Attaque par paradoxe des anniversaires
Depuis que le monde est monde diraient les anciens, découvrir les secrets des autres est de rigueur. L’analyse fréquentielle est utilisée à de nombreux endroits, sans que vous puissiez le penser. L’une des toutes premières est un jeu se trouvant chez vos grands-parents, le Scrabble. En fonction de votre langue, les lettres rapportant plus ou moins de points en fonction de leur fréquence d’utilisation (A1, E1, J8, X10…). Elle a été découverte au IXe siècle par Abū Yūsuf Yaʿqūb ibn Isḥāq al-Kindī, connu sous Al-Kindi, surnommé « le philosophe des Arabes ». Un concours de cryptographie porte d’ailleurs son nom latinisé.
La valeur n’attends pas le nombres des années, surtout quand le monde ou la société ne sont que chiffrement (banque, téléphone, ransomware…). (Crédits : Leeanne Burnworth/Pixabay)
L’attaque par mot probable consiste à supposer l’existence d’un mot dans le message chiffré. Ce type d’attaque a été mené contre la machine Enigma durant la Seconde Guerre mondiale. Saviez-vous que Marian Rejewski est à l’origine de la première attaque cryptanalytique sur la machine de chiffrement Enigma au début des années 1930 ? Aujourd’hui, l’attaque par brute-force est entendue dans les médias. Cette attaque consiste à tester toutes les solutions possibles de mots de passe ou de clés, souvent couplés par l’attaque de dictionnaire. Les différentes méthodes sont utilisées par des flibustiers ou des pirates pour connaître votre mot de passe, ne mettez plus le nom de votre animal de compagnie, ou votre date de naissance…
Maintenant, le domaine de la cryptanalyse est passé dans un autre monde depuis les années 1970. Elles portent des noms souvent abracadabrantesques. Jugez par vous-même :
- Cryptanalyse linéaire
- Cryptanalyse différentielle
- Cryptanalyse différentielle-linéaire
- Cryptanalyse χ²
- Cryptanalyse quadratique
- Cryptanalyse modulo n
- Attaques par canal auxiliaire
- …
Bref, qui au passage ne veut strictement pas dire « Bon, revenons-en au fait », vous l’aurez compris, la cryptanalyse est partout. Vous l’utilisez à chaque instant sans le savoir. Dans des périodes comme nous vivons, il est intéressant de regarder autrement, de voir autre chose et de s’amuser, seul ou en famille. Le CryptoChallenge s’engage le 14 mars au 14 mai 2022. Celui de l’année passée est disponible pour vous entraîner…
« Bonjour, votre mission, si toutefois vous l’acceptez, consiste à retrouver, qui a volé les plans d’Ada Lovelace, cela commence ici. »
mars 8, 2022
La « Com Com » Rives de Moselle attaquée
Durant la nuit du 3 au 4 mars 2022 la Communauté de Communes Rives de Moselle a été la victime d’une cyberattaque, qui a paralysé l’activité des services. L’ensemble des données semble avoir subi un chiffrage, ce à travers des lignes de code infectant la totalité des systèmes d’information. L’entité assure que depuis ce matin, mardi 8 mars 2022, ses différents pôles sont à nouveau joignables par téléphone. Elle espère restaurer l’ensemble de son « parc informatique » dans les meilleurs délais possibles.
Un dysfonctionnement conséquent aboutissait à la paralysie complète des systèmes d’information de l’EPCI Rives de Moselle. Il a été constaté, le vendredi 4 mars 2022 aux alentours de 5 heures, indiquait Julien Freyburger, président de la communauté de communes au Républicain Lorrain. Ce qui ressemble en tout point à une infection par codes malveillants de type ransomware. En effet « […] cette cyberattaque est massive et bien organisée. Elle s’est répandue dans toutes les dimensions informatiques de Rives de Moselle, sur l’ensemble des postes et des serveurs. […] Toutes les données informatiques sauvegardées sont cryptées », s’offusquait Julien Freyburger. En janvier 2022, Cœur de Maurienne Arvan subissait ce même désagrément.
La nouvelle Communauté de Communes « Rives de Moselle » est née le 1er janvier 2014. Elle compte 50 146 habitants qui sont présentement privés de toute démarche sur le site WEB, néanmoins, il est possible depuis ce matin 8 mars 2022 de contacter l’entité par téléphone. (Crédits : CCRM/Facebook)
« Les liaisons numériques avec les services de la collectivité sont actuellement indisponibles. Le site internet de la Communauté de Communes reste accessible, mais, à ce stade, les formulaires de services en ligne ne peuvent être traités compte tenu de l’attaque informatique subie. » Les accueils physiques demeurent ouverts au public, mais les démarches sont largement perturbées. Une plainte a été déposée à la Gendarmerie de Maizières-lès-Metz, et les signalements nécessaires réalisés auprès de la Commission nationale de l’informatique et des libertés (CNIL) et de l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI). pour « faire la lumière sur cette attaque massive et établir des responsabilités. » Il est indispensable de rappeler au regard des tensions internationales « l’ANSSI constate l’usage de cyberattaques dans le cadre du conflit. Dans un espace numérique sans frontières, ces cyberattaques peuvent affecter des entités françaises et il convient sans céder à la panique de l’anticiper et de s’y préparer »
mars 8, 2022
Universités ciblées en Ukraine, l’ENT en France
Selon l’équipe derrière Wordfence, une attaque massive contre des facultés ukrainiennes coïncide avec l’invasion de l’Ukraine par la Russie, et a entraîné la compromission d’au moins 30 sites Web d’entre elles. Tout comme la région Île-de-France annonçait le 2 mars 2022, que l’espace numérique de travail (ENT) des lycées franciliens avait subi une agression informatique, ce malgré les mesures de sécurité engagées. Les différentes entités se placent et prennent position sur le conflit Russo-Ukrainien.
Wordfence protège plus de 8 000 sites Web en Ukraine, hors mis trois cents universités, la société indique s’occuper de sites Web privés, gouvernementaux, militaires et policiers. « Nous avons identifié l’acteur de la menace à l’origine de l’attaque, qui fait partie d’un groupe appelé le groupe Monday, que les membres appellent “theMx0nday” », précisent-ils en s’appuyant sur des données, explications et images. Toujours selon le travail de Wordfence « la majorité des attaques ont transité par un fournisseur de services Internet appelé Njalla ». Cette société permettant l’anonymat, jusqu’à une certaine mesure, est l’œuvre de Peter Sunde. Il a été condamné dans le cadre du procès The Pirate Bay, et a depuis monté plusieurs projets, avec plus ou moins de succès.
« Le groupe Monday a historiquement ciblé un grand nombre de sites brésiliens. Ils intègrent une vidéo de rap brésilien dans le code HTML des sites qu’ils dégradent », relate Wordfence. Ce qui a pour effet le conditionnement de Pavlov, avertissant d’un danger, ou d’une attaque lors de la prochaine écoute du morceau. (Crédits : Capture d’écran/Twitter)
Trois pseudonymes (son1x, bky992 et xtdin66) associés à des comptes Twitter, dont les deux derniers sont définitivement clos, pourraient être les opérateurs derrière l’organisation « The MxOnday ». L’entité n’en est pas à son coup d’essai, fin 2021 des renseignements sensibles de la police indonésienne avaient été dérobés. De qui s’agissait-il ? « Un pirate brésilien nommé son1x a affirmé avoir réussi à s’introduire dans les données personnelles des policiers et des membres de leur famille la plus proche », écrivait le journal The Indonesia, le 22 novembre 2021. Environ 28 ko de données fournissaient le nom, le grade, le lieu et la date de naissance, l’unité de travail, l’état civil, le numéro de registre principal et plusieurs autres personnelles étaient en libre accès. De plus, il apparaîtrait que l’acteur de la menace est basé au Brésil.
« The Mx0nday » a déclaré publiquement qu’il « soutenait » la Russie. Il ressort être identifié pour la première fois par Zone-H le 4 juillet 2019, suite à un incident. (Crédits : Zone-H)
La nouvelle société de Peter Sunde propose à ses clients de réserver pour eux les noms de domaines qu’ils souhaitent acquérir, tout en leur laissant les droits d’utilisation. Cela leur procure un niveau d’anonymat supplémentaire, car le service Whois ne permet pas facilement de retrouver ledit détenteur. Njalla sera par conséquent bureau d’enregistrement, le client et détenteur du fameux nom de domaine, les bureaux ne disposeront pas d’information sur l’identité de l’utilisateur final. Le nom proviendrait d’une coutume du peuple Sami, qui a pour tradition de construire des huttes sur pilotis pour y conserver ses biens.
Pic d’attaques
Comme tout endroit sur Terre, des tentatives d’infections par diverses attaques (brute-force, DDoS…) se produisent à chaque instant. La majeure partie du mois a été marquée comme à l’accoutumée de quelques centaines d’attaques quotidiennes sur tous les sites de l’enseignement ukrainien (.EDU.UA). « À partir du 25 février, nous avons assisté à un pic de plus de 104 000 attaques en une seule journée visant ces sites universitaires », indique Wordfence. Tous sites confondus, le 25 février 2022, c’est un peu plus de 144 000 attaques. « Ce pic représente environ trois fois le nombre d’attaques quotidiennes du début du mois sur les sites ukrainiens que nous protégeons. »
Sur les sites éducatifs, 479 attaques ont eu lieu le 24 février, 37 974 attaques le 25 février, 104 098 attaques le 26 février et 67 552 attaques le 27 février. (Crédits : Wordfence)
Les lycées franciliens
À moins de deux jours de la rentrée scolaire en Corse, Montpellier, Toulouse, et la région Île-de-France, la dernière annonçait mercredi 2 mars 2022 que l’espace numérique de travail (ENT) des lycées franciliens avait subi une cyberattaque. La collectivité territoriale, en lien avec les autorités académiques, « a immédiatement réagi et d’ores et déjà pris les mesures techniques et juridiques qui s’imposaient ». Le compte identifié comme étant à l’origine de l’accès frauduleux a été bloqué, une plainte a été déposée auprès du procureur de la République. « Un plan de protection a été mis en œuvre avec Orange Cyber Défense sur la base des recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) », alerte la région Île-de-France.
« La maintenance sans cesse prolongée depuis trois jours de l’ENT île-de-France et donc le non accès à Pronote alors qu’on doit remplir les bulletins, c’est normal ? », questionnait une professeure d’Histoire et Géographie. (Crédits : capture d’écran)
La région Île-de-France et les services du ministère de l’Éducation nationale ont informé les personnes concernées par cette cyberattaque, les invitant à modifier leurs mots de passe. Mais également de prendre des initiatives à prendre en cas d’utilisation illicite de données permettant de les identifier. Si les combats en Ukraine sont principalement conventionnels, rappelle l’ANSSI, elle constate l’usage de cyberattaques dans le cadre du conflit. Afin de réduire au maximum la probabilité de tels événements et d’en limiter les effets, l’agence incite les entreprises et les administrations à prendre les devants.
mars 4, 2022
L’aluminerie canadienne Alouette touchée
Dans la nuit du 24 au 25 février 2022, l’aluminerie Alouette de Sept-Îles, sur la Côte-Nord du Canada, pourrait avoir été victime d’une cyberattaque. « Il ne serait pas exclu qu’elle soit connectée à la guerre en Ukraine », écrivait le Journal de Québec. Toutes les infections actuelles ne sont pas dues au Covid-19, il existe d’autres raisons d’être souffrant. La direction de la plus grande usine de production d’aluminium en Amérique a indiqué qu’une panne majeure perturbait l’ensemble de ses systèmes informatiques.
« Cette panne semble causée par un incident de sécurité lié à l’intrusion d’un tiers non autorisé », communiquait l’entreprise vendredi matin. Des équipes supplémentaires ont été déployées pour les interventions nécessitant des outils technologiques affectés par cette panne. « Nous remercions d’ailleurs tous les employés et partenaires qui soutiennent nos différentes activités d’opérations avec engagement et de manière sécuritaire. Nous sommes convaincus que la résilience de l’équipe, mainte fois démontrée, nous permettra de traverser cette situation avec succès », affirme Claude Gosselin, président et chef de la direction. Si toutes les suppositions sont comme un cheval au galop, la possibilité que cette attaque soit liée au conflit en Ukraine ne peut pas être exclue selon certains experts, jusqu’à preuve du contraire.
Des centaines d’entreprises à travers leurs systèmes d’information sont victimes de cyberattaques toutes les semaines, et de nombreuses tentatives d’attaques sont effectuées chaque seconde. La Russie, le Brésil, la Chine, les États-Unis et l’Allemagne sont les pays le plus attaqués aujourd’hui 2 mars 2022 à 10 h 45. (Crédits : capture d’écran/Kaspersky)
« Est-ce une coïncidence que ça arrive en même temps que le conflit ? Penser que soudainement, toutes les cyberattaques de cette semaine, partout dans le monde, seraient directement liées au conflit serait difficile à croire. Mais on ne peut pas exclure que ce soit relié. Il y a certains groupes de cybercriminels qui ont annoncé publiquement leur intention de nuire aux pays qui allaient soutenir l’Ukraine dans le conflit actuel. Tout est sur la table en ce moment », avançait Alexis Dorais-Joncas, chercheur en sécurité chez ESET.
Les recommandations des différents services, comme l’est l’Agence nationale de la sécurité des systèmes d’information (ANSSI), à travers le monde préconise fortement d’augmenter le niveau de protection depuis le début du conflit armé entre l’Ukraine et la Russie. Points d’impact de cyberattaque en temps réel. (Crédits : capture d’écran/Kaspersky)
Une enquête est en cours, et la compagnie ne souhaite plus communiquer en ce sens, mais rassure les différents interlocuteurs : « Avec l’aide de nos consultants experts en cybersécurité, notre équipe des technologies de l’information s’affaire toujours à remettre sur pied l’ensemble des systèmes informatiques qui ont été affectés, selon une stratégie priorisant les équipements de production. Plusieurs des outils informatiques sont à nouveau fonctionnels ou en voie de récupération. »
mars 2, 2022
Aon touché par une attaque Cyber
Vous connaissez sûrement le film des frères Lumière de 1895, l’arroseur arrosé, voici le sentiment que la multinationale Aon, le fournisseur britannico-américain d’assurance et d’administration des retraites, doit ressentir. En effet, il a fait appel à des spécialistes externes pour l’aider à sonder un cyberincident. Se voulant sécurisante la compagnie admettait avoir repéré ledit incident le vendredi 25 février 2022. Selon la firme, l’impact n’est pas significatif sur leurs opérations.
Aon est une société britannique, acteur majeur dans les domaines de la gestion des risques, du courtage d’assurance et de réassurance… et depuis peu des options d’assurance contre les risques plus larges. C’est-à-dire qu’elle vend des polices d’assurance cybernétique et des solutions connexes à ses clients. Notamment le financement dans le monde « Cyber » des risques, de l’analyse des impacts, des tests de sécurité, entre autres. Dans un communiqué adressé aux investisseurs, l’entreprise londonienne a déclaré qu’elle avait repéré le problème le 25 février et qu’il avait « un impact sur un nombre limité de systèmes. »
« […] nous avons lancé une enquête et fait appel aux services de conseillers tiers, de professionnels de la réponse aux incidents et de conseillers juridiques. Nous restons concentrés sur nos clients, et notre capacité à les servir n’a pas été affectée par cet événement », assure la firme. (Crédits : Loren Elliott/Reuters/File Photo)
La compagnie britannico-américaine n’a pas donné plus de détails sur l’attaque dont elle a fait l’objet, ce qui n’est pas sans remémorer, en 2021, celles subies par AXA, ou encore CAN financial qui déboursait la coquette somme de 40 millions de dollars.
mars 2, 2022
Ransomware: Toyota suspend les activités de son usine nationale
L’attaque informatique présumée survient juste après que le Japon rejoigne les alliés occidentaux, en rapport au conflit opposant la Russie et l’Ukraine. Les suppositions que l’agression était liée vont bon train, sans aucune preuve ne soit trouvée. La production est donc stoppée au sein de l’empire du soleil levant pour aujourd’hui, mardi 1er mars 2022. Peu de temps suivant la révélation par Snatch de données de Volvo fuitaient. À ce stade aucune information n’est disponible, ni sur l’identité de l’auteur ou des auteurs ni sur son motif.
Suite à l’infection, par codes malveillants, survenue dans la nuit du 27 au 28 février 2022 la compagnie Toyota Motor Corp a annoncé suspendre les activités de ses usines nationales (14 usines, 28 lignes) ce mardi. L’impact entraînera, selon la firme, une perte de production d’environ 13 000 voitures. Le même jour, Hino Motors Ltd. et Daihatsu Motor Co. ont annoncé qu’ils fermeraient leurs usines au Japon pour la même raison. La cause est la présumée cyberattaque qui s’est présentée chez Kojima Press Kogyo dans la ville de Toyota, un fournisseur de pièces en plastique et de composants électroniques. La NHK a rapporté qu’un ransomware était suspecté d’avoir été utilisé. Tout ceci arrive alors que le ministère de l’Économie, du Commerce et de l’Industrie (METI) appelait le 23 février 2022 les entreprises japonaises à renforcer leur sécurité compte tenu de la situation tendue en Ukraine. La police préfectorale d’Aichi a lancé une enquête.
Dimanche 27 février 2022, Fumio Kishida a annoncé que le Japon se joindrait aux États-Unis et à d’autres pays pour bloquer l’accès de certaines banques russes au système de paiement international SWIFT. Il a parallèlement déclaré que le Japon accorderait à l’Ukraine une aide d’urgence de 100 millions de dollars. (Crédits : Yoshio Tsunoda/AFLO/Imago)
« Nous condamnons fermement la Russie pour son soutien à l’action militaire […] », a-t-il affirmé, lundi 28 février 2022 à la commission budgétaire de la Chambre haute qu’il envisageait également des sanctions contre la Biélorussie, qui a coopéré à l’invasion de l’Ukraine par la Russie. Il ajoutait que « l’Europe s’efforce de le mettre en œuvre dès que possible. La rapidité est importante », a-t-il déclaré à propos des sanctions tendant à éloigner les grandes banques russes de l’Association internationale des communications interbancaires (SWIFT).
Concernant le gel des avoirs visant des responsables gouvernementaux russes tels que le président Vladimir Poutine : « Je veux confirmer rapidement la situation et prendre des mesures immédiates […] J’exprime ma vive critique en action en collaboration avec la communauté internationale », soulignait Fumio Kishida. (Crédits : DR)
À propos de la cyberattaque qui stoppe la production de Toyota au Japon, le Premier ministre japonais, Fumio Kishida affirme qu’« il est difficile de dire si cela a quelque chose à voir avec la Russie avant de faire des vérifications approfondies ». Ajoutant que son gouvernement allait enquêter sur l’incident et déterminer si la Russie était impliquée. Toutefois, le journal ItMedia relate que « de nombreux groupes criminels qui développent des ransomwares opèreraient sous la juridiction de la Russie, et l’un de ces groupes a exprimé son “soutien à la Russie” concernant son invasion de l’Ukraine. » Cet arrêt intervient alors que Toyota, comme tous les constructeurs automobiles, avait été confronté aux perturbations de la chaîne d’approvisionnement dans le monde entier causées par la pandémie COVID-19, contraignant la compagnie à réduire sa production. De plus, elle a vu une partie de son exploitation interrompue en Amérique du Nord en raison de la pénurie de pièces détachées provoquée par les manifestations de camionneurs canadiens avec le Convoi de la Liberté. L’entreprise nippone souhaite redémarrer sa production au plus vite, elle évalue actuellement si elle sera en mesure de reprendre ses activités normales après le 2 mars.
mars 1, 2022
Ukraine : du Cyberespace à l’offensive terrestre
Les opérations militaires entreprises le 24 février 2022 par la Russie envers l’Ukraine, sont d’abord effectuées sur l’outil que tout un chacun utilise, les terminaux des systèmes d’information. Autrement dit nos smartphones, tablettes, ordinateurs, objets connectés, etc. Les activités et opérations cybernétiques sont utilisées dans le cadre de conflits géopolitiques et d’interventions stratégiques sur le globe terrestre à tout moment et en toute occasion. Qu’en est-il de l’Ukraine ? Dans quelle finalité ? A-t-elle été visée par des attaques dites informatiques ?
En 2016, une semaine avant Noël, des perturbations très importantes, plonge le pays dans un black-out, l’Ukraine est victime de cyberattaques sur ses réseaux électriques. La finalité de tels attentats est d’affaiblir, désorienter, jeter l’opprobre, le discrédit, ou annihiler une organisation étatique. Il s’agit de déstabiliser les services essentiels tels que l’approvisionnement en eau, les soins de santé, les institutions financières, les transports… Cibler les infrastructures critiques et gouvernementales suscite immédiatement des inquiétudes. Le but rechercher en premier lieu, restreindre ou anéantir la capacité des entités visées à prendre des mesures défensives ou offensives. Ce qui amène et créer un sentiment de peur, provoquant un possible déplacement de personnes paniquées. D’où la méfiance, voire le discrédit total des institutions chargées de protéger et de servir la population. Enfin, l’impact de la communication est primordial, en limitant l’accès à des renseignements et en diffusant en masse des erronées, la désinformation nuit aux individus. Les conséquences sur la société pourraient être catastrophiques. Les exemples sont multiples, régulièrement usés à mauvais escient par les dictateurs par exemple.
Un groupe de pirates informatiques a été arrêté à Kiev avec du matériel spécialisé destiné à truquer les résultats de l’élection présidentielle ukrainienne, selon Victor Yagun, chef adjoint du Service de sécurité de l’Ukraine (SBU). Le groupe CyberBerkut possède de nombreux faits comme l’attaque de l’OTAN en 2014. (Crédits : DR)
Chronologie d’un désastre annoncé
Remontons en 2014, lors de la dernière élection présidentielle ukrainienne. Une vague d’infections visant à les perturber et les manipuler a été décrite comme « parmi les cyberattaques les plus dangereuses jamais déployées pour saboter une élection nationale. » Elle s’est effectuée en trois étapes. L’infiltration des réseaux électoraux et la suppression de fichiers pour rendre le système inopérant. CyberBerkut a par la suite divulgué des courriels et des fichiers comme preuve. « Nous, les CyberBerkut, affirmons avoir accès au système de communication de la CEC à tout moment », revendiquaient-ils. Cet avant avoir publié les courriels des fonctionnaires régionaux et bloqué les téléphones portables de certains membres de la commission électorale, le jour de l’élection. Alors que l’attaque a échoué, Channel 1 Russia affichait ces résultats. Enfin, des attaques par déni de service distribué (DDoS) ont bloqué les résultats des élections et retardé le décompte final, qui fut attribué à CyberBerkut.
« L’attaque est venue d’Internet, mais quelqu’un a partiellement désactivé le système de défense de l’intérieur », déclarait une source sous couvert d’anonymat. Volodymyr Zverev, chef de la sécurité de l’information, confirmait que le virus avait été introduit par une personne qui connaissait les mots de passe du système. (Crédits : KP)
La dernière en date est celle du 23 février. L’agression a impliqué un logiciel malveillant d’effacement de données baptisé HermeticWiper. Le wiper a été détecté en Ukraine, en Lettonie et en Lituanie et les cibles comprennent, étonnamment des organisations financières et des entrepreneurs gouvernementaux. « L’analyse technique indique que le mécanisme d’attaque a été construit au moins six semaines avant l’attaque. »
Du code à la matriochka
Puis, le 23 décembre 2015, une cyberattaque a compromis les systèmes de trois sociétés de distribution d’énergie dans la région d’Ivano-Frankivsk, en Ukraine occidentale. C’est la première attaque réussie contre un réseau électrique. Pour faire les choses biens, les centres d’appels des fournisseurs sont mis hors service auparavant, par une opération DDoS. Elles furent attribuées à l’État Russe et à Sandworm Team. Un après, quasiment jour pour jour, le 17 décembre 2016, une interruption d’environ une heure imputée au malware Electrum à par Dragos. À minuit, une station de transmission électrique au nord de la ville de Kiev, mettant hors service, une partie de la capitale ukrainienne. Des chercheurs en cybersécurité ont trouvé des preuves troublantes que la panne n’était peut-être qu’une répétition générale.
Une attaque le 27 juillet 2017 avec NotPetya, touchait 80 % des entités des secteurs public et privé en Ukraine. À travers un logiciel de déclaration d’impôts, l’infection se propageait. Les auteurs le concevaient pour ne pas être décryptés, de ce fait il n’y avait aucun moyen de récupérer les données une fois chiffrées. (Crédits : Schwoaze/Pixabay)
L’attaque s’est répandue dans le monde entier et a contaminé, entre autres, le système de surveillance des radiations de Tchernobyl et des organismes de santé américains. Elle a été qualifiée de « cyberattaque la plus dévastatrice de l’histoire ». L’Europe prenait des sanctions en juillet 2020. Du 13 au 15 janvier 2022, des organisations attaquées et paralysées. Ce malware, surnommé WhisperGate est apparu pour la première fois sur des systèmes victimes en Ukraine le 13 janvier 2022 déclarait Microsoft. « On estime que le malware est conçu pour ressembler à un ransomware mais qu’il ne dispose pas d’un mécanisme de récupération de la rançon et qu’il est destiné à être destructeur, rendant les appareils ciblés inopérants, plutôt qu’à obtenir une rançon. Les victimes sont de multiples organisations gouvernementales, à but non lucratif et informatiques », explique Cyber Peace Institution. Majoritaire en Ukraine la religion orthodoxe célèbre son premier jour de l’année le 14 janvier 2022. Jour où plus de soixante-dix 70 sites Web du gouvernement sont modifiés, une déclaration en russe, en ukrainien et en polonais apparaissait, avant d’être temporairement fermés.
We believe preliminarily that the group UNC1151 may be involved in this attack
Serhiy Demedyuk, deputy secretary of the national security and defence council. Reuters
Le 15 février 2022, une attaque par déni de service distribué (DDoS) utilise le malware Katana. La désinformation fait son apparition via des messages sur les téléphones mobiles. Des dysfonctionnements techniques de distributeur automatiques de billets, rapidement démenti par la Police. Le 23 février, une attaque DDoS cible et rend les sites Web de plusieurs banques, ainsi que ceux du ministère des Affaires étrangères, de la Défense, de l’Intérieur, le Service de sécurité (SBU) et le Cabinet des ministres, inaccessibles. Si la majorité d’entre eux sont à nouveau opérationnels deux heures après, des latences et pannes se poursuivent le lendemain sur d’autres, 24 février 2022, début de l’offensive militaire russe sur le sol ukrainien.
février 26, 2022
Renforcement de la vigilance Cyber en France
Les tensions internationales actuelles, notamment entre la Russie et l’Ukraine, peuvent parfois s’accompagner d’effets dans le cyberespace qui doivent être anticipés, alerte l’agence nationale de la sécurité des systèmes d’information (ANSSI). De manière prudente, l’entité rappelle que si aucune menace visant les organisations françaises, elle surveille la toile comme le lait sur le feu. Dans ce contexte, la mise en œuvre des mesures de cybersécurité et le renforcement du niveau de vigilance sont plus que nécessaires pour garantir la protection au bon niveau des organisations.
Pour preuve les opérateurs derrière le ransomware Conti assurent qu’« en réponse au bellicisme occidental et aux menaces américaines d’utiliser la cyberguerre contre les citoyens de la Fédération de Russie, l’équipe Conti annonce officiellement que nous utiliserons toutes nos capacités pour prendre des mesures de rétorsion au cas où les bellicistes occidentaux tenteraient de cibler des infrastructures critiques en Russie ou dans toute région russophone du monde. »
Pour autant, l’organisation rappelle qu’elle n’est alliée à aucun gouvernement et « condamne la guerre en cours ». Elle prévient qu’elle n’hésitera pas à utiliser « nos ressources pour riposter si le bien-être et la sécurité de citoyens pacifiques sont en jeu en raison de la cyber-agression américaine ». Car selon eux l’Occident est connu pour mener ses guerres principalement en ciblant des civils.
Plus aujourd’hui mais autant demain, l’ANSSI recommande de s’assurer de la bonne mise en place des mesures essentielles présentées dans le guide d’hygiène informatique. Ce dernier s’adresse aux entités publiques et privées dotées d’une direction des systèmes d’information (DSI) ou de professionnels dont la mission est de veiller à leur sécurité. Sans jugement, et comme les Sapeurs-Pompiers, l’agence rappelle que la majeure partie des attaques informatiques ayant requis une intervention de l’agence aurait pu être évitée, si les mesures qui y sont édictées avaient été appliquées. À bon entendeur…
février 26, 2022
Fuite de données chez Volvo
Tandis qu’un pirate informatique diffuse sur le Darknet plusieurs bases de données comportant des milliers de propriétaires de BMW, Citroën, Peugeot, Ford, Honda, Kia, Mercedes… Les opérateurs derrière le ransomware Snatch divulguent des renseignements du constructeur Volvo. Au total 26 440 fichiers pour 4, 1 GB d’informations décompressées. Le groupe à l’origine de l’attaque a produit le 14 février 2022, les données relevant de l’infection subie par la société automobile suédoise le 25 novembre 2021.
Zataz révèle une étonnante fuite de données. Elle concerne des dizaines de milliers de propriétaires de voitures de marques BMW, Citroën, Ford, Honda, Kia, Land Rover, Mercedes, Peugeot, Seat, Smart, Vauxhall et Volvo. Les bases contiennent pour Citroën, pas moins de 16 000 clients et des données de l’année 2016 (adresses postales, civilités, téléphones fixes et mobiles, numéros d’identification, mise en service…), pour la marque au lion, les indications sont de l’année 2018, avec le même type de renseignements.
De nombreux scripts en Bash, Python, documentation interne, mais aussi des informations confidentielles sont en accès libre diffusés sur le site de fuite. (Crédits ; capture d’écran)
En novembre 2021, le constructeur automobile suédois Volvo Cars annonçait avoir subi un vol d’informations de recherche et développement (R&D) sur ses serveurs. « Volvo Cars a appris qu’un tiers avait accédé illégalement à l’un de ses dossiers », a répondu l’intéressé. La firme mettait en exergue que seule une quantité limitée de ses propriétés en matière de R&D a été subtilisée pendant l’attaque. En outre, Volvo déclarait que l’incident faisait l’objet d’une enquête.
Le groupe indique ne jamais perturber les chaînes d’approvisionnement, le travail d’un pays, d’un gouvernement, d’un état, d’une ville et d’entreprises privées en les verrouillant, en les cryptant ou par tout autre moyen. Snatch ne divulgue pas la vulnérabilité à l’exception de l’entreprise elle-même. (Crédits : capture d’écran)
L’organisation Snatch a décidé de diffuser également plus de 26 GB de données compressées suite à l’infection du groupe Cadence Aerospace, effectuée en novembre 2021. Basé en particulier au Mexique comme aux États-Unis, la firme se définie comme un « fournisseur de l’industrie aérospatiale et de la défense qui s’engage à réussir avec ses partenaires commerciaux, grâce à un engagement actif, des stratégies de fabrication et d’approvisionnement alignées et des capacités de pointe. » Les données peuvent servir à de multiples choses. Des produits contrefaits, du phishing, de la diffusion de ransomwares via des courriels… La limite est celle que vous fixez à votre imagination.
février 19, 2022
Vacances prolongées à Neuchâtel
À trois jours de la rentrée scolaire, l’université de Neuchâtel est victime d’une attaque de ses systèmes informatiques. Les premiers signes relevés de l’infection sont survenus jeudi 17 février 2022, vers 23 h. Par mesure de sécurité, l’Unine, qui compte quatre facultés en son sein a désactivé l’ensemble de ses serveurs ce vendredi 18 février. Une affaire qui pourrait compliquer le retour des étudiants, prévu ce lundi. Si aucune rançon n’est encore exigée en échange de la clé de chiffrement, cela porte les stigmates et ressemble trait pour trait à une infection par codes malveillants de type ransomware.
Depuis jeudi soir, tous les systèmes d’information de la faculté neuchâteloise sont bloqués, victimes d’une infection de type Ransomware-as-a-Service relate ArcInfo. Plus un ordinateur n’est accessible, l’arrêt général a été décrété. Fort heureusement, peu d’étudiants sont sur place. « Il est très probable que des gens malveillants soient derrière cette attaque, expliquait Nando Luginbühl, le responsable de la communication de l’Université de Neuchâtel. Le problème n’est pas réglé et nous ne pouvons pas dire à quel moment ça va refonctionner. »
Des messages auraient été envoyés à destination du corps enseignant, mentionnant le cryptage des données. L’Université confirme l’existence dudit message, sans avoir « connaissance d’autres demandes à ce stade ». Une partie des professeurs profitent des derniers jours pour mettre à jour leurs supports de cours, de leur côté les élèves devaient consulter leurs horaires, comme échanger les ultimes renseignements par courriel. Il sera nécessaire de le consentir avec résignation.
Les services affirment avoir confiné l’ensemble afin d’éviter que le code malveillant se propage sur de nouveaux terminaux. La Suisse est depuis plusieurs mois la cible de nombreuses infections, comme le fut la Croix-Rouge. L’université tente de restaurer une sauvegarde de l’état du système avant la cyberattaque. (Crédits : DR)
Les cours avaient, jusqu’à présent, lieu à distance du fait du SARS-CoV-2. Le retour, en chair et en os, des étudiants sur le campus doit s’effectuer lundi matin 21 février. Toutefois, les enseignements qui se donnent en vis-à-vis sont aussi pour certains accessibles en ligne, garantit l’institut. Les vacances ne seront, à priori, donc pas prolongées. « Notre objectif est d’assurer la rentrée des cours, lundi. Comme il y a un retour au présentiel, cela tombe bien », affirme Nando Luginbühl.
février 18, 2022