Libre Expression

Étiquette : ransomware

  • REvil démantelé par la Russie

    REvil démantelé par la Russie

    Les États-Unis emploient les grands moyens face aux organisations derrière les ransomwares. L’affaire dite de Colonial Pipeline en mai 2021 avait mis le feu aux poudres. REvil était vendu en tant que Ransomware-as-a-Service (RaaS) sur les forums cybercriminels russophones par l’identité numérique « UNKN » depuis mai 2019. Début octobre 2021, un malfaiteur de REvil se savait recherché, car « le serveur est compromis » répondait-il. Il indiquait qu’il quittait la scène, avant qu’il soit trop tard.

    Le Service fédéral de sécurité de la Fédération de Russie a annoncé ce vendredi 14 janvier 2022 avoir démantelé l’organisation de hackeurs REvil, sur demande des États-Unis. Il est considéré comme le groupe de cybercriminels le plus redoutable en manière de ransomware. « Il a été mis fin à l’existence de ce groupe criminel organisé », déclare le FSB dans son communiqué.

    426 millions de roubles, y compris en cryptomonnaie, 600 000 dollars américains et 500 000 euros, ainsi que du matériel informatique, des porte-monnaie en cryptomonnaie utilisés dans les méfaits et vingt voitures achetées avec l’argent obtenu de manière illicite. (Crédits : capture d’écran/YouTube/FSB)

    Le démantèlement fait suite à l’opération des services de sécurité (FSB) et de la police russe. Des perquisitions menées dans les villes de Moscou, Saint-Pétersbourg, les régions de Moscou, Leningrad et Lipetsk, répriment les activités illégales des membres d’un groupe criminel organisé. Au total, quatorze personnes et 25 adresses permettent la saisie de l’équivalent de 426 millions de roubles, soit environ 4,8 millions d’euros et 20 voitures de luxe, clôturant l’épilogue.

  • Ransomware: prison américaine paralysée

    Ransomware: prison américaine paralysée

    Lorsque la réalité dépasse la fiction, ce qui pourrait être tiré des séries Prison Break et Mr Robot, s’est véritablement déroulée. Le mercredi 5 janvier 2022, l’accès des visiteurs au Metropolitan Detention Center a été complètement suspendu, le pénitencier s’étant mis en sécurité. La cause est une infection par codes malveillants de type ransomware. Une situation précaire qui a obligé le centre carcéral américain à confiner tous ses détenus, sans libérations ni visites.

    Une prison du Nouveau-Mexique aux États-Unis a été visée par une attaque rançongiciel. Sans internet, avec des caméras et des portes automatiques hors service, le fonctionnement du centre de détention est dégradé, et les détenus ont été confinés par mesure de sécurité. « Le comté de Bernalillo poursuit son évaluation du ransomware suspecté d’avoir été découvert sur les systèmes du comté de Bernalillo. Le comté a mis hors ligne les systèmes concernés et a coupé les connexions réseau. La perturbation s’est probablement produite entre minuit et 5 h 30 », ont déclaré les responsables du comté dans un communiqué de presse mercredi 5 janvier 2022. Ils informaient les administrés que :

    • Les services d’urgence et de sécurité publique sont pleinement opérationnels
    • L’admission et la libération des détenus du Metropolitan Detention Center (MDC) sont opérationnelles. Il n’y a pas de visites jusqu’à nouvel ordre
    • Le service de santé est pleinement opérationnel
    • Tous les centres communautaires resteront ouverts comme prévu
    • Les services de planification et de développement continuent d’accepter les demandes de permis
    • Le bureau du trésorier accepte les paiements via son portail en ligne, dans les boîtes de dépôt et dans toutes les succursales de la Rio Grande Credit Union

    Une personne qui devait être libérée ce mercredi n’a pas pu l’être à cause de la panne, écrivaient les avocats. Le comté soupçonne que plusieurs bases d’informations du MDC soient corrompues, qui plus est celui contenant les rapports sur des incidents (bagarres, l’usage de la force et les viols…) ainsi que le système utilisé pour stocker les données relatives aux comptes d’économat des détenus, révèle Source NM. Ainsi, ils ont déposé un avis d’urgence en ce sens

    L’arbre qui cache la forêt

    C’est parce qu’elle est située dans le même comté que la prison fut touchée. Les bâtiments gouvernementaux, ainsi que les bureaux publics ont été clos mercredi dans les villes d’Albuquerque, Los Ranchos et Tijeras après qu’une attaque par ransomware ait paralysé le réseau informatique étatique de Bernalillo. Bien que tous les sites Web du comté soient hors services, les dirigeants indiquaient que « les citoyens pouvaient effectuer le paiement de leurs impôts via le site Web du secrétariat du trésorier, qui utilise un portail en ligne distinct »… Les systèmes informatiques et les bureaux publics « devraient rester fermés jeudi et pendant le reste de la semaine », le temps nécessaire pour que les responsables puissent faire face aux conséquences de la cyberattaque. Ils ne sont pas encore rétablis.

    Le nom de la souche de ransomware qui a infecté les systèmes du comté de Bernalillo, comme ci-dessus la ville d’Albuquerque est actuellement inconnue, ainsi que d’autres détails techniques tels que la façon dont les malfaiteurs ont pu accéder aux systèmes du comté. (Crédits : El Sun/Pixabay)

    Elle rejoint désormais une liste restreinte de villes américaines qui ont été touchées par des attaques de ransomware, une liste qui comprend Atlanta, Baltimore, Denver, Knoxville, La Nouvelle-Orléans et Tulsa. Une situation similaire se déroule en France, les collectivités territoriales et certaines administrations sont purement et simplement ciblées par ces offensives dévastatrices, notamment les hôpitaux. « Si les hôpitaux français sont attaqués, c’est parce que c’est facile : leur sécurité est nulle », affirmait Guillaume Poupard, le directeur de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), en septembre 2021 lors du forum international de cybersécurité, ajoutant que « la situation semble toutefois s’améliorer ».

  • Ransomware: Démantèlement d’un serveur « VPN » en Ukraine

    Ransomware: Démantèlement d’un serveur « VPN » en Ukraine

    Le Service de sécurité de l’Ukraine (SSU) a établi que des compatriotes ont créé un serveur pour « pirates » informatiques, et qui ont pu ainsi dérobé, selon les estimations plusieurs millions de dollars, ce à une cinquantaine d’entreprises étrangères. Une collaboration entre l’entité ukrainienne, la cyberpolice et leurs partenaires américains comme britanniques a mené une opération spéciale de grande envergure pour éliminer un serveur pirate sophistiqué. Des enquêtes visant à déterminer et à poursuivre toutes les personnes impliquées sont en cours.

    À l’aide d’un logiciel malveillant de type ransomware, les individus identifiés cryptaient les données d’entreprises. Pour en recouvrer l’accès, ils exigeaient des victimes, une rançon. Au final, plus d’une cinquantaine de compagnies situées en Europe et aux États-Unis furent touchées. Selon le communiqué, « les coûts s’élèveraient à plus d’un million de dollars américains. » Le pot aux roses, que représente les activités de l’organisation criminelle a été découvert par des espions de la cyberpolice, en collaboration étroite avec le quartier général de la police nationale, des agents de la SBU et d’autres des forces de l’ordre du Royaume-Uni et des États-Unis.

    Un VPN d’un autre genre

    Contrairement aux utilisations du VPN de tout un chacun, ceux du groupe offraient des prestations bien plus larges. Ils permettaient notamment le téléchargement immédiat de « virus » informatiques, de logiciels espions et de pléthores d’autres lignes de codes malveillants, via leur plateforme d’échange. Une sorte de Peer-to-peer un peu spécial, mis en place par et pour des opérateurs malveillants.

    Pour légitimer les fonds générés par cette activité illégale, les auteurs présumés ont effectué des transactions financières complexes en employant de faibles services en ligne, y compris ceux interdits en Ukraine, révèle le SSU. De nombreux téléphones, cartes bancaires, argents ont été saisi. (Crédits : Service de sécurité d’Ukraine)

    Le service jouissait d’une popularité conséquente parmi les membres de groupes internationaux de hackeurs. Par exemple, l’infection d’institutions étatiques et commerciales pour collecter des renseignements confidentiels, propager un ver qui crypte les données stockées sur un système d’information et exige de l’utilisateur une rançon pour obtenir la clé de déchiffrement. Mais aussi des attaques par déni de service, ou DDoS pour paralyser le fonctionnement des systèmes, etc.

    Blanchir l’argent sale

    La tête présumée de l’organisation dudit groupe, un Chinois de 36 ans, a mené, avec sa petite amie et trois de ses connaissances, des cyberattaques contre des entreprises étrangères. Lors de neuf perquisitions dans les résidences des auteurs supposés, comme dans leurs automobiles, du matériel informatique, des téléphones portables, des cartes bancaires, des clés USB et trois voitures ont été saisis.

    Le service était exploité à partir d’ordinateurs domestiques et, pour éviter d’être tenus responsables de leurs activités illégales, ils se déguisaient sous différents noms sur le Darknet, explique les autorités. Ci-dessus un des véhicules saisit par les forces de l’ordre. (Crédits : Service de sécurité d’Ukraine)

    Les autorités ont établi « que l’un des suspects avait été renseigné par les services répressifs d’autres pays. Ainsi, l’auteur a recouru un virus pour obtenir les données des cartes bancaires des clients de la banque britannique. Le criminel utilisait l’argent des victimes pour acheter des biens dans des boutiques en ligne et les revendre ensuite. » Les enquêtes se poursuivent pour identifier, appréhender et traduire devant la justice les auteurs présumés en vertu de l’article 3 du Code pénal ukrainien (art. 361, art. 361-2 et art. 209).

  • Hôpitaux espagnol et italien attaqués

    Hôpitaux espagnol et italien attaqués

    En Espagne, comme en Italie, les cliniques, hôpitaux qu’ils soient publics ou privés peuvent être la cible d’opérations malveillantes informatiques. C’est le cas pour celui de la commune de Lucena, en Andalousie, mais aussi le centre médical ASL Napoli 3 sud, qui affichait sur sa page Facebook, un message indiquant le dysfonctionnement de ses systèmes d’information suite à une attaque en date du 8 janvier 2022. Sur la péninsule ibérique, celui appartenant à la société Amaveca Salud serait victime d’un ransomware.

    L’Azienda Sanitaria Locale Napoli 3 Sud (unité sanitaire locale de Naples 3 Sud) a été victime d’une agression informatique. Des opérateurs auraient mis à mal les systèmes d’information entraînant la suspension des services essentiels. Le centre couvre toute la population du sud de Naples, telle que celles des régions de Stabiese et de Nolana. Le message affiché sur leur page Facebook présente des excuses aux utilisateurs « pour toute perturbation de nos systèmes informatiques due à une réclamation que nous sommes en train de résoudre afin de rétablir les opérations dès que possible ».

    « Ils ont attaqué notre système informatique, nous nous excusons auprès des citoyens », souligne le directeur général, Gennaro Sosto de l’Asl Na3. Une plainte a été déposée, une enquête a été ouverte pour découvrir qui est à l’origine de cette offensive. (Crédits: Capture d’écran/Facebook)

    Consécutivement, à cette infection dont il ne faut attendre de rétablissement avant quinze jours insistent les autorités, la direction stratégique de l’Asl Napoli 3 Sud a « ordonné, à partir du 11 janvier 2022, la suspension des activités d’hospitalisation programmées tant médicales que chirurgicales, dans tous les hôpitaux de l’entreprise. » Toujours en Italie, l’ULSS6 Euganea de Padoue connaît un épilogue tragique, à savoir la publication des données exfiltrées par les opérateurs derrière LockBit 2.0 prévue pour le 15 janvier 2022.

    Attaque de l’hôpital de Lucena

    L’hôpital central de Lucena en Andalousie a subi une infection de ses systèmes d’information, relate le communiqué de presse. L’équipe de réponse au cyberincident travaille depuis sa découverte sans relâche. À ce jour, il a été possible de détecter une fuite de données, dont l’ampleur reste à déterminer. La note souligne également que « depuis le début de son activité, l’hôpital a mis en place toutes les procédures et mesures de sécurité nécessaires pour protéger l’un de ses actifs les plus importants : l’information. […] Malgré les mesures décrites ci-dessus, ce cyberincident s’est produit, ce qui, grâce aux actions rapides prises, n’a pas compromis le fonctionnement normal du centre, qui continue à se concentrer sur les soins de ses patients ».

    Au-delà du respect des exigences légales, elle dispose d’un service externe pour répondre aux incidents de sécurité, en plus de la figure du délégué à la protection des données, ce qui n’a pas empêché l’attaque. De nombreuses informations sont exfiltrées. (Crédits : Capture d’écran)

    Amaveca Salud informe également que « le travail d’analyse médico-légale, qui est en cours, ne nous permet pas encore de conclure les détails exacts de la quantité et des types de données volées, cependant, dès que cette analyse sera terminée, nous rapporterons en détail la portée finale ». Une victime de plus du ransomware « Vice Society ».

  • La presse portugaise attaquée

    La presse portugaise attaquée

    C’est le groupe d’opérateurs derrière le ransomware « Lapsus $ » qui revendique l’attaque de site de presse au Portugal. Ils ont à leur actif l’offensive contre le ministère de la Santé en décembre, ils affirmaient détenir 50 téraoctets d’infos. Celui-là même qui prétend avoir mené une agression contre le dernier, et qui aurait accédé à environ 10 pétaoctets (PB) (l’équivalent de 10 000 téraoctets) d’informations. Comme précédemment, une demande de rançon devrait apparaître auprès des services concernés.

    Parmi les informations consultées figurent des informations croustillantes à revendre sur le DarkWeb. Ainsi, le groupe derrière « Lapsus $ » aurait en sa possession les données personnelles des clients, les infrastructures de communication, les documents juridiques, les demandes d’écoute, le code source et les courriels. Le groupe réclame un échange avec un responsable de la firme Claro, afin d’obtenir une substantielle récompense afin d’effacer lesdites données suite à l’infection du 1er janvier 2022.

    Dans le cas contraire, « Lapsus $ » divulguera les informations. Ils expriment détenir une infime partie des données concernant « les écoutes, les codes src, svn ». Dans son message, publié sur Telegram, l’organisation souligne que la fuite d’ordres juridiques et d’écoutes confidentielles « entraînerait de graves problèmes pour l’application de la loi ».

    Le groupe affirme être l’auteur de celle menée contre des sites de presse au Portugal. Impresa, considéré comme le plus grand groupe de médias portugais et propriétaire du journal Expresso, de la chaîne Sociedade Independente de Comunicação (SIC). Le magazine Blitz, a confirmé ce qui s’est passé sur ses réseaux sociaux.

    Le plus grand groupe de médias portugais indisponible suite à une attaque par ransomware. (Crédits : capture d’écran)

    Dès potron-minet dimanche 2 janvier 2022, les différents sites web et profils de médias sociaux du groupe Impresa présentaient des problèmes. En accédant au site web d’Expresso, par exemple, une page reprenant exactement la même ligne que celle qui est apparue sur le site web du ministère brésilien de la Santé lors de l’événement de décembre s’est affichée, informant d’une attaque par ransomware. La seule l’information qui apparaît est la suivante : « Site temporairement indisponible. Nous reprendrons dès que possible. Suivez-nous sur les réseaux sociaux ». Le groupe de presse indique qu’il travaille avec les autorités compétentes, la police judiciaire et le centre national de cybersécurité du Portugal pour obtenir des réponses supplémentaires à cette attaque.

  • Ransomware, une année record

    Ransomware, une année record

    Alors que tous les gouvernements prônent le retour au télétravail, les sécurités sont-elles de mise ? Le SARS-CoV-2 occupe peu ou prou la totalité du paysage médiatique, quand ce n’est pas la campagne pour l’élection présidentielle. Ce n’est pour autant pas la seule information ni contamination à travers la planète. Celle ressentie par les codes malveillants d’opérateurs que nous appelons communément « Virus ». Les attaques par ransomware sont prolifiques en cette année 2021, et promettent une année 2022 du même acabit.

    Le tout premier de l’année fut le groupe OMV System France, par le ransomware Darkside en date du 3 janvier 2021, revendiqué le 19. Si certaines organisations semblent tomber aux oubliettes, comme Avaddon, il faut rester prudent. AlphaVM réclame l’offensive et les 650 GB de données sur Snop Group. Également 151 GB exfiltrés de Douglas Shaw & Associates. Bl@cktor explique que les entreprises attaquées avec lesquelles un accord est trouvé ne verront pas leurs données publiées. Pour les autres bl@ckt0r « publiera ici la notification de violation de données et commencera à échanger leurs données exfiltrées. » L’université UNEXCA de la Grande Caracas au Venezuela est l’une des cibles. La somme de 30 000 $ est demandée. Des coordonnées sont affichées et mentionnent numéro de carte d’identité, prénom, nom, date de naissance…

    Le message est clair. « Nous avons des informations qui vont soit intéresser vos concurrents, soit causer des dommages à votre entreprise », martèlent les opérateurs derrière AlphaVM. Contactez-nous avant que nous publiions les données affichent-ils le 21 décembre 2021. (Crédits : capture d’écran)

    Clop affiche Swirespo (Singapour), Muschert-gierse (Allemagne), MTMRecognition (USA) avec des quantités astronomiques de renseignements comme des courriels. Concernant la firme américaine, au total plus de 700 000 adresses mail sont répertoriées.

    Entropy fait partie des nouveaux ransomwares tissant petit à petit sa toile et les fuites des attaques sur le site de leaks. (Crédits : capture d’écran)

    Grief est prolixe tant en offensive qu’en mise à jour des données exposées, comme en date du 28 décembre 2021, des données du bureau national de radiodiffusion et de télécommunications. Ainsi le groupe de ransomware Midas relate de nombreuses attaques (New Corp, Texas Entreprises, GEW Corporation Limited…).

    La France cible de choix

    Les cibles, comme les municipalités sont telles que les attaques quadrillent l’hexagone de part en part. En janvier 2021, OMV System France (3/1-Darkside), Coffim (4/1-NetWalker), le 16 la ville d’Angers subissait une attaque par ransomware. « Dans la nuit de vendredi à samedi, une cyber attaque a fixé le système d’information de la ville d’Angers et de la métropole. Le diagnostic a conclu à une attaque de type rançongiciel qui a frappé La Rochelle, Aix Marseille, Vincennes, l’ADEME… dans un passé récent », twittait la commune. Revil/Sodinokibi a revendiqué l’attaque de la société UCAR perpétrée le 20 janvier, le 2 février 2021. Le conseil départemental de la Vienne se retrouvait sans téléphone ni ordinateurs, des suites d’une attaque informatique. La clinique de l’Anjou à travers ses personnels hospitaliers se rendait compte à 4 h, le 23 janvier que plus rien ne fonctionnait. La commune d’Houilles victime de chiffrement de données puis de demande de rançon (30-1), le même jour, la Châtaigneraie tombe sous le coup de PYSA. Enfin Darkside revendique le vol de plus de 30 Go de données sensibles de Wonderbox.

    • Février : le 1er , Pénélope par Darkside, BVA (Conti), le 2 SVI Assurances (Avaddon), le 5 Mutuelle Nationale des Hospitaliers (RansomExx), Groupe Leader Interim, le 6 Signabois, le 9 le Centre Hospitalier de Dax (Ryuk), Trigano (Revil/Sodinokibi), le groupement Hospitalier de Dordogne le 11 février 2021, le 15, l’hôpital Nord-Ouest de Villefranche-sur-Saône (Ryuk), 1001 Vies Habitat, l’hôpital de La Chatre, le 16 la boulangerie Wach de Selestat, la mairie de Pontault-Combault, l’AFNOR le 18 (Ryuk), Bénéteau bloqué le 19 février, une usine classée Seveso à Béziers, comme Burgo Adrennes, le 21 Chalon-sur-Saône et Manutan (DoppelPaymer). Le lendemain, Charles André SAS. Lactalis s’en sort grâce à une détection en amont. Cashmag par Avaddon le 28

    Les mois se suivent et se ressemblent. Le mois de mars affichent vingt-deux attaques :

    • CGG (1/3, Cl0p), CEE Schisler (1/3, Conti), Communauté de communes de l’Est lyonnais, Soflog (3/3, DoppelPaymer), Servimo (3/3), Jacquet Metals (4/3, Conti), Rainbow Guyanne (5/3), Coallia (6/3), Centre hospitalier d’Oloron (8/3), SDIS 14 (9/3), SDIS 47 (10/3), La compagnie du SAV (10/3, Avaddon), Mersen (15/3, Mount Locker/Astro Team), Groupe Upperside Capital Partners (19/3, Conti), Montagne et Neige Développement (22/3), Asteelflash (24/3, Revil), Institut de formation santé de l’Ouest (26/3, Ragnarok), Yposkesi (27/3, Babuk), Targetcom (28/3, Avaddon), Goron (30/3, DoppelPaymer), Montagnettes (30/3, Ragnarok), et Pierre Fabre (31/3, Revil)
    AvrilMaiJuinJuilletAoût
    Université de Montpellier, Vallauris Golf-Juan, Würth France, Hôpital de Saint-Gaudens, Bourbon, Ville de Douai, Isle-sur-la-Sorgue, Morières-lès-Avignon, In Extenso, Élancourt, Fondation Hopale, La Martinière, Azenn, Trescal, Cegos, Fondation santé des étudiants de France, Transports Fatton, Oré Peinture, CPIE Gâtine Poitevine, Protectim, Marietton Développement, API, Challenge The Room, UniLaSalle, Centre François-Baclesse, Santélys, Apperton, Dirickx, Interfel, CNE, Laurent Perrier, Groupe Hopps, Bourg Saint Maurice – Les Arcs, Invicta Group, Voies navigables de France, REOREV, Fédération CINOV, Infovista,Albioma, Toshiba TFIS, Atalian, iQera, Acer Finance, Berger-Levrault, Otago Productions, Axa (Asie), Stelliant, Mauffrey, Fraikin, Arca Assurances, Iserba, Despretz, STAM, Funbreak, Le Volcan, Syndex, V2 Location, Alma SAS, Cabinet Remy Le Bonnois, AssurcoproAqualung Trading, Tendriade, Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Demarne Frères, Cerba, Arketeam, Deux-Sèvres Habitat, 4murs, Au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes d’Armor, SEPUR, Maître Prunille, Voltalia, Groupe Traon Industrie Développement, Inserm Transfert, Imprimerie Lamazière, Epsilon Hydraulique, Always International, Assurances et Courtage Lyonnais, Alltech France, Lenaja, Groupe Confiance Immobilier, Xefi, CCI Bordeaux-Gironde, Assu2000, VillepinteGroupe PCM, Fichorga, Keyrus, Royatonic, Centre Hospitalier de Périgueux, Erstein, Aris-Services, MHR, Socoplan, CGP Industries, Six cabinets d’avocats, Groupe Profil, Elven, Résidence Les ChâtaigniersCentre Hospitalier d’Arles, Solware, L’Argus, AssurOne, Luçon, Alispharm
    SeptembreOctobreNovembreDécembreRansomwares
    Vivea, Telecom Sud Paris, Annoncez-vous, La Martiniquaise, Cromology, Steel Projects, Champagnes & Châteaux, LinkOffice, Conflans-Saint-Honorine, Fugybat, MaitrexÉditeur de solutions de billeterie, Bolbec, Transports Verlhac & Fils, Portalp, Courtoise Motors, Sides, Communauté de communes Sarrebourg Moselle-Sud, La Secan, Association des personnels d’Airbus, Trujas SAS, Cabinet Font Guillot, Audras & Delonnois, VKP, Neofidelys, Paris Society, Cabinet Cazenave, Lycée de la Joliverie (44), IDF Habitat, Un centre de radiothérapie à Melun, Fauveder, Polyclinique Bordeaux Nord, Greggio SAS, Communauté de communes Pays d’Apt Luberon, Saint Affrique, Troyes Aube Habitat, Idline, Prestataire du Cannet des Maures, Istres,Un CFA d’Essonne, Groupe Avril, April, Fandi, CEPI Management, Dalloyau, Jean Floc’h, Chryso, Bureau d’étude thermique Saison Paragot (Chartres), GPV France, Eduservices, Bureau Veritas, Syndicat intercommunal informatique de Bobigny, Orchestra, Annecy, Verlingue, LDLC, Agglomération du Grand Guéret,Montceau-les-Mines, SVP Information Décisionnelle, Promhotel, Sud Trading Company, Chantelle, Fittingbox, Ressort Masselin, Mr Bricolage (44), Inetum, Château-Thierry, La liste du mois d’avril à décembre est très longue, et reste imbuvable même en tableau. La communauté d’agglomération Est Ensemble54bb47h, AlphaVM, Arvin Club, Astro Team, AtomSilo, Avaddon, AvosLocker, Babuk, BlackByte, Bl4ckt0r, BlackMatter, Black Shadow, Bonaci Group, CL0P, CONTI, CoomingProject, Cuba, Darkside, DoppelPaymer, Entropy, Everest, Grief, Groove, Haron, Hitler, Hive, Hotarus, Karma Leaks, LockBit 2.0, LockData Auction, Lorenz, LV BLOG, MBC, Midas, Moses Staff, Mount Locker, Nefilim, NONAME, N3tw0rm, Pay2Key, Payload.bin, Prometheus, Pysa, Quantum, Ragnar_Locker, Ragnarok, Ranzy/AKO, RAMP, RansomEXX, REvil, Rook, Snatch, Spook, Suncrypt, SynACK, Vice Society, XING Team…
    La liste du mois d’avril à décembre des victimes est si longue, qu’elle reste imbuvable même en tableau. La communauté d’agglomération Est Ensemble Grand Paris finit l’année aux prises avec une cyberattaque (27 décembre) révèle LeMagIT.

    La dernière faille est connue sous Log4Shell. L’année 2022 se doit d’être éducative pour le surf sur l’Internet et les manières de se protéger, d’autant que les opérateurs derrière les ransomwares sont toujours à la recherche de la faille.

  • Ransomware: la défense belge attaquée

    Ransomware: la défense belge attaquée

    Lors du passage à la nouvelle lune, dimanche 19 décembre 2021, plusieurs offensives par codes malveillants se sont produites, comme chaque jour sur Terre. Au cours de ce week-end, c’est une attaque majeure qui ciblait le ministère de la défense belge. Les pirates ont exploité une vulnérabilité dans un logiciel appelé Log4j, qui a été découverte plus tôt en décembre, a déclaré un porte-parole aux médias locaux. Le ministère l’a repéré il y une semaine, jeudi 16 décembre 2021.

    Les responsables de la cybersécurité du monde entier se sont empressés de corriger la vulnérabilité de Log4j au cours de la huitaine écoulée. C’est sur l’ensemble de la planète que le problème sévit. Il touche une longue liste de sociétés de logiciels, dont Amazon et Microsoft pour ne citer qu’elles. La compagnie de gestion des ressources humaines Ultimate Kronos Group a été la cible d’une infection par ransomware. Tous n’ont pas eu le temps nécessaire, semble-t-il. Des allégations de chercheurs avertissaient que des groupes de pirates soutenus par des États, notamment ceux liés à la Chine, à l’Iran, à la Corée du Nord et à la Turquie, auraient commencé à utiliser cette vulnérabilité pour pirater les réseaux de leurs adversaires. Le ministère de la Défense « a détecté ce jeudi une attaque sur son réseau informatique avec accès internet. Rapidement, des mesures de quarantaine ont été mises en place afin de circonscrire les éléments infectés. La priorité est donnée à l’opérationnalité du réseau de la Défense », indiquait un porte-parole.

    Depuis la découverte de l’agression, « nos équipes ont été mobilisées […] Un monitoring continuera à être assuré », ajoutait dimanche soir le porte-parole, le commandant Olivier Séverin. (Crédits : capture d’écran/CERT.be)

    Depuis la publicité faite de la vulnérabilité dans la bibliothèque de journalisation Log4j d’Apache, il ne se passe pas une journée sans que les médias en parlent. Les opérateurs malveillants se sont très vite emparés du sujet en multipliant les exploits (botnet, ransomware …) et en arrosant à tout va. Mardi 21 décembre 2021, le ministère annonçait officiellement avoir été victime d’une attaque reposant sur la vulnérabilité Log4Shell, sans révéler le ou les auteurs de cette attaque.

    Face au feu nourri, les autorités décuplent les alertes (ANSSI, CISA, CERT, DGSSI…) pour corriger au plus vite les systèmes sensibles. Plusieurs patchs ont été nécessaires. (Crédits : capture d’écran/DGSSI)

    Dans certaines versions de Log4j, un logiciel repris dans de très nombreux utilisateurs, notamment par Amazon, Apple, Cloudflare, Tesla, Minecraft et Twitter, permet de s’emparer du contrôle de la machine qui l’héberge, et d’élever ainsi ses privilèges. Le pirate peut alors commencer à circuler dans le réseau informatique de la victime pour y déployer rançongiciels, comme outils d’espionnage. L’ANSSI détermine dans son alerte les systèmes affectés :

    • Apache Log4j versions 2.16.0 et 2.12.2 (java 7)
    • Apache Log4j version 2.15.0
    • Apache Log4j versions 2.0 à 2.14.1
    • Apache Log4j versions 1.x (versions obsolètes) sous réserve d’une configuration particulière
    • Les produits utilisant une version vulnérable de Apache Log4j : les CERT nationaux européens tiennent à jour une liste complète des produits et de leur statut vis-à-vis de la vulnérabilité (ici)

    Il est fort à parier que d’autres organisations useront criminellement de la faille contre différentes sociétés, comme le stipule l’agence nationale de sécurité des systèmes d’information : « Cette vulnérabilité permet à un attaquant de provoquer une exécution de code arbitraire à distance s’il a la capacité de soumettre une donnée à une application qui utilise la bibliothèque log4j pour journaliser l’évènement. Cette attaque peut être réalisée sans être authentifiée, par exemple en tirant parti d’une page d’authentification qui journalise les erreurs d’authentification. Des preuves de concept ont déjà été publiées. Cette vulnérabilité fait désormais l’objet d’une exploitation active. » À vos mises à jour…

  • La lingerie française attaquée

    La lingerie française attaquée

    L’association d’opérateurs derrière le ransomware Conti affiche sur son site de fuites les preuves et fichiers de l’attaque menée contre l’un des fleurons de la lingerie « Made in France ». La marque Chantelle subit la même chose que le groupe Lise Charmel quelques mois auparavant. Novembre 2019 est désormais marqué au fer rouge chez le spécialiste lyonnais de la lingerie. Il avait conduit la compagnie en redressement judiciaire, qui est retiré de la période d’observation depuis le 30 septembre 2021.

    Petit rappel des faits. Le groupe de lingerie haut de gamme Lise Charmel avait été placé en redressement judiciaire « par protection » après une infection par ransomware début novembre 2019 dont « l’entreprise ne s’est vraiment sortie qu’en janvier. Nous nous sommes retrouvés le 8 novembre au matin avec tous nos fichiers, toutes nos données, tous nos postes cryptés en France et à l’étranger. On a été en état de choc pendant plusieurs semaines. C’était terriblement violent », reconnaissait Olivier Piquet, le directeur général. Un Ransomware-as-a-Service, donc des codes malveillants avait chiffré les données de la firme, le but est d’extorquer de l’argent. « On veut rester discrets, mais notre parti pris a été de ne pas payer la rançon et de reconstruire. C’est pourquoi nous avons sollicité le tribunal de commerce ».

    L’attaque semble avoir eu lieu dans la nuit du 3 au 4 décembre 2021 au vu de l’horodatage des données extorquées et diffusées sur le site de fuite. De nombreux documents affichent des dates antérieures à l’année en cours. (Crédits : capture d’écran)

    Le Groupe Chantelle officie depuis 1876. Il existe et rayonne à travers nos 6 marques, Chantelle, Passionata, Chantal Thomass, Femilet, Livera et Darjeeling. Les achats de lingerie en France représenteraient près de 3,55 milliards d’euros par an, sur l’ensemble de l’année 2021 en France « les ventes de textile-habillement devraient croître de 5 % par rapport à 2020, mais se replier de 11 % par rapport à 2019 », estime l’IFM. Les opérateurs derrière Conti affichent des données sur le darkweb depuis la date du 22 décembre 2021. Le premier des répertoires, affiche 656,16 MB compressé, et 812 une fois décompressé avec pas moins de 638 fichiers, puis suivent 20 dossiers de 750 MB pour plus de 15 gigabytes.

  • Kronos à court de temps

    Kronos à court de temps

    Si votre entreprise emploie Kronos, sur les semaines à venir, il se peut que vous ne puissiez pas l’utiliser pour pointer vos entrées et sorties de travail. La compagnie de gestion des ressources humaines Ultimate Kronos Group a été la cible d’une infection par ransomware. Il entrave l’accès de ses clients au traitement de la paie, à la gestion des feuilles de temps, mais également à elle de leur personnel. La période de fêtes de Noël risque d’être entachée des conséquences de cette attaque.

    Parmi les clients de renom qui exploitent les systèmes de la firme figurent Tesla, Puma et le YMCA, pour ne citer qu’eux. L’attaque a également touché Kronos Workforce Central, qui contient une suite de solutions de gestion de la main-d’œuvre. Celle-ci est utile pour administrer le temps et les présences, les absences, la planification et bien plus encore.

    Dans un premier communiqué samedi 11 décembre 2021, la direction affirmait qu’elle avait pris acte d’une activité inhabituelle impactant les solutions UKG utilisant Kronos Private Cloud, et qu’un ransomware avait ciblé ce dernier. « Pour l’instant, nous n’avons pas connaissance d’un impact sur UKG Pro, UKG Ready, UKG Dimensions ou tout autre produit ou solution UKG, qui sont hébergés dans des environnements séparés et non dans le Kronos Private Cloud », a écrit Bob Hughes, vice-président exécutif de Kronos. C’est la mise à jour de Kronos Private Cloud qui aurait été frappée par une attaque de ransomware.

    De nombreuses entreprises mais également des administrations sont touchées, comme la ville de Cleveland, dans l’Ohio, dont on voit le marché, ci-dessus. (Crédits : Fuji Nakama/Pixabay)

    Les produits de chronométrage de Kronos sont utilisés par des entreprises au Royaume-Uni, notamment la chaîne de supermarchés Sainsburys, Boots the Chemist et Jaguar Land Rover, mais pas seulement. Outre-Atlantique l’université de Clemson en Caroline du Sud, l’hôpital universitaire de Winthrop à Long Island, ainsi que par des administrations locales et d’État comme le comté de Santa Clara, ou la ville de Cleveland. Par l’envoi de courriels, aux entreprises clientes, la firme confirme que l’entreprise a mis hors ligne ses services de cloud privé suite à une attaque de ransomware. Elle conseille de déployer des « protocoles alternatifs de continuité de l’activité », ce qui pourrait avoir des conséquences sur les salaires de Noël des Britanniques, souligne The Register. En effet, le service de chronométrage est en relation avec les systèmes de paie des sociétés, permettant de régler chaque membre du personnel en fonction du temps travaillé.

    Plusieurs semaines

    Le message de la victime est sans surprise, le rétablissement du service complet prendra « plusieurs semaines ». Cela dit, l’expectative est la plus totale, pour savoir si la vulnérabilité Log4j d’exécution de code à distance a été le moyen d’accès des attaquants. Valéry Rieß-Marchive, Rédacteur en chef de LeMagIT, explique que toutes les conversations de la planète cybersécurité ne tournent qu’autour d’un seul sujet : la vulnérabilité dite Log4Shell, référencée CVE-2021-44228. Il suffit de lire que le patch est un correctif d’urgence pour combler une faille critique d’exécution de code sans authentification dans un utilitaire de journalisation largement utilisé, pour attraper une sueur froide.

    Gareth Corfield prophétisait en préambule par « préparez-vous à passer un week-end très chargé en atténuation et en correctifs », dans son article. (Crédits : capture d’écran/UKG)

    La direction d’UKG s’accordait sur l’ampleur de l’incident et déclare que « […] nous avons alerté nos clients concernés et informés les autorités, et nous travaillons avec des experts en cybersécurité de premier plan. Nous reconnaissons la gravité du problème et avons mobilisé toutes les ressources disponibles pour soutenir nos clients et travaillons avec diligence pour restaurer les services affectés. »

  • La santé brésilienne infectée par un virus

    La santé brésilienne infectée par un virus

    La formule pourrait être cocasse, si ce n’est qu’en ces temps particuliers, où le SARS-CoV-2 est l’une, voire la principale information depuis bientôt deux années. Alors le Brésil souffre dans ses institutions. Alors que vendredi 10 décembre 2021 le pays du mont du Pain de Sucre enregistre le plus petit nombre de cas de Covid-19, selon les autorités (7 916 enregistrements par jour), c’est le ministère de la Santé et son système d’information qui est infecté par un virus, mais informatique celui-ci.

    Vendredi matin, les vecteurs d’information du ministère de la Santé viennent de subir une attaque d’opérateurs, et sont désormais hors ligne. L’infection se serait produite, selon les dires, vers 1 h. Le ministère concerné ne s’est pas encore positionné sur les impacts possibles. Lorsqu’on essaie d’accéder aux sites web, comme aux applications concernées, un message revendiqué par le groupe « Lapsus $ » stipule que « les données internes des systèmes ont été copiées et effacées » et conseille de contacter les secours. Ils affirment détenir 50 téraoctets d’informations, et déclarent également qu’ils étaient prêts à échanger ces données avec le paiement d’une rançon en cryptomonnaie.

    Le réseau interne du Secrétariat national du Trésor a été la cible d’une attaque par ransomware en août dernier. À l’époque, le ministère de l’économie avait informé que l’action n’avait pas causé de dommages aux systèmes ni aux bons du Trésor. (Crédits : capture d’écran)

    « Le ministère de la Santé rapporte que dans les premières heures de vendredi (10) a subi un incident qui a temporairement compromis certains systèmes de dossier, comme e-SUS Notifica, Système d’information du programme national de vaccination (SI-PNI), ConecteSUS […]. Le Cabinet de sécurité institutionnelle (GSI) et la police fédérale ont déjà été appelés à soutenir les enquêtes. Le département d’informatique du SUS (Datasus) agit avec un maximum d’agilité pour rétablir les plateformes », indique le communiqué. Le cabinet de sécurité institutionnelle et la police fédérale ont déjà été déclenchés pour soutenir le ministère de la Santé dans les enquêtes. Il ne donne aucune prévision à ce stade quant au retour à la normale des services et des sites web.

    Le Brésil, comme Cuba, la Biélorussie, l’Île Maurice sont en « rouge », car « une circulation active du virus est observée avec une présence de variants préoccupants ». Le Canada, l’Australie, Hong-kong sont en vert, alors que l’Afrique du Sud est en écarlate, grâce à « Omicron », en date du 4 décembre 2021. (Crédits : capture d’écran/Gouv.fr)

    Les Brésiliens dans le dur. L’émission du certificat, et de la carte nationale numérique de vaccination Covid-19, sont indisponibles pour le moment. Le Gouvernement français émet des différences en fonction d’« une classification des pays a été définie sur la base des indicateurs sanitaires. |…] sont adaptées selon les évolutions de leur situation épidémique. » Du vert, au rouge écarlate en passant par l’orange. Sans cette preuve vaccinale, les Brésiliens qui se dirigent vers la France se verront notifier une « quarantaine obligatoire de 10 jours contrôlée par les forces de sécurité ». C’est ce même gouvernement français et ses représentants, après s’être fait prendre en vidéo, au congrès des maires, sans respecter les gestes barrières, et port du masque, n’apparaissent désormais nulle part sans ce que dernier, soit ostensiblement visible. Ils ont contribué à l’essor de la culture et du film français des frères Lumière, « L’arroseur arrosé »… en invectivant tout un chacun par des recommandations de tenue et de savoir-vivre à leurs administrés, mais sans les respecter, ni les appliquer à eux-mêmes.