C’est par un communiqué de presse du lundi 29 novembre 2021 que le groupe LDLC relatait avoir « détecté un incident de cybersécurité dans ses systèmes informatiques, ayant entraîné un accès non autorisé aux données de l’entreprise », mais « n’a pas eu d’impact sur les opérations commerciales du Groupe ». Les opérateurs derrière Ragnar_Locker ont publié un échantillon de renseignements dérobés sur le système d’information de la firme, ainsi que plusieurs captures d’écran.
Les assaillants derrière le ransomware sont clairs dans le message « Si le Groupe LDLC souhaite arrêter le processus de fuite et éviter d’autres publications, il en a déjà été informé et sait comment nous contacter ». Ils ajoutent avec une pointe sarcastique « n’oubliez pas de vérifier vos e-mails ». « Aujourd’hui, nous publions le premier lot de données, mais si le Groupe LDLC ne nous contacte pas, nous continuerons à télécharger des données jusqu’à ce que toutes les informations soient divulguées », préviennent-ils, depuis les premiers dévoilements sur le site de fuites.
Les opérateurs par cette preuve de fuite montrent qu’ils étaient en mesure de suivre les échanges de l’équipe de réponse à incident. Les cyberdélinquants démontrent qu’ils ont encore un plus large accès à son système d’information, ainsi qu’à ses postes de travail. Par cette preuve, la compromission est possiblement. (Crédits : capture d’écran)
LDLC précisait néanmoins que les données clients n’étaient pas concernées et que ses équipes de sécurité s’affairaient à une « analyse approfondie » afin de renforcer les mesures de protection mises en œuvre. Comme rappelle Le MagIT ce que soulignait Jérôme Saiz, du cabinet Opfor Intelligence : « dans une crise cyber, il faut considérer que l’on n’a plus confiance en ses moyens de communication ».
Outre les captures d’écran, Ragnar_Locker relaie également deux archives en téléchargement. Elles sont respectivement pour l’une de 8,5 Go et pour l’autre de 21Go compressées, que le groupe affirme avoir volées. Le groupe indique avoir « notifié » le groupe LDLC de l’attaque et du vol de données, mais n’avoir reçu aucune réponse de sa part, ce qui l’a poussé à commencer la diffusion de ces dernières.
Des investigations se poursuivent. « Même si certaines données à caractère personnel ont pu être consultées, cela ne concerne en aucun cas les informations sensibles relatives aux clients des sites internet marchands du Groupe », assure LDLC. (Crédits : capture d’écran)
Ce qui doit être lu entre les lignes est que LDLC refuse de payer la rançon réclamée par le groupe d’assaillants, d’autres fichiers seront répandus. Ragnar Locker est connu pour lancer des attaques de codes malveillants de type ransomware, doublé souvent d’un chantage à la diffusion de datas volées sur leur site dédié. Ragnar_Locker a également publié trois captures d’écran suggérant que le groupe s’est intéressé de près à l’infrastructure virtualisée de LDLC.
Ragnar_Locker serait actif depuis au moins avril 2020. Il avait notamment visé l’avionneur Dassault Falcon Jet, avec près de 87 Go d’informations compressées, ou encore l’éditeur de jeu vidéo Capcom lors du mois d’août 2020 pour un total de 196, 58 Go de données compressées.
« L’attaque pourrait d’ailleurs avoir commencé avec l’exploitation de la vulnérabilité CVE-2021-21985 », informe Le MagIT. En effet, cette faille permet à attaquant non authentifié d’exécuter du code arbitraire à distance, avec qui plus est un haut niveau de privilèges. De plus, des codes d’attaques sont disponibles publiquement pour la vulnérabilité CVE-2021-21985 et le CERT-FR a connaissance d’exploitations actives de celle-ci. Cette dernière est connue pour être exploitée dans le cadre de cyberattaques avec déploiement de ransomware. Cette vulnérabilité état documentée par l’ANSSI le 7 juin 2021, avec des recommandations de sécurité pour les architectures basées sur VMware vSphere ESXI.
Ceux qui œuvre au sein de la Royal National Lifeboat Institution (RNLI) naviguent désormais comme dans le fog londonien sur le web, à vue. Depuis le 4 décembre 2021, le site a été mis hors service par précaution. Selon le Mail Online, cette infection par codes malveillants serait attribuée à des groupes dits anti-migrants après que des bateaux ont sorti 100 migrants, dont des bébés, d’une mer agitée au petit matin. Les sauveteurs avaient signalé à la police britannique avoir reçu des courriels menaçants.
« Le site Web de la RNLI a fait l’objet d’une activité suspecte aujourd’hui, vendredi 3 décembre 2021 », déclarait un porte-parole de la RNLI. La vitrine de l’organisation caritative est depuis hors ligne, après que l’incident fut découvert et que son personnel ait reçu environ 3 000 courriels d’intimidation. « D’éminents activistes soupçonnent des groupes d’extrême droite d’être à l’origine de l’incident après que Britain First a exhorté ses partisans à envoyer des courriels de plainte à l’organisation caritative », relate le Mail Online. Le mouvement politique Britain First, à travers son leader Paul Golding a « nié toute implication », déclarant au Mail Online qu’il « n’a pas lacapacité de pirater des sites web et quiconque suggère que nous pourrions le faire répand de fausses nouvelles ».
Toute personne se rendant sur le site de l’association est dirigée vers une page d’accueil indiquant que « la requête est bloquée ». (Crédits : capture d’écran)
La Royal National Lifeboat Institution, colle dans la volonté de sauver des vies à notre Société Nationale de Sauvetage en Mer (SNSM). Elle est la plus grande organisation caritative qui sauve des vies en mer autour des côtes du Royaume-Uni, de la République d’Irlande, des îles Anglo-Normandes et de l’île de Man, ainsi que sur certaines voies navigables intérieures. « Nous nous concentrons sur notre objectif principal, qui est de sauver des vies en mer, et notre service de sauvetage 24 heures sur 24 et 7 jours sur 7 reste pleinement opérationnel », ajuste le porte-parole en rappelant à son personnel et ses bénévoles de rester vigilants afin d’assurer leur propre sécurité et celle de leurs collègues.
La RNLI qui est une organisation caritative au Royaume-Uni et en République d’Irlande, est visée par une infection malveillante. (Crédits : UKNewsPictures)
Le groupe a déclaré sur son compte Telegram, car banni de tous les réseaux sociaux : « Britain First a lancé une campagne de plaintes à l’encontre de la RNLI pour faire pression sur elle afin qu’elle abandonne son soutien à l’immigration illégale et au trafic d’êtres humains et qu’elle se concentre plutôt sur le sauvetage des vies britanniques le long de nos zones côtières ». La semaine dernière, alors que la tempête Arwen s’abattait sur la Grande-Bretagne avec des vents de force coups de vent dépassant les 50 kilomètres par heure, la RNLI a mis quatre marins en sécurité au large des côtes du Pays de Galles. La semaine précédente, l’équipe de sauvetage dans le nord de l’Angleterre a affronté des vagues de six mètres pour sauver six pêcheurs, sur leur bateau de 14 mètres après que son moteur soit tombé en panne. Des interventions comme celles-ci, l’organisme de bienfaisance entièrement bénévole qui existe depuis 200 ans en effectue régulièrement, sans jugement ni préférence, à toute personne en difficulté en mer. Samedi 4 décembre 2021, les mauvaises conditions météorologiques entravaient opérations de secours, notamment en raison du brouillard.
Tandis que la tension provoquée par les déclarations du groupe politique Britain First envers la RNLI battait son plein, c’est cet actuel drame qui occulte cette campagne de dénigrement. Vingt-sept personnes, dont sept femmes, dont l’une était enceinte, et trois enfants, ont péri lorsque leur bateau a chaviré mercredi 24 novembre 2021, dans le détroit du Pas-de-Calais. « La Manche, nouveau cimetière à ciel ouvert […] C’est l’événement le plus meurtrier depuis 2018 […] », s’indignait France Bleu.
Une migrante et sa progéniture après avoir été aidés à débarquer d’un bateau de sauvetage de la RNLI sur une plage de Dungeness, sur la côte sud-est de l’Angleterre, le mois dernier. « Nous ne pouvons pas oublier que l’interminable débat sur l’immigration […] est un débat sur le droit des gens à vivre », a déclaré Rosie Carter, de HOPEnotHate. (Crédits : AFP)
Consécutif aux 27 décès et aux opérations des forces de l’ordre, cinq personnes ont été arrêtées en France, dont un homme interpellé pendant la nuit au volant d’un véhicule immatriculé en Allemagne, rempli de bateau gonflable, type « zodiac ». Bien qu’il n’y ait « aucun lien prouvé » avec le naufrage, selon les procureurs, bien que le ministre français de l’Intérieur Gérald Darmanin insistait sur le fait que tous étaient « directement liés » aux noyades. L’enquête est en cours. « La RNLI est fière du travail humanitaire de ses équipages bénévoles de bateaux de sauvetage dans la Manche et nous sommes reconnaissants de l’élan de soutien que nous avons récemment reçu », ajoutait le porte-parole. Les événements tragiques « nous rappellent tristement à quel point il est dangereux de prendre la mer dans l’une des voies de navigation les plus fréquentées du monde à bord d’embarcations non adaptées» à la traversée, surtout à l’approche de l’hiver ou la mer forcit.
Le site de la santé du Maryland, aux États-Unis, subissait une attaque par codes malveillants dimanche 5 décembre 2021. En conséquence, le site Web du ministère de la Santé a été compromis après une cyberattaque. Les indicateurs concernant le Covid-19O n’ont pas été mis à jour en raison d’une « panne de serveur » affichait l’accueil lundi 6 décembre 2021. Le dysfonctionnement altérait les missions informatives sur les médicaments, mais aussi sur les maisons de retraite.
Le site Web du département de la santé avait été redirigé vers la page de l’État, tandis que les responsables passaient en revue les systèmes individuels pour déterminer si des données avaient été volées. « L’enquête est en cours, les employés et partenaires potentiellement concernés ont été informés, et nous fournirons des informations supplémentaires si les circonstances le justifient », assurait Andy Owen du département de la santé du Maryland. Il faut noter que la cyberattaque a également supprimé les ressources normalement disponibles sur le site. Notamment celles invitant les habitants à demander l’aide de Medicaid, à obtenir des données sur la sécurité des maisons de retraite et à commander des tests gratuits à domicile pour les infections sexuellement transmissibles. « Les données seront mises à jour dès que possible », déclarait le ministère.
Comme après chaque attaque, la réhabilitation peut être longue, en fonction du type et la dangerosité de l’infection. Les autorités assurent que le site sera opérationnel dès 20 h (heure locale), tout en remerciant de leur patience les administrés « pendant que nous travaillions à sa restauration ». (Crédits : capture d’écran/Twitter)
Lundi, l’agence n’avait pas mis à jour les mesures COVID-19 de l’État et évoquait une « panne de serveur ». Le ministère a déclaré que rien ne prouve que des données ont été compromises et qu’il n’a pas encore confirmé si un pirate informatique a détourné ses ordinateurs en demandant de l’argent, ce qui est arrivé à la ville de Baltimore il y a deux ans. Le ministère de la Santé déclarait qu’il travaillait en étroite collaboration avec les instances fédérales et étatiques chargées de l’application de la loi pour faire face à l’incident et recueillir des informations complémentaires.
Au commencement, le Bucket Amazon S3 de WSpot, mal configuré, a été laissé en accès libre. Il fournit une solution de gestion Wi-Fi qui permet aux entreprises de contrôler diverses fonctions de leur réseau et de leur routeur sur site. La violation des infos de WSpot a compromis plus de 226 000 fichiers totalisants 10 GB de données. Parmi les journaux de ces fichiers de journalisation figure un ensemble d’indications sensibles et personnelles relatives aux clients de WSpot et à leurs visiteurs.
L’incident est révélé par Safety Detectives. Amazon n’administre pas le serveur de WSpot et n’est pas responsable de sa configuration. L’entreprise fournit uniquement la plateforme pour le stockage des données et le serveur Amazon S3 Bucket a été laissé sans aucune procédure d’authentification en place. « Nous avons découvert deux types de fichiers différents exposés sur la base de données ouverte — les journaux SMS et les rapports des invités. Il peut y avoir plus d’informations exposées qui n’étaient pas visibles dans notre échantillon de données », assure Safety Detectives. Ainsi, 84 Mo de documents contenant des journaux de SMS ont été trouvés. L’estimation octroie un nombre total d’entrées de ce type à 280 000.
WSpot est basé à Campinas, au Brésil, et compte quelques clients de renom, dont Sicredi, Unimed et Pizza Hut. (Crédits : Safety Detectives)
Un minimum de 550 Mo de rapports au format « .csv » a également été exposé lors de cette violation de données, indique le site. Ce qui représenterait un total estimé à 2,5 millions d’entrées de journal. Les rapports des visiteurs exhibés révèlent plusieurs types différents de DPI des visiteurs. Les informations contiennent des renseignements telles que :
L’équipement incriminé était actif, et en cours de mise à jour au moment de la découverte. L’équipe de SafetyDetectives avait trouvé le serveur le 2 septembre 2021. Après avoir découvert la base de données de WSpot, une divulgation responsable de la violation de données leur a été envoyée cinq jours plus tard. Une réponse de l’organisme renseignait de la sécurisation de la violation le 8 septembre 2021. Là où le bat blesse est que la base de données a laissé échapper les adresses électroniques et les numéros de téléphone de Brésiliens. Des acteurs malveillants pourraient contacter des personnes pour les cibler avec des escroqueries et des fraudes. Les attaquants pourraient lancer des malversations populaires en utilisant les informations glanées pour paraître dignes de confiance.
WSpot conteste les informations révélées
Dans une note officielle, la société reconnaît la fuite, mais affirme qu’il a affecté une petite partie des utilisateurs de réseaux Wi-Fi. Le groupe conteste les informations sur la fuite de données. Tout d’abord, il est expliqué que l’entreprise ne saisit pas les données relatives aux mouvements financiers. Il précise également qu’aucun mot de passe d’enregistrement, aucune carte de crédit ou autre renseignement de paiement n’étaient non protégés, de même que l’accès à des plateformes tierces et l’utilisation personnelle.
« Il convient de noter que le problème n’a touché que 5 % de notre clientèle totale, dont aucune information commerciale et/ou sensible n’a été compromise », relate WSpot dans SempreUpdate. (Crédits : Safety Detectives)
WSpot informe qu’il est conscient et reconnaît l’existence d’un incident d’exposition irrégulière des données d’enregistrement d’une petite partie des utilisateurs des réseaux Wi-Fi de certains de nos clients. La finalisation des processus de correction ayant eu lieu le 18 novembre, WSpot a engagé des spécialistes de la sécurité de l’information spécialement pour une enquête complète sur les données. En outre, « il n’a pas été confirmé que celles-ci données exposées ont, en fait, atteint le domaine des personnes et des groupes malveillants, ajuste la firme. […] les serveurs de WSpot restent intacts et n’ont pas été piratés par des agents tiers malveillants. En ce sens, notre plateforme reste conforme aux normes de sécurité les plus strictes. » Plus simplement, s’agissant d’une fuite et non d’une intrusion les serveurs de la plateforme WSpot restent, par conséquent en conformité aux normes de sécurité les plus strictes.
Comme au Brésil, chaque entreprise a l’obligation de respecter les normes en vigueur dans le pays, en faisant notamment référence à la Loi générale de protection des données personnelles (RGPD en France), ainsi que le devoir de transparence envers nos clients et nos partenaires. (Crédits : LhcCoutinho/Pixabay)
Piqûre de rappel
Il est des réflexes que tout un chacun devrait respecter :
Ne fournissez pas vos informations personnelles à tout va. Votre jardin secret doit le rester, même si vous êtes un personnage public
Attention à votre surf, même si le site affiche HTTPS comme le symbole de verrou fermé
Soyez méfiant lorsque vous recevez un courriel vous demandant de fournir des informations personnelles (numéro de sécurité sociale, CNI, etc.). Le services des impôts ont déjà vos coordonnées. Il ne vous enverra pas de courriel pour soit disant vous rembourser. Il le fera, un point c’est tout.
Créez des passphrases uniques (ex : J’aime_les-5Licornes+lait-£), et mettez les à jour régulièrement. Un mot de passe par site, comme une brosse à dents par personne (logique, non ?!?). Le gestionnaire de mots de passe peut vous aider
Ne cliquez pas aveuglément sur des liens dans des courriels, SMS comme n’importe où sur Internet. Une modification malveillante de police de caractère, sur un site, peut faire passer un «i» pour un « l », par exemple.
Modifiez les paramètres de confidentialité de vos médias sociaux, comme celui de vos espaces numériques, et de configurez vos logiciels. Les outils, comme les smartphones, consoles de jeu… sont bavards. Personne n’est obligé de connaître votre secret, à savoir que vous adorez les licornes bleues
Attention au Wi-Fi public, comme son nom l’indique il n’est pas privé. Aucune authentification nécessaire pour établir une connexion réseau. Les pirates informatiques peuvent utiliser une connexion wifi non sécurisée pour diffuser des programmes malveillants. Ils ont aussi la possibilité de se placer entre vous et le point de connexion. Au lieu de communiquer directement avec le point d’accès, vous envoyez vos informations (e-mails importants, données de carte bancaire, voire données d’identification permettant d’accéder à votre réseau d’entreprise) aux pirates, qui, ensuite, les relaient. Une fois que les pirates disposent de ces renseignements, ils peuvent, à leur gré, accéder à vos systèmes en votre nom.
Informez-vous sur la protection des données et les mesures à prendre pour éviter les attaques de phishing et logiciels malveillants, comme ici
Elle est une institution financière coopérative au Brésil qui a pignon sur rue. Son objectif est de fournir des crédits et des services à ses membres. Unicred compte actuellement quatre bureaux régionaux, quarante-deux coopératives, deux cent soixante-douze unités commerciales et plus de 211 000 adhérents, en plus d’une Confédération nationale (Unicred do Brasil), dont le siège est à São Paulo. Elle vient de subir une infection par codes malveillants qui bloque tout depuis le début de la semaine.
Tout est survenu lundi 22 novembre 2021. Sur les réseaux sociaux, l’entreprise avouait la déstabilisation d’une partie des services numériques. Ils ont été déconnectés pendant au moins 24 heures, mais sont revenus progressivement dès le lendemain. « En suivant les protocoles de sécurité, nous avons agi rapidement afin d’éviter toute perte ou compromission de données et d’informations internes », a précisé la compagnie.
Dans un souci de transparence, nous vous avertissons que notre équipe, en action préventive et en respectant les protocoles de sécurité, a identifié et neutralisé la situation. « Elle revient lentement, mais n’est pas encore normalisée », a soutenu un client. (Crédits : capture d’écran)
Unicred a déclaré, jeudi 25 novembre 2021 avoir restauré une partie de ses systèmes affectés par une attaque des systèmes d’information. L’organe fiduciaire signalait que son application et sa banque en ligne sont rétablies pour la consultation du solde et du relevé du compte courant, du placement financier et de la pension privée, mais pas seulement. Les transferts entre comptes Unicred et les transactions via PIX, ainsi que leur site, les cartes de crédit et de débit fonctionnent, rassure l’office. La société n’a pas divulgué de détails, jusqu’à présent, sur le genre de menace qui a affecté ses opérations, à savoir attaque par déni de services (DDoS), phishing ou code malveillant de type ransomware.
La somme est peu compréhensible. Imaginer que l’on vient de remporter à la loterie nationale le premier gain, correspondant à plusieurs dizaines de millions d’euros pour franchir la centaine, n’est pas quantifiable pour le commun des mortels. Alors parler d’un montant de 6 000 milliards de dollars dépasse l’entendement. Si le réchauffement climatique engendre des modifications des territoires et du mode de vie de la population mondiale, les cyberattaques semblent plus préoccupantes, car des secrets peuvent être révélés.
C’est pourtant une estimation qui, selon le Club des Juristes, le think thank juridique français, ne baissera pas dans le proche futur, d’ici à 2025. Le rapport, piloté par Bernard Spitz, président du pôle Europe et international du Medef, et Valérie Lafarge-Sarkozy, associée du cabinet Altana, émettent dix préconisations pour renforcer la protection des institutions, des entreprises et des citoyens. « Le scénario d’une cybercriminalité coûtant 10 500 milliards de dollars par an à l’horizon 2025 appelle un changement de posture et des investissements d’ampleur », indique le think tank. Le compte rendu de 90 pages tire un portrait au couteau de la situation.
Avant de poursuivre, voici quelques conversions pour vous aider à la compréhension des montants, en composant avec comme unité les secondes :
Une journée de 24 heures représente 86 400 secondes
Un millier de secondes équivaut à seize minutes et quarante secondes
Un million de secondes produisent 277, 78 heures, soit 11 jours et demi
Un milliard représente 31, 68 années
Six mille milliards permettent de vivre 190 128 années, 6 mois, 1 semaine 22 heures, 59 minutes, 13 secondes et 920 millisecondes
Dix mille cinq cents milliards offrent près de 333 siècles (332 724, 92 années)
Le rapport sur l’ « évaluation des menaces liées à la criminalité organisée sur Internet » d’Europol (IOCTA) fournit, sur 72 pages, une vue d’ensemble des menaces et des tendances des crimes commis, comme facilités en ligne. Le rapport met également en évidence les nombreux défis associés à la lutte contre la cybercriminalité, tant du point de vue des services répressifs que, le cas échéant, du secteur privé. « L’augmentation de la cybermenace est en effet particulièrement inquiétante puisque le nombre d’attaques par rançongiciel traitées par l’ANSSI a été multiplié par 4 entre 2019 et 2020, passant de 54 à 192. Depuis le début de l’année 2021, cette courbe n’a pas fléchi et nous apportons sans cesse une assistance à près d’une quarantaine de victimes simultanées. Des victimes d’importance en termes de sécurité nationale, économique ou sanitaire… », explique Guillaume Poupard directeur de l’ANSSI.
Les différentes et principales manières de subir une infection sont en premier les ransomwares (WannaCry, Maze, Bad Rabbit…), les attaques par déni de service, ou DDoS, le cryptojacking, la fraude au faux support informatique, le phishing ou hameçonnage, l’espionnage économique, le sabotage (NotPetya, …), et le hacking de logiciel (Solarwinds…)
Quelques chiffres :
600 milliards de dollars de coût global et mondial en 2017
+ 667 % d’attaques par phishing en France en 2020, entre le 1er et le 23 mars
Par comparaison, le poids économique que représente le coût de la cybercriminalité fait d’elle la troisième organisation mondiale derrière les États-Unis et la Chine. Si le SARS-CoV-2, vulgairement nommé Covid-19, change les habitudes de travail, il permet de mettre en exergue les insuffisances en matière de sécurité sur les différents systèmes d’information. Car le télétravail est devenu la source d’un cas sur cinq des incidents, tout en accélérant et facilitant les infections.
Au cours de l’année, entre février et mars 2020, les attaques par ransomwares ont augmenté de 148 %, selon le rapport de VMare Carbon Black. Ce qui à l’échelle de la planète représente une offensive toutes les 14 secondes. (Crédits : capture d’écran)
Différentes actions de fraude possibles
De plus en plus d’escroqueries ou de tentatives existent. Le Typosquatting est la création d’un nom de domaine approchant pour tromper la victime. Par exemple, le remplacement d’un tiret par un point (amendes-gouv.fr et amendes.gouv.fr), l’incitant à venir payer en ligne. Le Phishing, ou l’envoi de mails frauduleux à des fins publicitaires, de cessions de produits prohibés, de recueil délictueux de codes et coordonnées bancaires, mais pas seulement. Cela peut permettre, par infection d’un code malveillant, pour contrôler le système et commettre des escroqueries. Fréquemment le piratage de votre numéro de carte bleue est revendu sur les sites plus profonds de l’internet, le carding.
Il faut prêter attention à chaque courriel. Le simple fait de passer virtuellement le pointeur du mulot sur les différentes parties de ce dernier vous éclairera. Comme l’exemple ci-dessus, ou la grossièreté des logos démontre la fausseté du document, qui émanerait soi-disant d’Europol. (Crédits : capture d’écran)
Le Skimming est la récupération des coordonnées de votre carte bancaire par lecture de la piste dans des distributeurs automatiques de billets (DAB). Tout autant les escroqueries au logement, la location, etc.
Se donner les moyens de lutter à armes égales
« La nature même du cyberespace impose de faire coopérer public et privé, aussi le rapport préconise d’étoffer les services de la justice […] en créant une filière de cybermagistrats, en renforçant les moyens d’enquête et en incitant les entreprises à déposer plainte rapidement à chaque attaque cyber pour permettre la remontée et le démantèlement des filières […] », souligne le Club des juristes. La spécificité de la cybercriminalité, la technicité des modes opératoires des opérateurs ont nécessité la création de services d’enquête dédiés, ainsi qu’une spécialisation progressive de l’institution judiciaire.
En France, plusieurs entités se distinguent :
La sous-direction de lutte contre la cybercriminalité (SLDC)
L’office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC)
La Brigade de lutte contre la cybercriminalité (BLCC), anciennement Brigade d’enquêtes sur les fraudes aux technologies de l’information (BEFTI)
La Brigade de protection des mineurs (affaires de pédopornographies, grooming)
La brigade de répression de la délinquance envers la personne traite des affaires de diffamation, d’apologie du terrorisme, du droit pénal du travail via internet
Le centre de lutte contre les criminalités numériques (C3N)
Les douanes, en particulier la direction nationale du renseignement et des enquêtes douanières (DNRED)
Basé à Pontoise (Val-d’Oise), le C3N est une unité de pointe de la gendarmerie dans la lutte contre la cybercriminalité. Ce service s’est illustré dans l’opération EMMA95, ou encore avec le botnet Retadup à l’été 2019, est dirigé par la colonelle Fabienne Lopez. Quand d’autres proposent leurs services. (Crédits : capture d’écran)
Pour autant, sans plainte pas de poursuite, ni condamnation et réparation, si tant est que cela soit possible. La majorité des infractions liées à des cyberattaques étant des délits, le dépôt de plainte, pour être recevable, doit l’être dans un laps maximum de 6 ans à compter de la date de commission des faits. Il va de soi qu’elle doit être déposée dans les délais les plus brefs, il est essentiel d’aller vite et d’être réactif. « Pour déposer requête devant des forces de l’ordre, il suffit de se rendre au service de police ou de gendarmerie le plus proche de l’entreprise ou du lieu de constatation des faits. Pour rappel, les officiers et agents de police judiciaire ou gendarmes sont obligés de recevoir les plaintes, même si les faits ne relèvent pas de leur zone géographique de compétence. La plainte ne sera qu’exceptionnellement déposée auprès d’un service spécialisé adapté à la cyberattaque », stipule le rapport.
Les opérateurs proposent des données sensibles contre menue monnaie. En droit pénal, la preuve vise à montrer qu’une infraction a bien été commise : c’est donc à celui qui accuse un autre d’avoir commis cette infraction de la prouver et celui à qui s’applique la présomption d’innocence d’y répondre. (Crédits : capture d’écran)
Les informations à produire peuvent être :
le descriptif précis de l’incident
les coordonnées de la totalité des intervenants ou prestataires susceptibles d’apporter des informations aux enquêteurs
l’ensemble des éléments techniques qui ont pu être collecté : traces informatiques de l’attaque (exemple : logs de connexion), l’adresse précise de la ou des machines attaquées (préciser s’il s’agit d’un poste de travail professionnel, d’un mobile ou encore d’une attaque du site internet, du serveur hébergé auprès d’un fournisseur d’accès internet)
Les mails en lien avec l’infraction, l’organigramme de la société, la liste du personnel, les coordonnées des différents prestataires (hébergeur, société de sécurité)
Faire de la lutte contre la cybercriminalité une cause nationale pour 2022
Promouvoir la spécialisation des magistrats du siège et du parquet et leur formation continue
Renforcer la coopération public/privé, et, orienter l’investissement public comme privé vers l’émergence d’une filière française et européenne d’excellence en cybertechnologie
Étoffer les services de la justice en matière de lutte contre la cybercriminalité
Simplifier les procédures d’enquête sous pseudonyme dans le « darknet »
Adoption d’un régime européen de conservation des données permettant de répondre aux besoins opérationnels des services répressifs et judiciaires
Inciter les États sanctuaires à mettre fin à l’impunité des groupes cybercriminels
Signature de protocoles avec l’ensemble des agences et autorités administratives indépendantes concernées
Investir dans la prévention contre les cyberattaques
En cas de cyberattaque, déposer immédiatement plainte
La difficulté serait d’inciter à la fin de l’impunité des groupes criminels, dans divers pays. Car, il arriverait, selon les ouï-dire, que des attaques puissent être fomentées par des États contre d’autres (StuxNet, SolarWinds…), ce pour diverses raisons.
Le canton de Vaud en Suisse a essuyé de nombreuses offensives par codes malveillants. Il est le plus à l’ouest de la Confédération helvétique, et compte 805 098 habitants au dernier recensement. La fondation Les Oliviers subissait le 17 janvier 2020 une « cyberattaque ». Quasiment au même endroit, c’est GRF, une importante société fiduciaire vaudoise d’être une cible, mais de choix.. La commune de Rolle en faisait l’expérience en mai 2021. Outre-Atlantique, c’est la chaîne californienne « Pizza Chicken » qui révèle une fuite considérable le 18 novembre 2021.
Le quotidien suisse 24 heures propose le récit vu de l’intérieur d’une attaque, car personne n’est véritablement préparé. Le chef-lieu qu’est Lausanne offre un havre de paix et un décor de rêve, elle se situe entre le massif du haut Jura et le lac Léman. C’est par un beau matin d’hiver que la foudre s’abat sur les épaules de la directrice Sanda Feal. La fondation dans laquelle elle œuvre, Les Oliviers, est destinée à toute personne qui se sent en difficulté avec sa consommation d’alcool et/ou d’autres produits, ce depuis 1976.
Le message reçu par l’organisation de la part des opérateurs derrière le ransomware PYSA ne laisse guère de doute. (Crédits : DR)
« Il est 6 h 40 quand un SMS arrive sur le portable de Sandra Feal, chargée du service technique. Un de ses informaticiens lui apprend qu’aucun serveur ne répond. Il a essayé à plusieurs reprises de relancer les ordinateurs, sans succès. Le dossier système est vide. La directrice adjointe quitte son domicile précipitamment et arrive à la Fondation à 7 h », raconte 24 heures.
Le ransomware PYSA est à l’origine de cette infection, comme celle de l’UAB. Le coût estimé est de 350 000 francs suisses (334 000 euros) en réponse à l’engagement de spécialistes, le rachat de matériel et le manque à gagner. (Crédits : capture d’écran)
« J’ai ressenti de la colère, raconte Sandra Feal. Ils n’en ont rien à fiche de qui on est. Ils s’attaquent à des personnes précaires. C’est comme s’ils volaient l’argent d’un musicien de rue. » La directrice jouait la carte de la transparence à travers un communiqué de presse relayé dans divers médias. Les premières mesures mises en place, une plainte est déposée l’après-midi. C’est lors du contact avec la cellule spécialisée de la police cantonale qu’elle découvre son existence.
Bis repetita
Grâce à la Doloréane, remontons dans le futur, en octobre 2021. Des opérateurs tentèrent, encore en Suisse, d’entrer dans le système de GRF Société fiduciaire SA, une importante fiduciaire vaudoise qui gère les données de pouvoirs publics (des informations budgétaires publiques et facturations de consommation d’eau). Une douzaine de communes et de collectivités du district de Morges sont ainsi concernées. Le 22 octobre 2021, la dernière sommation faisait été de 48 petites heures pour payer le total de 200 000 francs en bitcoins, menaçant de laisser fuiter les renseignements sur le darknet. « […] nous n’avons rien trouvé sur le darkweb », commente Marc Caron de la société O plc, le 18 novembre 2021. GRF, de son côté, envisage de déposer une plainte pénale contre cette cyberattaque que la police cantonale vaudoise qualifie de sérieuse. « La question n’est plus de savoir si une collectivité sera un jour cyberattaquée, mais quand », explique Marc Genton.
La porte d’entrée dévoilée
Le 15 novembre 2021, la mairie de Turin se trouvait ciblée par un ransomware. C’est toute la structure de la cité des quatre rivières qui était hors service, lundi dernier. « Nous vous informons que l’activité de certains services, dont les services d’enregistrement, a été suspendue ce matin ». Dans une note, la municipalité explicite que « les techniciens de la Ville et de CSI Piedmont — le consortium public qui gère les services informatiques — travaillent pour rétablir le bon fonctionnement du système […] ».
L’ordinateur utilisé comme accès par le groupe Conti, explique La Stampa pour diffuser le malware était un PC appartenant à la police de la commune. Il était connecté au système informatique municipal et servait de canal d’entrée. (Crédits : Pexels/Pixabay)
Les équipes craignaient de subir la même chose que l’Azienda Territoriale per la Casa, le 11 avril dernier. Elle avait été victime d’une lourde attaque, 43 téraoctets de données, qui a sérieusement compromis la prestation de services, les pratiques et les procédures informatiques, avec une rançon de 700 000 dollars (plus d’un demi-million d’euros). La porte d’entrée de l’offensive contre le conseil municipal de Turin aurait été un ordinateur appartenant à la police de la circulation, révèlent les enquêteurs.
Attaque d’une chaîne de Pizzeria
Chez l’oncle Sam, la California Pizza Kitchen (CPK) a révélé une violation de données exposant les numéros de sécurité sociale de plus de 100 000 employés actuels et anciens. La chaîne qui compte plus de 250 établissements dans 32 États a confirmé l’incident. « La société a déclaré avoir été informée d’une “perturbation” de ses systèmes le 15 septembre et avoir pris des mesures pour “sécuriser immédiatement” son environnement », raconte Techcrunch. L’infection se serait déroulée le 4 octobre 2021.
Une notification du bureau du procureur général du Maine a indiqué qu’un total de 103 767 employés actuels et anciens – dont huit résidents du Maine – sont concernés. La découverte de cette intrusion ne date que du 13 octobre 2021, selon la note de l’institution du Maine. (Crédits : capture d’écran)
« La sécurité des informations fait partie de nos plus hautes priorités, et nous avons mis en place des mesures de sécurité strictes pour protéger les informations dont nous avons la charge, ajoutait CPK. […] Nous révisons les politiques de sécurité existantes et avons mis en place des mesures supplémentaires pour nous protéger davantage contre des incidents similaires à l’avenir. »
Le ministère de la santé québécois attaqué
Entre le 5 et 10 octobre dernier, il était impossible d’accéder à certains services web des centres intégrés de santé et de services sociaux (CISSS) de Montérégie. Plus particulièrement au « Virtuo », dans lequel se trouvent des données personnelles et sensibles sur les employés, annonce Le Montarvillois. La porte-parole, Joëlle Jeté confirmait qu’il y avait eu effectivement une tentative d’intrusion visant les serveurs « Virtuo », du fournisseur Médisolution, hébergés sur les infrastructures informatiques du ministère de la Santé et des Services sociaux (MSSS). « Des modifications ont été apportées pour empêcher que cela ne se reproduise et que les services ont été rétablis lors de mise en place des correctifs », concluait-elle.
Attention aux mises à jour
Diverses méthodes sont utilisées par les agents malveillants pour souiller comme pour voler de la liquidité à leurs victimes. Parmi elles, deux sont particulièrement nuisibles cite le site de cyberveille français :
les alarmiciels
les mises à jour frauduleuses
Les premières ont pour finalité l’extorsion d’argent, les suivantes la contamination du poste de travail avec aussi un fort risque de racket de monnaie sonnante et trébuchante. Souvent, l’une ne vient pas sans l’autre. Les Scarewares existent sous pléthores de formes (pop-up, programme…), et tentent de vous faire croire que votre système est victime de plusieurs infections très dangereuses. Le message et son contenu incitent à vous diriger vers une solution payante garantissant une hygiène informatique, en toute bonne foi. Tout n’est que fadaise, leur but vous faire peur pour vous extorquer de l’argent.
La prudence est mère de sûreté. Dans le cadre de son Patch Tuesday, en date du 14 septembre 2021, Microsoft a initié un correctif pour cette vulnérabilité. Le CERT-FR recommande fortement d’appliquer ce correctif et, le cas échéant, d’enlever les contournements préalablement appliqués pour se protéger de cette vulnérabilité. (Crédits : Tomasi/Pixabay)
Les mises à jour frauduleuses, ou FakeUpdate s’apparentent à une légitime. Pour autant, elle dispose d’une charge malveillante destinée à déployer un ou plusieurs maliciels dans le système de l’usager. Elle peut commencer comme un alarmiciel, mais aussi se présenter pour perturber la navigation sur Internet via une fenêtre Pop-Up répétitive et intempestive. Le contenu vous incite fortement à effectuer la mise à jour pour reprendre sereinement votre navigation. Lorsque vous accepte le processus d’installation, une véritable charge malveillante est activée. Elles peuvent contenir des ransomwares ou rançongiciels. Le site de cyberveille donne deux exemples :
Le premier se présente comme une mise à jour (MAJ) importante de Microsoft Windows. Lorsque l’usager accepte l’implantation de cette dernière, son système est rapidement sous l’emprise du rasomware qui chiffre les données. Une rançon est demandée pour retrouver le contrôle des informations. Puis, le Cyborg arrive presque toujours chez l’utilisateur en tant que pourriel, ou dans les indésirables. Également sous le même procédé que le Fantom, il vous invite urgemment à autoriser l’installation de la MAJ. Si vous acceptez, la charge malveillante se déclenche et commence un chiffrement rapide des données. Une rançon est là aussi demandée. Vous n’avez plus qu’à vous mettre en rapport les services de gendarmerie ou de police, comme l’ANSSI. « Il est recommandé que l’antivirus et l’EDR soient à jour sur l’ensemble des systèmes. Dans le cas où certains terminaux ou appareils ne peuvent pas recevoir de protections antivirales, il est conseillé de prendre contact avec le prestataire du produit pour connaître les moyens de protections alternatifs. Installer des filtres anti-pourriel et toujours être vigilant contre les courriels externes. Ne jamais accepter les offres présentées dans des pop-up ou courriels sans d’abord demander l’avis de l’expertise SSI. Effectuer des sauvegardes régulières des données sensibles, et les stocker hors réseau. Appliquer le règlement sur la politique des mots de passe », conseille Cyberveille.
Celui qui était démantelé en janvier 2021 par Europol semble refaire surface. Emotet fait son come-back, au même degré qu’une star déchue de son piédestal, d’après les travaux menés par plusieurs experts en cybersécurité pour Cryptolaemus. Pourtant, au début de l’année, Europol se félicitait d’avoir réussi à détricoter ce malware qui a déjà fait de nombreuses victimes. Pour autant le retour de l’un des plus significatifs des botnets pourrait potentiellement gâcher les fêtes des fin d’année, comme Noël, qui est devenu une célébration populaire déconnectée de son fondement religieux.
Le botnet Emotet a de nouveau été détecté, révèle Cryptolaemus, un groupe d’experts en cybersécurité, ce mardi 16 novembre 2021. Pourtant, en janvier de cette année, une opération planétaire, chapeautée par Europol et Eurojust, avait annoncé avoir réussi à obtenir le contrôle de l’infrastructure Emotet. « Les autorités policières et judiciaires du monde entier ont démantelé cette semaine l’un des plus importants réseaux de zombies de la dernière décennie : EMOTET. Les enquêteurs ont désormais pris le contrôle de son infrastructure dans le cadre d’une action internationale coordonnée. »
« La quantité de spams semble également augmenter, et les fils de discussion volés qui sont eux-mêmes insérés sont assez récents sur ces chaînes de réponses depuis le mois dernier » gazouilla #Cryptolaemus le 15 novembre 2021. (Crédits : Cryptolaemus/Twitter)
C’est la société G-Data qui a eu la primeur de détecter cette nouvelle version. Le dimanche 14 novembre, vers 21 h 26 UTC, les experts observaient sur plusieurs de leurs trackers Trickbot que le bot avait essayé de télécharger une DLL sur le système. Selon un traitement interne, explique la firme, ces DLL ont été identifiées comme étant Emotet. « Le démantèlement d’Emotet, coordonné au niveau international, a été efficace pendant de nombreux mois et a permis de sauver de nombreuses victimes. Nous en félicitons toutes les autorités concernées. Néanmoins, nos analyses actuelles montrent qu’Emotet est maintenant de retour comme le montre l’analyse manuelle des échantillons de logiciels malveillants actuels », commente le Dr Tilman Frosch, Directeur général G DATA Advanced Analytics.
L’URL contient un chemin de ressource aléatoire et le bot transfère la charge utile de la requête dans un cookie. « Le cryptage utilisé pour cacher les données semble différent de ce qui a été observé dans le passé. De plus, l’échantillon utilise maintenant HTTPS avec un certificat de serveur auto-signé pour sécuriser le trafic réseau. » (Crédits : Cyber.WTF)
La France dans le viseur d’Emotet
Alors que les médias du monde se focalisaient sur un virus, un autre microbe s’attaquait aux instances françaises. Le samedi 5 septembre, Pascal Ceaux, écrivait dans les colonnes du Journal du Dimanche que : le tribunal de Paris est sous le coup d’un cheval de Troie, distribué par la messagerie électronique. « Des faux mails ont été expédiés notamment à destination d’avocats comme Pierre Cornut-Gentille et Jean-Marc Delas, tous deux spécialisés dans le droit pénal des affaires », expliquait-il.
Des attaques par codes malveillants sont effectuées à chaque instant. L’ANSSI met à disposition de nombreux rapports concernant les alertes de sécurité, menaces et incidents, avis de sécurité, indicateurs de compromission, durcissement et recommandations, et bulletins d’actualité consultables sur leur site. (Crédits : capture d’écran/Twitter)
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) alertait le 7 septembre 2020 à ce propos « Depuis quelques jours, l’ANSSI constate un ciblage d’entreprises et administrations françaises par le code malveillant Emotet. Il convient d’y apporter une attention particulière, car Emotet est désormais utilisé pour déposer d’autres codes malveillants susceptibles d’impacter fortement l’activité des victimes. »
À deux semaines du Black Friday
L’inquiétude semble être prégnante chez les commerçants, peu de temps avant une période plus que vitale pour leurs chiffres d’affaires. « À l’approche du Black Friday qui lance la saison d’achats la plus importante de l’année, les hackers se préparent à lancer une nouvelle vague d’attaques. […] 44 % des retailers ont ainsi été touchés par un ransomware en 2020, et beaucoup ont même payé une rançon très élevée. Le coût moyen de récupération des données et de reprise de l’activité à la suite d’une telle attaque dans le secteur du retail s’élèverait donc à 1,6 million d’euros », explique le Journal du Net. Un adage stipule qu’il vaut mieux prévenir que guérir. En effet, les montants financiers pour réparer les dommages peuvent être dramatiques pour quelqu’une entreprise. Si comme les symptômes d’un rhume chez l’être humain sont seuls visibles :
Le nez qui coule et qui se bouche
Les éternuements
Un chatouillement ou même une sensation de brûlure dans le nez
Une perte de l’odorat et du goût plus ou moins prononcée, voire de la fièvre
Si, le simple rhume évolue en général vers la guérison sans complication, lorsque la muqueuse est fortement enflammée ou les défenses naturelles amoindries, d’autres infections s’invitent, voire de la fatigue. Des maladies respiratoires peuvent se produire dans les voies supérieures (trachéite, bronchite), les sinus ou encore l’oreille moyenne. Des infections peuvent alors s’installer et provoquer diverses maladies, comme une sinusite ou une otite. Des précautions sont alors à prendre, conseille le JDN :
Disposer d’une bonne solution de stockage de données
Repérer et renforcer votre maillon faible
Hiérarchiser vos données
Protéger vos données dans le cloud
Adopter l’authentification multi facteurs
Mieux vaut prévenir que guérir
Comme l’évoque la fable « La Cigale et la Fourmi », les pénuries peuvent engendrer bien des dommages. C’est le cas au sein de la « cybersécurité ». La demande de compétences en sécurité est devenue bien supérieure à l’offre. Les évaluations tablent sur 70 % des entreprises dans le monde qui manquent de spécialistes en sécurité informatique, et il faudrait en former 4 millions pour répondre aux besoins du marché. Le numérique s’impose ainsi comme un domaine de recrutement en expansion et dont le taux d’embauche est 2,4 fois plus élevé que dans les autres secteurs. Dans les prochaines années, Pôle Emploi estime que ce sont 191 000 postes qui seront à pourvoir d’ici 2022. L’observatoire de la Grande école du numérique (GEN) a analysé, en février 2021, les besoins en compétences numériques dans les treize régions de l’hexagone. L’étude souligne que « les régions peinent à recruter : entre 60 % et 80 % des recrutements sont jugés difficiles dans ces métiers dans l’ensemble des régions ».
La Cigale, ayant chanté tout l’été, se trouva fort dépourvue quand la bise fut venue. Pas un seul petit morceau de mouche ou de vermisseau.
La Cigale et la Fourmi. Jean de La Fontaine
Rappelez-vous, en septembre 2021, la Société de transport de l’Outaouais (STO) était la victime d’une attaque par codes malveillants de type ransomware. Cela a obligé la compagnie à forcer l’octroi de sept contrats de gré à gré pour gérer la crise. La moitié est pour assurer la surveillance de crédit et la protection contre le vol d’identité des employés et clients concernés.
Sur environ 160 000 comptes clients, près de la moitié d’entre eux contiennent des données personnelles sensibles compromises telles que des adresses, noms et dates de naissance.
Le montant total de la facture pour la Société de transport de l’Outaouais (STO) atteint 1 million de dollars. (Crédits : capture d’écran/Facebook)
« Moins de deux mois après que la Société de transport de l’Outaouais ait été victime d’une cyberattaque, les 2700 employés, actuels ou anciens, et 80 000 usagers, dont les données personnelles ont été compromises ont été contactés », assurait la direction de la compagnie canadienne jeudi 28 octobre 2021. La présidente de la STO, Myriam Nadeau, expliquait que les dossiers des employés, actuels et anciens, ont été traités en premier, étant donné que ce sont majoritairement ceux dont les données les plus « sensibles » ont été compromises.
Pour les remporter, il ne faut pas acheter un jeu de grattage, ni même un billet de tombola, ou encore participer à la Lotería de Navidad en Espagne. Comme dans les westerns spaghettis, répondre à un avis de recherche contre des malfaiteurs, par des renseignements. En effet, le Département d’État américain annonce une gratification numéraire pouvant croître jusqu’à 10 000 000 $, pour toute information menant à l’identification, ou à la localisation de toute personne occupant un poste clé au sein du groupe criminel, usant du RaaS connu sous le nom de « DarkSide ».
Une récompense pouvant aller jusques et y compris à 10 000 000 $, en outre, le ministère en octroie une autre jusqu’à 5 000 000 $, cette fois pour toute indication conduisant à l’arrestation, comme à la condamnation, ce dans n’importe quel pays, de tout individu ayant ou tenté participer à un incident lié au RaaS (Ransomware as a Service) DarkSide. L’affaire dite de Colonial Pipeline en mai 2021 a mis le feu aux poudres. L’infection par codes malveillants a abouti à la décision de la société de fermer de manière proactive et temporaire le pipeline de 5 500 miles qui transporte 45 % du carburant utilisé sur la côte est des États-Unis.
Le Département qui gère le programme de récompenses pour la criminalité transnationale organisée (TOCRP) est en étroite coordination avec ses partenaires fédéraux chargés de l’application de la loi. Dans le communiqué de presse, l’institution clame haut et fort que plus de 75 hors-la-loi transnationaux et grands trafiquants de stupéfiants ont été traduits en justice depuis 1986 grâce aux efforts conjoints avec le NRP (Programme de récompense des narcotiques). Le ministère se targue d’avoir versé plus de 135 millions de dollars à ce jour.
L’affiche délivrée par le bureau fédéral d’investigation, et le département de la justice américaine est sans ambiguïté. (Crédits : DR)
Une autre somme du même acabit est offerte envers un ressortissant colombien pour un système de corruption présumé. D’après l’acte d’accusation de dix-neuf pages, les cinq hommes auraient reçu 1,6 milliard de dollars du Venezuela et auraient transféré 180 millions de dollars par ou vers des comptes bancaires aux États-Unis. Les trois Colombiens et les deux Vénézuéliens font face à un chef d’accusation de conspiration en vue de commettre un blanchiment d’argent et à quatre de blanchiment d’argent. « À partir de 2015, Pulido et d’autres individus ont commencé à travailler pour obtenir ou conserver des contrats pour fournir de la nourriture au peuple vénézuélien. Pulido et ses co-conspirateurs auraient majoré le coût de production des boîtes de nourriture afin de réaliser un profit personnel sur leur production », peut-on lire dans le communiqué.
De DarkSide à REvil
REvil, connu également sous le nom de Sodinokibi, a été détecté pour la première fois en avril 2019. Il exploitait la vulnérabilité O-Day Oracle WebLogic. Les opérateurs développant et commercialisant ce ransomware ont déclaré « être d’anciens affiliés de GrandCrab ayant acheté le code source ». REvil est vendu en tant que RaaS sur les forums cybercriminels russophones par l’identité numérique « UNKN » depuis mai 2019, explique L’Usine Digitale. L’association avait disparu la veille de la fête nationale française avant de réapparaître début septembre. Il semble que cette fois, REvil n’est plus. Un acteur lié à REvil connu sous « 0_neday » annonçait la fin des activités. La motivation est extrêmement simple et compréhensible. Un un tiers non identifié dispose d’une copie de l’infrastructure du groupe, jusqu’aux clés privées des sites accessibles via Tor.
Gazouillé par Dmitry Smilyanets, de Recorded Future, et selon le cybermalfaiteur : « Le serveur était compromis et ils me cherchaient. Pour être précis, ils ont supprimé le chemin vers mon service caché dans le fichier torcc, et ont augmenté le leur pour que j’y aille. J’ai vérifié sur d’autres – ce n’était pas le cas. Bonne chance à tous, je m’en vais. » (Crédits : DR)
Selon le département américain du Trésor, les opérateurs derrière les ransomware ont capté à minima la cagnotte de cinq milliards de dollars en quelques années. Le conglomérat REvil était connu pour exiger des sommes très élevées afin de déchiffrer les données cryptées. Le record est de 70 millions de dollars américains. En juin 2021, le président américain Joe Biden menaçait son homologue russe Vladimir Poutine de conséquences s’il ne prenait pas de mesures contre les groupes de cybercriminels usant de codes malveillants depuis la Russie. Le gouvernement allemand d’Angela Merkel abordait aussi régulièrement cette même menace avec l’administration russe, selon le ministère des Affaires étrangères. Mais l’identification concrète de suspects est considérée comme extrêmement difficile.
Des sommes très importantes ont été saisies, avec du matériel informatique. Les auteurs « siphonnaient » de l’argent pour des pirates informatiques internationaux et, au cours de leur activité, ils ont « légalisé » ainsi des dizaines de millions de dollars. (Crédits : Police ukrainienne)
Pourtant et depuis plusieurs mois, l’Office fédéral de la police criminelle (BKA) et le Baden-Württemberg LKA (police de proximité) enquêtent sur le groupe REvil. Les forces de l’ordre allemandes auraient identifié l’un des opérateurs principaux, révèlent Die Zeit et BR24 dans deux articles publiés le 28 octobre 2021. Sur les réseaux sociaux, Nikolay K. (nom modifié) se présente comme un trader de cryptomonnaies, dont sa devise est « In Crypto we trust ». L’investigation permet de se faire une idée précise du comportement de l’homme en question : maison avec piscine près d’une grande ville du sud de la Russie, vacances de luxe à Dubaï et aux Maldives, un yacht à 1 300 euros par jour. Les enquêteurs pensent que cet homme serait l’un des cerveaux du célèbre logiciel malveillant REvil et de son prédécesseur présumé Gandcrab. Car « son train de vie luxueux est vraisemblablement financé par l’argent des extorsions – versé par les entreprises et les autorités victimes d’attaques de pirates informatiques ».
11 personnes arrêtées en Ukraine
La police ukrainienne a révélé l’arrestation d’un groupe usant de ransomware. Ces derniers auraient attaqué une cinquantaine d’entreprises en Europe comme en Amérique. La réclusion encourue est au maximum de douze années. « Les infractions pénales ont été découvertes par des officiers du département de cyberpolice, en collaboration avec la direction des enquêtes de la police nationale, des représentants du bureau du procureur général, avec la participation de collègues de l’Union européenne, de l’Union européenne, des forces de l’ordre de France, des États-Unis, des Pays-Bas et de Norvège », explique le communiqué en date du 29 octobre 2021.
Les individus ont produit et vendu des clés USB avec des virus, qui ont cassé les portefeuilles numériques des victimes et leur ont volé des cryptomonnaies. (Crédits : Police Ukrainienne)
Le groupe était composé de 11 membres. Deux d’entre eux distribuaient directement le logiciel malveillant, tandis que les autres assuraient le support des serveurs et aidaient à retirer l’argent obtenu par des moyens illégaux. Le cumul des sommes avoisinerait les 120 millions de dollars. Les pertes subies par les proies s’élèvent à 120 millions de dollars. Parmi les victimes figurent des entreprises de France, de Norvège, d’Allemagne, de Suisse, des Pays-Bas, du Royaume-Uni et des États-Unis. Ce sont vingt-huit perquisitions qui ont été effectuées dans la ville de Kiev, les régions de Volyn, Ternopil, Kharkiv, Zaporizhia et de Donetsk.
Le FSB à l’origine d’attaque contre des agences gouvernementales ukrainienne
L’information va faire grand bruit. Les experts en cybersécurité du SBU « ont identifié les pirates informatiques du célèbre groupe ARMAGEDON, responsables de plus de 5 000 cyberattaques contre des organismes gouvernementaux ukrainiens et des infrastructures critiques », indique le site Ukrinform. Il a été établi que ledit groupe fait partie du FSB, et que ce dernier « opérant depuis la Crimée occupée, ainsi que des traîtres qui ont pris le parti de l’ennemi lors de l’occupation de la péninsule en 2014 », rapportait le communiqué de presse de la SBU.
L’agence de sécurité ukrainienne a révélé l’identité des présumés coupables, ayant obtenu des preuves irréfutables de leur activité illégale, notamment des appels téléphoniques interceptés, « malgré le fait que le réseau utilisait des logiciels malveillants produits par le FSB, ainsi que des moyens d’anonymisation en ligne ». (Crédits : SBU)
Depuis l’annexion de la péninsule ukrainienne de Crimée par la Russie en 2014, l’éclatement du conflit armé dans l’est de l’Ukraine, entre forces ukrainiennes et séparatistes pro-russes, a fait depuis plus de 13 000 morts. Depuis sept années, les auteurs supposés, ci-dessus (demeurant innocent avant d’être reconnus responsables) auraient mené plus de 5 000 cyberattaques et poursuivi les tentatives d’infection de plus de 1 500 systèmes informatiques gouvernementaux. Les principaux objectifs du groupe dirigé par le FSB étaient les suivants :
Prendre le contrôle d’infrastructures critiques (centrales électriques, systèmes de chauffage et d’approvisionnement en eau)
Collecte de renseignements sur la sécurité, la défense et les opérations des agences gouvernementales
Mener des opérations psychologiques
Bloquer les systèmes d’information
Actuellement, cinq membres de l’organisation criminelle ont été accusés de haute trahison en vertu de l’art. 111 du Code pénal ukrainien. Selon les renseignements dont dispose le SBU, le groupe de hackers ARMAGEDON est un projet spécial du FSB, dont la cible principale était l’Ukraine. « Son travail était coordonné par le 18e centre (centre de sécurité de l’information) du FSB, basé à Moscou ». Une enquête plus approfondie, comprenant des examens médico-légaux, est en cours. Elle a pour finalité de traduire en justice les agents du FSB accusés d’espionnage, d’interférence non autorisée avec les systèmes informatiques et de création de logiciels ou de matériels malveillants.
C’est, au-delà de la série, le phénomène du moment qui fait grimper tous les statistiques, en France comme ailleurs. Pour confirmation, le fabricant des Vans en toile blanche que portent les joueurs se frotte les mains. Elles ont vu leurs ventes augmenter de 7 800 % depuis la diffusion sur Netflix. Les bénéfices engendrés par «The Squid Game » intéressent de nombreuses personnes, toutes ne sont pas forcément bien intentionnées. Les criminels ne reculent donc devant rien pour faire du profit.
Le code « QR » fleurit ici, et là. Sa traduction en mode verbeux signifie « quick response code ou code à réponse rapide », est un type de code-barres à deux dimensions. Celui-ci est lisible par un terminal qu’il soit vu par écran interposé ou sur sa version imprimée sur papier. Ce dernier, que vous trouvez sur votre passe sanitaire est constituée de modules-carrés noirs disposés dans un carré à fond blanc. Attention à ne pas confondre le Flashcode (ou encore 2D-Doc) avec le code QR (à la Française). Au sein de la péninsule ibérique, il est désormais légion. Comme partout ailleurs, cet outil affiche des informations auxquelles on accède lorsqu’on les scanne avec un appareil photo, d’un téléphone portable. Ces habitudes se sont généralisées notamment pour afficher un menu de restaurant, montrer patte blanche au cinéma… Pour autant, tel le couteau peut être un instrument magnifique pour délivrer une tortue des Galapagos emprise dans un filet de pêche. Il est également à l’honneur dans 4 615 vols avec armes blanches, 626 contre les particuliers et 595 contre les institutions, commerces en 2019, en France.
Méfiez-vous s’ils apparaissent seuls et suspendus dans des lieux publics
Comme une pièce de monnaie, il possède deux côtés. Le 15 octobre 2021, la police nationale espagnole alertait par un gazouillis d’un nouveau type d’escroquerie à Malaga. Les cybercriminels ont réussi à obtenir les données personnelles et bancaires des victimes, en exploitant les « codes QR ». Par conséquent, ils invitent chaque utilisateur à faire très attention lorsqu’ils en lisent un inconnu, soit à chaque instant. Précisément, les forces de l’ordre soulignent les risques liés au balayage des codes QR qui accompagnent les cartes, qui comportent un triangle, un cercle et un carré, lesquels reproduisent ceux qui apparaissent dans la série populaire et peuvent être trouvés seuls ou accrochés dans des lieux publics.
Des milliers d’Américains vivant à New York et Miami ont vu émerger une étrange carte de visite sous leur porte. L’agence canadienne Wunder use de ces trois formes géométriques pour promouvoir les services de la société Relief. Cette dernière propose une application pour aider les Américains à solutionner leurs problèmes d’endettement. (Crédits : Relief)
Dans « The Squid Game », ces cartes sont attribuées aux individus susceptibles de participer à la compétition de vie ou de mort qui est au centre de l’histoire de cette fiction. Au réel, toute personne qui scannérise la figure géométrique accompagnant les cartes frauduleuses avec son smartphone court le risque d’être contaminé, voire « piraté ». « Si nous scannons un code et que nous ne savons pas s’il est digne de confiance, il peut nous conduire vers des sites infectieux et mettre nos appareils en danger », martèle la police.
QRishing et QRljacking
Mais comment cela fonctionne-t-il ? C’est assez simple en soi ! Lorsqu’un quidam lambda scanne un « QR », au lieu d’accéder à une page web, de télécharger une application ou découvrir un menu… il se retrouve dans un espace où des lignes de codes dérobent vos données personnelles, comme bancaires. Par ailleurs, l’Institut national de cybersécurité ibérique (Incibe) souligne qu’il existe trois modèles d’attaques différentes profitant de ces codes. Deux attaques possibles, la première le Qrishing, puis le Qrljacking.
La police espagnole met en garde contre une escroquerie utilisant des cartes du « jeu de la pieuvre » pour vous voler, ou pire encore. (Crédits : Policía Nacional)
La première est de type phishing. Combinée à l’ingénierie sociale, la victime fournit ses données et indications d’identification en scannant un code « QR » dans une page web, un e-mail ou un message. Somme toute classiquement, l’individu est redirigé vers un site qui usurpe l’identité d’une l’entreprise officielle et qui demande des informations confidentielles ou bancaires. La seconde Qrljacking, ou détournement de session se caractérise par l’utilisation de l’ingénierie sociale pour dévier le compte d’un service qui accepte la fonction « Login with QR code » (comme celle du service WhatsApp). Ils essaient d’inciter la victime à scanner un code QR modifié qui se fait passer pour l’original qui a été précédemment capturé par les cybercriminels. Lors du scannage de ce dernier, provenant bien sûr d’un site web non fiable, le terminal téléphonique est donc infecté par un code conçu pour en exploiter les vulnérabilités.
Cascade de mauvaises nouvelles
Par la suite viennent les téléchargements de logiciels (Drive by download) ou de l’injection de codes malveillants (via un exploit présent sur la page web vers laquelle le code QR redirige). Le site malveillant est conçu pour exploiter les vulnérabilités présentes dans votre smartphone au niveau du logiciel et peut réaliser de multiples actions malveillantes :
rejoindre un botnet (par exemple pour réaliser une attaque DDoS contre un site web légitime)
divulguer des informations sensibles
s’abonner à des services premium
afficher des publicités de manière silencieuse à l’insu de l’utilisateur
accéder à différents éléments de l’appareil (microphone, caméra…)
accéder aux données du navigateur
envoyer des e-mails
récupérer la liste de vos contacts afin de leur envoyer des messages (malveillants, bien entendu)
déclencher des appels téléphoniques vers des numéros surtaxés
envoyer des SMS malveillants
effectuer des paiements mobiles
Toutes ces actions se déroulent, évidemment, en arrière-plan, de sorte que les usagers ne sont pas conscients de ces comportements. « France Num » affichait le 23 août 2021, le résultat d’une enquête de MobileIron éloquente quant à nos smartphones et de leurs utilisations vis-à-vis des codes QR :
74 % des personnes interrogées estiment qu’ils leur facilitent la vie (mais 51 % déclarent ne pas avoir de logiciel de sécurité sur leur smartphone)
47 % de ce même panel ont noté une augmentation de leur utilisation
Durant les 6 derniers mois, 38 % en ont scanné un dans un restaurant, un bar ou un café, et 37 % pour un commerce de détail
53 % des individus souhaitent qu’ils soient davantage utilisés dans l’avenir
66 % des interrogés avouent avoir des problèmes, dont plus de la moitié en sont conscients, mais les utilisent quand même
51 % des personnes interrogées sont inquiètes quant à la confidentialité et à la sécurité des données concernant l’utilisation des QR codes
Vous y êtes ? Très bien, car un homme averti en vaut deux, l’adage fonctionne également avec une femme. Ces conseils de prudence valent également pour toutes réceptions de courriels, clefs USB trouvées au sol, SMS… quelques règles distillées par « France Num » :
Avant de scanner un QR code, s’assurer qu’il ne couvre pas un autre code
En cas de doute, ne pas le scanner
Vérifier l’URL proposée sur la notification avant de cliquer sur la redirection. Si elle est étrange ou très courte, quitter la notification
Il doit vous amener à une information souhaitée, si ce n’est pas le cas, fermez la page et effacer l’historique de son navigateur
S’il arrive vers une application de l’AppStore ou de Google Play, s’assurer que l’entreprise mentionnée sur cette page a bien développé l’application demandée
Ne pas installer d’applications de sécurité à partir d’un lien scanné. On cherche à installer sur votre smartphone ou tablette, un logiciel malveillant (malware)
Être méfiant sur les QR codes distribués sur des cartes, mentionnés sur des affiches lors d’évènements ou placés dans des lieux publics
