L’affaire sort dans la presse chilienne juste aujourd’hui, jeudi 14 octobre à travers BioBioChile. Une attaque par code malveillant s’est produite le 11 septembre 2021 à Santiago du Chili, au sein de l’organisation « Colegio medico de Chile ». Le Colmed a déposé une plainte auprès du parquet. Une rançon demandée par les opérateurs qui n’est pas tout à fait claire, elle serait de 500 000, mais en quelle monnaie ? Là où le bât blesse est que les responsables ne savent pas s’ils parlent en dollars ou en bitcoin (BTC).
Le montant a de quoi faire frémir, si les personnes derrière le code malveillant exigent 500 000 bitcoins. Le cours est actuellement de 57 135, 4950 dollars américains pour un bitcoin, soit une rançon de 28, 567 milliards de dollars (24, 65 milliards d’euros), une bagatelle… C’est par un message en anglais que les informaticiens de la faculté de médecine du Chili ont été informés de l’attaque. L’offensive s’est déployée contre une association à finalité humanitaire. « Nous sommes une organisation chilienne à but non lucratif qui aide les personnes sans domicile fixe, nous faisons les liens des docteurs […]. S’il vous plaît, comment pouvons-nous récupérer les données », questionne Marco Bruna, informaticien au Colmed.
Des heures auparavant, les bases d’infos de l’association avaient été cryptées et détournées. Les renseignements sur les bénéficiaires ainsi que le système comptable de l’institution étaient entre les mains des cybercriminels, qui rapidement exigeaient qu’une rançon soit payée en Bitcoins. Vendredi 8 octobre 2021, la plainte dénombrant huit feuillets détaille les tenants et aboutissants de l’affaire devant la 7e cour pénale de Santiago.
Dans le libellé il est indiqué qu’Alejandro Román, ingénieur analyste, avait tenté d’effectuer, en vain, des tests de routine sur des serveurs institutionnels. L’information était remontée au directeur général de l’association, puis à l’ensemble de l’équipe informatique. Marco Bruna constatait, le 12 septembre qu’il ne s’agissait pas d’une défaillance, mais d’un programme qui avait endommagé les documents de l’établissement et les ordinateurs locaux. Après les avoir vérifiés, Bruna trouvait un fichier nommé « ReadMe.txt ». En l’ouvrant, un message, en anglais est apparu :
Messieurs ! Votre entreprise est gravement menacée. Il y a une faille importante dans le système de sécurité de votre entreprise. Nous avons facilement pénétré votre réseau. Vous devriez remercier le Seigneur d’avoir été piraté par des gens sérieux, pas par de stupides écoliers ou des punks. »
Ce à quoi, après des échanges, l’institut médical recevait des instructions avertissant qu’une rançon devait être payée pour récupérer les données. Le montant serait assujetti au temps que les victimes mettraient à répondre expliquaient les opérateurs, avec une certaine pointe d’ironie : « Chaque jour de retard vous coûtera en bitcoins supplémentaires. N’y voyez rien de personnel que les affaires. »
L’avocat représentant l’Association, Adelio Misseroni, a déclaré à BioBioChile que les fichiers ne contenaient pas d’informations personnelles sensibles. En outre, il a été possible de récupérer certains renseignements. Suite au dépôt de la plainte pénale, l’enquête est désormais entre les mains du ministère public.
Les jours se suivent, et semblent se ressembler. Un hôpital israélien victime d’une attaque par ransomware, l’université de Sunderland fortement perturbée, la chaîne Meliá Hotels International affectée début octobre par un code malveillant, Olympus leader américain dans le domaine des technologies médicales est au chevet des experts, Banco Pichincha plus grande banque privée d’Équateur est hors service… jusqu’à l’utilisation du presse-papiers pour dérober 24 millions de dollars en cryptomonnaies.
L’institution de cyberveille du gouvernement français alertait que FIN12 visait différents secteurs, dont l’éducation, la santé, la finance, la manufacture, et l’ingénierie. « FIN12 est un groupe cybercriminel particulièrement “agressif”. Ses proies sont essentiellement localisées en Amérique du Nord, en Asie Pacifique, ainsi qu’en Europe, l’agence. Auparavant, ce groupe était identifié sous le nom UNC1878. Il est réputé pour ses attaques envers les acteurs du domaine de la santé. »
« L’hôpital utilise actuellement des systèmes alternatifs pour traiter ses patients. Les traitements médicaux se poursuivent comme d’habitude, à l’exception des procédures électives non urgentes. L’incident a été immédiatement signalé au ministère de la Santé et à Cyberpro, et pris en charge », explique l’institut. (Crédits : capture d’écran)
L’investigation des services israéliens déterminera s’il y a un lien avec ledit groupe. Le centre médical Hillel Yaffe, situé dans la ville d’Hadera affirme pouvoir continuer à fonctionner, à l’exception des procédures non urgentes, en passant à des systèmes alternatifs. « Le ministère de la Santé et la direction nationale de la cybernétique ont été informés des détails de l’incident et coopèrent à l’enquête et au traitement de l’incident », a déclaré le ministère. En ajoutant que des avertissements avaient été envoyés à titre préventif à d’autres hôpitaux. En septembre, la société israélienne de cybersécurité Check Point a indiqué que les institutions de l’État étaient l’objectif de deux fois plus de cyberattaques que la moyenne des divers pays du monde, y compris le secteur de la santé, qui subit en proportion 1 443 attaques par semaine. Le rapport a révélé qu’en moyenne, une organisation ou entreprise israélienne sur 60 est ciblée chaque semaine par des attaques de ransomware, soit une augmentation de 30 % par rapport au taux de 2020, selon The Times of Israel.
Le flegme britannique éprouvé
L’alerte fut donné par un gazouillis des pontes de l’université de Sunderland. Ils ont confirmé qu’un certain nombre de systèmes informatiques restaient hors service et que les cours en ligne restent suspendus. « Les étudiants sont encouragés à se rendre sur tous les campus de l’université où l’enseignement en face à face se poursuit, et des bureaux d’information seront disponibles pour offrir des conseils et un soutien. Pour ceux qui étudient à l’étranger, des plans ont été mis en place pour s’assurer qu’ils puissent continuer à le faire, avec un minimum de perturbations », explique un porte-parole de l’université.
S’il s’agit d’une opération informatique par code malveillant de type ransomware, comme l’avaient subit les facultés de Northumbria et Newcastle en 2020, l’affichage sur les réseaux sociaux d’une adresse mail n’est peut-être pas la meilleure idée (phishing). (Crédits : Facebook Sunderland)
Le site Internet de l’institut demeure également fermé pour maintenance. « L’Université continue de subir des perturbations informatiques importantes qui pourraient avoir été causées par une cyberattaque. L’université travaille actuellement avec plusieurs organismes, dont la police, pour déterminer ce qui s’est passé exactement et l’étendue des problèmes. » Elle ajoute que ces lignes téléphoniques, leur site web et systèmes informatiques sont toujours hors service, mais le campus reste ouvert, il n’y aura pas de vacances anticipées.
Plusieurs hôtels du groupe Meliá touchés
« Aux premières heures du 4 octobre 2021, une attaque informatique a été détectée qui a affecté plusieurs hôtels du Groupe, après quoi la société a activé ses protocoles de réponse et ses travaux de confinement, convoquant le Comité de crise, qui a déployé les plans de continuité des activités », indiquait le communiqué. Depuis l’accès dans divers hôtels de la multinationale, dont le Meliá Barcelona Sky, est rétabli.
Le groupe avait déjà subi ce même genre de désagrément en septembre 2021. Cette fois, c’est son réseau européen, moyen-oriental et africain qui était visé. La demande de rançon émanait des opérateurs derrière BlackMatter. (Crédits : DR)
Olympus, leader dans le domaine des technologies médicales enquête à l’heure actuelle sur un incident potentiel de cybersécurité décelé le 10 octobre 2021. Ce dernier perturbe ses systèmes aux États-Unis, Canada et Amérique latine. « Dès la détection d’une activité suspecte, nous avons immédiatement mobilisé une équipe d’intervention spécialisée comprenant des experts en criminalistique, et nous travaillons actuellement avec la plus haute priorité pour résoudre ce problème », indique Olympus dans un communiqué publié deux jours après l’attaque. Dans le cadre de l’enquête « nous avons suspendu les systèmes affectés et avons informé les partenaires externes concernés », communique sur son site mardi 12 octobre 2021. Les résultats récents de l’analyse suggèrent que l’incident a été contenu dans les Amériques sans impact connu sur d’autres régions.
La banque privée d’Équateur Banco Pichincha hors service
La plus grande banque privée d’Équateur a vu ses systèmes d’information attaqués. Durant le week-end du 9 et 10 octobre, les opérations, les guichets automatiques ainsi que son portail sur l’internet ont été perturbés. « Au cours des dernières heures, nous avons identifié un incident de cybersécurité sur nos systèmes informatiques qui a partiellement désactivé nos services. Nous avons pris des mesures immédiates pour isoler les systèmes potentiellement affectés du reste de notre réseau et avons mis en place des experts en cybersécurité pour aider à l’enquête », stipule l’organisme fiduciaire sur sa page Facebook, information partagée plus de 7 000 fois depuis sa publication le lundi 11 octobre 2021. Depuis, le statu quo demeure, c’est pourquoi mercredi matin, les files d’attente sont légion, les retraits et les paiements par carte ne pouvaient être réalisés que dans les agences.
Un employé de banque a poliment précisé aux consommateurs qu’il n’était pas possible d’effectuer des règlements au Service des impôts (SRI) ou à l’Institut équatorien de sécurité sociale (IESS), explique le journal équatorien El Universo. (Crédits : El Universo)
Cette attaque n’est pas s’en rappeler celle encourue en début d’année par la même banque et le ministère des finances en Équateur, déjà fragilisé par la crise du SARS-CoV-2 et ses conséquences. Le groupe « Hotarus Corp » revendiquait l’attaque et le vol de « 31 636 026 millions d’enregistrements de clients et 58 456 enregistrements de systèmes sensibles », y compris des numéros de cartes de crédit. Les opérateurs derrières le ransomware avait déclaré à BleepingComputer qu’elle avait dérobé « des informations sensibles du ministère, des courriels, des informations sur les employés, des contrats. » La Commission de développement économique de l’Assemblée équatorienne avait (mercredi 13 octobre 2021) convoqué plusieurs autorités que sont le ministre des Télécommunications, la présidente du conseil judiciaire, les surintendants des banques, des sociétés et des assurances, et le représentant des organismes établissements de crédit. Pour faire la lumière sur les causes et conséquences de cette mise hors service des prestations de Banco Pichincha et la souffrance ressentie par les citoyens, survenue deux fois en une seule année.
Le presse-papiers comme entrée
Une ou plusieurs personnes ont développé un malware pour s’emparer des mots de passe et identifiant, conservés dans le presse-papiers des victimes. C’est un outil qu’utilise tout un chacun, le fameux « copier-coller ». L’affluence des cryptomonnaies provoque des envies auprès d’individus mal intentionnées. C’est pourquoi de nombreuses malversations consacrées au cambriolage de cryptomonnaies (fausses clefs USB, applications Android frauduleuses) font les gros titres. Cette fois-ci, c’est 24, 7 millions de dollars subtilisés en Bitcoin, Ethereum et Dogecoin. L’analyse d’Avast a permis de découvrir plus de 1 300 nouvelles adresses de portefeuilles qui ont été utilisées pour transférer ses fonds. Les chercheurs en cybersécurité de la firme attribuent cette opération au module de vol de presse-papiers du botnet « MyKings », en s’appuyant sur les travaux réalisés par les spécialistes de SophosLabs. Il est un botnet implacable de longue date qui est actif depuis au moins 2016.
À l’heure des piratages, des fuites de données ici et là, il est parfois nécessaire de prévenir une fois de plus, avant la catastrophe. (Crédits : Uwe Baumann/Pixabay)
Il apparaît plus que nécessaire, dorénavant, de vider son presse-papiers. Depuis la mise à jour 1809 d’Octobre, Windows 10 peut conserver trace de tout ce que vous y copiez grâce à la fonctionnalité historique. Pour l’effacer, une manière simple est de créer un raccourci, sur votre bureau pour le nettoyer à chaque instant comme explique PCAstuces. Mais également pour ceux sous OS Androïd, il suffit d’appuyer longuement sur la touche personnalisable de votre clavier. Ensuite, choisissez « Presse-papiers » pour afficher le contenu du presse-papiers sur Android avec succès. N’oubliez pas les applications (Facebook Messenger, WhatsApp…), un homme averti en vaut deux. Pour les aficionados de la pomme, le presse-papiers ne se vide qu’au redémarrage du téléphone, à priori. Concernant, les Macintosh, choisissez de vous rendre sur Finder, puis Edition et vous accédez au presse-papiers. À vous de jouer !
Ces derniers jours, les attaques par code malveillant de type ransomware se font de plus en plus prégnantes. Des opérateurs ne cessent d’octroyer des dégâts aux entreprises, écoles, hôpitaux, commune… par les pertes occasionnées, mais également par les rançons exigées, mais pas seulement. Lorsque les données sensibles se retrouvent à la vue de tout un chacun, ce sont bien plus que la monnaie sonnante et trébuchante. La Suisse, la France, le Chili, le Brésil, les États-Unis, l’Argentine… sont attaqués.
Si l’attaque de l’université autonome de Barcelone est peu relayée, celle d’Harvard-Westlake risque de faire couler plus d’encre. La fuite concerne 150 élèves ayant obtenu leurs diplômes lors de la décennie passée. Ces personnes sont des filles et fils de lauréats d’Oscars, de chefs de médias, de célébrités, de milliardaires et de donateurs politiques influents au sein des Démocrates et des Républicains. Les dossiers contenant les résultats archivés de SAT, moyennes et relevés de notes, lettres de recommandation, ont envoyé à un groupe de parents et au journal de l’école, ainsi qu’à la presse.
Le campus de la prestigieuse université basée à Los Angeles, n’a pas été attaqué par un ransomware selon les autorités. (Crédits : DR)
« L’école est scandalisée par cette violation de la vie privée des étudiants », s’insurgeait le président Rick Commons. Ce dernier informait les parents et anciens élèves par e-mail le 3 septembre 2021 qu’une violation de données s’était produite sur les serveurs de Naviance. Cette plateforme que l’institution avait utilisée de 2012 à 2020. « Il ne s’agissait pas d’une attaque par ransomware », a déclaré Ari Engelberg, responsable de la communication et des initiatives stratégiques de l’école. Parmi les anciens élèves figurent J. Getty, Jamie Lee Curtis, Sally Ride, Shirley Temple…
Montreux ne rigole pas
Dimanche 10 octobre 2021, dans le courant de la matinée, l’administration de Montreux constatait une attaque informatique. Une cellule de crise a immédiatement été mise en place, avec l’association sécurité riviera (ASR) et la police cantonale vaudoise. Les faits ont été portés à la connaissance des autorités pénales. Les experts rapportaient les premières conclusions, la première intrusion a eu lieu le vendredi 8 octobre 2021 à 16 h et l’attaque n’a été déclenchée que le dimanche à 1 h. À cette étape, les investigations techniques réalisées permettent d’exclure un vol de données en masse. D’autres communes en Suisse sont impactées, ainsi Villeneuve, Veytaux, et leurs associations, comme l’ASR, afin d’éviter des dommages supplémentaires. Les analyses techniques et judiciaires se poursuivent, pour savoir si des données sensibles pourraient être exploitées à des fins malveillantes. « À ce stade, nous ignorons lesquelles ont été piratées. Et nous n’avons pas eu de contact avec les cybercriminels », déclarait Dounya Schürmann-Kabouya, porte-parole de l’ASR.
LockBit fait des siennes en France
Les opérateurs derrière le ransomware « LockBit » menacent de publier des informations relatives au site de l’association en charge de la gestion des fonds récoltés au bénéfice du personnel Airbus Central Entity. Il s’agit du site du comité d’entreprise du groupe aéronautique, explique le monde informatique. Un porte-parole d’Airbus indiquait que le CE a la maison mère, le 5 octobre 2021 de l’évènement de sécurité, et qu’une enquête avait été lancée. « Les serveurs AISC ont été fermés dès la découverte de l’incident. Toutes les interconnexions existantes avec Airbus ont été identifiées et stoppées. Il n’y a pas d’impact sur Airbus. AISC est une entité indépendante d’Airbus et dispose à ce titre de son réseau dédié, séparé d’Airbus IM et géré par les fournisseurs AISC. […] ».
La clinique Saint-Luc située à Bouge, dans la province de Namur a subi une infection par code malveillant aux alentours de 7 h, samedi 9 octobre 2021. « En collaboration avec les experts fédéraux et notre département informatique, toutes les actions nécessaires ont été prises afin de stopper la propagation du ransomware, explique Thibaut Bertrand, responsable de la communication. Ce n’est pas la première tentative de piratage, mais c’est la première fois qu’elle réussit. » La continuité des soins apportés aux personnes hospitalisées fut assurée, tandis que tous les acteurs liés à la défense contre la cybercriminalité (police fédérale, locale…) travaillent d’arrache-pied depuis le samedi 14 h.
« Spook » est un nouveau groupe d’opérateur utilisant un ransomware, qui produit des victimes en France. (Crédits : capture d’écran)
La clinique a pris la décision de décommander l’ensemble des consultations, des examens d’imagerie médicale et des rendez-vous en hôpital de jour médical prévus ce lundi. « Tous les accès qui gèrent les rendez-vous ont été bloqués pour éviter d’offrir la moindre porte d’accès aux pirates ». Les données personnelles des patients n’ont pas été touchées assurent l’institut. Hier, plus de 1 000 consultations, examens et rendez-vous médicaux en hôpital de jour furent annulés. Chaque patient est recontacté afin de fixer un nouveau rendez-vous, car l’opération d’annulation se poursuit jusqu’à demain mercredi, à minima. « Une rançon de trois bitcoins, soit environ 150 000 euros a été demandé », souligne Adrien Dufour directeur informatique de la clinique Saint-Luc.
L’Amérique latine peu épargnée
Le 23 septembre 2021, la communauté mondiale de partage de renseignements cybernétiques (uniquement axée sur les services financiers) annonçait que le partage entre ses sociétés financières membres avait augmenté de 60 % au cours de la période allant d’août 2020 à août 2021, sous l’effet des risques liés à la chaîne d’approvisionnement et aux ransomwares. Les menaces à grande échelle ont entraîné des pics record de partage d’informations dans toutes les régions : Amérique du Nord, Amérique latine, Europe, Royaume-Uni, Moyen-Orient et Afrique, et Asie-Pacifique. « En Amérique latine, nous bénéficions de renseignements partagés par des entreprises mondiales basées aux États-Unis et en Europe, ainsi que par nos pays voisins », déclarait Juan Carrasco, responsable de la cybersécurité à Banco Falabella Chile. « En surveillant les attaques en Argentine et au Brésil, nous avons pu prévoir et contrecarrer une cyberattaque au Chili. Cela atteste de la puissance du partage transfrontalier de renseignements pour atténuer les cyberrisques. »
Fuite massive de données en Argentine
Les états civils, numéros de téléphone, courriels et adresses postales, entre autres de nombreux personnels ont été divulgués en Argentine. « AnibalLeaks», en référence au nouveau ministre de la sécurité argentin, Anibal Fernandez, est le nom de cette gigantesque fuite de données. Les informations personnelles de 1 193 316 de militaires et de personnels de sécurité argentins se sont retrouvées fin septembre sur l’internet. Ce n’est pas la première fois que cela arrive. Déjà, en 2017 et 2019 déjà, des données des ministères de la Sécurité et de la Défense s’étaient trouvées sur Internet. Hormis le risque concernant l’intégrité physique des personnes identifiées, ces données sont une véritable mine d’or. Des arnaques, tel l’hameçonnage ou phishing, peuvent en découler. Ainsi soutiré des informations sensibles (passphrase, identifiants…) permettant à un tiers de se faire passer pour la personne véritable auprès d’une banque, par exemple.
Une mère de famille sous les verrous
L’apparente normalité de la mère de famille basée à Gênes à jouer, un temps, en sa faveur. Russe d’origine, la femme de 40 ans, ingénieure informatique au centre d’une organisation internationale dédiée à la fraude informatique, au recel et au blanchiment d’argent, a été arrêtée par la police. Experte dans la création de nouvelles identités, cette dernière achetait en ligne en utilisant des cartes de crédit de malheureux, après les avoir clonées. Pour échapper à tout contrôle, l’ingénieure se présentait aux points de collecte avec de faux documents ou recrutait des tiers qui, contre monnaie sonnante et trébuchante, récupéraient les colis en son nom.
Après avoir copié les cartes bancaires, es téléphones portables de dernière génération et du matériel électronique de la plus haute qualité étaient achetés, puis expédiés en Russie. Ils étaient ensuite revendus puis le produit de la vente transformée en monnaie virtuelle. (Crédits : Twitter)
Le produit du recel était ensuite blanchi par des achats de cryptomonnaies sur de nombreuses bourses internationales. Le trafic illicite de la femme n’a pas échappé aux experts de la police des postes et communications de Gênes qui, au terme d’une enquête minutieuse et complexe, l’ont arrêtée. Au cours de la perquisition du domicile, les enquêteurs ont saisi de nombreux terminaux de point de vente (TPV) et des centaines de cartes de crédit spécialement activées pour blanchir le produit d’escroqueries et de fraudes informatiques.
Depuis ce lundi 11 octobre 2021, c’est le black-out total sur le campus de la capitale catalane. Une attaque par code malveillant donne un avant-goût de ce pourrait-être un monde sans informatique. « L’Universitat Autònoma de Barcelona a subi une attaque informatique d’origine inconnue », gazouille l’UAB. L’offensive a essentiellement touché le système de virtualisation hébergeant une grande partie des services. Il n’est plus possible de les utiliser, ni les applications.
Quatorze minutes sont passées de six heures ce matin quand un avis général est tweeté « La plupart des applications ne sont pas accessibles. » Cinq heures plus tard, c’est la suspension purement et simplement des cours. À 11 h la Faculté de sciences de la communication et l’université autonome de Barcelone d’un gazouillis commun annonce que « Le @FccUab de l’@UABBarcelone annule tous les cours, tant théoriques que pratiques, le lundi 11 octobre en raison de l’impossibilité de faire fonctionner le matériel et les logiciels, ce qui affecte l’enseignement. Nous sommes désolés pour le désagrément que cela cause à toute la communauté. » Les étudiants, les professeurs et le personnel administratif ont vu leur journée interrompue par une anomalie sur l’intranet de l’UAB. Plus personne n’avait accès à des outils essentiels tels que le Campus virtuel, le courrier électronique ou encore le réseau wifi de la faculté.
L’agence de cybersécurité de l’État a été informée, une déconnexion complète des systèmes centraux a été effectuée pour isoler les machines affectées et des mesures préventives ont été appliquées pour éviter la propagation aux systèmes non affectés. (Crédits : Twitter)
Une attaque ciblée a rendu les services informatiques de l’UAB inutilisable. Les services des systèmes ont détecté l’attaque dans la nuit de dimanche à lundi, et appliquaient le protocole à la lettre. Tous prirent la direction du centre névralgique du campus pour déconnecter complètement tous les services centraux préventivement. Dès aujourd’hui, lundi 11 octobre 2021, les différents portails de l’université ne fonctionnent plus, les classes virtuelles ont été suspendues, sur le campus ou comme hors de ce dernier. « L’UAB a suspendu toute activité avec un ordinateur personnel. Toute activité en face à face qui ne nécessite pas l’utilisation d’un ordinateur peut être réalisée », explique Jordi Hernandez, commissaire du recteur de l’université pour la technologie de l’information
Le campus de l’UAB va désormais vivre pendant une semaine au minimum sans internet. (Crédits : DR)
Des sources internes évoquent la possible attaque par ransomware, mais M Hernandez ne confirme pas cette indiscrétion, mais reconnaît que jamais une attaque de cette ampleur ne s’était déroulée à l’UAB. Un état d’urgence a été décrété sur tout le campus, une quarantaine numérique. Jusqu’à nouvel ordre, personne ne peut se connecter à internet depuis les installations de l’université, pas même depuis son ordinateur ou autre terminal. Les services informatiques de l’université ont activé le protocole de déconnexion totale, tout en soulignant que, heureusement, les bases de données des étudiants n’ont pas été affectées.
Les explications comme les conduites à tenir de l’UAB doivent être appliquées à la lettre afin d’éviter la propagation de l’infection. (Crédits : Twitter)
Le commissaire du recteur déclare que « les bases de données de l’UAB n’ont pas été compromises ». Comme il s’agit d’un jour ouvrable qui fait partie d’un long week-end et que demain est un jour férié (le 12 octobre est la fête nationale de l’Espagne), cela pourrait atténuer certains des problèmes que la panne informatique pourrait causer dans l’activité du campus. « Quand le problème sera-t-il résolu ? Ça prend trop de temps. ! !!!!!!!!!! », gazouille une docteure en droit, et professeure d’université à LaSalle.
Chaque chose en son temps
L’UAB a recommandé via ses réseaux sociaux à chaque utilisateur de déconnecter tous les services liés à son système, y compris ceux connectés au cloud, afin d’éviter la propagation de l’infection. Les services compétents signalent que « si l’un de ses utilisateurs a reçu un fichier appelé ” http:///readme.READ ” et d’autres se terminant par ” .uab ” téléchargés sur son bureau, il doit déconnecter son ordinateur et en informer le service informatique. »
Le campus de l’université autonome de Barcelone sera une zone sans internet, ni cours virtuel, ni échanges de courriel, un retour à la communication verbale et réelle. (Crédits : DR)
Le protocole établi a été suivi, d’une part, en isolant les machines infectées, et d’autre part, en appliquant des mesures préventives pour éviter la propagation aux systèmes non affectés. Une fois que les mécanismes de cette attaque auront été déterminés en détail, l’université procédera à la restauration du système de manière progressive, en garantissant l’intégrité des services en cours de récupération. « Pendant cette semaine, nous travaillerons sans l’utilisation d’ordinateurs connectés au réseau. Cela touchera tous les domaines d’activité : enseignement, recherche et administration. Ce ne sera pas une semaine normale à l’Université autonome ».
C’est le 28 septembre 2021 que les deux arrestations ont eu lieu après une enquête minutieuse. Une frappe coordonnée entre la Gendarmerie nationale française, la Police nationale ukrainienne (Національна поліція України) et le Bureau fédéral d’investigation (FBI) des États-Unis, avec la coordination d’Europol et d’Interpol, a permis l’interpellation en Ukraine de deux opérateurs prolifiques de ransomware connus pour leurs demandes de rançon extorquées, entre 5 et 70 millions d’euros.
Le groupe criminel organisé est soupçonné d’avoir commis une série d’attaques ciblées contre de très grandes compagnies industrielles en Europe, ainsi qu’en Amérique du Nord à partir d’avril 2020. Les criminels présumés déployaient des logiciels malveillants et dérobaient les données sensibles de ces entreprises, avant de crypter leurs fichiers. Ils procédaient ensuite à l’offre d’une clé de déchiffrement en échange d’une rançon de plusieurs millions d’euros, imminant de faire fuir les informations volées sur le dark web si leurs exigences n’étaient pas satisfaites.
La perquisition a permis l’arrestation de deux personnes, et la confiscation de divers biens. Cette opération a été menée dans le cadre de la Plate-forme multidisciplinaire européenne contre les menaces criminelles (EMPACT). (Crédits : Police ukrainienne)
Lors de cette journée :
deux arrestations et sept perquisitions
une saisie de 375 000 dollars américains en espèces
deux véhicules de luxe d’une valeur de 217 000 euros
le gel des avoirs de 1,3 million de dollars en crypto-monnaies
Au total, une centaine d’entreprises auraient subi les attaques par code malveillant de type ransomware. C’est dans le cadre de l’opération spéciale internationale, « le département de la cyberpolice, en collaboration avec les enquêteurs du siège de Kiev, les représentants du parquet de la ville de Kiev, avec la participation de collègues d’Interpol et d’Europe, les agents des forces de l’ordre de la République française et des États-Unis, ont identifié un pirate informatique de 25 ans dans la propagation du virus de cryptage », indiquent les services de Police ukrainienne.
Les autorités jointes à cette opération sont le département de la cyberpolice de la police nationale d’Ukraine, le Centre National de la Cybercriminalité de la Gendarmerie Nationale (C3N), le bureau d’Atlanta du FBI, pour Europol, le Centre européen de la cybercriminalité (EC3), puis Interpol et son Centre de fusion cybernétique. (Crédits : Police ukrainienne)
Parmi les victimes figurent des entreprises mondiales du secteur de l’énergie, du tourisme ainsi que des développeurs de technologies. Le coût des sommes que les sociétés auraient payé s’élève à 150 millions de dollars. Lors des perquisitions du matériel informatique, des téléphones portables, des véhicules et plus de 360 000 dollars en espèces ont été saisis. En outre, 1,3 million de dollars sont bloqués sur les cryptomonnaies de l’escroc présumé.
La somme trouvée dans une boîte à chaussure, sous des documents, cachée par un tissu est impressionnante, 375 000 dollars, soit 322 500 euros. (Crédits : Police ukrainienne)
Une procédure pénale a été ouverte en vertu de l’article 361, paragraphe 2, pour non-dénonciation de crime, l’article 361, partie 2 pour intrusion non autorisée dans les opérations des ordinateurs, des systèmes automatisés, des réseaux informatiques et des communications électroniques, et l’article 209, partie 3, qui concerne le retrait des biens obtenus par des moyens criminels du Code pénal de l’Ukraine. Les prévenus risquent jusqu’à vingt ans d’emprisonnement et la confiscation des biens.
Phrase anodine au demeurant, et pourtant… À moins que vous viviez dans un monde utopique, rempli de Bisounours (néologisme pour les 01 et postérieurs, qu’ils ne comprendront pas), vous n’êtes pas sans savoir que vos données valent de l’or. De plus, elles sont partagées par votre simple choix (en cochant oui sans lire les notices), par méconnaissance. Comme raconte l’adage, « tous les moyens sont bons » pour obtenir des informations ? Des câbles qui ressemblent à s’y méprendre à ceux qu’utilisent les propriétaires de téléphone sous Android ou IOS, et permettent leurs « piratages ».
Phot et Kharéson, bras dessus, bras dessous s’en vont se croquer une toile, en ce début d’automne. Après quelques de minutes en voiture, au son de « Nous nous en allerons » de Renaud, il se stationne sur la place du 11 août, à Nogent-le-Rotrou. Sur la devanture s’affiche l’avant-première de « Mourir peut attendre », dernier opus de la série cinématographique « James Bond », où Daniel Graig (interprète l’agent secret pour la dernière fois) sort de sa retraite heureuse en Jamaïque… « ciné, mercredi », interroge malicieusement M Phot. D’un clin œil complice, Mme Kharéson répond à l’affirmative. Il faut dire que sans lui avouer, son mari a toujours été son héros. Mais ce soir, c’est madame qui sélectionne le film de la séance, ainsi son choix se porte sur « Serre-moi fort », de Mathieu Amalric.
Daniel Craig est pour une dernière fois James Bond dans « Mourir peut attendre » de Cary Joji Fukunaga (2021). (Crédits : Danjaq, LLC and MGM. All rights reserved)
Il est tout juste 20 h tandis que le couple s’engouffre dans une des salles du Rex. La nuit est tombée depuis bien longtemps lorsqu’ils sortent du cinéma. En prenant la direction de leur voiture, ils ressentent la fraîcheur du Perche. La clef tourne, la gordini ronronne, la radio annonce les informations de 23 h. Une entreprise nogentaise est en une des titres. « Mr Crocbec, dirigeant de la société Kloolly*, s’est fait pirater. Toutes ses données et ses codes d’accès aux secrets de sa firme volés à cause d’un câble de chargeur… », alerte la journaliste. Le bulletin d’information continue, mais la discussion prend le pas sur le bruit de fond de la radio.
« Quoi, ce n’est pas possible », s’écrie M Kharéson
« Qu’est-ce qui n’est pas possible », interrogea le conducteur.
« Tu as entendu, un vol de données par un câble de téléphone, c’est hallucinant », s’horrifie-t-elle.
« Non, c’est complètement hallucinant, j’espère que l’explication sera dans que le canard demain », assure M Phot
Le bulletin d’information continuant, les résultats de football tombent. L’aficionado des verts est, malgré tout, satisfait du match nul dans le derby face à l’OL (Saint-Étienne — Lyon 1-1), Claude Puel déclare : « Je ne l’ai pas connu personnellement. Je l’ai affronté avec Monaco à une certaine période, car l’ASM et Marseille luttaient pour le titre. C’est un personnage de la vie française qui a eu plusieurs vies. Il a connu énormément de choses. Dans le football, il a su apporter à Marseille des années glorieuses qui ont marqué l’histoire de ce club. Son décès ne laisse pas indifférent le monde du football », conclut l’entraîneur des Verts.
Le lendemain matin, l’herbe comme les rosiers rosifères se couvrent de perles. Également, présentes sur enveloppe du journal, elles gardent les nouvelles fraîches. La « Une » évoque la disparition de « Nanard », puis celle du piratage de la société Kloolly*. Un vrai sujet pour un film d’espionnage ou de science-fiction pense M Phot. Commençant sa lecture, il en tire la moelle pour pouvoir expliquer à madame. Il s’agit d’un câble O.MG USB-C, la chose la plus effrayante à propos de ceux-ci est que vous ne pouvez pas voir la différence entre un USB traditionnel ou un lightning et les O.MG. Plus déconcertant encore est que celui-ci peut permettre à un opérateur de dérober toutes les informations tapées par l’utilisateur et les transmettre par WI-FI. La nouvelle mouture dispose d’une connexion Lightning vers USB-C. Une puce capable d’enregistrer jusqu’à 650 000 mots de passe, ou toute autre information et peu les envoyer à un pirate via un réseau Wi-Fi local.
David Bombal éduque les personnes qui visionnent sa chaîne YouTube à ne pas faire confiance à n’importe quel appareil, ni aucun câble. Chaque individu doit agir avec en tête la sécurité, car ils permettent d’exécuter des scripts sur des appareils (Android, IOS) et sont aussi des enregistreurs de frappe. (Crédits : capture YouTube)
En 2019, le chercheur en sécurité surnommé MG le constitue dans sa version première USB-A. Il était susceptible, en établissant son propre réseau Wi-Fi, de permettre à un opérateur de récupérer l’intégralité des commandes du système sur lequel il était relié. En 2021, MG s’est attelé à un défi, que beaucoup pensaient impossible. Intégrer l’électronique dans la gaine d’un câble USB-C, beaucoup plus étroit que l’USB traditionnel. Le principe de fonctionnement reste le même. Ce dernier crée un réseau Wi-Fi local, auquel l’individu pourra se connecter via une simple interface web pour accéder à vos informations. Il doit être néanmoins relativement proche de sa cible, puisque la portée est estimée à un mille, soit mil six cent neuf mètres. Il suffit de se remémorer les périodes de confinement en France, où chaque être pouvait se déplacer dans un rayon d’un kilomètre autour de son domicile. La puce intégrée autorise de stocker du script, soit ce que la plupart des personnes nomment un programme informatique : des lignes de codes.
Une capture d’écran fournie par MG, montrant l’intérieur d’un câble O.MG. (Crédits : MG)
Il contient une commodité de geofencing afin de stopper le processus de l’accessoire en fonction de sa position. Cela permet notamment d’éviter une fuite accidentelle de données si le câble se balade dans la nature avec une fonctionnalité de suppression automatique des renseignements. « Parmi les autres améliorations, citons la possibilité de modifier le mappage du clavier ou de falsifier l’identité de périphériques USB spécifiques, par exemple en prétendant être un périphérique qui exploite une vulnérabilité particulière sur un système », explique Vice.
« Je suis impressionné, c’est stupéfiant quand même ce qu’ils peuvent faire. Je suis sûr qu’il y a encore mieux, mais je ne préfère ne pas savoir. Ce qui est certain est que maintenant, je ferais plus attention à mon téléphone et surtout à mon câble », promet M Phot en regardant Séki se délecter se son thé matinal avec sa baguette moulée berd’huisiene.
Les attaques par code malveillant ne faiblissent pas, que ce soit à l’étranger comme en France. Sept entreprises de l’hexagone, pour le mois de septembre 2021 sont les jouets de malversation : Annoncez-vous, Télécom Sud Paris par CoomingProject, La Martiniquaise par Blackmatter, Cromology et Champagnes Thiénot par Grief, puis Steel Projets par Everest. Si les rançongiciels sont de plus en plus présents, et redoutables quant à leurs méthodes, qu’est-ce qu’un ransomware ? Quels buts ? Quel fut le premier ?
L’agence nationale de la sécurité des systèmes d’information (ANSSI) définit « un rançongiciel est un code malveillant empêchant la victime d’accéder au contenu de ses fichiers afin de lui extorquer de l’argent. La très grande majorité des rançongiciels a actuellement la capacité de chiffrer des fichiers stockés sur le réseau de la victime. » Ne pas confondre programme (malware) et code malveillant le premier est réservé aux logiciels, le second est un script qui profite des vulnérabilités des sites, dans l’intention de charger un programme malveillant.
Ces lignes de code ont pour but d’afficher la date et l’heure en plusieurs formats sous Python. Il se loge et se cache dans divers endroits. Ainsi l’attaque trouve son vecteur dans un courriel, une connexion avec un équipement infecté (clé USB, câble…), navigation, fausse mise à jour, l’exploitation d’une vulnérabilité…(Crédits : mes exemples)
L’agence du numérique en santé donne des conseils. En cas de bugs inattendus, de lenteur du système, d’un disque dur anormalement actif, des messages étranges , la désactivation des logiciels de sécurisation… elle préconise de déconnecter le poste, sans l’éteindre, et surtout d’avertir les techniciens et le responsable des SSI (sécurité des systèmes d’information).
Le 1er mars 2021, l’agence nationale de la sécurité des systèmes d’information (ANSSI) publiait un document qui faisait état de la menace. « La tendance à la hausse des attaques par rançongiciel à l’encontre d’organisations publiques et privées, identifiée depuis 2018, s’est à nouveau confirmée en 2020, tant à l’échelle internationale que nationale », alerte-t-elle. En effet de 2019 à 2020, c’est une augmentation de 255 % des offensives stipule l’ouvrage. Aucune discipline d’activité ni zone géographique n’est épargnée, bien au contraire. L’observation démontre un accroissement des assauts contre des collectivités locales, du domaine de l’éducation, du secteur de la santé et d’entreprises de services numériques.
Comme le jour de marché, les marchands disposent leurs étalages. Dessus s’affichent les produits, leurs noms avec l’étiquette des prix. (Crédits : capture d’écran)
Qui plus est lorsque « la rentabilité des attaques par rançongiciel, est bien supérieure à leur coût de mise en œuvre, explique la prolifération des groupes d’attaquants et laisse présager une constance, si ce n’est une hausse, de la menace liée aux rançongiciels dans les années à venir. » Pour les cibles, les coûts et dégâts causés sont multiples et variés. Ils peuvent être des pertes financières, d’exploitation, une atteinte à l’image, perte de clients, de données… il arrive parfois que la somme soit payée pour diverses raisons.
Big Game Hunting, RaaS et double extorsion
Les moyens choisis sont pléthores quand il s’agit d’infecter un terminal, mais trois se détachent. Le triptyque offensif affiche le Big Game Hunting, le ransomware-as-a-service (RaaS) et la double extorsion.
Le premier est littéralement la chasse au gros gibier. Elles portent références aux associations de malfaiteurs derrière les ransomwares qui ne recherchent que des cibles majeures. Telles que les réseaux d’entreprises, multinationales, plutôt que de s’en prendre aux petits. C’est une façon de gagner plus d’argent des compagnies victimes, ayant beaucoup plus à perdre que des simples données de particuliers. Ce type d’attaque s’est intensifié en 2019, la plupart visant des fournisseurs de services gérés, des écoles américaines, des gouvernements locaux américains et, plus récemment, des entreprises plus grandes en Europe.
Les opérateurs derrière le ransomware GoldenEye demandaient 300 dollars américains pour chaque terminal infectés. En France Saint-Gobain avait reconnu l’être. Un mois après l’affaire WannaCry, et les nombreux dégâts occasionnés à l’internationale comme dans l’hexagone, par exemple chez Renault à Douai. (Crédits : DR)
Le ransomware-as-a-service (RaaS) a évolué depuis sa première apparition. Classiquement, il est un code malveillant qui crypte presque instantanément les données à l’aide d’un chiffrement RSA (initiales des inventeurs : Ronald Rivest, Adi Shamir et Leonard Adleman). Moyennant le paiement d’une somme d’environ 300 dollars, la clé de déchiffrement vous était envoyé. Ces deux campagnes d’attaques font évoluer la sécurité des systèmes d’information des diverses sociétés. La première NotPetya, puis celle qui est considérée comme la plus grande attaque par ransomware de l’histoire de l’Internet, WannaCry.
Histoire de WannaCry
Le 12 mai 2017, une attaque par d’une ampleur encore inconnue affectait plus de 200 000 victimes à travers le monde. Il est un « crypto-ver ransomware », qui a ciblé les terminaux exécutant le système d’exploitation (OS) Microsoft Windows en chiffrant les données et en exigeant des paiements de rançon en Bitcoin. « Il est considéré comme un ver de réseau car il inclut également un mécanisme de transport pour se propager automatiquement.» À travers le code de distribution, il recherche les dispositifs vulnérables, puis utilise l’exploit EternalBlue pour y accéder et enfin l’outil DoublePulsar (Backdoor ou porte dérobée de la NSA) pour s’installer et exécuter une copie de lui-même. À l’origine, il s’agirait, sans aucune confirmation de la performance du groupe nord-coréen Lazarus. Quid des correctifs ? Microsoft avait publié, deux mois auparavant, un correctif de sécurité contre cette vulnérabilité. Nombreux individus et organisations ont payé pour apprendre. En ne mettant pas régulièrement à jour leurs systèmes, ils ont été exposés à l’attaque. Comme l’écrit la journaliste Samantha Schwartz sur « Cybersecurity Dive ».
La diffusion d’informations suite à une attaque par ransomware est de plus en plus fréquente, surtout quand les cibles n’acquittent pas la rançon. (Crédits : Capture d’écran)
« La facilité avec laquelle une organisation criminelle peut franchir votre périmètre, quel qu’il soit, à notre époque, et accéder aux biens est bien plus simple que ce que même moi j’aurais pensé lorsque je travaillais dans la communauté des renseignements », déclarait Justin Fier directeur de la cyberintelligence et des analyses chez Darktrace. « Cela m’inquiète que nous soyons en 2021 et que ces mots sortent même de ma bouche pour vous », assurait-il face à Samantha Schwartz. Ils ne se contentent plus de chiffrés les informations, ils visent avant tout à les exfiltrer, les crypter (en laissant des preuves convaincantes de la présence de l’attaquant dans le réseau), puis vient l’extorsion. Enfin, lorsque les rançons demandées ne sont pas payées ou que la cible refuse, il y a publication des données volées sur l’Internet (Web, DeepWeb, DarkWeb…). Car le but premier des opérateurs est de gagner de l’argent, ce par n’importe quel moyen. Puis, les attaques dissimulent peut-être des opérations à finalités commerciales, d’espionnages, ou encore comme le NotPetya à finalité destructrice.
À quand remonte le premier ransomware ?
À peine un mois après la chute du Mur de Berlin, entre le 8 et le 12 décembre 1989, 20 000 disquettes 51/4 d’information sur le sida ont été envoyées depuis Londres en Europe, en Afrique, en Scandinavie, en Australie… Les destinataires sont des délégués d’un congrès mondial sur le virus du sida, qui s’est tenu à Stockholm en octobre 1988. La disquette contenait un questionnaire interactif sur ledit virus. À l’intérieur un programme pernicieux de type cheval de Troie, connu sous le nom de PC Cyborg. Il est conçu pour crypter des sections du répertoire racine du disque dur d’un terminal. Eddy Willems travaillait pour une compagnie d’assurance en Belgique, don patron lui demanda d’en vérifier la teneur. Il s’en saisit, l’insère dans le lecteur prévu à cet effet. Ce n’est que bien plus tard, qu’il remarque qu’« il y avait un message à l’écran me demandant de payer. Il me demandait d’envoyer 189 dollars à une boîte postale au Panama, sinon je ne pourrais plus utiliser mon ordinateur », raconte-t-il.
L’information a été conté, le logiciel décortiqué, disséqué de fonds en comble par la revue Virus Bulletin de janvier 1990. Sur un document de vingt pages, les auteurs usent de l’ingénierie inverse ou rétro-ingénierie. (Crédits : Developpez.com)
Il éteint l’ordinateur et emploie une disquette de démarrage pour le relancer. Il a constaté que ses répertoires étaient toujours là, mais qu’ils étaient cachés et que les dénominations des fichiers avaient été remplacés par des chaînes de caractères aléatoires. Heureusement, le contenu de ses fichiers n’était pas altéré, seules leurs appellations semblaient bizarres. « J’ai pensé : c’était du chiffrement. Mais c’était complètement ridicule. Le programme n’avait pas été créé par un vrai informaticien », dit-il. Le disque d’information contenait deux fichiers de programme, install.exe et aids.exe, écrits en QuickBASIC 3.0 et compilés de manière standard avec le compilateur fourni (v5.60) explique le rapport de 20 pages. Les forces de l’ordre remontaient vers le biologiste évolutionniste de Harvard, Docteur Joseph Popp. Arrêté pour avoir diffusé le virus informatique, et plusieurs chefs d’accusation de chantage, il avait été déclaré mentalement inapte à être jugé. Il meurt dans un accident de la voie publique le 27 juin 2006.
Cela pourrait être un nouveau film à gros budget, mais ce n’est, in fine, qu’une réalité parmi tant d’autres. Dans l’hémisphère sud, c’est le Venezuela qui voit son système électrique puis bancaire attaqué. Tandis qu’en Suisse, des codes malveillants ont ciblé le canton de Vaud. Après la commune de Rolle, c’est la compagnie de navigation sur le Léman qui en fait les frais, ce une semaine avant la cinémathèque suisse qui a subi une agression de type ransomware, en date du 17 septembre 2021.
Tout a commencé le 30 mai 2021, lorsque l’administration de Rolle en Suisse essuyait une infection en bonne et due forme. Les opérateurs du groupe Vice Society sont à l’origine de celle-ci. « Il ne s’agit, en réalité, que d’une faible attaque. Nous avons sollicité l’aide de la Confédération et du Canton, qui nous ont demandé de rester discrets à ce sujet », affirme syndiqueMonique Choulat Pugnale. Elle est cheffe de l’exécutif et responsable de l’informatique de Rolle. De nombreux documents sont mis en ligne sur le Darknet. Des courriels, la planification financière… « On nous a piraté uniquement des mails, et ils ne contenaient aucune donnée sensible sur la Commune », assure-t-elle.
Les données de la commune de Rolle affichées par les opérateurs de Vice Society sont en libre accès. (Crédits : capture d’écran)
Les opérateurs derrière Vice Society ont ciblé pléthores de sociétés :
Au mois d’août, le gymnase de Payerne subit une attaque, avant la compagnie de navigation sur le lac Léman (CGN). « L’attaque n’a duré que quelques jours avant que nous sécurisions le plus rapidement possible notre site internet, indiquait la directrice vente et marketing, Florentine Baron Pailhès. Par souci de précaution, nous avons informé […] par courrier tous les clients qui avaient commandé des billets sur notre site depuis fin avril ». Enfin, c’est la Cinémathèque suisse qui a subi, vendredi 17 septembre 2021 une tentative d’extorsion par ransomware. Ce malgré la sécurité informatique en place et les mises à jour régulières de ses systèmes de pare-feu, spécifie l’institution. Ce qui engendre le blocage de serveurs et la messagerie indisponible.
Fondée en 1948, elle est reconnue par la Fédération internationale des archives du film (FIAF) comme l’une des dix plus importantes au monde. Cela par l’étendue, la diversité et la qualité de ses collections en sa possession. Son siège administratif, ses salles de projection se situent à Lausanne, dans le canton de Vaud. La dernière a immédiatement alerté la Confédération (Centre National pour la Cybersécurité, NCSC) ainsi que la Police cantonale. Une analyse complète de cette intrusion est menée par la société Kudelski pour identifier la faille qui a permis cette attaque. L’étude et le contrôle de l’ensemble du réseau et des serveurs affectés sont toujours en cours.
Attaque terroriste
Le Venezuela détient la première réserve mondiale prouvée de pétrole brut (302,25 Mds de barils, soit 1/5 ème des réserves mondiales) et les 4e de gaz naturel. Le pays dispose également de vastes ressources minières (or, bauxite, fer, nickel, charbon…) et hydrauliques, ainsi que d’un potentiel agricole important. « Nous voulons signaler une nouvelle attaque contre le système électrique national dans le cadre de ce plan de sabotage permanent, qui fait partie de la guerre multiforme que nous recevons constamment », a affirmé Néstor Reverol, ministre vénézuélien de l’Énergie électrique, dimanche soir 12 septembre 2021 à travers des déclarations téléphoniques à la chaîne publique Venezolana de Televisión. Il a indiqué que l’« attaque terroriste » a frappé la sous-station d’Aragua à Santa Cruz, dans la municipalité de José Ángel Lamas, et a provoqué une « perte de charge dans plusieurs États du pays, car il s’agit d’un système interconnecté ». « Nous avons déjà récupéré la charge dans toute la région de la capitale, nous sommes en train de la récupérer complètement dans les États de Zulia, Mérida, Táchira, Nueva Esparta et Falcón, qui ont été partiellement touchés », a-t-il ajouté. Or des pannes d’électricité sont enregistrées depuis 2010, date à laquelle le rationnement a commencé. Elles se sont aggravées en 2019, après une surcharge de la centrale hydroélectrique Simón Bolívar, laissant le pays sans électricité pendant plusieurs jours.
Puis, c’est le système monétaire qui est convoité affirme le gouvernement vénézuélien. Dans un communiqué publié vendredi, la vice-présidence sectorielle de l’économie a indiqué que l’attaque visait spécifiquement la plateforme de Banco de Venezuela S.A., la principale institution du pays, avec l’intention de violer les actifs des clients. « Cette attaque informatique a affecté les activités des usagers de la banque, qui n’ont pu recourir aux services bancaires, effectuer des opérations et disposer de leurs ressources sur leurs comptes […] nous condamnons fermement ces projets terroristes », peut-on lire. Selon la déclaration, le piratage massif « avait pour but de faire disparaître et d’altérer les données bancaires du système financier vénézuélien », mais, ajoute-t-il, le point central de la cyberattaque a été détecté et neutralisé. « Nous avons demandé au ministère public d’ouvrir une enquête pénale approfondie pour trouver les responsables de cette action criminelle contre le système fiduciaire national. Nous veillerons à ce que justice soit faite. »
Attaque mondiale
De plus en plus de médias font publicité des attaques par codes malveillants de type ransomware. Celles dirigées contre des infrastructures étatiques sont quotidiennes. Mais celle qui touchait l’Ukraine, puis le monde entier le 27 juin 2017 est sans commune mesure. Il est 8 h 16, lorsqu’une bombe explose sous le véhicule du colonel Maksim Chapoval, le tuant instantanément. L’officier du renseignement militaire avait été chargé de rassembler des preuves de l’implication russe dans la guerre du Donbass, qui a fait plus de 10 000 morts depuis avril 2014, raconte Numerama. En quelques heures, des lignes de codes malveillantes se répandent de la même manière qu’une traînée de poudre dans les réseaux informatiques du pays, puis à l’étranger comme en France dès 15 h.
Sur les systèmes d’information affectés, un message en lettres rouges annonce que les données importantes des utilisateurs sont cryptées, chiffrées. « Ooops , your important files are encrypted ». Et que moyennant la somme de 300 dollars, elles seraient de nouveau accessibles. (Crédits : DR)
La similitude avec le rançongiciel Petya, apparu en 2016 est flagrante, mais Kaspersky Lab dément très rapidement tout lien entre ce nouveau virus employant l’exploit EternalBlue et les versions Petya. Il devient NotPetya. Il est en fait un wiper, dont le but n’est pas l’extorsion, mais la destruction pure et simple des données informatiques, par effacement. L’état ukrainien avait précédemment enduré deux black-out, l’un en décembre 2015, le second une année plus tard. Existe-t-il une similitude entre l’attaque subie par l’Ukraine et le Venezuela ? L’enquête est en cours…
Déjà en 2019 Pierre Alonso écrivait dans Libération « Pour Caracas, l’auteur est tout trouvé. Il s’agit, sans surprise, des États-Unis, ont répété les responsables vénézuéliens, sans présenter la moindre preuve. Leur soupçon est néanmoins légitime. Washington a un motif. L’administration Trump a reconnu et publiquement soutenu l’opposant, Juan Guaidó. Exacerber le chaos dans le pays, dirigé par Maduro, en le privant d’électricité tend évidemment à affaiblir le président en exercice. L’arme informatique présente l’avantage d’être invisible et difficilement attribuable : l’idéal pour intervenir sans avoir l’air d’y toucher. »
Les vacances, même si l’été fut plus froid et humide qu’en 2014 a annoncé Météo France, sont belles et bien terminées. Les codes malveillants, ransomwares, phishing… eux ne sont pas véritablement restés en estivation. Les opérations d’attaque ont passablement épargné la France, à brûle-pourpoint. Le centre hospitalier d’Arles n’a quant à lui pas été ménagé par le groupe « Vice Society ». Dans le monde de « l’informatique », des petits nouveaux se montrent, certains affinent leur choix de cible, et d’autres sont prolifiques. Des fuites de données sont également légion.
Le 27 août 2021, des informations concernant 700 000 personnes étaient disponibles sur Francetest. Ainsi noms, prénoms, dates de naissance, adresses, numéros de téléphone, de sécurité sociale et courriel, ainsi que leurs résultats aux tests étaient accessibles jusqu’à vendredi grâce à « un mot de passe trouvable, en clair, dans un dossier accessible à tous » sur le site de Francetest, relatait Mediapart. Les membres du site « Jassume », eux frémissent outre-Atlantique depuis la mi-août.
Le site permet de faire des rencontres, mais d’échanger sur de nombreux sujets (sexualité, spiritualité, livres…). Le panel de coordonnées est alors plus qu’intéressant pour toutes personnes malintentionnées. (Crédits : capture d’écran)
Au total 272, 9 Mo de données affichant près de 800 000 utilisatrices et utilisateurs sont jetés en pâture au premier venu. « Le pirate informatique “M”, nous l’appellerons ainsi, est une référence dans son milieu. Ce professionnel du piratage et de la vente de données exfiltrées vient d’annoncer avoir suffisamment vendu la base de données du site pour adultes “Jassume” pour maintenant la diffuser publiquement », écrit Damien Bancal sur Zataz. Ces personnes devront, si ce n’est pas déjà le cas changer tous leurs mots de passe, de tous les sites qu’ils fréquentent. Car leurs identité, mot de passe, emploi, webcam, date de naissance et courriel sont compromis à différents niveaux. « J’ai découvert que des pirates russes avaient analysé le fichier et en avaient déduit que plus de 85 % des paires email/mot de passe était uniques, c’est-à-dire qu’elles n’avaient pas jamais été trouvées précédemment dans aucune autre fuite », martèle-t-il. D’autant qu’avec ces multiples données, les hameçonnages devraient se multiplier, et pas seulement. Les usurpations d’identité, fraudes bancaires…
Près de 800 000 identités ont été vendues de nombreuses fois avant d’être mises en libre accès. Elles sont les noms, prénoms, pseudos, adresses mail, professions, lieux de résidence, préférences spirituelles et sexuelles… (Crédits : capture d’écran)
L’opérateur T-Mobile attaqué
Le 17 août 2021, la société T-Mobile, filiale de Deutsche Telekom, avait confirmé être victime d’une cyberattaque qui a compromis les données de millions de clients. Selon la firme, les informations financières ne sont pas concernées. Seuls les noms, adresses, dates de naissance, permis de conduire, et cartes d’identité ont été ébranlés. « L’intention de cet individu était de s’introduire et de voler des données, et il a réussi, affirme Mike Sievert, PDG de T-Mobile. À ce jour, nous avons notifié à peu près tous les clients actuels de T-Mobile ou les titulaires de comptes principaux dont les données ont été compromises. »
T-Mobile a indiqué que les informations de 7,8 millions de clients (qui dénombre plus de 100 millions de clients) ont été dérobées. (Crédits : capture d’écran)
Bangkok Airways victime d’un vol
Le 23 août 2021, la compagnie aérienne avait découvert une intrusion dans ses systèmes d’information. L’enquête confirme que de nombreuses données personnelles ont pu être consultées, voir télécharger à des fins délictuelles. Trois jours plus tard, Bangkok Airways liste dans un communiqué les renseignements ultra-sensibles.
À savoir le prénom et nom du passager, sa nationalité, son sexe, son numéro de téléphone, son courriel, son adresse de domicile, les indications de son passeport, l’historique de ses voyages, sa carte de crédit et plus cocasse des informations sur ses repas spéciaux. La compagnie confirme toutefois que l’incident n’a pas affecté les systèmes de sécurité opérationnels ou aéronautiques de la multinationale. « La compagnie recommande vivement aux passagers de contacter leur banque ou leur fournisseur de carte de crédit, de suivre leurs conseils et de changer tout mot de passe compromis dès que possible. »
En France, les entreprises Solware et Vivea basées respectivement à Dardilly et Paris ont été infectées par les opérateurs derrière le ransomware « CONTI/Ryuk ». Vivea spécialisé dans l’accompagnement de chefs d’entreprise agricole et leurs conjoints collaborateurs dans le développement de leurs compétences voit près de 97 GB de données ainsi exposées. Sans oublier la société Alispharm attaquée par le ransomware Everest.
Les opérateurs derrière les ransomwares développent des outils pour s’adapter aux différentes contre-mesures mises en place par les établissements de sécurité. Il est plus que nécessaire de repenser nos habitudes envers nos procédés du quotidien. (Crédits : capture d’écran)
L’entreprise Solware vit un enfer comme ses clients, car près de 900 GB de données sensibles sont en libre accès suite au non paiement de la rançon exigée par les attaquants. Elles sont pléthores et sensibles :
documentation financière (états financiers, documents comptables, fiches de paie contenant des données confidentielles, paiements)
les contrats avec les partenaires (contrats, accords, bases de clients)
données sur vos développements (code source, modifications, description)
les archives de la correspondance par courrier
la documentation de travail de l’entreprise (stratégie, plans)
BlackMatter, AvosLocker, LOCKBIT2.0…
De nouveaux groupes criminels affichent de nombreuses attaques de par le monde. «LockBit 2.0 » est l’un des plus prolifiques avec 75 entreprises au tableau de chasse telles que Brunsrealty (USA), Pro-Beam (ALL), Seiei-Ashd (JAP), Pridepak (AFS), Softvision (BRE), Bangkokair (THA), Hellmich-Partner (ALL), Ethiopianairlines (ETH), Lemonastere (CAN)… « BlackMatter » revendique des attaques contre Georgia Healthcare Alliance, The Brokerage Lanc Company, One Source, Tasteful Selections, Diamond Schmitt, Enreach UK Ltd… « AvosLocker » se lance tous azimuts. Il se revendique d’avoir attaqué On Logistics Services Algeciras en Espagne, Homme in Brussels en Belgique, Coghlin Electrical Contractors et Master Fluid Solutions aux USA, et Artaş Grubu en Turquie.
« Marketo » infecte le second fabricant européen d’aérogénérateurs, Siemens Gamesa Renewable Ernergy en Espagne et l’entreprise française Giga Tribe. Cette dernière propose des solutions de stockages et d’échanges sécurisés de fichiers à plus de 1, 7 millions d’utilisateurs, et permet par exemple d’effectuer des échanges confidentiels, en particulier d’échanger de gros fichiers. Ne soyons pas dupes, les opérateurs ne tombent pas par hasard sur telle ou telle entreprise. Elles sont choisies par les ressources proposées et les données contenues, c’est un jeu de poupée russe où l’espionnage industriel se vit à une autre échelle, une autre dimension. L’ère des « Technobandit » est ouverte. Ils sont des personnes, comme des groupes qui volent des secrets technologiques (par exemple au gouvernement ou sur un lieu de travail) pour les vendre à des agents de gouvernements étrangers ou à des entreprises concurrentes. Des affaires comme Pegasus ou le passé d’individus tel Xavier Niel…
Les hôpitaux de l’oncle Sam ont été la cible de ransomware ces derniers jours, mais pas seulement. Des dizaines d’hôpitaux et de cliniques de Virginie-Occidentale, de l’Ohio et de l’Indiana sont dans l’obligation d’annuler des opérations chirurgicales, à la suite d’infections par ransomware. La journaliste de Fox News, Jacqui Heinrich révèle que le département d’État américain a récemment été touché par une cyberattaque et le Cyber Command du département de la Défense a été informé d’une possible violation grave.
Dans le Midwest, c’est la pagaille depuis quelques jours, car une infection par code malveillant a ciblé plusieurs groupes hospitaliers, dont certains très tôt dans la matinée du 15 août 2021. Selon son site Web, l’attaque a entraîné des perturbations dans les opérations cliniques et financières, a déclaré Memorial Health System (MHS) dans un communiqué du 18 août. « Nous sommes constitués d’un réseau de sites et de spécialités fournis par plus de 3 000 employés qui comprennent trois hôpitaux (Marietta Memorial Hospital, Selby General Hospital et Sistersville General Hospital), des sites de services ambulatoires et des cliniques de prestataires », explique Scott Cantley, président-directeur général de MHS. En effet l’ensemble hospitalier regroupe 325 prestataires représentant 64 cliniques, réparties dans le sud-est de l’Ohio et dans certaines parties de la Virginie occidentale, est retourné au papier et crayon. « Le maintien de la sécurité de nos patients et de leurs soins est notre priorité absolue et nous faisons tout notre possible pour minimiser les perturbations, déclare le 15 août 2021 le PDG. Le personnel de nos hôpitaux – Marietta Memorial, Selby et Sistersville General Hospital – travaille avec des dossiers papier pendant que les systèmes sont restaurés et les données récupérées. »
Les personnels de santé n’ont plus accès aux données des patients, de chaque service ni hôpitaux. Ils travaillent en mode dégradé, à savoir papier et crayon, ce qui rend leurs tâches quotidiennes plus que compliquées. (Crédits : iStock)
La conséquence correspond à ce que des dizaines d’hôpitaux et de cliniques de Virginie-Occidentale et de l’Ohio annulent des opérations chirurgicales et détournent des ambulances. En effet, l’attaque par ransomware a privé le personnel de l’accès aux systèmes informatiques dans la quasi-totalité de leurs activités. « Nous continuerons à accepter : STEMI, STROKE et TRAUMA à l’hôpital Marietta Memorial, ont déclaré les responsables dans un communiqué. Il est dans l’intérêt de tous les autres patients d’être transportés vers l’établissement le plus proche. Si tous les hôpitaux de la région sont déviés, les patients seront transportés au service d’urgence le plus proche du lieu de l’urgence. Cette déviation se poursuivra jusqu’à ce que les systèmes informatiques soient rétablis. »
C’est à partir de minuit dimanche 15 août 2021 que les trois hôpitaux ont commencé à transférer les patients en urgence au Camden Clark Medical Center. Cet établissement qui se trouve à une heure de route du Sistersville General compte 25 lits. Camden Clark se situe à environ 25 minutes de route des deux autres hôpitaux du MHS touchés. Une dernière institution touchée, qui dispense des soins intensifs, est une salle d’urgence autonome du Belpre Medical Campus à Belpre, dans l’Ohio. La plupart des établissements du consortium ont également annulé toutes les opérations chirurgicales et les examens radiologiques non urgents pour lundi et conseillent aux patients qui ont un rendez-vous avec un chirurgien ou un spécialiste lundi d’appeler à l’avance.
Les opérateurs derrière « Vice Society » arborent comme des trophées les sites infectés et leurs données. (Crédits : capture d’écran)
« Les soins aux patients ont continué à être notre priorité absolue, ajoute M. Cantley. Bien que plusieurs de nos systèmes aient été en panne, nous avons mis en place des processus solides pour maintenir des soins aux patients sûrs et efficaces. Nous réagissons collectivement conformément à notre processus et à nos politiques bien planifiés pour ce type d’événement. » Pour l’instant, aucune information personnelle ou financière d’un patient ou d’un employé n’a été compromise. MHS a parlementé avec les attaquants avec l’aide du FBI, de Homeland Security et des compagnies d’assurance, a déclaré Jennifer Offenberger, vice-présidente du groupement, lors d’une interview à FOX Business, ajoutant que « c’était un ransomware. Nous avons une solution négociée ».
L’hôpital Eskenazi asservi par ransomware
Eskenazi Health est un prestataire de services de santé qui exploite un hôpital de 315 lits, des établissements d’hospitalisation et des centres de santé communautaires à Indianapolis, aux États-Unis. Ils ont été victimes d’une attaque par ransomware le 11 août 2021, vers 3 h 30 du matin. La gravité de l’attaque l’a conduit à refuser des ambulances, et ainsi à détourner des patients vers d’autres hôpitaux, dès 7 h 51. Toutefois, l’autorité sanitaire a déclaré qu’aucune donnée concernant les employés ou les patients n’avait été compromise, écrivait le docteur Tim Sandle, le 11 août 2021. Or, depuis, les opérateurs de « Vice Society » affichent les données médicales complètes (voir ci-dessous). Bien que l’hôpital accepte, les patients qui se présentent d’eux-mêmes au service des urgences et les accouchements, les ambulances sont toujours invitées à se rendre ailleurs, a déclaré le porte-parole de l’hôpital Todd Harper.
Les données affichées sont en libre accès. Elles exposent l’hôpital, les patients, mais tout autant que les personnels. (Crédits : capture d’écran)
Gary Ogasawara, directeur technique de Cloudian, indique que ce genre d’attaque met à rude épreuve un secteur déjà mis à mal par la situation actuelle : « Les organisations chargées de protéger la vie des patients n’ont pas le temps de s’inquiéter de cybermenaces qui pourraient mettre à mal l’ensemble de leur système. » L’offensive démontre que de nouvelles approches sont nécessaires pour empêcher (ou réduire les impacts) que ce type d’incident ne se produise à l’avenir. Selon Ogasawara : « Malgré les efforts considérables déployés par le secteur de la santé pour se défendre contre ces menaces, cet événement illustre la réalité : les défenses traditionnelles, telles que les solutions de sécurité périmétrique, sont inévitablement insuffisantes face à des attaques de ransomware de plus en plus sophistiquées. » Les attaques de type ransomware contre les hôpitaux sont devenues de plus en plus fréquentes ces dernières années et les systèmes de soins de santé et hospitaliers sont parmi les plus durement touchés des industries. En France, c’est le centre hospitalier d’Arles qui était touché par une infection virulente d’après Le Parisien. Qui plus est par les mêmes opérateurs derrière le ransomware « Vice Society », un accord aurait peut-être été conclu, car l’hôpital français n’apparaît plus sur le site de fuites ce dimanche 22 août 2021. « C’est la première fois qu’Eskenazi subit une cyberattaque de ce type. Si un patient a un rendez-vous ou une procédure prévue, et qu’il doit être reprogrammé, l’hôpital le contactera », a déclaré Todd Harper.
Au chevet d’un patient très important
Samedi 21 août 2021, la journaliste, Jacqui Heinrich, de Fox news révèle que le département d’État américain a récemment été touché par une « cyberattaque » et le Cyber Command du département de la Défense a été informé d’une possible violation grave. La date de la découverte de la faille n’est pas précisée, pour autant il semble qu’elle est eu lieu il y a quelques semaines, selon le fil Twitter de la journaliste.
Il existe chaque jour des millions d’attaques dites « informatiques » à travers le monde. Elles peuvent être par de différentes manières comme par dénis de service (DDoS). (Crédits : DR)
Sans confirmer un quelconque incident, une source bien renseignée a déclaré à Reuters que le département d’État n’avait pas connu de perturbations importantes et que ses opérations n’avaient pas été entravées de quelque manière que ce soit. À savoir que la mission en cours du département d’État visant à évacuer les Américains et les réfugiés alliés en Afghanistan « n’a pas été affectée ». On ne sait pas exactement quand la violation a été découverte, mais on pense qu’elle s’est produite il y a quelques semaines. L’étendue de la brèche, l’enquête sur l’entité suspectée d’être à l’origine de cette brèche, les efforts déployés pour l’atténuer et tout risque permanent pour les opérations restent flous. « Le Département prend au sérieux sa responsabilité de protéger ses informations et prend continuellement des mesures pour s’assurer que les informations sont protégées. Pour des raisons de sécurité, nous ne sommes pas en mesure de discuter de la nature ou de la portée de tout incident présumé de cybersécurité à l’heure actuelle », a déclaré un porte-parole du département d’État dans un communiqué. Le département d’État a été touché par une cyberattaque, et le Cyber Command du département de la défense a été informé d’une possible violation grave.
