Étiquette : ransomware

Assureurs et cyberassureurs attaqués par ransomware
La firme japonaise, Tokio Marine Holdings, a dévoilé lundi 16 août 2021 avoir subi une attaque par code malveillant de type ransomware auprès de sa branche de Singapour. La branche visée est celle du plus important assureur japonais de biens et de risques divers. C’est à minima le troisième grand assureur à annoncer une infection par ransomware au cours des derniers mois, après CNA et AXA. De cette fin d’août, c’est le second cette semaine, avec Ryan Specialty Group — qui vient de lancer une introduction en bourse — à révéler un cyberincident.
La multinationale qui possède une division aux États-Unis et propose un produit de cyberassurance a déclaré ne pas avoir d’indication immédiate que des informations sur ses clients aient été violées. De telles données pourraient être une mine d’or pour les opérateurs malveillants, pour eux-mêmes ou des employeurs possibles, qui pourraient les utiliser à des visées d’extorsion, d’espionnage, de pression… ce en fonction du montant des couvertures des potentielles victimes. Tokio Marine Holdings a annoncé que sa branche de Singapour, Tokio Marine Insurance Singapore (TMiS), a été touchée par une attaque de ransomware. « Nous nous excusons sincèrement pour tout désagrément et toute préoccupation causés à nos clients ou aux parties liées, a déclaré Tokio Marine. Le groupe a pris des mesures de sécurité de l’information jusqu’à présent et s’efforcera de faire des efforts supplémentaires pour garder les informations de nos clients ainsi que nos informations confidentielles protégées. » L’entreprise japonaise a affirmé qu’elle tentait toujours de déterminer l’étendue des dommages et avait engagé un fournisseur externe pour l’aider. La société a déclaré qu’elle avait isolé le réseau affecté et qu’elle avait prévenu les forces de l’ordre locales.
Le président de l’assureur japonais Tokio Marine Holdings, Tsuyoshi Nagano, s’adressant aux médias en 2015. (Crédits : JIJI PRESS/AFP via Getty Images)
C’est au moins le troisième grand assureur à révéler une attaque par ransomware au cours des derniers mois, après CNA et AXA. Et c’est le deuxième cette semaine, avec Ryan Specialty Group (RSG), après son introduction en bourse, à dévoiler un cyberincident.
Le 21 mars 2021, CNA Financial Corporation (septième compagnie d’assurance commerciale aux États-Unis) souffrait une infection par codes malveillants. Elle avait été ciblée par le ransomware « Phoenix CryptoLocker », qui hors mis d’avoir crypté 15 000 appareils sur le réseau, avait également volé des fichiers contenant des informations sur les clients. L’assureur américain révélait dans une déclaration que « l’ANC a déterminé qu’elle avait subi une offensive de cybersécurité sophistiquée. L’attaque a provoqué une perturbation du réseau et a eu un impact sur certains systèmes de l’ANC, y compris le courrier électronique de l’entreprise ». Une source avait divulgué à BleepingComputer que Phoenix Locker serait une nouvelle famille de ransomware publiée par Evil Corp, en raison de similitudes dans le code, rédigeait Lawrence Abrams, dans son article.
Le ransomware « Avaddon » a depuis disparu des radars, laissant la place à de différents opérateurs derrière les noms de Grief, AvosLocker, ou encore LockBit. (Crédits : Capture d’écran)
Quasiment un mois, jour pour jour, le 16 mai 2021, les succursales du géant AXA basées en Thaïlande, en Malaisie, à Hong Kong et aux Philippines ont été frappées. « Vous pouvez nous féliciter pour l’attaque réussie de l’entreprise, nous avons crypté AXA Asia dans les pays suivants : Thaïlande (Krungthai-AXA), Philippine AXA investment, Hong Kong et Malaisie », se congratulaient les opérateurs. Ils revendiquaient posséder 3 To de données d’ordre médical (Antécédents, y compris des comptes rendus sur le VIH, l’hépatite, les MST et d’autres maladies), les réclamations des clients, les paiements aux clients, toutes les pièces d’identité des clients, comptes bancaires et tous les documents scannés des clients…
Vos opérateurs ciblent-ils les organisations qui ont une cyber-assurance ? Oui, c’est l’un des morceaux les plus savoureux.
REvil
L’attrait pour les compagnies d’assurance a été expliqué par un représentant des opérateurs du ransomware « REvil » dans une interview accordée à Dmitry Smilyanets, analyste du renseignement chez Recorded Future : « Oui, c’est l’un des morceaux les plus savoureux. Il faut surtout commencer par pirater les assureurs pour obtenir leur base de clients et travailler de manière ciblée à partir de là. Et après avoir parcouru la liste, il faut attaquer l’assureur lui-même ». Ces derniers temps, les cyberassureurs ont entamé une série de questions plus détaillées sur les mesures de protection en matière de cybersécurité des assurés avant de leur octroyer une couverture. Mais la succession d’attaques réussies récentes suggère que les compagnies pourraient elles aussi devoir renforcer leurs défenses.
La société de courtage nouvellement cotée en bourse RSG a fait état, lundi 16 août 2021, d’un incident de sécurité des données survenu aux alentours du 17 avril 2021. Elle a pris connaissance d’une « activité inhabituelle » liée à certains comptes de messagerie de salariés et diligentait une enquête qui s’est achevée le 30 juin 2021. L’entreprise déterminait que certaines boites mail d’employés avaient été lues sans permission entre le 4 et le 20 avril 2021. Il a été montré que certaines informations propres concernant un nombre limité de personnes étaient accessibles, mais pas nécessairement consultées par des individus non autorisés.
Ryan Specialty Group est une organisation internationale d’assurance spécialisée qui fournit des solutions innovantes aux courtiers, agents et compagnies d’assurance. (Crédits : DR)
Les informations accessibles comprenaient les :
- noms
- numéros de permis de conduire
- numéros de sécurité sociale
- informations sur les comptes financiers
- numéros de passeport
- informations médicales
- informations sur l’assurance maladie
- numéros d’identification délivrés par le gouvernement
- numéros d’identification fiscale
- noms d’utilisateur, email et mots de passe
- dates de naissance de certaines personnes
L’annonce intervient quelques semaines seulement après que RSG ait fait ses débuts en tant que société publique. Les actions de Ryan Specialty Group Holdings Inc. ont augmenté de 9 % à la Bourse de New York le 23 juillet dernier, ce qui a donné une capitalisation boursière de 6,5 milliards de dollars à l’entreprise de courtage d’assurance fondée et dirigée par le vétéran de l’industrie Patrick Ryan. Il n’est pas le seul courtier d’assurance à signaler des incidents de données. L’automne dernier, le courtier Arthur J. Gallagher a fait état d’une attaque par ransomware survenue entre le 3 juin 2020 et le 26 septembre 2020. Depuis, il fait face à une poursuite judiciaire (suite à l’infection par ransomware survenue entre le 3 juin 2020 et le 26 septembre 2020), principalement par deux anciens employés (Jason Myers, de Californie, et John Parsons, de Louisiane). Les plaignants allèguent que Gallagher n’a pas respecté les normes gouvernementales fédérales et étatiques ainsi que les normes de l’industrie pour protéger leurs informations personnelles. Ils affirment qu’eux-mêmes, des clients et d’autres salariés de Gallagher ont subi des préjudices, ont engagé des frais et sont confrontés à la perspective d’un « risque actuel et imminent de vol d’identité à vie ».
Comme souvent outre-Atlantique, les litiges se terminent devant la cour, en bataille pour des dommages et intérêts. Le procès s’intitule Myers v. Arthur J. Gallagher. La plainte a été déposée auprès du tribunal de district des États-Unis pour le district nord de l’Illinois. (Crédits : DR)
La société incriminée a déclaré qu’elle avisait les individus potentiellement concernés et offrait gratuitement des services de surveillance du crédit et de protection de l’identité pendant 24 mois par l’intermédiaire d’Experian à ceux dont les informations intimes étaient accessibles dans les comptes de messagerie au moment de l’incident. Ce qui, selon les requérants, est « totalement inadéquat ». Ils réclament des dommages-intérêts compensatoires, statutaires, nominaux et punitifs, des frais de justice et des services de surveillance du crédit, mais pas seulement. Les plaignants demandent au tribunal d’ordonner à Gallagher de faire tester régulièrement la sécurité de son réseau par des tiers, d’améliorer la formation de son personnel de sécurité et d’acheter ou de financer des services de surveillance du crédit pour ses clients.
août 20, 2021
La Suisse ciblée par des ransomwares
Peu encore touchée, la Suisse a fait l’objet d’attaques par ransomware cet été. Différentes entreprises dans des domaines aussi divers que variés sont devenues des proies. Le comparateur en ligne Comparis, le fabricant de machines pour l’entretien des voies ferrées, Matisa, sans oublier les composants de Huber+Sühner, l’horloger Swatch Group, les stores Griesser. Comparis et Credaris ont d’ores et déjà avisé les autorités de poursuite pénale.
Toutes travaillent en étroite collaboration avec leurs unités spécialisées en cybercriminalité. « Une plainte contre inconnu a été déposée », communique le groupe Comparis et Crédaris. La compagnie avec 80 millions de visites quotidiennes a contrairement à ce qu’elle avait initialement affirmé, a bel et bien versé une rançon (NDLR 400 000 euros réclamés en juillet 2020) aux opérateurs qui avaient paralysé ses systèmes, révèle Le Temps.
La firme suisse twittait, le 8 juillet 2021, que le CEO Steven Neubauer s’exprimerait à la télévision. (Crédits : capture d’écran Twitter)
Imaginez maintenant le scénario suivant : « Vous apprenez soudain que votre assurance s’est fait voler toutes vos données personnelles. On retrouve ainsi, en libre accès sur le web, vos dernières analyses médicales effectuées dans un laboratoire. Tout comme la liste de vos achats au supermarché, ainsi que l’ensemble de votre correspondance avec votre notaire. La raison est simple : toutes ces entreprises, basées en Suisse, se sont fait pirater, écrit Anouch Seydtaghia, dans Le Temps. Depuis longtemps, l’alerte est donnée, avec raison, par des experts […] à force de crier au loup, plus personne n’y prête attention. Or les hackers ciblent aujourd’hui la Suisse avec une violence jamais atteinte. »
Au sein du darknet, le groupe derrière le ransomware « Grief » affiche les preuves de son infection. (Crédits : capture d’écran)
Les opérateurs derrière le ransomware « Grief » revendiquent l’infection du fabricant de machines pour l’entretien des voies ferrées. Sur le site de l’entreprise, un message précise que « Matisa a été ce 20 Juillet 2021 la cible d’une cyberattaque de type rançongiciel (ransomware). À la suite de cette attaque, une partie des systèmes d’informations ont été bloqués ou isolés du réseau informatique par mesure de sécurité. » Ainsi le site de comparaison zurichois Comparis, Swatch Group (en 2020), le constructeur d’hélicoptères Kopter par le ransomware « Lockbit » (en 2020), l’entreprise électrique Huber + Suhner (en 2020), le groupe médical Hirslanden ont subit des attaques par codes malveillants.
La série d’attaques par ransomware se poursuit
Jeudi 12 août 2021, le groupe de cliniques privées Pallas est infecté. Présent dans une vingtaine de communes en Suisse alémanique, le réseau spécialisé dans la chirurgie plastique et oculaire annonçait l’attaque sur son site web, en précisant sur le bandeau que « nous ne sommes actuellement joignables que par téléphone au numéro +41 58 335 00 00. Nous vous remercions de votre compréhension et vous prions de bien vouloir nous excuser pour tout désagrément. » Grâce au déploiement immédiat d’experts en sécurité internes et externes ainsi que des autorités responsables, le problème avait été rapidement identifié et est maintenant traité par « nos spécialistes à toute vitesse », rassure la société.
Le site du groupe de cliniques spécialisées opère à rétablir les infrastructures. Aucune rançon n’a été mentionnée. (Crédits : capture d’écran)
Les renseignements des patients n’auraient pas été affectés, selon le communiqué. Les employés de la clinique ont toutefois été incapables d’accéder aux données des patients, car elles avaient été chiffrées, a précisé une porte-parole de la société. Les interventions chirurgicales se déroulent néanmoins normalement. Avec l’aide d’experts en sécurité internes et externes ainsi que celle des autorités compétentes, le groupe a pris des mesures contre l’attaque. Les hôpitaux sont confrontés à un conflit d’objectifs, écrit le centre national pour la cybersécurité suisse (NCSC), à savoir « investir le plus d’argent possible dans la santé afin de soigner les patients, mais ne pas négliger la sécurité informatique ».
août 17, 2021
La cyberguerre de l’Or noir
Des documents classifiés, qui proviendraient d’Iran, révèlent des recherches secrètes sur la manière dont une cyberattaque pourrait être utilisée pour couler un cargo ou faire sauter une pompe à essence dans une station-service. Les fichiers internes, obtenus par Sky News, comprennent également des informations sur les dispositifs de communication par satellite employés par l’industrie maritime mondiale, ainsi qu’un système informatique qui contrôle des éléments, tels que les lumières, le chauffage et la ventilation dans les bâtiments dits « intelligents » du monde entier.
Les documents semblent révéler un intérêt particulier pour la recherche d’entreprises et d’activités dans les pays occidentaux, notamment le Royaume-Uni, la France et les États-Unis. Une source de sécurité ayant connaissance de la liasse de 57 pages, composée en cinq rapports, a déclaré qu’elle avait été compilée par une unité cybernétique offensive secrète, appelée « Shahid Kaveh ».
Attaques ciblées d’une précision chirurgicale
Celle-ci fait partie du commandement cybernétique d’élite du Corps des gardiens de la révolution islamique (IRGC) de l’Iran. Les opérations seraient dirigées par un individu qu’il nomme Hamid Reza Lashgarian. Sky News, relate la source qui a confié les documents, sous couvert d’anonymat, croit que Téhéran récolte ces informations pour identifier les objectifs d’éventuelles cyberattaques. « Ils créent une banque de cible à utiliser au moment opportun ». L’ambassade d’Iran à Londres n’a pas répondu à une demande de commentaire sur ces allégations, souligne la télévision britannique.
Sur la plupart des dossiers figure une citation qui semble être celle du Guide suprême iranien, Ali Khamenei. Elle se lit comme suit : « La République islamique d’Iran doit devenir l’un des pays les plus puissants du monde dans le domaine de la cybernétique. », explique Deborah Haynes.
De plus la mention « Hautement confidentiel » trône en tête de chaque rapport. « Ils sont censés être plutôt clandestins. Ils travaillent sur des cyberopérations offensives à l’échelle mondiale », déclarait la source. (Crédits : capture d’écran YouTube)
Seules deux des pièces comportent une date d’achèvement. L’un, qui porte sur ce que l’on nomme un système de gestion de bâtiment — qui contrôle des choses les lumières, le chauffage et la ventilation dans les bâtiments intelligents — est du 19 novembre 2020. Les premières inspections et compilations des données sembleraient authentifier les documents.
L’autre, porte sur une entreprise allemande, WAGO qui produit des composants électriques, est daté du 19 avril 2020. Or, le 8 juin 2021, Eduard Kovacs relate, sur securityweek, « deux vulnérabilités découvertes dans des contrôleurs industriels fabriqués par WAGO, une compagnie allemande spécialisée dans les solutions de connexion électrique et d’automatisation, peuvent être exploitées pour perturber les processus technologiques, ce qui, dans certains cas, pourrait entraîner des accidents industriels, selon la société russe de cybersécurité positive Technologies. »
Le message transmis semble clair, la République Islamique d’Iran veut peser dans le cyberespace. (Crédits : capture d’écran YouTube)
Les vulnérabilités ont été repérées dans l’automate programmable (PLC) WAGO PFC200 et ont été corrigées par le fournisseur. L’une des failles, identifiée comme CVE-2021-21001 (classée critique), a été décrite comme un problème de traversée de chemin lié à un composant CODESYS utilisé par l’appareil. Elle permet à un attaquant authentifié, ayant une entrée réseau au dispositif ciblé, d’accéder à son système de fichiers avec des privilèges élevés, ce, en envoyant des paquets spécialement conçus.
« En exploitant cette vulnérabilité, les attaquants peuvent accéder au système de fichiers de l’automate avec des droits de lecture et d’écriture. Les modifications du système de fichiers de l’automate peuvent entraîner une perturbation des processus technologiques et même conduire à des accidents industriels », explique Vladimir Nazarov, responsable de la sécurité ICS chez Positive Technologies. Le second problème, identifié comme CVE-2021-21000, affecte l’organisme iocheckd de WAGO. Il est conçu pour vérifier les entrées/sorties de l’API et afficher la configuration de l’API. Un attaquant non authentifié ayant un accès réseau à l’appareil peut tirer parti de cette faille pour provoquer une condition de déni de service. Les lignes indiquent de nombreuses informations sur les tankers, ainsi que les pompes à essence. (Crédits : capture d’écran YouTube)
Deux études, l’une sur les pompes à carburant dans les stations-service et l’autre sur les communications maritimes, comportent des captures d’écran d’analyses (prises sur l’Internet) datant de l’année précédente. Les auteurs semblent s’appuyer sur des recherches de sources ouvertes plutôt que sur des informations privilégiées. Par diagramme les rapports illustrent un navire stable dans l’eau, un autre un bateau incliné sur un côté, un dernier montrait comment des commandes pouvaient être envoyées à distance depuis un centre de contrôle à terre via une liaison satellite. Le rapport stipule que : « Ces pompes sont utilisées pour amener l’eau dans les réservoirs […]. Tout problème pourrait entraîner le naufrage du navire ».
Le mat du couloir
Le plus récent des documents porte sur les dispositifs de gestion des édifices. Ceux-ci reflètent les systèmes informatiques qui contrôlent l’éclairage, la ventilation, le chauffage, les alarmes de sécurité et de diverses fonctions dans un bâtiment dit « intelligent ». Les feuillets énumèrent les entreprises qui assurent ces services. Parmi elles, Honeywell aux États-Unis, le groupe français d’équipement électrique Schneider Electric, le géant allemand Siemens et KMC Controls. Le rapport le plus long (22 pages) portait sur des équipements électriques fabriqués par la société allemande WAGO, mais pas seulement. Le premier, Seagull 5000i, fournit des services de téléphone, de télécopie et d’autres données via une liaison satellite.
Le système d’intérêt suivant est appelé Sealink CIR. Le majeur objectif de ce dossier n’était qu’une recherche de documentation sur deux dispositifs, annoté d’un tableau de résultat grâce à des « Google dork ». Suite à ces révélations, la journaliste Déborah Haynes interrogeait le général Sir Patrick Sanders, principal officier militaire chargé de superviser les cyberopérations britanniques, sur l’ampleur de la menace que représente l’Iran dans le cyberespace. « Ils font partie des cyberacteurs les plus avancés. Nous prenons leurs capacités au sérieux. Nous ne les surestimons pas. C’est un acteur sérieux et il s’est comporté de manière vraiment irresponsable dans le passé », répondait-il.
Comme un joueur d’échecs, placer ses pièces possède une importance stratégique. Il serait manqué de discernement en pensant que les opérateurs des différents pays ne choisissent pas leurs finalités. L’Iran avait subi l’une des premières cyberattaques connues, avec le ver informatique Stuxnet. (Crédits : DR)
Les soupçons d’organisation de l’opération « Olympics Games » se portent vers les Israéliens et les Américains. Le but fut l’attaque des centrifugeuses d’enrichissement d’uranium, à Natanz en 2010. Des opérateurs informatiques liés à l’Iran sont soupçonnés d’avoir ciblé le parlement britannique en 2017, le résultat est que des milliers de comptes de messagerie, y compris ceux de députés, avaient été affectés.
En mai 2020, les ordinateurs du terminal portuaire iranien de Shahid Rajee ont « planté », provoquant l’arrêt du trafic, à la suite d’une cyberattaque qui semblerait provenir d’Israël. Celle-ci aurait été menée en représailles à une tentative iranienne de piratage des systèmes d’approvisionnement en eau d’Israël. Ainsi, chaque pays entreprend, ce, pour diverses raisons, de connaître les tenants et aboutissants des projets des ennemis, des alliés… Outre l’intervention iranienne, d’autres cyberattaques comptent. L’offensive massive de Solarwinds, qui a téléchargé un virus sur des milliers d’appareils informatiques du gouvernement américain, et l’infection par ransomware, sur Colonial Pipeline. Le dernier évènement est celui dit « Pégasus », qui révèle que le Maroc aurait utilisé un produit de la firme israélienne NSO, ce que condamne l’Algérie. Seraient-ce les seuls à effectuer de genre d’opérations ? (Crédits : DR)
Non ! Depuis que les systèmes d’information envahirent l’espace public, comme privé, des personnes bien, comme malintentionnées, testaient leurs vulnérabilités. Ainsi, il y a près de 30 ans en France, une affaire atypique défraie la chronique au début des années 1990. Dans le service des soins intensifs, d’un hôpital parisien, une femme se trouve entre la vie et la mort. Ses fonctions vitales sont gérées informatiquement. La femme décédera sans qu’aucune alarme n’ait retenti. Après des mois d’enquête, l’époux de la victime est arrêté, soupçonné d’avoir éteint l’alarme… à distance par ordinateur. L’histoire digne d’un film d’espionnage est pourtant bien réelle et paraît tirée d’un film de série Z en 2021. Dans leur rapport, les policiers parlaient « d’une modification criminelle des seuils d’alarme d’une centrale informatique dans un hôpital ». Cet acte intentionnel a même entraîné la mort d’une seconde personne, le voisin de chambre de la victime. Un cas alors inédit en France.
juillet 27, 2021
Prenez garde à l’usurpation de vos e-mails
Le 10 juillet 2021, une enquête, débutée il y a plus d’un an après de multiples plaintes, a débouché sur l’arrestation de seize personnes à travers toute l’Espagne. Les prévenus sont détenus pour des délits présumés de fraude et d’appartenance à une cellule criminelle. La « Guardia Civil » a démantelé un réseau d’escroqueries sur Internet qui usurpaient l’identité de la direction générale de la circulation (DGT) et de la Poste, entre autres. Des techniques de phishing et de spoofing sur de nombreuses victimes sont mises en place.
Une opération de Police aboutie à l’arrestation de 16 personnes à travers la péninsule ibérique. De l’usurpation d’identité aux courriels, pour détourner de fortes sommes d’argent à l’insu des victimes. « Aguas Vivas » de la Guardia Civil (Gendarmerie en France) triomphe d’une entente de malfaiteurs dédiée à la réalisation de malversations sur Internet.
La Guardia Civil démantèle un réseau d’escrocs
Cette opération a permis l’arrestation de 16 personnes dans diverses villes de la péninsule Ibérique. Elles s’effectuent à Ribeira, Madrid, Parla et Móstoles, Seseña, Villafranca de los Barros et Aranda de Duero pour les délits présumés d’escroquerie et d’appartenance à une organisation criminelle. Ils recouraient au spoofing (technique d’usurpation d’adresse de courriel), selon les forces de l’ordre espagnoles.
L’agence nationale de la sécurité des systèmes d’information (ANSSI) la définit par l’« action malveillante qui consiste à utiliser délibérément l’adresse d’un autre système en lieu et place de la sienne ».
Les gendarmes de l’Internet ajoutent que cette action doit être rapprochée de l’usurpation d’identité, considérée comme un délit par le droit pénal français. L’idée est de faire passer son système d’information pour un autre. L’adresse usurpée peut être une adresse MAC (Media Access Control), une adresse IP (Internet Protocol), une adresse de messagerie, etc.
Le nombre d’e-mails envoyés par jour avoisine les 293 milliards en 2019, les prévisions pour l’année 2022 ciblent 347 milliards. Cela représente 1,4 milliard en France, sachant que chaque français possède, en moyenne, plus de deux comptes. (Crédits : PublicDomainPictures/Pixabay)
Un groupe criminel structuré et hiérarchisé. Les escrocs présumés auraient installé un « logiciel » malveillant sur l’ordinateur de leurs multiples victimes en utilisant cette technique de spoofing. C’est-à-dire l’envoi frauduleux d’e-mails à travers lesquels les attaquants supplantaient l’identité d’organismes, tels que l’Agence des impôts, le Trésor public, la DGT ou encore la Poste.
Des demandes de règlement de dettes fiscales, d’amendes routières ou de récupération de colis… pour lesquels ils devaient ouvrir un lien contenu dans le courriel reçu, pour en connaître les détails. En cliquant, une redirection s’opère à une adresse, ou à une page Web. Sur celle-ci, le programme malveillant s’installe en arrière-plan après son téléchargement. Ils auraient ainsi réussi à détourner, vers leurs comptes, d’importantes sommes d’argent, rapporte le communiqué de la Guardia Civil.
Les services de la Benemérita lors de la perquisition d’un domicile visé par l’enquête. (Crédits : DR)
L’association est parfaitement structurée et hiérarchisée en quatre échelons. D’une part, certains individus se consacrent à recevoir les montants des transferts frauduleux (niveau 1), qui sont transmis à d’autres membres de l’organisation (niveau 2). D’autre part, certaines personnes ont déplacé l’argent vers de nouveaux comptes situés à l’étranger (niveau 3) et, enfin, d’autres ont masqué le fonctionnement en ligne des comptes (niveau 4).
Plus de trois millions d’euros bloqués
Une fois installé sur le terminal, il reste en sommeil, jusqu’au moment où l’utilisateur accède à n’importe quel site Web de sa banque et exécute une transaction financière. À cet instant, le code malveillant interceptait et modifiait les données émises, de sorte que les bénéficiaires des opérations fiduciaires soient les 30 comptes bancaires appartenant au réseau criminel.
Ensuite, on répartit l’argent sur divers comptes. Mais aussi extrait du circuit par des retraits d’espèces dans des distributeurs automatiques de billets (DAB), des transferts BIZUM, des cartes REVOLUT, etc., afin de noyer les recherches d’une éventuelle enquête de police.
Les forces de l’ordre, en collaboration avec le département informatique du Conseil provincial de Cáceres, ont détecté une activité suspecte dans des comptes de messageries. C’est au sein de 68 de ces derniers, appartenant à des organismes officiels, que les enquêteurs découvraient l’infection par les chevaux de Troie « Mekotio » et « Grandoreiro ». Les véritables échanges de courriels représentent moins de 20 % de la totalité des e-mails reçus. Les spams et hameçonnages sont à 65 %, les publicités à 15 % et les virus, malware ou ransomware tout juste 1 %. (Crédits : Ryan McGuire/Pixabay)
Ils étaient en attente d’effectuer les opérations délictueuses. Les agents ont réussi à bloquer des tentatives de transfert pour un montant de 3 500 000 euros, après avoir analysé plus de 1 800 courriels. En outre, la police a élucidé 20 délits de fraude pour un total de 276 470 euros, dont elle a pu récupérer 87 000 euros.
Quelles sont les conduites à adopter ?
« En dépit de mécanismes additionnels et correctement utilisés, les courriels ne garantissent en rien l’authenticité d’un émetteur et encore moins l’intégrité d’un courriel », martèle un œil averti. C’est en cela que l’ANSSI exhorte tout un chacun à adopter cinq réflexes. Avec en préambule un conseil avisé : « N’importe qui peut vous envoyer un courriel en se faisant passer pour un autre ! Cela n’est pas beaucoup plus compliqué que de mettre un faux nom d’expéditeur au verso d’une enveloppe. N’ayez pas une confiance aveugle dans le nom de l’expéditeur ». Le premier demeure dans le fait d’être attentif à tout indice qui initierait le doute quant à l’origine réelle du courriel.
« Vous devez admettre que dans le domaine de la messagerie électronique, il n’existe pas d’expéditeur a priori de confiance », appuie l’agence nationale. Puis se méfier des pièces jointes, en ayant votre antivirus activé et à jour, mais pas seulement. Dans le cas d’un comportement anormal, exigez qu’un professionnel contrôle votre poste. Les requêtes de confirmation d’informations confidentielles (mots de passe, code PIN, coordonnées bancaires…) ne s’effectuent pas via un courriel. En cas d’incertitude, on n’a qu’à requérir auprès du correspondant la reconnaissance de sa demande, bien sûr par le biais d’un nouveau, et non en répondant à celui reçu (phishing).
La confiance doit être remise en doute à chaque ouverture du poste, et souligner toute anomalie auprès du responsable compétent. (Crédits : TheDigitalWay/Pixabay)
Une technique plus simple qu’il n’y paraît avec votre souris. Il suffit de passer cette dernière au-dessus du lien et observer l’adresse de renvoi. « De manière générale, il est préférable de saisir manuellement l’adresse dans le navigateur. » Enfin, configurez correctement votre logiciel de messagerie. « Il faut conserver vos logiciels à jour, si possible en activant la procédure de mise à jour automatique. Puis paramétrer votre logiciel de messagerie pour désactiver la prévisualisation mécanique des courriels. Dans les paramètres de sécurité en options, interdisez l’exécution systématique des ActiveX, des plug-ins et les téléchargements, soit en les désactivant, soit en imposant de vous en demander l’autorisation. Enfin, dans un environnement sensible, lisez tous les messages au format texte brut », conclut l’agence nationale de la sécurité des systèmes d’information.
juillet 12, 2021
Ransomware: Colosses aux pieds d’argile
C’est l’infection de plus d’un million de victimes, et jusqu’à 1500 entreprises, par le ransomware « REvil/Sodinokibi » qui fait la une des différentes presses, qu’elles soient en version papier, web, radiophonique ou télévisuelle. Pour autant, quand le tout numérique est le fer de lance des sociétés et des gouvernements de la planète, faut-il s’étonner ? Notre santé, nos comptes en banque, nos vies sur les réseaux « sociaux »… tout est data, donc tout est monnayable !
Le monde paye pour apprendre. Cette formule, souvent reprise dans les articles sportifs, illustre le futur. De nombreuses entreprises font les frais de cybercriminels. La différence se fait sur le point de vue. Ainsi, tapis dans l’ombre, ils traquent la faille, l’exploit…
Kaseya atteint par un crochet au menton
Ce lundi 5 juillet 2021, le monde se réveille groggy avec cette affaire, lorsque l’on regarde les journaux nationaux et internationaux. La firme revendique : « Avec Kaseya, proposez des services de gestion, de surveillance et de sécurité informatique de tout premier ordre. Rendez vos équipes plus productives sans augmenter vos ressources, grâce à des solutions de gestion informatiques évolutives, sécurisées et fiables. » Cela dit, la protection totale n’existe pas. Vous ne pouvez arrêter un individu voulant voler, il est primordial de prendre des dispositions. « Installer une porte blindée, de dernière génération, à l’entrée de votre domicile, ne vous dispense pas de fermer les fenêtres de derrière, restées ouvertes. »
Cyrille Chausson, sur le site « LeMagIT », écrit un article en 2019 à ce sujet. « La société propose une plateforme unifiée qui permet de centraliser la gestion des composants clés d’une infrastructure pour les PME. De la gestion des accès et des identités jusqu’à celle des terminaux utilisateurs », explique-t-il. Les grandes entreprises ont pléthores de tâches journalières, et, comme tout un chacun, délègue. Kaseya s’est fixé comme mission d’offrir une plateforme unifiée multi-usage.
La quantité des terminaux touchés peut effrayer, c’est l’effet domino observé depuis les infections des opérateurs derrière les différents ransomwares. Certains mettent la clé sous la porte, quand d’autres commencent, à l’instar de Lorenz, Hive, Grief, Prometheus ou Vice… (Crédits : capture d’écran)
Sa cible, les établissements de taille moyenne ou intermédiaire, elles comptent de 1 à 4 000 salariés. Pour ces sociétés, le management de l’infrastructure IT n’est pas un sujet pour elles. Cette dernière a besoin d’être définie pour comprendre l’ampleur de l’infection par codes malveillants. « L’infrastructure de la technologie de l’information (IT) fait référence aux composants combinés nécessaires au fonctionnement et à la gestion des services et des environnements informatiques de l’entreprise. »
Un retex (NDLR Retour d’expérience) sera effectué pas tant pour blâmer, mais pour en tirer les leçons indispensables.
« Kaseya a été très coopératif. Dès qu’il a eu connaissance des vulnérabilités, nous avons été en contact et la coopération a été constante. […] Malheureusement, nous avons été battus par REvil dans le sprint final, car ils ont pu exploiter les failles avant que les clients ne puissent patcher leurs serveurs », indique Victor Gevers, membre du DIVD (NDLR Institut néerlandais pour la divulgation des vulnérabilités).
(Crédits : DR)
L’entreprise Kaseya n’est pas une inconnue du Vieux Continent. La multinationale y réalise un tiers de son chiffre d’affaires. Le Royaume-Uni et l’Allemagne sont les marchés les plus porteurs sur cette zone. La France est certes en retrait, mais avec l’Allemagne, il s’agit du pays qui connaît la plus forte croissance, assure encore le CEO (NDLR chief executive officer ou président-directeur général). La conformité avec le RGPD fait partie des préoccupations des entreprises hexagonales, attirées par Kaseya.
Plus de 1500 cyberattaques au 1^er juillet
« Nous avions compté plus de 1 600 attaques avec ransomware en 2020. Au premier juillet, nous en étions à environ 1 500. Ce chiffre a été largement dépassé le lendemain, du fait des activités du gang REvil, avec le rançongiciel Sodinokibi », relate Valéry Marchive. La demande de rançon est de 70 millions de dollars en Bitcoins, ce qui représente 45 000 par société. Une baisse de 11 % de la somme est concédée par les opérateurs, après d’âpres discussions. Ou, comme l’écrivent les chercheurs de chez Sophos, l’oublie d’effacement des snapshots de Windows, les Volume Shadow Copies, ouvrant la voie à des restaurations simplifiées, pourraient être à l’origine de la ristourne.
« Certains facteurs se distinguent dans cette attaque par rapport aux autres. Premièrement, en raison de son déploiement massif, REvil ne fait aucun effort apparent pour exfiltrer des données. Les attaques ont été personnalisées dans une certaine mesure en fonction de la taille de l’organisation, ce qui signifie que les acteurs de REvil ont eu accès aux instances du serveur VSA et ont pu identifier les clients individuels des MSP comme étant différents des grandes organisations. Et il n’y avait aucun signe de suppression des Shadow Copies, un comportement courant chez les ransomwares qui déclenchent de nombreuses défenses contre les logiciels malveillants. »
Le Cabinet est implanté à Paris, Bordeaux, Lille et Lyon, plaide dans toute la France. Il collabore avec de nombreuses associations de victimes de dommages corporels (l’UNAFTC, l’AVIACAAM…). Rémy LE BONNOIS est membre fondateur de l’association ANADAVI. (Crédits : Capture d’écran)
Lors d’une audition à huis clos, début juin, par la Commission de la défense nationale et des forces armées de l’Assemblée nationale, Guillaume Poupard, directeur général de l’Agence nationale pour la sécurité des systèmes d’information (ANSSI), indiquait qu’« après avoir détecté 15 000 attaques possibles sur les serveurs de Microsoft Exchange, nous avons prévenu les quelques milliers de victimes potentielles que nous avons réussi à joindre, 3 % d’entre elles seulement nous ont répondu ». Cette situation met en exergue les disparités de statut et de fonctionnalité entre les gendarmes du genre. Une différence notable des pouvoirs de l’ANSSI de son homologue outre-Atlantique.
« Je saisis cette occasion pour vous dire qu’il manque à l’ANSSI un pouvoir d’injonction. […] Il est inacceptable que des gens auxquels on dit : “Vous êtes assis sur une bombe”, ne traitent pas la question. Une disposition légale donnant à l’ANSSI un pouvoir d’injonction serait une étape supplémentaire […] dans une logique d’accompagnement de la montée en compétences, mais il en va de la cybersécurité nationale », martèle Guillaume Poupard.
Aux États-Unis, ils peuvent utiliser un pouvoir d’injonction, récemment durci. Quand une faille du type de celle qui a affecté Microsoft Exchange est détectée, le Cybergendarme écrit à toutes les agences fédérales en leur prodiguant 48 heures pour les corriger, après quoi la sanction tombe. (Crédits : capture d’écran)
Pas moins de 28 attaques ont été perpétrées en France pour le mois de juin. Conti se taille la part du lion avec au forum du bâtiment SAS, Brangeon Groupe, Cerfrance Côtes-d’Armor, Maître Prunille, Voltalia, groupe Traon Industrie Développement, Assu2000 (29/06). Everest cible les entreprises françaises. Ils diffusent 820 GB de données relatives au cabinet Rémy Le Bonnois, mais pas seulement. L’imprimerie Lamazière, Epsilon hydraulique, Always international, Assurances et Courtage lyonnais, Alltech France, Groupe Confiance Immobilier, Xefi. REvil s’est attaqué à Tendriade, le groupe LV à Demarne Frères, Xing à Aqualung Trading. Saint-Avold Synergie, Pont-Saint-Esprit, PRB, Camaïeu, Deux-Sèvres Habitat, Sepur, CCI Bordeaux-Gironde, ou encore la commune de Villepinte et Lenaja par Grief.
juillet 6, 2021
Ransomware : se méfier de l’eau qui dort
Les infections des systèmes d’information en France sont à nouveau légion. ClOp qui a reçu un coup d’épée avec l’arrestation de six de ses membres, affiche une nouvelle attaque d’entreprise. La France n’est pas épargnée. Entre Everest et Conti, pour ne citer qu’eux, ce n’est pas moins de dix-huit attaques. Elles sont publiées sur leur site de fuite respectif, ainsi que les opérateurs revendiquent au mois de juin 2021. Mais d’autres offensives sont tout aussi préoccupantes, comme celle du fabricant de stockage et de mémoire informatique, ADATA.
Quand ADATA, l’un des principaux producteurs de stockage de mémoire à Taïwan, a souffert d’une attaque de ransomware fin mai, le choc est là. Les cybercriminels affirment avoir dérobé des données sensibles à hauteur de 1,5 To. La firme taïwanaise fabrique des modules DRAM, des lecteurs flash, des disques durs, des cartes mémoire…
Quand l’attaque touche la mémoire
Le premier à être touché par la cyberattaque est Aqualung Trading. C’est avec assurance que le ransomware Mount Locker affiche 800 Go. Puis, comme indiqué précédemment, Tendriade fait partie d’un « lot » de cinq objectifs. L’agglomération de Saint-Avold sous le coup d’un versement de 80 000 dollars, la mairie de Pont-Saint-Esprit paralysée dès le 3 juin 2021, puis la firme PRB est ciblée à son tour.
L’invasion a été détectée très tôt ce vendredi 4 juin 2021 au matin. « Il y avait un message sur les écrans, et une demande de rançon. Il est hors de question de payer », indique encore le chef d’entreprise, Jean-Jacques Laurent. Ce sponsor historique du Vendée Globe précède « Demarne Frères ». Le groupe LV revendique le vol de plus de 40 Go de données au spécialiste des produits marins. Les Deux-Sèvres (79) subissaient début du mois des attaques. La première concerne les archives départementales, puis la seconde, Deux-Sèvres habitat. « On nous annonce un black-out complet de trois à cinq semaines », notifiait dans la Nouvelle République Fabrice Ouvrard, le directeur.
Les opérateurs derrière le ransomware « Everest » frappent fort en France. Le cabinet Rémy Le Bonnois n’est que le premier. L’imprimerie Lamazière (12 Go), Epsilon hydraulique (44 Go), Always international (4 Go). La revendication porte aussi sur Altech France, Xefi, le groupe Confiance Immobilier, sans afficher à l’heure actuelle, le 26 juin 2021, le poids des renseignements dérobés. Les premières données d’« Assurance et courtage lyonnais » sont divulguées. Des contrats, devis, coordonnées, process… sont ainsi mis au jour pouvant profiter à des personnes peu scrupuleuses. De son côté « Conti-Ryuk » s’est infiltré chez Voltalia, Cerfrance, Traon, Maître Prunille, Iserba, Brangeon, Au Forum du Bâtiment, Dirickx, STAM, FunBreak.
(Crédits : capture d’écran)
Le groupe a indiqué s’être introduit chez Xoriant, un développeur de logiciels d’ingénierie. Tandis que ClOp revendique, malgré l’arrestation de huit membres présumés, celle du bureau KSS Architects aux États-Unis.
Disque dur et barrette de mémoire
L’infection d’une entreprise taïwanaise concerne de nombreuses personnes à travers la planète. ADATA, qui fabrique des modules de mémoire DRAM hautes performances, des cartes mémoire flash NAND et d’autres produits, a été avili par le ransoware « Ragnar Locker ». Les différentes manufactures sont disque dur, stockage externe (HDD, SSD, boîtiers), cartes mémoire, lecteurs, clés USB, des produits de jeu (souris, clavier, casque) et des solutions industrielles.
Il existe de grandes probabilités pour que tout un chacun ait un de leurs composants dans son domicile. La société a été classée deuxième fabricant de mémoire DRAM et de disques SSD (Solid State Drive) en 2018. « ADATA a été touché par une attaque de ransomware le 23 mai 2021 », a déclaré la société dans un communiqué. L’industriel de mémoire taïwanais a démantelé tous les systèmes concernés après avoir décelé l’agression et a prévenu toutes les autorités internationales compétentes de l’incident pour aider à retrouver les responsables. (Crédits : capture d’écran)

« La société a suspendu avec succès les systèmes affectés dès que l’attaque a été détectée, et tous les efforts nécessaires suivants ont été déployés pour récupérer et mettre à niveau les systèmes de sécurité informatique associés, avant d’ajouter. Nous sommes déterminés à nous consacrer à rendre le système plus sûr que jamais, et oui, ce sera notre pratique sans fin pendant que l’entreprise avance vers sa croissance et ses réalisations futures. » Samedi 19 juin 2021, les acteurs du ransomware ont publié sur le site de fuite les hyperliens de téléchargement d’un nouvel ensemble de documents d’entreprise ADATA, en prévenant les parties intéressées que ces derniers ne devraient par survivre longtemps. Le service de stockage MÉGA a fermé le compte, refusant ainsi l’accès à tous les fichiers partagés publiquement.
juin 26, 2021
Six membres présumés du ransomware « Cl0p » arrêtés
La police ukrainienne a arrêté six personnes, membres présumés du célèbre gang du ransomware « Cl0p », saisissant de l’argent, des voitures ainsi qu’un certain nombre d’ordinateurs portables. Les entreprises Bombardier, Shell, Qualys ou l’université de Stanford font partie des 57 multinationales infectées. Le CHU de Rouen avait été attaqué le 15 novembre 2019, elle serait liée à l’entité TA 505. C’est un coup de filet qui met fin, momentanément, aux agissements d’un groupe de cybercriminels.
« L’organisateur du groupe Kievien, âgé de 36 ans, avec son épouse et ses trois connaissances, a mené des cyberattaques contre des entreprises étrangères », indique la police ukrainienne. Selon les données préliminaires de l’enquête, c’est au minimum une cinquantaine de sociétés, universités, hôpitaux… qui ont souffert des agressions. Les vidéos des perquisitions et d’arrestations, filmés par les forces de l’ordre Ukrainienne n’ont pas besoin de sous-titre.
Attaques cybernétiques, blanchiment d’argent…
D’après l’ANSSI, le collectif TA505 est « un groupe cybercriminel actif depuis 2014, ciblant principalement la finance et des représentations gouvernementales, mais aussi, et c’est nouveau depuis 2019, des structures dans les secteurs de la recherche, de l’énergie et de la santé ». Les premiers bugs remontent au week-end du 16 novembre 2019. Le CHU de Rouen se réveille alors avec des ordinateurs en panne, infectés par des codes malveillants très virulents qui paralysent tout le système de l’hôpital, écrivait France 3 Normandie.
Plusieurs experts soupçonnent que Cl0p est piloté par un groupe cybercriminel bien connu, « TA505 ». De plus, des liens techniques ont été découverts entre le rançongiciel Cl0p et au moins deux outils utilisés par TA505, nommés Amadey et FlawedAmmyy, selon l’ANSSI.
Les opérateurs de Cl0p continuaient d’engranger les victimes, en mars 2021, en s’attaquant à leurs appliances de transfert de fichiers (FTA) Accellion. Après l’expert français des géosciences CGG, Steris, CSX ou également Bombardier, ils venaient d’ajouter à leur tableau de chasse Qualys. Et là encore, sur l’infrastructure de l’éditeur, on trouve les traces d’une FTA Accellion. (Crédits : Police ukrainienne)
Et pourtant, celle-ci n’était pas configurée pour gérer directement l’authentification : les outils d’Okta étaient là pour cela. La FTA en question répondait encore au moteur de recherche spécialisé Shodan le 18 février 2021. Après les infections et la mise en ligne des données ainsi exfiltrées, des plans d’un radar de détection précoce aéroporté installé sur le jet militaire phare de la société Bombardier, de type AWACS, ont pu être copiés.
En décembre dernier, Cl0p s’en était pris à un détaillant sud-coréen, E-Land, et aurait dérobé deux millions de données de cartes de crédit sur une année. Les policiers de Corée du Sud ont apparemment identifié les suspects peu après. La cyberpolice ukrainienne estime les dégâts causés par le groupe à plus de 412 millions d’euros. Comme d’autres groupes criminels, Cl0p exfiltre des renseignements volés et les publie sur le dark web. Ils exercent une pression sur les entreprises et organisations ciblées. Les forces de l’ordre ukrainiennes affirment aujourd’hui être parvenues à fermer l’infrastructure utilisée par les délinquants pour « propager le virus ».
« Il a été établi que six accusés ont mené des attaques de logiciels malveillants de type ransomware sur les serveurs de multinationales américaines et sud-coréennes », a déclaré la police nationale ukrainienne mercredi 16 juin 2021. (Crédits : Police ukrainienne)
juin 19, 2021
Infections en série en France
Tandis que plusieurs entreprises françaises et internationales respirent suite à la disparition, momentanée ou définitive, des opérateurs derrière « Avaddon », d’autres souffrent en silence. Le ransomware « Conti-Ryuk » frappe fort en s’attaquant à huit firmes sur l’hexagone pour le seul jour du 17 juin 2021. Dans le même temps, les données personnelles comprenant le nom, l’âge, l’e-mail et le numéro de téléphone concernant 1,2 million d’individus inscrits à Pôle Emploi auraient fuité.
Les attaques cybernétiques croissent de jour en jour. Pas assez de sociétés affichent une hygiène et philosophie de la sécurité, pourtant nécessaire. Au départ vecteur de machine à cash, elles peuvent aussi servir de monnaie d’échange, de pression à différents niveaux d’infrastructure.
Multiplication des attaques cybernétiques sous plusieurs vecteurs
Le groupe d’opérateurs derrière le ransomware Avaddon est l’un des plus prolifiques. Le 11 juin 2021, il ajoutait un trophée de premier plan, à savoir la « Valley National Bank ». Elle est une holding bancaire régionale dont les actifs s’élèvent à 42 milliards de dollars et qui exploite 230 succursales dans le New Jersey, à New York, en Floride, en Alabama ainsi qu’à Long Island.
Tandis que le compte à rebours affichait moins de 72 heures avant la publication de l’ensemble des données, black-out complet. Avaddon n’est plus. La raison de la fermeture soudaine n’est pas claire. La plus plausible est le rapprochement des forces de l’ordre à leur recherche, comme le bureau fédéral d’investigation (FBI) et le centre australien de cybersécurité (ACSC). Ils auraient décidé de prendre leur magot et de disparaître.
La clé permettant le déchiffrement de toutes les données sur les différents systèmes d’information est disponible. Il est à souhaiter que les différentes cibles, et autres tendent à accroître considérablement l’accès aux différentes sources. (Crédits : capture d’écran Emsisoft)
BleepingComputer a reçu un message prétendant venir du FBI, contenant un mot de passe et un lien vers un fichier ZIP protégé. C’est au total, 2 934 clés de déchiffrement, où chacune correspond à une entité spécifique. Emsisoft a publié un paléographe sans frais que toutes les cibles infectées puissent utiliser pour récupérer leurs documents gratuitement. « Les récentes actions des forces de l’ordre ont rendu nerveux certains acteurs de la menace : voilà le résultat. Une personne est tombée, et espérons que d’autres tomberont aussi », a déclaré Brett Callow, analyste des menaces chez Emsisoft, à BleepingComputer.
Vingt-et-une attaques au mois de mai
Acer finance, Le Volcan et Axa sont les entreprises touchées par le chiffrement d’Avaddon. Au mois de mai, pas moins de 21 attaques par ransomware sur le territoire français. Elles sont Acer Finance (12 mai/Avaddon), Axa Asie (15 mai/Avaddon), Mauffrey (18 mai/Conti-Ryuk), Arca Assurances (20 mai/Prometheus), Despretz (23 mai/Prometheus), Le Volcan (26 mai/Avaddon), Syndex (26 mai/Avaddon), Alma SAS (28 mai/LV), Cabinet Rémy Le Bonnois (31 mai/Everest), et Assurcopro (31 mai/Everest).
Quant à Berger-Levrault, le 14 mai 2021, l’impact aurait été limité au réseau interne de l’entreprise et affecte également la téléphonie et la messagerie électronique. Fraikin communiquait le 25 mai, avoir fait l’objet d’une attaque de ransomware. Elle assurait qu’aucune donnée « n’a été touchée, volée, détruite, ni corrompue par ce virus ». Le 3 juin 2021, la compagnie Tendriade est partie intégrante d’un lot de cinq infectées par les opérateurs derrière le ransomware Revil. (Crédits : Capture d’écran))
L’accalmie sera de courte durée. Dès le 8 juin, c’est l’organisation « LV » qui s’attaque à l’entreprise Demarne Frères. Les opérateurs revendiquent l’usurpation de plus de 40 Go de données (finances, comptabilité, documents bancaires, assurances, bases clients).
Une accalmie de courte durée
Les sociétés Funbreak et STAM le sont à leur tour et respectivement le 7 et 10 juin par « Conti-Ryuk ». Puis hier et aujourd’hui vendredi 18 juin 2021, « Conti-Ryuk » affiche avoir infecté Voltalia, Maître Prunille, le groupe Iserba, Cerfrance Côtes-d’Armor, Brangeon groupe, Au Forum du Bâtiment SAS.
Mais c’est une révélation qui affole plus d’un million d’âmes en France. Un particulier est en possession du nom, âge, e-mail et numéro de téléphone de 1,2 million de personnes inscrites à Pôle emploi. Il y a quelques jours, un individu connu pour son business de commercialisation de données piratées dévoilait vendre plus d’un million de comptes appartenant à des sociétaires de l’agence pour l’emploi.
Quelques heures après son annonce, il décidait de la retirer. « Je traite principalement avec de grosses structures commerciales qui économisent de l’argent sur la sécurité des données de leurs clients, explique-t-il. Ils embauchent des programmeurs bon marché et stupides qui font des erreurs triviales ». Bref, la sécurité internet à deux vitesses pour ce vendeur d’informations volées.
Fuite de données
Cette personne extrait des données qu’il affirme écouler « à différentes agences de marketing et à des particuliers ». Concernant Pôle Emploi, l’application pour smartphone semble être une des pistes de la faille permettant l’interception d’informations de plus d’un million d’assurés hexagonaux.
Les opérateurs offrent 48 heures aux entités touchées pour se manifester et prendre contact en vue d’un règlement. (Crédits : capture d’écran)
« Quelqu’un m’a écrit en MP et m’a expliqué qu’il s’agissait d’une base de données gouvernementale sur les chômeurs. J’ai fait preuve d’empathie : je ne l’ai vendu à personne et je l’ai retiré de la vente […] Dans une période aussi difficile, les institutions étatiques comme Pôle-emploi sont d’une grande utilité pour la société, et j’ai décidé de ne pas ruiner leur réputation. » Heureusement que certains malfaiteurs ont un sens moral… Ainsi, Jean de la Fontaine écrivit dans la fable du Corbeau et du Renard : « Tout flatteur vit aux dépens de celui qui l’écoute ».
juin 18, 2021
Le ministère du travail espagnol à nouveau infecté
C’est à nouveau le ransomware Ryuk qui serait à l’origine de la panne du ministère du Travail et de l’Économie sociale, le 9 juin 2021. Le 10 mars 2021, l’agence pour l’emploi espagnole (SEPE) avait été knock-out durant plusieurs semaines. Des dommages sont relatés au niveau de l’intégration, mais les bureaux de la Sécurité sociale et de l’immigration continuent de fonctionner. Les systèmes d’information sont la proie des cybercriminels, à but lucratif pour eux-mêmes, comme parfois pour des entités étatiques.
Trois mois seulement après avoir subi une des plus grandes cyberattaques de ces dernières années, qui avait mis à terre le Service public de l’emploi (SEPE), le ministère du Travail a reçu une seconde infection par procédé identique.
L’incident est décrit comme « critique »
Des employés du ministère ont confirmé à El Confidencial qu’il s’agit du rançongiciel « Ryuk », qui chiffre les données et demande une rançon en contrepartie du déchiffrement. Le même type d’opération a été utilisé pour laisser hors jeu le SEPE pendant plus de deux semaines, mais également Everis et Cadena SER, en 2019.
La société de Conseil et de services informatiques — filiale du géant japonais NTT DATA — Everis avait reconnu dans ses comptes annuels que la cyberattaque lui a valu une perte totale de 15 millions d’euros, en termes d’« heures non productives et de coûts directs de récupération ».
Les techniciens responsables du gouvernement et du Centre national de cryptologie (CCN-CERT) dépendant du CNI (Centre national d’intelligence) « travaillent ensemble pour déterminer l’origine et rétablir la normalité le plus rapidement possible », a twitté le ministère concerné. L’offensive n’a pas touché le SEPE, mais les dispositifs internes de l’agence, quoi qu’il en soit, la portée est assez importante en termes de contamination des systèmes d’information. Il a été classé comme un incident critique, pour autant l’impact éventuel sur les services offerts aux citoyens est encore inconnu. (S. Hermann & F. Richter/Pixabay)
« Ce qui s’est passé avec le SEPE n’a pas été catalogué en tant que tel en interne, et il a été hors fonctionnement pendant deux semaines, alors imaginez ce qui pourrait se passer cette fois-ci », soulignent les spécialistes. En fonction de la gravité des attaques, celles-ci sont étiquetées à un niveau ou un autre de réponse, ce qui détermine également les ressources et l’urgence avec lesquelles agir.
Le communiqué du ministère du Travail et de l’Économie sociale veut rassurer les bénéficiaires de la Sécurité sociale et de l’immigration.
« La réponse à l’incident, qui s’est produit le 9 mars, a été immédiate dans le but de l’isoler et de minimiser ainsi son impact et sa portée. Il a été confirmé qu’il n’y a pas eu de soustraction de données et la confidentialité des paiements des avantages qu’elles font a été affectée, et que les systèmes d’exploitation et de gestion de la SEPE, ainsi que leurs serveurs, n’ont pas été endommagés par la cyberattaque », communique le ministère.
(Crédits : capture d’écran Twitter)
Pendant deux semaines, les employés du SEPE ne pouvaient pas toucher aux ordinateurs, aux imprimantes, ni même aux téléphones fixes. Ryuk a également été utilisé pour détourner les systèmes d’autres organisations en Espagne, au même titre que les mairies de Jerez et de Bilbao, ou d’entreprises dans le monde entier, de médias aux États-Unis, comme le « Los Angeles Times », d’écoles, d’hôpitaux et de multinationales comme la société française Sopra Steria.
Comment Ryuk travaille-t-il ?
Le principal vecteur d’entrée est généralement le courriel. Une personne, au sein d’une institution ou d’une firme, reçoit un e-mail contenant un code malveillant dissimulé régulièrement dans une pièce jointe. Une fois que le programme s’est immiscé, il peut rester endormi, pour s’activer à la fermeture des bureaux, ou œuvrer de suite.
L’effet domino est la suite. Il se propage vers d’autres systèmes d’information connectés au réseau pour les crypter. « Ryuk » est une évolution d’un virus né en 2017 appelé « Hermes ». Des sources du ministère du Travail espagnol assurent que, pour l’instant, il n’y a pas eu de demande de rançon.
Récemment, JBS, la compagnie brésilienne, a également subi une cyberattaque par ransomware. Elle est la plus grande institution de viande au monde en termes de ventes.
La plus grosse entreprise de viande mondiale en matière de commercialisation s’est résignée à payer le prix en bitcoin, pour un montant de 11 millions de dollars. (Crédits : Chet Strange/Getty Images)
Ainsi, le 9 juin 2021, elle a dû débourser 11 millions de dollars, rapporte le Wall Street Journal, suite à une infection par code malveillant survenue dix jours auparavant. Elle a été incapable de faire fonctionner ses usines américaines, australiennes et canadiennes pendant presque une semaine. La même chose s’est produite avec le piratage du Colonial Pipeline, plus grand oléoduc des États-Unis, le 7 mai 2021.
juin 17, 2021

Les services de police infectés par ransomware

Enfant, tous nous avons incarné les gendarmes et les voleurs, ou encore à la balle aux prisonniers. Imaginez-vous que cette fois-ci les rôles s’inversent. Mais d’autant plus inquiétant, les preuves de leurs larcins s’exposent, rendant compliqué le travail des forces de l’ordre. Voici le légendaire jeu des « gendarmes et des voleurs » version 2.0. Différents postes de police aux États-Unis comme au Royaume-Uni, bureau de procureur, avec les données des délinquants, des victimes et des personnes sous protection et anonymisation en accès libre.

Le département de police de l’Illinois aux États-Unis subit une attaque par code malveillant en 2017. Le pays de Lincoln, dont la capitale est Springfield, est à nouveau visé, via les opérateurs derrière le ransomware « Dopple ». Tous les renseignements à la disposition du procureur général de l’Illinois sont désormais diffusés, soit plus de 200 GB. Mais ce dernier n’est pas un procureur à proprement parler, il est l’équivalent du ministre de la Justice en France, le garde des Sceaux.

La police américaine infectée par les ransomwares

Sur l’Hexagone, il est un magistrat qui dirige les poursuites de la société envers la personne mise en examen. Les informations auxquelles il a accès sont gigantesques, et extrêmement sensibles. Les procès-verbaux, les enregistrements audios, les dépositions, les civilités des condamnés, leurs casiers judiciaires, les prénoms et noms des policiers, leurs adresses, mais pas seulement.

Le patronyme des victimes de délits, de crimes, de viols divulgués, avec leurs dossiers complets (adresse, témoignage, photos…). Comme le programme de confidentialité des adresses de l’Illinois (ACP). Il fournit aux victimes de violences domestiques, d’agressions sexuelles et de harcèlement criminel, ainsi qu’aux membres de leur famille, une adresse de remplacement à utiliser comme adresse de domicile, d’école et de travail, au lieu de l’adresse réelle figurant dans les registres publics.

Les rapports d’intervention des forces de l’ordre de l’Illinois font état des violences, avec victimes et auteurs présumés. (Crédits : capture d’écran)

Aucune n’est épargnée, la police de la capitale américaine en est la preuve. Les opérateurs derrière le ransomware « Babuk » affichent la couleur. Parmi ces informations sensibles figurent la liste des membres, dont certains en infiltration dans des enquêtes criminelles ou le profil « d’indics », fournisseurs de précieuses précisions pour les autorités. Si les identités de ces personnes étaient mises à jour ou partagées avec des gangs, leurs vies pourraient être en danger.

« Nous sommes conscients d’un accès non autorisé sur notre serveur. Alors que nous déterminons l’impact complet et continuons à examiner l’activité, nous avons engagé le FBI pour enquêter pleinement sur cette question », communique le département de la police métropolitaine de Washington D.C. La menace des opérateurs est explicite : « […] si aucune réponse n’est reçue dans les 3 jours, nous commencerons à contacter les gangs afin de drainer les informateurs, nous continuerons à attaquer le secteur de l’État des États-Unis, FBI CSA […] ».

Sur le continent américain, les USA subissaient déjà de nombreuses attaques en 2017 (comme la police de l’Illinois), comme le démontre cette carte. (Sources : Techtalk)

« Le fait que des données d’une nature aussi sensible aient pu être consultées par des pirates en dit long sur la qualité du service que les élus fournissent à cette ville. Ce qui est ironique, c’est qu’à une époque où les policiers sont pris pour cible par leurs dirigeants pour de prétendus méfaits, ce sont en réalité leurs dirigeants qui sont vraiment incapables de respecter les normes », a déclaré Gregg Pemberton, président du syndicat de la police de Washington D.C.

Du ransomware à la violation de données en Angleterre

À l’heure de la 5G, du tout internet et du tout électrique, la menace est plus que réelle. L’évolution des technologies a permis à des millions d’entreprises du monde entier de mettre au rancart leurs classeurs et de passer, lentement mais sûrement, au tout dématérialisé. Mais ont-ils pensé à la sécurité de leurs systèmes d’information ? C’est moins sûr !

À l’époque où les stylos et le papier avaient cours, nous pouvions enfermer les documents sensibles sous clé. Mais, comme nous avons déplacé nos activités en ligne, sur ordinateur, smartphone ou dans les nuages (Cloud computing) la protection est devenue plus difficile, au fur et à mesure.

En 2016, au Royaume-Uni, Tesco a vu ses clients se faire voler 2,6 millions de livres sterling après le piratage de plus de 10 000 comptes bancaires. La chaîne de supermarchés a été condamnée à payer une amende de 16,5 millions de livres par la Financial Conduct Authority, et a dû rembourser tous ses clients. La sécurisation des systèmes d’information a un coût, mais sûrement moins que 19,1 millions de livres sterling (22,2 millions d’euros).

(Crédits : Michaelpuche/Shutterstock)

En 2017, la chaîne de pharmacies Boots a été confrontée à une violation potentielle des données de quelque 150 000 clients. Elle a suspendu les règlements par carte de fidélité après les tentatives pour s’octroyer les mots de passe des différents comptes. L’organisme représentant plusieurs chaînes de pharmacies au Royaume-Uni avait mis en place une « équipe de crise » pour contrer les cyberattaques.

Rien n’est totalement sécurisé

Les data sont potentiellement de l’argent, comme l’explique le dernier numéro de Cash Investigation sur France 2 : « Nos données personnelles valent de l’or ». Les différents commissariats possèdent des données sur tout un chacun, car ils accèdent à de nombreux sites gouvernementaux et conservent, pour leurs enquêtes, de nombreuses informations (immatriculation, délinquant sexuel, historique judiciaire, dépôts de plainte, coordonnées…). Un site s’est intéressé au problème outre-Manche. Dans l’article, le journaliste David Janssen révèle que l’année 2020 fut prolixe.

Commissariat de police	Violation de données en 2020
Lancashire Constabulary	594
Police du Sussex	334
Humberside Police	230
Service de police d’Irlande du Nord	194
Durham Constabulary	125
Police des West Midlands	119
Leicestershire Constabulary	118

La liste est longue et compte 23 entités des forces de l’ordre. En 2021, les attaques ne cessent pas, ainsi la police du Sussex en enregistre 62, West Midlands 37, le nord du Pays de Galles 24 et le Wiltshire Constabulary 12. (Sources : VPNoverview)

Le FSB, cible de cyberattaques

La nouvelle peut surprendre et ravir les aficionados de James Bond. La fiction devient réalité, car cette dernière est issue de l’agence de presse anglaise, Reuters. Le service de sécurité de la Fédération de Russie a subi des attaques des systèmes d’information. Des opérateurs étrangers ont compromis, selon le rapport, des agences fédérales russes dans le cadre d’une campagne d’espionnage numérique. Les responsables russes qualifient de « sans précédent par son ampleur et sa sophistication ».

Chose inhabituelle, des détails techniques supplémentaires divulgués sur le fonctionnement interne des deux souches de logiciels malveillants. Le compte rendu indique également que les délinquants ont utilisé les installations de stockage en cloud des principales entreprises technologiques russes, Yandex et Mail.ru, pour exfiltrer des données. Andrei Nekrasov, chef du département principal d’organisation et d’analyse du bureau du procureur général de la Fédération de Russie, a indiqué lors d’une interview accordée à l’agence TASS, la situation de la cybercriminalité en Russie. Il indique les raisons de sa croissance continue, du travail des forces de l’ordre et des mesures proposées pour endiguer la vague de cybercriminalité.

Andreï Nekrasov est le chef du département principal d’organisation et d’analyse du bureau du procureur général de la Fédération de Russie. (Crédits : Service de presse du bureau du procureur général)

« Si ce rapport était un effort de signalisation par le gouvernement russe à un service de renseignement occidental — comme beaucoup l’ont prétendu —, alors c’était un signal très subtil », déclarait Stefan Soesanto, chercheur en cyberdéfense, à Reuters le mercredi 26 mai 2021. Ledit document a été publié conjointement par Rostelecom-Solar (division de cybersécurité du géant russe des télécommunications Rostelecom), et le Centre national de coordination des incidents informatiques (NKTsKI), une organisation de type CERT créée par le Service fédéral de sécurité (FSB) russe en 2018.

Les problèmes de sécurité liés à l’utilisation des technologies modernes sont légion. Ces dernières années, le nombre de délits commis à l’aide des systèmes d’information a atteint une telle ampleur que cela permet aux instances russes d’en parler comme d’une menace pour la sécurité nationale.

En 2020, la tendance négative n’a fait que s’intensifier. « La croissance enregistrée de ces empiétements s’est élevée à 73,4 %, et leur nombre total pour l’année a atteint 510 300. De plus, s’il y a cinq ans, ces actes représentaient moins de 2 % de la structure globale de la criminalité, l’année dernière, ils représentaient déjà 25 % de tous les crimes enregistrés dans le pays. La croissance de ces crimes a été observée dans toutes les régions, la plus importante à Saint-Pétersbourg (de 2200 en 2019 à 19 500, soit 780 %) et dans la région de Leningrad (de 3000 à 7400, soit 143 %) », recueille le journaliste Alexander Shashkov. (Crédits : WikiImages/Pixabay)

Dans un timing parfait, l’annonce a été faite alors que le Kremlin fait l’objet d’un examen de plus en plus minutieux aux États-Unis et ailleurs. Non seulement en raison du piratage de SolarWinds, que Moscou nie avoir commis, mais aussi en raison d’allégations selon lesquelles la Russie héberge sciemment des cybercriminels à la recherche de rançons. Néanmoins, le Kremlin voit un message positif dans les propos de Biden sur les règles de la lutte contre la cybercriminalité.

mai 27, 2021

Étiquette : ransomware

Attaques ciblées d’une précision chirurgicale

Le mat du couloir

La Guardia Civil démantèle un réseau d’escrocs

Plus de trois millions d’euros bloqués

Quelles sont les conduites à adopter ?

Kaseya atteint par un crochet au menton

Plus de 1500 cyberattaques au 1er juillet

Quand l’attaque touche la mémoire

Disque dur et barrette de mémoire

Attaques cybernétiques, blanchiment d’argent…

Multiplication des attaques cybernétiques sous plusieurs vecteurs

Vingt-et-une attaques au mois de mai

Une accalmie de courte durée

Fuite de données

L’incident est décrit comme « critique »

Comment Ryuk travaille-t-il ?

La police américaine infectée par les ransomwares

Du ransomware à la violation de données en Angleterre

Rien n’est totalement sécurisé

Le FSB, cible de cyberattaques

Plus de 1500 cyberattaques au 1^er juillet