Étiquette : ransomware

Avis de tempête au pays de vos données
Le « pass sanitaire » vient d’être voté en France par les chambres basse et haute, afin de pouvoir participer, selon les dires des autorités gouvernementales, à des événements qui pourront regrouper plus de 1000 personnes. Dans le même temps, des fuites plus que conséquentes de documents d’identités, de renseignements médicaux, d’informations bancaires, d’adresses e-mail, de numéros de téléphone, d’identités numériques sont légion. Qu’en est-il des données, de vos données ? Seront-elles sécurisées ?
L’infection d’AXA par le ransomware « Avaddon » affole la toile et le reste du monde. Mis à part le fait d’avoir touché un très gros poisson, cela démontre que les infrastructures doivent être renforcées, et les moyens mis en adéquation avec les risques encourus. D’autant qu’il s’agit de renseignements ultrasensibles. « Vous pouvez nous féliciter pour l’attaque réussie de l’entreprise, nous avons crypté AXA Asia dans les pays suivants : Thaïlande (Krungthai-AXA), Philippines, AXA Investment, Hongkong et Malaisie », se congratulent les opérateurs.
Données médicales volées
Ils revendiquent posséder trois téraoctets de données. Elles sont d’ordre médical (antécédents, y compris des comptes rendus sur le VIH, l’hépatite, les MST et d’autres maladies), les réclamations des clients, les paiements aux clients, toutes les pièces d’identité des clients, les comptes bancaires et tous les documents scannés des clients, mais pas seulement.
L’Agefi stipule que le matériel réservé des hôpitaux et des médecins (enquêtes privées pour fraudes, accords réservés, remboursements refusés, contrats et rapports, cartes d’identité, etc.) y figure également.
Les données sont en libre accès lorsque les opérateurs du ransomware n’obtiennent pas la rançon escomptée. Des informations extrêmement sensibles sont livrées à tous, comme les quasiment 200 GB de la ville de Presque Isle dans le Maine, aux États-Unis.
(Crédits : capture d’écran)
La société comme les personnes assurées sont les victimes, à plus d’un titre, de la cyberattaque. Le principe de la double extorsion est de mise. L’ingénierie sociale peut alors utiliser ses données sensibles pour d’autres méfaits.
Frappé deux fois de suite
Il y a plus de deux mois que l’incendie chez OVH Cloud, à la veille de son introduction en bourse, le 10 mars 2021, rendait inaccessibles différents sites. Dans un mail interne qu’Agefi avait pu consulter, Axa France indiquait avoir été « victime d’une extraction non autorisée de données concernant certains collaborateurs d’Axa en France ». Ainsi, début mai, ce sont 7500 actuels et anciens salariés de 55 ans et plus qui ont vu leurs civilités complètes divulguées.
Leurs adresses, numéros de sécurité sociale… ont fuité à la suite du feu, fragilisant les serveurs dans lesquels un des fournisseurs d’AXA hébergeait ses données. La dernière société à subir une infection est Acer Finance, basée à Paris, qui est une société de gestion de portefeuille.
Elle venait d’annoncer le 21 avril 2021 que « Laillet Bordier et Acer Finance fusionnent pour donner naissance à LB&AF ». Le message des opérateurs est sans appel. Les données sont cryptées et la menace de divulguer toutes les informations est réelle. Cathar Games a vu 779,06 GB de documents compressés en libre accès. (Crédits : capture d’écran)
Quelques jours auparavant, c’est la Fédération des syndicats des métiers de la prestation intellectuelle, du conseil, de l’ingénierie et du numérique de plus de 3000 TPE-PME, CINOV. Après la fuite datant de 2019, qui ressurgit en 2021, donne entrée à 20 millions de comptes de Français sur le réseau « social » Facebook, et les données de santé de 500 000 personnes en France au mois de février 2021.
500 000 dossiers médicaux
De son côté, la CNIL (Commission nationale de l’informatique et des libertés) avait annoncé mercredi 24 février 2021 qu’elle avait lancé une enquête pour savoir si les sociétés (dont les données ont été volées) ont manqué à leurs obligations. En plus de prodiguer des consignes de sécurisation des données, le RGPD impose aux entreprises ayant subi une violation de leurs données de le signaler.
Or la CNIL avait déclaré ne pas en avoir été avertie. Peut-être plus inquiétant, s’il en est, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) annonçait ce même mercredi 24 février 2021 qu’ils avaient identifié l’origine de cette fuite de données dès le mois de novembre 2020, et informé le ministère de la Santé, Olivier Véran.
« Les recommandations nécessaires ont été données par l’ANSSI pour traiter l’incident. »
(Crédits : capture d’écran)
Le groupe Stelliant aurait été victime d’une offensive malveillante dans la nuit du 14 au 15 mai 2021, qui paralysait certaines de ses activités depuis ce week-end. Le spécialiste de l’expertise travaille actuellement au redémarrage de ses systèmes. De l’autre côté de la mer du Nord, l’Irlande a subi également, dans la période, une infection.
« Il y a une attaque ransomware importante sur les systèmes informatiques de HSE. Par précaution, nous avons arrêté tous nos systèmes informatiques afin de les protéger de cette attaque et de nous permettre d’évaluer pleinement la situation avec nos propres partenaires de sécurité », tweetait l’organisme.
La maternité Rotunda de Dublin a prévenu que toutes les visites ambulatoires avaient été annulées, sauf pour les femmes enceintes d’au moins trente-six semaines, « en raison d’un grave problème informatique ».
Le docteur Fergal Malone, responsable de cette maternité, a expliqué à RTE que l’attaque visait des ordinateurs stockant des dossiers médicaux. (Crédits : Jonathan Borba/Pexels)
« Il n’y a pas de problème pour la sécurité des patients », a-t-il assuré et l’hôpital est passé en mode dégradé avec les dossiers papiers. « Mais évidemment, le débit sera beaucoup plus lent », a-t-il déclaré.
Le « Pass Sanitaire » est-il sécurisé ?
Clément Beaune, secrétaire d’État en charge des Affaires européennes, indiquait au Sénat que la version française du « pass sanitaire » serait « soumise, avant toute mise en œuvre, à l’avis de la CNIL ». Elle possède un pouvoir tout relatif de recommandation, souligne le journaliste Olivier Tesquet, interviewé par Salomé Saqué, sur Blast. L’exemple des caméras intelligentes de Datakalab, pour mesurer le port du masque dans les transports en commun, est criant de vérité.
La CNIL émettait des recommandations, mais l’État est passé par un décret. Les nouvelles sanctions que la CNIL, hormis le caractère pénal, peut prononcer sont :
Une astreinte
Le retrait d’une certification
Le retrait d’agrément
Des amendes administratives (de 4% du CA mondial à concurrence de 20 millions d’euros)
Dématérialisé, le dispositif pose évidemment la question de la protection des données. Selon le gouvernement, les données sont chiffrées et restent en local sur le terminal téléphonique des usagers. Ce dernier assure que l’application ne garde rien en mémoire pour scanner les codes. Grâce à l’usage de ces QR code, les autorités ou effectifs habilités n’ont par ailleurs accès qu’aux informations qui leur sont utiles selon le gouvernement : « Quand vous tendrez votre pass, la seule chose qui apparaîtra à l’écran sera du vert ou du rouge. Personne ne saura si vous pouvez vous déplacer grâce à un vaccin ou un test PCR », déclarait Cédric O, secrétaire d’État en charge du numérique, sur Europe 1.
La cocasserie du « pass sanitaire » vient de l’interview du maire de Nice, Christian Estrosi, par Jean-Jacques Bourdin, sur BFM-TV le 30 mars 2021. « Je suis en faveur d’un pass sanitaire tout de suite […] ce qui permettrait de libérer un certain nombre d’activités au plan culturel, au plan commercial […] muni de ce pass sanitaire, et la condition naturellement serait que vous n’ayez à aucun moment refusé d’être vacciné […] », explique l’édile. « C’est presque de la vaccination obligatoire », questionne le journaliste. (Crédits : Juliettpapa97/Wikipedia)
« Non, ça veut dire que vous acceptez de ne plus participer à un certain nombre d’activités où vous pourriez être contaminant. » Autrement dit, vous avez le choix d’approuver votre vaccination obligatoire pour vous rendre sur la promenade des Anglais. Endroit même où la reconnaissance faciale était testée lors du carnaval. Un sondage demandé par BFM-TV posait la question suivante : « Vous personnellement, seriez-vous favorable ou opposé à la mise en place de ce “pass sanitaire” permettant aux personnes ayant un test négatif récent ou étant vaccinées d’accéder à certains lieux (stades, salles de concert, voyages, etc.) et interdisant à celles n’ayant pas de test négatif ou non vaccinées d’y accéder ? » Près de deux tiers des personnes interrogées sont favorables (63 %), dont plus de 71 % de ces personnes ont plus de 50 ans. Concernant la sécurité, chiffrée ou non, il faut se rappeler qu’avant d’être ajoutés à « TousAntiCovid », les résultats de tests et autres certificats sont, quoi qu’il arrive, centralisés sur la plateforme sidep.gouv.fr et, aussi protégée soit-elle, aucun système informatique n’est infaillible. Mélangez toutes ces données, les confidentielles, celles qui ont fuité, celles qui échappent à tout contrôle, épicez de la loi de sécurité globale, saupoudrez de reconnaissance faciale, vous obtenez un cocktail explosif. Sachant qu’« il n’y aura pas de retour en arrière… »
mai 19, 2021
Cyberattaque d’un pipeline aux USA
Colonial Pipeline, qui détient le plus grand oléoduc sur le sol américain, est infecté par un code malveillant. La police fédérale américaine refuse de communiquer quant au versement possible d’une rançon. Seule indication de la part du FBI, le ransomware DarkSide serait à l’origine de l’attaque. Un vent de panique concernant une hausse du prix des carburants, ou encore un impact sur l’économie, affole la population outre-Atlantique. Cet oléoduc transporte essence et diesel sur près de 9000 kilomètres à travers les États-Unis, de Houston (Texas) jusqu’au port de New York.
Colonial Pipeline est la firme qui délivre quotidiennement plus de 380 millions de litres de fioul, elle a cessé toutes opérations samedi 8 mai 2021. La distribution représente quasiment 45 % des carburants consommés sur la côte est américaine. « Le 7 mai, la compagnie Colonial Pipeline a appris qu’elle était victime d’une attaque de cybersécurité », explique le groupe.
Une faille dans les tuyaux de l’énergie
Dans un communiqué laconique, Colonial Pipeline confirme avoir placé à l’arrêt toutes ses actions. « Nous avons mis certains de nos systèmes hors ligne par précaution afin de contenir la menace, ce qui a temporairement interrompu toutes les opérations de pipelines et affecté certains de nos systèmes informatiques. » En coulisses, l’information circule, le groupe est victime du ransomware DarkSide.
Le président des États-Unis, Joe Biden, continue d’être régulièrement renseigné de l’incident du Colonial Pipeline, stipule le site de la Maison-Blanche. L’institution apprécie en permanence la répercussion de cet incident sur le ravitaillement en carburant de la côte est.
« Nous surveillons les pénuries d’approvisionnement dans certaines parties du Sud-Est et évaluons toutes les mesures que l’administration peut prendre pour atténuer l’impact autant que possible. »
Le locataire de la Maison-Blanche a ordonné aux agences du gouvernement fédéral de mobiliser leurs ressources pour aider à édulcorer les déficits là où ils se produisent.
(Crédits : AFP)
Des responsables américains ont cherché à apaiser les inquiétudes, soulignant que les répercussions ont été modestes jusqu’à présent. Pour autant, les prix de l’essence aux États-Unis avaient augmenté de 1,5 % lundi matin, d’après la BBC.
Inquiétudes au Québec
L’arrêt du pipeline a des conséquences immédiates : files d’attente interminables devant les stations-service, flambée des prix à la pompe, et crainte de pénuries dans plusieurs États du Sud-Est. Des mesures d’urgence sont prises pour réacheminer le carburant par voie terrestre ou maritime. Les aéroports de Baltimore, Atlanta, Charlotte ou encore Nashville devront décider quant à leur alimentation en kérosène, dès demain mercredi 12 mai 2021. Au Québec, le gestionnaire d’actifs des épargnes des travailleurs possède 1,5 milliard de dollars américains de participations.
« Oui, la Caisse détient une participation dans Colonial Pipeline », corroborait le porte-parole de la Caisse de dépôt Maxime Chagnon, joint dimanche après-midi par La Presse.
« Le ransomware DarkSide est responsable de la compromission des réseaux de Colonial Pipeline », confirme le FBI. Les enquêteurs ont déterminé l’origine de l’agression dès lundi, par deux faits. Le premier concerne le langage utilisé, le russe. Le second vise le codage, qui est réalisé pour ne pas s’attaquer aux entreprises qui usent de claviers russes, selon l’agence gouvernementale. Cette opération révèle au grand jour une nouvelle forme de vulnérabilité nationale. Pour la première fois, une cyberattaque non étatique paralyse un pan entier de l’économie américaine.
(Crédits : Mikhaël Noury/Pexels)
« Nous continuons à travailler avec l’entreprise et nos partenaires gouvernementaux sur l’enquête. » Le président du Bureau ovale indiquait que rien ne permet pour le moment de conclure à une participation de Moscou. Le Kremlin a nié mardi être impliqué dans cette opération. « La Russie n’a rien à voir avec ces cyberattaques. La Russie n’avait rien à voir avec les cyberattaques perpétrées précédemment », souligne le porte-parole du Kremlin, Dimitri Peskov. « Nous rejetons catégoriquement toute accusation à notre endroit à ce sujet. »
DarkSide, la face obscure du hacking rentable
Apparu à l’été 2020, le rançongiciel DarkSide fait ses classes. Vraisemblablement issu de la sphère russophone, il se distingue dès ses premières attaques par un code sophistiqué et un modèle économique structuré : celui du RaaS, Ransomware-as-a-Service. Il repose sur la location de leur rançongiciel à des affiliés, en échange d’un pourcentage sur les rançons versées.
L’organisation se revendique de proposer un « produit visant uniquement les grandes entreprises ».
D’après plusieurs sources concordantes, Colonial Pipeline aurait payé 4,4 millions de dollars en cryptomonnaie pour recouvrer ses données. Le FBI parviendra à retracer une partie de la transaction et à récupérer une portion des fonds, soit 2,3 millions de dollars américains.
Après 2021, plusieurs groupes cybercriminels apparaissent. Ils possèdent des méthodes similaires à celles de DarkSide, notamment BlackMatter et AlphV (BlackCat). Le modèle RaaS, quant à lui, continue de prospérer, décentralisant les attaques et brouillant les pistes d’attribution. (Crédits : Antoni Shkraba Studio/Pexels)
Les spécialistes parlent déjà d’un tsunami numérique, non pas pour son ampleur destructrice, mais pour la prise de conscience brutale qu’il a provoquée. L’organisation fait sa dernière apparition le 13 mai 2021, la possible dispersion dans d’autres groupes similaires tels que Revil/Sodinokibi ou Ragnar Locker est avérée. La fin du ransomware REvil est actée par le FSB en 2022.
mai 11, 2021
Ransomware : un chaud mois d’avril
Les infections par code malveillant ne se sont pas arrêtées durant le mois d’avril 2021, bien que le mois de mars soit déjà bien rempli. Ce sont donc vingt-et-une attaques perpétrées contre des entreprises privées et publiques en France. Souvent, les tracas sont comme une rangée de dominos, des dommages collatéraux arrivent avec des coûts pour la remise en fonction. Elles sont catastrophiques pour des petites et moyennes entreprises, mais restent un problème majeur pour tout un chacun.
« Pierre Fabre » avait subi dans la nuit du 30 au 31 mars 2021 une infection par code malveillant de type ransomware. Les opérateurs derrière le RaaS (Ransomware as a Service) « Revil » demandaient une rançon de 50 millions de dollars. L’entreprise amorce un retour progressif à la « normale » un mois après l’infection. Puis, ce fut l’hôpital de Saint-Gaudens, où les soignants s’accommodaient d’une seconde infection, entre LE SARS-CoV-2 et le ransomware. L’armateur Bourbon, leader dans les services de l’offshore pétrolier, infecté dans la nuit du 8 au 9 avril 2021.
- 1^er avril : l’université de Montpellier
- 3 avril : la ville de Vallauris Golf-Juan
- 4 avril : Würth France
- 8 avril : le Centre hospitalier Comminges-Pyrénées à Saint-Gaudens
- 9 avril : la compagnie maritime Bourbon, les villes de Douai et de L’Isle-sur-la-Sorgue
- 11 avril : le fournisseur de services d’expertise comptable In Extenso et la ville de Morières-lès-Avignon
- 12 avril : la commune d’Élancourt dans les Yvelines, la fondation Hopale
- 13 avril : La Martinière
- 14 avril : Azenn, le spécialiste des réseaux (cuivre, fibre, réseaux IP)
- 15 avril : Trescal
Ce vendredi 9 avril 2021, le maire de Douai (59), Frédéric Chéreau s’exprimait en vidéo : « Une attaque informatique que nous avons subie la nuit dernière, la ville de Douai est l’objet , en ce moment même, d’une attaque par un rançongiciel […] ». Une commune en chasse une autre. À l’inverse du film Ch’tis, direction le Vaucluse. La ville de L’Isle-sur-Sorgue se voyait réclamer une somme rondelette : « […] des hackers professionnels sans doute issus du Liechtenstein réclament une rançon de 500 000 euros à la Ville en échange d’une clé de décryptage », confirmait Pierre Gonzalvès, le maire. Puis Morières-lès-Avignon, autre commune du département, subit à son tour une infection informatique.
70 attaques mondiales en dix jours
Un début d’avril particulièrement douloureux en France, sur le front des infections suite aux cyberattaques. Elles sont sept en France, mais soixante-dix dans le monde entier, 229 au mois de mars. L’entreprise infectée In Extenso revendique 100 000 clients en TPE (Très petite entreprise) et PME (Petites et moyennes entreprises).
Cocasserie du moment, cette attaque survient alors que la délégation aux entreprises du Sénat organisait le 15 avril 2021 à 9 h une table ronde sur la cybersécurité des ETI-PME-TPE, avec Guillaume Poupard (ANSSI) et Jérôme Notin (GIP Acyma), entre autres.
Conti News est l’un des ransomwares les plus présents quant aux attaques cybernétiques de type ransomware. Le Canadien Capmatic est, avec les trois dernières victimes présentes sur le site de fuite du ransomware sur le darkweb. Les cybercriminels pratiquent la double extorsion, avec sur l’image ci-contre, l’une des dernières revendications des opérateurs.
(Crédits : capture d’écran/Conti News)
La fondation Hopale prenait une piqûre de rappel avec l’attaque infectieuse du centre de vaccination de Berk-sur-Mer, dans le Nord-Pas-de-Calais. Les principales menaces venaient des ransomwares Ryuk, Conti et Darkside. Trescal informait par communiqué être la cible d’une attaque sur quelques serveurs européens et asiatiques.
- 15 avril : Gecos
- 16 avril : Fondation Santé des étudiants de France
- 18 avril : Oré Peinture
- 19 avril : Protectim, prestataire de services sécurité privés, Marietton développement, API
- 20 avril : l’escape game castrais, Challenge Room
- 21 avril : Unilasalle, le centre François-Baclesse
- 23 avril : Apperton, Dirickx, Interfel
- 25 avril : CNE, la maison de champagne Laurent Perrier, le groupe Hopps, Bourg Saint-Maurice-Les Arcs, Invicta Group
- 27 avril : Voies navigables de France
- 28 avril : Reorev
Les fuites de données de santé, des réseaux sociaux (20 millions de comptes en France), permettent de croiser les données, et, ainsi, de pouvoir accéder à des informations sur des habitudes, préférences… permettant la future infection des systèmes d’information. Douze établissements de la Fondation santé des étudiants de France, dont la clinique iséroise de la Tronche, étaient en pause le 17 avril 2021.
Chiffrement et extorsion
« Les hackers ont bloqué le serveur et réclament une rançon », indique Nice-Matin. Les opérations criminelles cherchent à gagner de l’argent, tout simplement, sans états d’âme. Le spécialiste du génie mécanique frappé par le groupe « LV » le 28 avril 2021. Il est partenaire des groupes stratégiques français, tels Thales, Safran, SKF, Eiffage, Schneider Electric, Groupe Atlantic (infecté en 2020) ou encore Michelin, sur les 43 affichés par le groupe sur son site. L’un des derniers à s’afficher au palmarès des opérateurs est la firme japonaise « Kajima Corp ». Les attaques ne sont pas dues au hasard, il existe une démarche première financière, mais pas seulement.
Car l’entreprise est spécialisée dans la conception, l’ingénierie, la construction et le développement immobilier, et depuis la seconde moitié des années 90, dans l’environnement. Notamment pour le traitement des déchets, le traitement de l’eau, la réhabilitation des sols et le conseil en environnement.
Nous sommes actuellement sur le web dit sémantique, nommé 3.0, avec en point de mire l’internet 4.0, dont le standard n’est pas encore établi. Il y aura un changement radical, bénéfique pour certains, car grâce à la surveillance de masse votée et en cours d’application en France, avec la loi de sécurité globale, différentes lois « antiterroristes », couplées à l’internet des objets, vous vous trouverez comme les personnages du film « Wall-E ». (Crédits : Obayashi)
Il est déjà en train de grignoter du terrain, millimètre après millimètre… Est-ce le retour de la trilogie Matrix ou celle de Terminator ? Faudra-t-il beaucoup de temps avant d’y être immergé ? « Les technologies qui le rendront possible sont déjà en développement et commencent à voir le jour. Les assistants virtuels, tels que Siri, Cortana ou Google Now, obtiennent, jour après jour, une meilleure compréhension du langage naturel grâce aux systèmes d’apprentissage automatique. Dans le même temps, Big Data est traité de plus en plus efficacement, reliant toutes les informations obtenues à travers de multiples sources », écrivait en septembre 2020 le journaliste Dimas Pardo.
mai 1, 2021
L’Italie subit de multiples infections par ransomware
Après l’ordre national des notaires, la municipalité de Brescia et celle de Rho, c’est au tour d’un groupe automobile d’Italie du nord d’être infecté par un code malveillant de type ransomware. L’attaque de l’ordre par RansomExx n’a fait que peu de bruit, en revanche, c’est la rançon demandée pour chaque commune lombarde qui fait couler beaucoup d’encre. Tout comme l’attaque cybernétique contre l’entreprise Axios, qui ressemble à celle subie par le CNED en France.
Le nouveau rapport sur la cybersécurité en Italie confirme que le courrier électronique est l’un des vecteurs principaux de violation des systèmes d’information dans l’industrie et le domaine bancaires. Ainsi, les clients du géant automobile « Gino Grupo » basé à Cuneo, dans le Piémont, font les frais d’opérateurs malveillants.
L’e-mail vecteur principal des cyberattaques

C’est par un courriel que les milliers de clients du principal concessionnaire de la région de Granda, et l’un des plus importants d’Italie furent prévenus : « Chers clients, le 7 avril 2021, nous avons malheureusement découvert que nos systèmes avaient été attaqués par des pirates informatiques inconnus. Nous avons donc immédiatement fait appel à une entreprise spécialisée afin de tenter de résoudre le problème et de limiter au maximum les dégâts », précisaient-ils. La Stampa explique que le groupe visé « livre chaque année plus de 10 000 voitures » de marques prestigieuses (Mercedes Benz, BMW, Mini, Aston Martin), possède huit succursales et 340 employés au Piémont, en Ligurie et en Toscane, avec un chiffre d’affaires de 250 millions d’euros.
« C’est le mercredi que l’attaque aurait eu lieu, la conséquence se ressentait avec la panne du site le lendemain jeudi 8 et vendredi 9 avril 2021. Des enquêtes sont en cours – poursuis la lettre aux clients —. L’attaque a provoqué, d’une part, le cryptage de données dans nos serveurs (nous essayons de réinstaller une copie qui n’a pas été compromise) et, d’autre part, une exportation de données ». La procédure est identique aux infections par code malveillant de type ransomware, une partie des données sont inaccessibles, car chiffrées.
Caselle Torinese voit ses données exfiltrées suite à l’infection par un ransomware. (Crédits : Capture d’écran)

L’autre partie est lisible comme preuve de l’infection, puis de l’exfiltration. En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) propose un guide afin d’anticiper, et de connaître les démarches à effectuer dans : « Attaques par rançongiciels, tous concernés – comment les anticiper et réagir en cas d’incident ? » De son côté le groupe automobile continue de travailler dans le but d’atténuer les effets, et en restaurant les données, puis en les sécurisant. « Nous avons préparé la plainte qui sera déposée auprès de l’autorité judiciaire le lundi 12 avril et nous en informons l’Autorité de protection de la vie privée », conclut le groupe en conseillant à ses clients de signaler toute situation anormale et de changer leurs mots de passe.
Une rançon de 26 bitcoins
La commune de Brescia, chef-lieu de la Lombardie, située au nord de l’Italie est infectée par un code malveillant. Les opérateurs derrière le ransomware DopppelPaymer se sont attaqués aux terminaux de la municipalité. Il n’existe aucun doute possible sur la nature de l’intervention subie par la ville : « À des fins d’extorsion », martèle la municipalité aux journalistes du « Corriere della sera ».
L’attaque se serait effectuée en deux temps, la première dans la nuit du 29 au 30 mars 2021, puis celle du 31 mars au 1^er avril. Étrangement, elle se déroule au moment où les données de la ville de Brescia se dirigeaient vers un cloud. « Un projet qui devrait augmenter considérablement le seuil de sécurité […] ».
Il fallu attendre quelques jours pour que les intentions soient dévoilées aux dirigeants de la commune italienne. Une demande de rançon, a été formulé, de 26 bitcoins, équivalents à plus de 1, 36 millions d’euros. « Bien entendu, la police a été immédiatement informée et tout paiement est exclu, |…] », explique le directeur général du Palazzo Loggia, Giandomenico Brambilla. (Crédits : capture d’écran)
Le ransomware DopppelPaymer a extorqué, entre 2019 et 2021, plus de 600 victimes. C’est le 28 février 2023 qu’Europol coordonne une opération de Police. Deux descentes, une en Allemagne et l’autre en Ukraine permettent l’arrestation de deux suspects et la confiscation de matériel. Trois ressortissants russes étaient activement recherchés. Le groupe avait mené une attaque contre le National Health Service du Royaume-Uni en 2017, celle en 2021 contre la NRA.
La commune de Rho se relève
La ville lombarde de Rho est infectée par DoppelPaymer, comme Brescia auparavant. L’action se déroule dans la nuit du 1^er avril 2021, entre 3 h 21 et 5 h 40 selon les autorités. Il Giorno relate, qu’après 13 jours, les dommages causés au réseau sont réparés ; mais le retour à la normale est encore loin.
Il est fréquent qu’une période de trois mois soit nécessaire après de telles infections. Au sein de la municipalité, un travail de fourmi s’effectue. Le personnel, soutenu par des techniciens de sociétés externes, travaille à la réinitialisation de tous les terminaux, soit près de 300.
En plus de la reconfiguration du système informatique, un nettoyage en profondeur est nécessaire. Un travail scrupuleux, mais fondamental pour repartir en toute sécurité.
La municipalité s’en sort mieux que prévu selon son maire Pietro Romano, mais le retour à la normalité promet d’être long.
(Crédits : DR)

« Les modalités de l’attaque contre la ville de Rho sont très similaires à celles utilisées par les hackers de Brescia. Heureusement, nous n’avons perdu aucune donnée. […] Malheureusement, l’incident s’est produit malgré le fait que les systèmes antivirus et de sécurité de l’information sont actifs », souligne l’édile Pietro Romano. La rançon demandée était de 7,62 pour augmenter à 13,178 bitcoins, soit près de 700 000 euros au cours actuel.
Axios, le CNED italien

L’entreprise Axios fournit l’interface entre parents, professeurs et élèves pour environ 40 % des écoles italiennes, ce qui représente plus de 5, 5 millions d’étudiants. « Suite aux vérifications techniques approfondies effectuées depuis samedi matin parallèlement aux activités de restauration du service, nous avons reçu la confirmation que l’inefficacité créée est sans équivoque le résultat d’une attaque de ransomware sur notre infrastructure », affirmait le site Axios le 5 avril 2021.
Le rêve de chaque enfant s’est réalisé en Italie. Imaginez-vous le premier jour des vacances scolaires ayant cette discussion avec vos parents : « As-tu des devoirs à faire pour les vacances de Pâques ? », demanderait votre maman.
« Non ! », auriez-vous répondu. « Comment ça, non ? Je vais vérifier… » Et, là grande surprise, pas de bulletins de notes, ni de devoirs, de véritables vacances en perspective.
« Tous nos techniciens travaillent à un rythme incroyable pour rétablir tous les services dans les plus brefs délais, mais cela n’exclut pas qu’il puisse y avoir de légers retards par rapport à ce qui est indiqué », souligne la direction. (Crédits : capture d’écran)
Suite à la cyberattaque de Rho, la police a commencé ses investigations. Les premières informations indiquent que l’attaque est partie de Moldavie et que les auteurs devraient être les mêmes que ceux qui ont attaqué la ville de Brescia et Axios. Le ransomware avait été utilisé contre plusieurs entreprises, dont le géant taïwanais Foxconn et le français Manutan. Les principaux suspects, Igor Garshin, Igor Olegovich Turashev et Irina Zemlianikina, sont arrêtés. Un autre suspect, Artem Stryzhak arrêté en 2024 en Espagne est extradé en avril 2025 vers les États-Unis.
avril 15, 2021
533 millions de Facebookiens, et moi, et moi, et moi…
Non, ce n’est pas un poisson d’avril qui s’extirpe d’un chapeau de magicien tardivement, la fuite est réelle. Les données de plus d’un demi-milliard d’utilisateurs du réseau social Facebook voient leurs données diffusées. Exfiltrées en 2019 par le biais d’une fonctionnalité non sécurisée, résolue depuis, elle circule depuis dans les méandres de l’Internet, pour apparaître samedi aux yeux de tous. 533 millions de profils du réseau social de Mark Zuckerberg ainsi exposés à la vue de tous.
Lorsqu’un réseau social, a plus de deux milliards d’utilisateurs, est attaqué, des quantités énormes de données fuitent. Les cyberattaques ne donnent pas toutes des publications. Certaines passent sous le radar, pour n’apparaître que bien plus tard.
Fuite massive de données
Les cloches ont sonné en plein week-end pascal, c’est samedi 3 avril 2021, qu’Alon Gal tire la sonnette d’alarme, sur twitter. Les données de plus de 500 millions de personnes s’affichent sur un site, elles sont classées par pays en ordre alphabétique. De l’Afghanistan, l’Allemagne, du Bahrain, le Bostwana, la Bulgarie, le Burundi, le Canada, Chypre, la Croatie, l’Égypte, les Émirats arabes unis, l’Espagne, les États-Unis, l’Éthiopie, la France, la Grèce, L’Islande, l’Inde, l’Irak, la Libye, le Luxembourg, le Mexique, la Namibie, la Norvège, les Pays-Bas, le Portugal, le Royaume-Uni, la Syrie… Ils sont cent six pays sur la liste.
Les données ayant fait l’objet d’une fuite ne sont pas valables que pour les années 2018 et 2019. Elles ne sont apparues qu’en 2021. Comment est-ce possible ?
En réalité, des cybercriminels exploitent la vulnérabilité en 2019, et Facebook l’a corrige immédiatement. Mais, la firme a oublié d’informer ses utilisateurs, de l’incident. En conséquence, Meta a été confrontée à des critiques sévères, ainsi qu’à une lourde amende de 265 millions d’euros (environ 276 millions de dollars américains).
Le tableau recense, selon son concepteur, les pays dont les utilisateurs ont été le plus touchés. (Crédits : Twitter/zlatanvano)
Ces données comportent en premier le numéro de téléphone, puis l’identifiant Facebook, votre civilité, la ville de résidence, l’ancien lieu de villégiature, la date de naissance, votre statut de relation (en couple, célibataire, compliqué, etc.), la date de création du compte, la biographie, et rarement l’adresse mail. Sur les 40 millions d’utilisateurs en France (en mars 2021), la moitié est concernée.
Qui est concerné ?
Maintenant, une question se pose : « Comment puis-je savoir si mes données ont fuité ? » Premièrement, ne pas surfer n’importe où. Le site Have I Been Pwned affiche depuis plusieurs années une sécurité des informations, et dans cette optique, son fondateur Troy Hunt, a décidé de débloquer la recherche par numéro de téléphone. Pour effectuer cette recherche, il faut se rendre sur le site « Have I Been Pwned » puis indiquer ledit numéro avec l’indicatif, +33 pour la France, en omettant le premier chiffre, le « 0 ».
Le site vous indique si le numéro recherché fait partie des 533 millions de données. Prenez garde aux différents messages que vous pourriez recevoir, des cybercriminels s’en servent via du phishing, ou hameçonnage pour collecter d’autres données encore plus sensibles. Ainsi des sites sont apparus, permettant, selon eux, de vérifier que votre numéro de téléphone apparaissait parmi la liste. Les données que vous indiquez sur le site « Have I Been Pwned » subissent un hachage, garantissant votre sécurité.
Rappelez-vous de cette maxime, littéralement, d’un certain Vladimir Lénine : « La confiance n’exclut pas le contrôle ».
(Crédits : Capture d’écran)
Quiconque entre en possession de données provenant de la violation, pour une éventuelle utilisation, même à des fins positives, est interdit par la législation sur la vie privée, ces informations étant le résultat d’un traitement illicite, et pénalement répréhensible. Le site « https://haveibeenfacebooked.com » permettant, selon les indications, de vérifier si votre numéro de téléphone est l’un des 533 millions, est suspendu pour une durée indéterminée. La fuite comprend également les numéros de téléphone du PDG de Facebook, Mark Zuckerberg, et des cofondateurs Chris Hughes et Dustin Moskovitz.
De plus, il apparaît que le même numéro de téléphone est également enregistré à son nom sur l’application de messagerie Signal, axée sur la protection de la vie privée, relate « The Hacker News ». « Mark Zuckerberg respecte également sa propre vie privée en utilisant une application de chat qui dispose d’un cryptage de bout en bout et qui n’est pas détenue par Facebook », a tweeté Dave Walker, chercheur à SynackRedTeam.
L’arroseur arrosé, car les données du fondateur de Facebook se trouvent parmi celles exfiltrées (Crédits : Dave Walker)
La fuite questionne sur la sécurité, la directrice des communications de réponse stratégique, se veut rassurante dans un tweet : « Il s’agit d’anciennes données qui ont déjà été signalées en 2019. Nous avons trouvé et corrigé ce problème en août 2019 », déclare-t-elle. Alors que les dirigeants sont avares en communication avec la presse et les journalistes, Dave Walker ironise : « si les journalistes ont du mal à obtenir une déclaration de Facebook, peut-être peuvent-ils lui donner un coup de fil ? »
avril 7, 2021
Le ransomware « Cl0p » infecte six universités américaines
Elles sont six universités américaines à avoir subi une infection par code malveillant, en un peu plus de dix jours. L’attaque cybernétique est de type ransomware. L’université du Colorado, de Miami, de Yeshiva, du Maryland, de Californie et la non moins prestigieuse université de Stanford, deuxième au classement mondial derrière le légendaire MIT. Tout ceci est rendu possible par l’infection préalable de l’application FTA d’Accellion de « transferts de fichiers sécurisés ». Des données privées sont ainsi divulguées.
Tout commence avec la diffusion des notes, des numéros de sécurité sociale des étudiants de l’université du Colorado et de celle de Miami au début de l’année 2021. L’origine est l’application FTA (File transfer appliance) d’Accelion pour le transfert de données sécurisé. C’est un fournisseur de services de transfert de fichiers sécurisés qui permet aux organisations de partager « en toute sécurité » des documents sensibles avec des utilisateurs extérieurs à leur organisation.
Cl0p exploite une faille
Ce service, FTA, est populaire parmi les banques, les agences gouvernementales et les organisations financières qui partagent couramment des documents sensibles avec des utilisateurs externes. Une vulnérabilité a été découverte et documentée dans un rapport de onze pages, par la société de conseil en cybersécurité Mandiant. Il indique que la première faille a été découverte et résolue par Accellion le 16 décembre 2020, tandis que la seconde l’a été le 20 janvier 2021. En premier, l’opérateur malveillant a enchaîné les vulnérabilités suivantes : Injection SQL (CVE-2021-27101) et exécution de commandes du système d’exploitation (CVE-2021-27104).
Les attaques impliquaient l’exploitation de plusieurs vulnérabilités zero-day dans l’ancien logiciel FTA. Un « zero-day » (0-day) est une vulnérabilité n’ayant fait l’objet d’aucune mise à jour, car n’ayant pas de publication, elle n’est pas connue. Elle cesse de l’être dès qu’un exploitant s’en sert. Le but fut l’installation d’un nouveau shell web, ou « code encoquillé », nommé « Dewmode », permettant un accès et un contrôle à distance. L’ANSSI documente un shell web avec l’exemple « Supernova » suite à la présence d’un code malveillant dans Solar Winds Orion.
L’accès à des données de patients s’affich sur le site de fuite de Cl0p. (Crédits : capture d’écran)
Quatre failles critiques
Suite à de nombreuses attaques, l’entreprise Accellion a corrigé quatre vulnérabilités FTA. Elles étaient connues pour être exploitées par les opérateurs malveillants, en plus d’incorporer de nouvelles capacités de surveillance et d’alerte pour signaler tout comportement suspect. Les défauts sont les suivants :
- CVE-2021-27101 – Injection SQL via un en-tête Host spécialement conçu
- CVE-2021-27102 – Exécution de la commande OS via un appel de service Web local
- CVE-2021-27103 – SSRF via une requête POST spécialement conçue
- CVE-2021-27104 – Exécution de la commande du système d’exploitation via une requête POST spécialement conçue
« Bien que nous croyons, sur la base de notre enquête à ce jour, que l’incident est limité au serveur Accellion utilisé pour les transferts de fichiers sécurisés, nous continuons à améliorer notre programme de cybersécurité pour protéger davantage nos systèmes contre les cybermenaces. Nous continuons à servir notre communauté universitaire conformément à notre engagement envers l’éducation, la recherche, l’innovation et le service », assure l’université de Miami. Sans pour autant être devin, le site Bleeping Computer avertissait : « il est probable qu’il publiera davantage de fichiers à l’avenir pour faire pression sur les victimes, afin qu’elles paient. »
« Bien que l’ampleur de l’attaque n’ait pas encore été déterminée, les premières informations issues de l’enquête confirment que la vulnérabilité a été exploitée et que plusieurs types de données ont pu être consultées, notamment des informations personnelles identifiables sur les étudiants de Boulder et Denver, des informations personnelles identifiables sur les futurs étudiants, des informations personnelles identifiables sur les employés, des données cliniques et de santé limitées, ainsi que des données d’étude et de recherche », affirme l’université du Colorado dans son communiqué. Le 1^er avril, sans mauvaise blague, « un certain nombre d’universités ont été ajoutées au site de fuite sur le dark web des acteurs de la menace Cl0p », souligne le site Data Breaches.
La pression ne s’est pas fait attendre, sur leur site, les données s’affichent en cinq parties téléchargeables. (Crédits : capture d’écran)
Elles semblent être liées à la brèche d’Accellion en décembre et janvier, renchérit l’auteur. La menace est prise très au sérieux, ainsi le 2 avril, le directeur financier de Stanford Medicine, M Randy Livingston et le doyen Lloyd Minor, ont confirmé dans un e-mail, adressé à leur communauté, l’exfiltration de données, relate le journal The Stanford Daily.
Sous-investissements en cybersécurité ?
Accellion a déclaré que 300 clients utilisaient l’ancien logiciel FTA, vieux de 20 ans, et que moins de 100 d’entre eux ont été victimes d’une brèche par les opérateurs derrière le ransomware Clop et FIN11. La chaîne de télévision CBS SF annonçait que « le système informatique de l’un des plus grands districts scolaires du pays a été piraté par une bande criminelle qui a crypté les données du district et exigé une rançon de 40 millions de dollars, faute de quoi elle effacerait les fichiers et mettrait en ligne les informations personnelles des élèves et des employés ».
D’ailleurs, selon le site Bleeping Computer, des sources dans le domaine de la cybersécurité leur auraient révélé que la vulnérabilité du logiciel d’Accellion aurait été également à l’origine de l’infection de la Harvard Business School. Un sous-investissement en matière de sécurité des systèmes d’informations serait-il sous-jacent ?
Au vu des nombreuses infections, la question a le mérite d’être posée ! Car, déjà deux décennies auparavant, le 25 avril 2001, ZDNET relatait déjà une attaque de l’université de Stanford où était scolarisée Chelsea Clinton, fille du 42^e président des États-Unis.
(Crédits : Gerd Altmann/Pixabay)
Les opérateurs revendiquent que « nous n’avons jamais attaqué les hôpitaux, les orphelinats, les maisons de retraite, les fondations caritatives, et nous ne le ferons pas. Les organisations pharmaceutiques commerciales ne sont pas éligibles pour cette liste ; elles sont les seules à bénéficier de la pandémie actuelle. Si une attaque se produit par erreur sur l’une des organisations susmentionnées, nous fournirons le décrypteur gratuitement, nous nous excuserons et nous aiderons à corriger les vulnérabilités. » Parmi les autres victimes d’Accellion FTA infectées par « Cl0p » figurent le géant des supermarchés Kroger, la Reserve Bank of New Zealand, l’autorité australienne de régulation des marchés financiers (ASIC), Singtel, la société de cybersécurité Qualys, l’institut de recherche médicale QIMR Berghofer, le bureau de l’auditeur de l’État de Washington « SAO », ainsi que la société Shell.
avril 4, 2021
Le cybercasse de deux Français pour 9,5 millions de dollars
C’est le cybercasse le plus important à ce jour. Si la société GateHub a déclaré croire que le pirate informatique avait abusé de son API pour mener ses attaques, sans vraiment savoir comment. Cela semble similaire à une attaque DDoS par réflexion, d’où l’usurpation d’identité. Cette attaque (DDoS) fleurit chez les opérateurs de Ransomware, parce qu’elle est relativement facile à mettre en œuvre. Pour autant, il est possible d’anticiper cette menace, car les conséquences peuvent être dramatiques pour les cibles impactées.
Le préjudice peut être financier, atteindre l’image même de l’entreprise, causant des dommages irrémédiables. En premier lieu, qu’est-ce qu’une attaque par DDoS ? Quelles sont les cibles privilégiées ? Comment s’en prémunir ? Que faire en cas d’infection ?
DDoS, rien ne va plus…
« Les attaques par déni de service distribué (Distributed Denial of Service ou DDoS) sont aujourd’hui fréquentes, notamment du fait de la relative simplicité de leur mise en œuvre, et de leur efficacité contre une cible non préparée. Ces attaques peuvent engendrer des pertes financières non négligeables par l’interruption de service ou encore indirectement, par l’atteinte portée à l’image de la cible », explique le rapport, « Comprendre et anticiper les attaques DDoS » de l’agence nationale de la sécurité des systèmes d’information (ANSSI) en préambule.
Une attaque par « déni de service distribué » (de l’anglais Distributed Denial of Service, DDoS) vise à rendre indisponibles un ou plusieurs services dans un but purement malveillant. L’origine peut être une vengeance, jusqu’aux revendications idéologiques, et bien sûr les extorsions de fonds, à l’aide des fameux Ransomares. Cette attaque se sert d’une faiblesse, d’une vulnérabilité logicielle ou encore ,. Imaginons que votre site possède la capacité de 100 000 connexions simultanées, il suffit de saturer la bande passante, ou attaques volumétriques, pour rendre inopérant votre site. Comme lorsqu’en plein cours, ou, lors d’une réunion, vous recevez trop de demandes et d’informations. Elles vous provoquent un « Bug » au cerveau.
L’attaque use de machines infectées, dites zombies, pour multiplier les connexions et ainsi faire tomber le site de la cible. (Crédits : numerama)
Il peut s’agir aussi d’une grande ouverture de nouvelles sessions TCP dans un intervalle de temps très court, ou encore d’un nombre trop important de traitements concurrents effectués par une base de données. Le TCP (NDLR : Transmission Control Protocol), littéralement, « protocole de contrôle de transmissions », est un protocole de transport fiable, en mode connecté, documenté dans la RFC 7931 de l’IETF. Oubliant le bien-fondé et la protection de notre vie privée, une phrase est entendue maintes et maintes fois : « Je n’ai rien à cacher »… indiquant la non-conscience et supputant la faible protection des systèmes d’informations usités par le grand public.
Néanmoins, nous parlons d’attaque DDoS lorsqu’elle fait intervenir un réseau de machines (souvent compromises, par exemple le vôtre) afin d’interrompre la majeure partie, du ou, des services d’une entreprise, d’une collectivité, d’un centre de soins, d’un hôpital, d’un SDIS… a contrario, d’un ordinateur du quidam lambda.
Les opérateurs derrière le ransomware Avaddon revendiquent, preuve à l’appui, l’attaque par DDoS, l’une des dernières victimes affichées ci-dessus, comme Mikro Trading, en Tchéquie, Basque Centre for applied mathematics (BCAM) en Espagne, mais aussi l’entreprise Targetcom basée en France.
La réponse est plus simple qu’il n’y paraît. Toute entité dont l’activité dépend d’une infrastructure connectée à l’Internet, autrement dit, toutes ! Évidemment, des cibles sont plus lucratives pour les entités malveillantes : ainsi le e-commerce, les gouvernements, les institutions financières, ou bien encore les structures d’hébergement informatique sont des mets privilégiés. En 2014, l’ANSSI admet que les opérateurs français constataient plus d’un millier d’attaques journalières, soit une toutes les 86 secondes. (Crédits : capture d’écran)
Plusieurs moyens d’attaques : ils peuvent user de botnets, de réflexion, d’amplification (DNS, NTP). L’attaque par réflexion consiste à envoyer des paquets (comme vous envoyez des courriers à un tiers) en utilisant l’adresse IP de la machine ciblée comme IP source, pour tromper le terminal par usurpation d’identité. L’amplification est volumétrique, a pour objectif d’épuiser la bande passante réseau disponible afin de rendre un ou plusieurs services inaccessibles. Elle se distingue avec des protocoles DNS, NTP et bien d’autres encore.
Comment s’en prémunir
En premier lieu, considérer qu’un système d’information peut avoir des faiblesses, et donc renforcer l’équipe pour améliorer la sécurité desdits systèmes. Les équipements de type pare-feu et les répartiteurs de charges contribuent à absorber certaines attaques. La limite est lorsque les sites possèdent une forte audience. « Ils ne constituent pas une protection suffisante contre ce type d’attaque d’une manière générale », assure le rapport de l’ANSSI.
Pour cela il est nécessaire, comme dans un bâtiment de guerre (par exemple un sous-marin), de posséder des contres-mesures. Avant de lancer ces protections, il faut identifier la procédure des attaquants. Les moyens mis en œuvre sont pléthores. Car une attaque peut intervenir sur n’importe quelle partie de la chaîne, en interne comme en externe.
Donc, une fois les terminaux protégés, il est primordial que les services ayant accès auxdits terminaux le soient également. Les hébergeurs sont susceptibles d’être force de proposition (entreprise extérieure pour l’hébergement des serveurs), des filtrages comme lorsque vous tamisez votre farine pour la rendre plus fine. Ces derniers sont effectués par un opérateur de transit ou encore en amont par des filtreurs. (Crédits : David Mark/Pixabay)
De plus, il existe un réseau de diffusion de contenu (Content delivery network, CDN) formant un maillage de terminaux reliés via l’Internet et protègeant vos installations, car toutes les données ne sont pas au même endroit. Cela est comme les pièces d’un puzzle disséminées à droite et à gauche, vous pouvez assembler toutes les pièces et obtenir l’objectif final, le beau château ou les petits chatons jouant avec la pelote de laine, sans posséder aucun morceau dudit puzzle chez vous… Le plus simple est d’avoir et d’être en bonne relation avec le responsable de la sécurité informatique, vulgarisé par « RSSI » et de lui demander conseil.
Que faire en cas d’attaque ?
Lorsqu’une attaque est détectée, cela signifie que vous disposez de moyens de supervision et d’alerte, si ce n’est le cas, munissez-vous-en. Vous pouvez évaluer votre niveau d’exposition à la menace « Cyber » sur cette page-ci. Cmme les premiers gestes en portant secours à une personne, il est indispensable de protéger, alerter, écarter et secourir rappellent les sapeurs-pompiers de France. Avant de lancer les contre-mesures, identifier l’élément défaillant, le ou les protocoles utilisés ainsi que les sources de l’attaque… L’attaque DDoS peut-être un cheval de Troie, masquant la véritable volonté des opérateurs malveillants, à savoir une exfiltration de données (Ramsomware) ou une tentative d’intrusion.
« Selon la nature de l’organisme attaqué, la loi peut imposer une déclaration d’incident. Cette déclaration ne constitue en aucun cas un dépôt de plainte, et ne s’assortit d’aucune garantie d’assistance technique », martèle l’ANSSI. De plus, les opérateurs d’importance vitale sont tenus d’informer sans délai l’agence nationale. En 2014, un incident considéré comme significatif atteint au minimum 100 000 abonnés. En cas de survenance d’incident, l’ANSSI possède une page, plus que complète, pour le déclarer « En cas d’incident ». Elle apporte des réponses aux questions que vous pourriez vous poser et les liens s’y rapportant. Car l’attaque DDoS peut avoir de graves conséquences pour l’entreprise ou la collectivité et judiciaires pour ces auteurs. Le Code pénal, à travers son article L 323-2, prévoit jusqu’à 5 ans de prison et 150 000 euros d’amende le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données. Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende.
(Crédits : Mary Pahlke/Pixabay)
Ces sanctions n’incluent évidemment pas les dommages et intérêts que les victimes de l’attaque pourraient réclamer au civil, au titre du préjudice, notamment matériel. En outre, l’article L 323-1 insiste sur « le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 60 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à cinq ans d’emprisonnement et à 150 000 € d’amende. »
Jusqu’à 7 ans de prison
Les exemples de condamnations sont nombreux. Blanchiment d’argent avec le ransomware Locky, « The dark overlord » condamné à 1, 5 million de dollars d’amende, et 5 ans de prison, même nombre d’années de prison pour un hacker Canadien, Karim Baratov tandis que Roman Seleznev en prenait 27. Grant West citoyen britannique condamné à dix ans et huit mois en 2018. Le 13 janvier 2020, en France, un jeune hacker écopait d’une peine de quatre mois de prison avec sursis.
Un jeune Grenoblois de 20 ans, connu sous le pseudo « Prosox » avait pris six mois avec sursis dans une précédente affaire et 140 heures de travail d’intérêt général pour le piratage de la chanson, dont le clip est le deuxième le plus visionné avec 7,264 milliards de vues au 24 mars 2021, « Despacito » sur le site Vevo.
Mais ce dernier se retrouvait dans une bien plus grosse affaire judiciaire. En effet, deux jeunes Français de 20 et 21 ans, Nassim B et Gabriel K.A.-.B. connu respectivement sous les pseudonymes « Prosox » et « Kuroi’SH », ont dérobé plus de 9 millions de dollars en cryptomonnaie. « Sur Internet, nul n’est à l’abri d’une action malveillante ou de messages non sollicités. »
(Crédits : Ichigo121212/Pixabay)
Le 18 février 2021, le gouvernement français affichait la stratégie française pour accroître la cybersécurité et faire face à la menace. « La cybersécurité constitue un moteur de croissance important pour les années à venir. Saisissons-nous de cette technologie pour nous positionner dans les secteurs économiques de demain : le véhicule autonome, l’Internet des objets ou l’informatique en nuage (Cloud) par exemple. C’est maintenant que cela se joue […] », explique Bruno Le Maire, ministre de l’Économie, des Finances et de la Relance. Le but : renforcer la protection des citoyens, des administrations et des entreprises. Et le 8 mars 2021, l’ANSSI proposait un guide des mécanismes cryptographiques, avec des règles et des recommandations. Comme les services de la météorologie, l’agence nationale possède une page relatant les principales menaces. Enfin, elle propose des liens pour signaler toute malveillance ou encore des spams reçus, car l’ANSSI exhorte : « Sur Internet, nul n’est à l’abri d’une action malveillante ou de messages non sollicités. »
mars 29, 2021
Ramsomware : Bilan de l’année 2020
Une entreprise française est la nouvelle victime du ransomware MountLocker. Après l’entreprise Dassault Falcon Jet en décembre, c’est 160 Gb que les opérateurs ont aspiré. Au passage ils opèrent également sur les entreprises américaines de Faps Inc, dans le New Jersey, et Geotech engineering & Testing, à Humble au Texas. Les opérateurs affichaient les preuves des cyberattaques le 17 mars 2021.
L’expert mondial des spécialités électriques et des matériaux avancés, qui avait fait l’acquisition de la société Fusetech, basée à Kaposvár en Hongrie, cyberattaqué le 15 mars 2021. L’achat pour quatre millions d’euros hors complément de prix futur (Earn out) permet de renforcer l’efficacité industrielle en Europe dans le domaine des fusibles, et d’intégrer la fabrication de certains produits futurs en norme européenne (IEC). Le 11 mars 2021 zonebourse relatait que le groupe accusait une perte de 12 millions d’euros, contre un bénéfice de 57,3 millions en 2019, néanmoins la confiance était de mise sur l’avenir de l’entreprise, quelques jours avant que MountLocker l’épingle à son tableau de chasse.
Les opérateurs indiquent avoir téléchargé l’ensemble des données de l’entreprise internationale Mersen, soit 160 Gb (Crédits : capture d’écran)
L’ancienne compagnie lorraine de charbons est un groupe international d’origine française basé à La Défense. Depuis le début de l’année 2021, elle n’est pas la seule. Pas moins de quarante et une entreprises, collectivités locales, de la boulangerie à l’Hôpital, en passant par les Pompiers :
- le 3 janvier 2021 : OMV System France
- le 4 janvier 2021 : Coffim
- le 16 janvier 2021 : Angers
- le 20 janvier 2021 : UCAR
- le 21 janvier 2021 : Conseil Départemental de la Vienne
- le 23 janvier 2021 : La Clinique de l’Anjou
- le 30 janvier 2021 : Houilles dans les Yvelines
- le 31 janvier 2021 : Wonderbox
- le 1er février 2021 : Pénélope, BVA
- le 2 février 2021 : SVI Assurances, Communauté de Communes de l’Est Lyonnais, Mutuelle Nationale des Hospitaliers
- le 5 février 2021 : Groupe leader interim
- le 6 février 2021 : Signabois
- le 9 février 2021 : Centre hospitalier de Dax, Trigano, Groupement Hospitalier de Dordogne
- le 15 février 2021 : Hôpital nord ouest (69), 1001 Vies Habitat, Hôpital de La Châtre
- le 16 février 2021 : Boulangerie Wach de Sélestat
- le 18 février 2021 : AFNOR, Usine classée SEVESO à Béziers, Burgo Adrennes
- le 19 février 2021 : Bénéteau
- le 21 février 2021 : Manutan
- le 22 février 2021 : Charles André SAS
- le 26 février 2021 : Lacatalis
- le 28 février 2021 : Cashmag
- le 1 mars 2021 : CGG, CEE Schisler
- le 3 mars 2021 : Soflog
- le 4 mars 2021 : Jacquet Metals
- le 6 mars 2021 : Coallia
- le 8 mars 2021 : Centre Hospitalier d’Oloron
- le 9 mats 2021 : SDIS 14
- le 10 mars 2021 : La Compagnie du SAV, SDIS 47
- le 15 mars 2021 : Mersen
- le 19 mars 2021 : Upperside Capital Partners
```
À lire aussi « Les cyberattaques s’enchaînent en France »
```
Le rapport 2021 sur les ransomwares de Palo Alto Networks affiche la couleur. Les opérateurs derrière les différents ransomwares demandent des rançons bien plus importantes qu’en 2019. Selon ledit rapport, le montant moyen réglé par les entreprises américaines, canadiennes et européennes affiche une progression de 171 %. Il est passé de 115 123 $ en 2019 à 312 393 $ (261 670 euros) en 2020. Quant à la plus haute rançon payée, de 5 millions à 10 millions de dollars en 2020. Comme la plus haute de mande atteint 30 millions, soit plus de 25 millions d’euros. « Les organisations du monde entier sont prises en otage par des ransomwares, et beaucoup sont contraintes de payer les cybercriminels parce qu’elles ne sont pas équipées pour lutter contre la menace pour diverses raisons, allant du manque de l’absence de sauvegardes récupérables ou le fait que le coût de l’interruption de service est supérieur au coût du paiement de la rançon », souligne John Davis, général de division de l’armée américaine à la retraite et vice-président du secteur public chez Palo Alto Networks.
Nombre d’organisations victimes dans le monde, par famille de ransomware, sur la période entre janvier 2020 et janvier 2021 (Crédits : Unit42)
Confrontée à des perspectives financières plus fragiles tout au long de l’année, ainsi qu’aux défis supplémentaires liés au télétravail, de nombreuses entreprises ont été confrontées à des problèmes de sécurité. Ainsi, la sensibilisation aux cybermenaces et les protections de cybersécurité peuvent être plus difficiles à mettre en œuvre.
C’est pourquoi le modèle de ransomware en tant que service (RaaS), est simple à exécuter, exceptionnellement efficace et potentiellement rentable. Les opérateurs malveillants continuent d’accéder aux environnements des victimes par des méthodes traditionnelles, notamment l’hameçonnage, les identifiants RDP (Remote Desktop Protocol) faibles ou compromis, et l’exploitation des vulnérabilités des applications comme des logiciels.
Les informations diffusées peuvent être personnelles comme des pièces d’identité, CV, comptabilité, identifiant à différents sites… (Crédits : capture d’écran)
De nombreux opérateurs combinent également des logiciels malveillants de base tels que Dridex, Emotet et Trickbot pour l’accès initial. Une fois à l’intérieur d’un réseau, ils usent d’outils natifs tels que PSExec et PowerShell. Mais, à la place du cryptage des fichiers, les opérateurs exfiltrent d’abord les fichiers pour contraindre la victime à payer la rançon. Les fichiers exfiltrés sont ensuite publiés, ou menacés de l’être, sur un site de fuite dont la majorité est hébergée sur le dark web, sites créés et gérés par lesdits opérateurs.
Les opérateurs prouvent leurs dires, et leurs connaissances de l’environnement réseau de la victime,
tout en affichant l’arborescence du site partiel ou complet. (Crédits : capture d’écran)
Les pays les plus touchés de janvier 2020 à 2021 sont les États-Unis (151 attaques), le Canada (39), l’Allemagne (26), le Royaume-Uni (17), la France (16)… Taïwan, la Thaïlande, et les Émirats-Arabe-Unis n’ont subi qu’une seule diffusion. Les ransomwares sont observés sur Microsoft Windows, Apple Mac OS, les systèmes d’exploitation mobile, mais également sous environnement Linux. Si les opérateurs derrière les ransomwares s’attaquent à tous. Damien Bancal, fondateur de ZATAZ, a pu interviewer un opérateur du ransomare MountLocker. « La plupart des entreprises paient la rançon. Parfois, les entreprises affichées paient et nous les supprimons. […] Nous utilisons les trous de sécurité des réseaux de la même manière que les avocats utilisent les trous juridiques. […] Peut-être que certains groupes travaillent avec des gouvernements de manière très privée. Mais le gouvernement a une échelle incomparablement plus grande. Je pense qu’ils ont autre chose à faire que du ransomware », répond l’opérateur.
Une carte du monde avec les principaux pays attaqués sur la période d’une année de janvier 2020 à 2021 (Crédits : Unit42)
« Les formes les plus efficaces de protection contre les ransomwares sont la sécurité des points de terminaison, le filtrage des URL ou la protection du Web, la prévention des menaces avancées (menaces inconnues) et la protection contre les virus », mentionne le rapport de John Davis pour Palo Alto Networks. En France, l’agence nationale de la sécurité des systèmes d’information (ANSSI) bénéficie d’une enveloppe de 136 millions d’euros dans le cadre du plan « France Relance ». Il est plus que nécessaire, car les collectivités, les entreprises sont des cibles de choix, le « Groupe-Upperside » est la dernière victime revendiquée.
Les opérateurs derrière le ransomware Conti News revendiquent l’attaque sur le groupe français Upperside (Crédits : capture d’écran)
En effet l’objectif est d’élever durablement le niveau de cybersécurité de l’État, des collectivités, mais aussi des organisations au service des citoyens (Hôpitaux, SDIS…). « Il est plus que jamais urgent d’agir concrètement et collectivement en matière de sécurité numérique. Le plan France Relance est une belle opportunité pour changer la donne, pour donner une impulsion nouvelle là où c’est nécessaire, pour protéger durablement et au juste niveau ce qui doit l’être. L’État, les collectivités territoriales, les établissements de santé, les organismes au service des citoyens sont autant d’acteurs qui pourront en bénéficier avec l’aide de l’ANSSI » explique Guillaume Poupard, directeur général de l’ANSSI.
mars 23, 2021
Élèves et écoles cyberattaqués aux USA
Le malheur des uns fait le bonheur des autres, stipule l’adage : les criminels profitent de la pandémie, sans scrupules. Le FBI mentionnait une augmentation significative des vols de données envers les étudiants, les enseignants comme les établissements entre août et septembre 2020 avec la cyberattaque du district de Clark, dans le Nevada. Ces attaques se perpétuent encore aujourd’hui, comme celle du district d’Hanover, en Pennsylvanie, début mars 2021, sans connaître la date de fin, si elle existe.
Dans un rapport du Bureau fédéral d’investigation (NDLR : Federal Bureau of Investigation, FBI) publié sur son site officiel, il est indiqué que les cybercriminels « volent et menacent de divulguer au public des données confidentielles sur les étudiants à moins que les institutions ne paient une rançon ». L’agence de sécurité américaine avait reçu des rapports depuis le début de l’année 2020, mais de janvier à juillet, le vol de données liées à l’enseignement en ligne avait représenté 28 % de toutes les attaques de ransomware signalées aux États-Unis.
Augmentation des cyberattaques aux États-Unis
L’augmentation entre août et septembre s’est produite dans plus d’une douzaine d’entités et, dans de nombreux cas, les établissements d’enseignement ont accepté de payer la « rançon ». L’agence pour la cybersécurité et la sécurité des infrastructures (CISA) et le Multi-State Information Sharing and Analysis Center (MS-ISAC) collaborent dans la lutte contre ce fléau.
Selon le FBI, les cybercriminels ralentissaient l’accès aux vidéoconférences pour forcer les verrous menant à des informations sensibles. Dans certains cas, ils « rendent les systèmes inaccessibles pour les fonctions de base, en utilisant des tactiques précédemment exploitées par les entreprises et l’industrie ».
Ils utilisaient des noms d’élèves absents de la classe pour participer à la vidéoconférence, racontaient des témoins à l’agence fédérale. « Les criminels harcelaient verbalement les élèves et les enseignants, leur montraient des images pornographiques et violentes, pour les faire chanter », raconte le journal mexicain Excelior le 13 décembre 2020. (Crédits : DR)
Puis, toujours selon l’agence d’investigation outre-Atlantique, ils incitaient les victimes à révéler des informations personnelles (mot de passe, informations bancaires, date de naissance, nom…) à travers un courriel piégé. Dans le but que les personnes ciblées se rendent sur un site Web compromis avec un logiciel malveillant. Ainsi les cinq variantes de ransomware les plus courantes identifiées par le FBI sont : Ryuk, Maze, Nefilim, AKO et Sodinokibi/REvil.
Attaques par déni de service
« Les opérateurs considèrent les écoles comme des cibles attrayantes, et ces types d’attaques devraient se poursuivre tout au long de l’année scolaire. Ces problèmes seront particulièrement difficiles pour les écoles qui font face à des limitations de ressources », ont averti la CISA et le FBI dans leur rapport du mois de décembre 2020. « Dans ces attaques, les opérateurs ciblent les systèmes d’information des écoles, ralentissant l’accès et, dans certains cas, rendant les systèmes inaccessibles pour les fonctions de base, y compris l’enseignement à distance. Adoptant des tactiques précédemment utilisées contre les entreprises et l’industrie, les acteurs du ransomware ont également volé – et menacé de divulguer au public – des données confidentielles sur les étudiants, à moins que les établissements ne paient une rançon », martèlent les agences.
Ce que confirme le 28 septembre 2020 l’article du Wall Street Journal : « Certains districts ont payé des rançons, le Journal ayant trouvé des exemples allant de 25 000 à plus de 200 000 dollars, décidant que la reconstruction des serveurs est plus coûteuse, et pourrait retarder l’apprentissage pendant des semaines. » Le comté de Clark, dans le Nevada, est le plus grand district scolaire touché par des cybercriminels durant la pandémie de Covid-19.
Les pirates auraient divulgué les numéros de sécurité sociale, les adresses et les informations sur la retraite des employés du district, ainsi que des fichiers sur les étudiants comprenant leurs noms, dates de naissance, adresses, écoles et même leurs notes, soulignait le site Fast Company, après avoir eu accès au rapport. (Crédits : Ethan Miller/Getty Images)
Selon les agences fédérales, les pirates continueront à utiliser tout un assortiment d’outils, des attaques par déni de service aux rançongiciels en passant par les intrusions via des technologies éducatives tierces (comme les suites d’apprentissage en ligne telles que Google Classroom). Les écoles sont des lieux où la sensibilisation aux risques est faible, où le financement de la cybersécurité est minimal. Selon le FBI, tous ces phénomènes devraient se poursuivre au rythme actuel, voire s’aggraver en 2021, souligne le site Gizmodo le 5 janvier 2021.
Le district d’Hanover ciblé
« Plus le passage à l’enseignement à distance se généralise, plus les attaques vont se multiplier […] », avait déclaré Dave Ring, chef de la section cyber du FBI, à ABC News. Le 2 mars 2021, lors d’une réunion virtuelle du conseil scolaire d’Hanover en Pennsylvanie, le surintendant Nathan Barrett déclarait que l’établissement avait subi une attaque des systèmes d’information, comme les voisins les plus proches.
Le complexe de la démesure est un district scolaire public de taille moyenne situé dans la Wyoming Valley, il s’étend sur environ 78 km².
Les criminels profitaient de la pandémie et de l’enseignement à distance pour opérer. « Le district a connu des problèmes intermittents d’Internet lundi et mardi », a déclaré Nathan Barrett. Le manque de surveillance et d’hygiène informatique, couplé aux objets connectés, suffisent parfois. La pandémie, et les mesures de confinement ont fait le reste.
(Crédits : Capture d’écran)
Le président du conseil scolaire, John Mahle, a contacté la Garde nationale de l’armée pour enquêter avec sa division des cyberopérations nationales « afin d’identifier les points problématiques », relatait Michael Buffer dans « The Citizens’ Voice ». Ils annonçaient en parallèle un plan hybride de cours en ligne et en présentiel dès le 22 mars 2021.
mars 17, 2021
L’agence pour l’emploi espagnole cyberattaquée, est hors service
Le Service public de l’emploi de l’État (SEPE) a subi hier matin, 9 mars 2021, une attaque informatique générale. Elle a touché tous ses bureaux sur le territoire ibérique, l’obligeant à suspendre toute activité et à reporter les rendez-vous de la journée. Des actions urgentes ont eu lieu, avec pour objectif principal de contenir, d’isoler et, d’atténuer son impact sur les systèmes d’informations. Depuis, le site est hors ligne, en raison de l’attaque cybernétique subit et plonge dans l’attente les assurés.
Le site du SEPE est hors service depuis mardi en raison d’une cyberattaque. « Le ministère du Travail enquête sur l’origine de la faille de sécurité dans les systèmes informatiques du service public de l’emploi qui a également affecté les ordinateurs des employés de l’agence, qui ont dû les éteindre en attendant de connaître l’ampleur », explique El Diario.
Le SEPE est hors ligne
Une équipe de techniciens et d’experts du ministère travaille pour le retour à une activité normale dès que possible. « Le ministère du Travail et de l’Économie sociale regrette profondément les désagréments causés aux utilisateurs en raison de cette cyberattaque », indique le ministère. « Des travaux sont en cours dans le but de restaurer les services prioritaires dès que possible, notamment le portail du service public de l’emploi de l’État, puis de rétablir progressivement le reste des services destinés aux citoyens, aux entreprises, aux prestations et aux agences pour l’emploi », affiche l’agence.
« Les délais de demande de prestations seront prolongés d’autant de jours […], cette situation n’affectera en aucun cas les droits des demandeurs de prestations », mentionne le SEPE.
Le renouvellement des droits se fera automatiquement ou pourra être renouvelé une fois que le service aura été rétabli sans perte.
(Crédits : capture d’écran)

« Cette situation a provoqué le retard dans la gestion de centaines de milliers de rendez-vous dans toute l’Espagne […] avec les difficultés que tout cela entraîne dans la situation d’avalanche de dossiers à laquelle est confronté le SEPE depuis le début de la pandémie. »
4 008 489 Espagnols au chômage
Le syndicat des employés du service public (CSIF) s’inquiète de l’obsolescence du matériel informatique relate Vozpopuli. Luis Gonzalez, représentant du syndicat CSIF (Centrale indépendante des syndicats et des fonctionnaires) à Tarragone en Catalogne, rappelle que les matériels informatiques sont « dépassés ». Le nombre des demandeurs d’emploi dépasse les 4 millions (4 008 489), une première depuis avril 2016.
Les mécanismes de chômage partiel, croient le nombre total. Ce type de chômage est mis en place dès le début de la pandémie en mars 2020. Il a été renouvelé jusqu’au 31 mai prochain relate Les Échos.
Les premières investigations ne permettent pas, actuellement, de connaître l’origine de cette attaque. Néanmoins la signature d’apparition du ransomware Ryuk est définie sous la forme d’un fichier texte ou d’un fichier HTML comme le montre l’image ci-contre. En janvier 2020, les opérateurs derrière le ransomware Ryuk s’introduisirent et mirent hors service les systèmes de l’hôpital de Torrejón, dans la province de Madrid, mais pas seulement. (Crédits : elDiario.es)
Comme l’explique El Mundo, d’autres entreprises espagnoles ont subi également le ransomware « d’origine russe », la radio privée SER et Everis. Gerardo Gutierrez, directeur du SEPE, a confirmé qu’il s’agit de « la dernière version du virus Ryuk » et que l’agence a subi « une cyberattaque similaire à celles reçues par d’autres entreprises ou administrations dans le monde ».
Le rançongiciel Ryuk
Nouveau venu dans le monde des ransomwares ? Pas vraiment ! Selon le rapport de l’agence nationale de la sécurité des systèmes d’information (ANSSI), le rançongiciel Ryuk a été observé pour la première fois en août 2018. « C’est une variante du rançongiciel Hermes 2.1, vendu sur le forum souterrain exploit.in à partir de février 2017 par le groupe cybercriminel CryptoTech pour environ 300 dollars. Depuis octobre 2019, Ryuk dispose d’une fonctionnalité lui permettant d’allumer les postes éteints présents sur le réseau local (Wake-on-LAN) afin d’accroître sa surface de chiffrement », continue le rapport de l’Agence.
Son apparition remonterait à décembre 2019, le rançongiciel Conti serait mis à la disposition d’affiliés selon le modèle de ransomware-as-a-service (RaaS).
(Crédits : Déroulé simplifié de la chaîne d’infection Emotet-TrickBot-Ryuk/ANSSI)
« Il a notamment été déployé en parallèle de Ryuk au cours de chaînes d’infection Emotet-TrickBot-Ryuk/Conti ou BazarLoader-Ryuk/Conti. Il est à l’origine de la compromission de nombreuses entités depuis août 2018, qu’il cible pour leur rentabilité et leur capacité à payer des rançons de montants élevés (Big Game Hunting). En octobre 2020, Ryuk serait responsable de 75% des attaques sur le secteur de la santé, secteur qu’il attaquerait depuis le premier semestre 2019 », poursuit l’ANSSI. Bien qu’aucun ciblage sectoriel spécifique ne puisse être identifié, il apparaît cependant qu’il cible particulièrement les États-Unis et le Canada, mais dorénavant aussi en Espagne.
mars 10, 2021