Étiquette : ransomware

Akira, ransomware aux allures rétro
Sorti de nulle part ou presque au printemps 2023, le rançongiciel Akira truste les places de choix chez les ransomware. Les victimes, au nombre de 808, se trouvent en particulier aux États-Unis, au Canada, en Allemagne, au Royaume-Uni et au Brésil pour la moitié. Il a depuis plus d’une année gravi des échelons en qualité de Ransomware-as-a-Service (RaaS). Selon Recorded Future, il est l’un des plus actifs et persistants. De très nombreuses victimes dont certaines ne se relèvent pas, et mettent la clé sous la porte.
Depuis son apparition en mars 2023, le ransomware Akira s’est imposé comme une menace de premier plan dans le paysage cybercriminel. Contrairement à son nom évoquant un manga culte et à son interface néo-rétro, Akira n’a rien d’un jeu. Il s’agit d’un ransomware opérant selon le modèle du RaaS : une plateforme mise à disposition de cybercriminels affiliés, qui partagent les rançons avec les développeurs du code malveillant.
Une menace persistante au design trompeur
Akira se distingue par sa stratégie de double extorsion. Ainsi, avant le chiffrement, il exfiltre des données tout en menaçant de les publier si la victime refuse de payer la rançon. Cette méthode décuple la pression psychologique sur les entreprises et organisations ciblées. Des soupçons appuyés notent des liens avec le groupe Conti dissous en 2022. Des migrations d’anciens affidés de BlackBasta provoquent l’explosion de la franchise. Akira présente des similitudes avec le ransomware Conti v2. A minima, les concepteurs d’Akira ont été au moins inspirés par les sources de Conti divulguées.
En juin 2023, Avast Threat Labs indique la liste des exclusions de type de fichier. « Akira ignore les fichiers avec les mêmes extensions que Conti, sauf qu’il y a akira_readme.txt au lieu de R3ADM3.txt. » Sur la liste des exclusions d’annuaires, Akira ignore les mêmes dossiers que Conti. Le 29 juin 2023, un déchiffreur est publié par Avast pour cette version.
Akira exploite des vulnérabilités connues, et notamment CVE-2019-6693, CVE-2022-40684 et notamment la faille CVE-2023-20269 affectant les VPN Cisco ASA, pour s’introduire dans les réseaux. Une fois l’accès obtenu, il utilise des outils légitimes comme AnyDesk pour maintenir un accès distant ou encore WinRAR pour compresser les fichiers volés. (Crédits : capture d’écran/Akira)
La filiation ou paternité relève de l’achat des droits d’exploitations. « Arctic Wolf s’est concentré sur l’analyse de la chaîne de blocs, estimant que dans les trois transactions suspectes qu’il a observées, les utilisateurs de ransomware Akira ont payé plus de 600 000 dollars au total aux adresses affiliées à Conti », explique The Record.
Un arsenal technique affûté
Akira exploite des vulnérabilités connues pour s’introduire dans les réseaux. Une fois l’accès obtenu, il déploie ses tentacules. Ce dernier use d’une méthode de chiffrement complexe. En 2023, les recherches démontrent que le chiffrement s’effectuait via une combinaison des algorithmes Chacha 2008 et KCipher2. Puis, les clés étaient chiffrées avec RSA-4096, destiné à un usage sensible.
Yohanes Nugroho, chercheur en cybersécurité, détermine que la génération unique des clefs repose sur l’algorithme SHA-256. Qu’en plus, il est appliqué en 1500 tours sur quatre horodatages distincts, à la nanoseconde près ! Il n’y a pas de déchiffrement possible avec des méthodes classiques.
La faille (sur Linux) que découvre le chercheur est liée à l’utilité même de la protection : l’horodatage. La rétro-ingénierie recrée les clés de chiffrement.
« Le malware ne s’appuie pas sur un seul moment dans le temps, mais sur quatre moments distincts avec une précision à la nanoseconde. La corrélation entre ces moments permet de limiter le champ de recherche, rendant la force brute plus efficace. » (Crédits : Recorded Future)
En début d’année 2025, Akira a lancé une nouvelle version de son logiciel malveillant, écrite en Rust. Cette version cible des extensions de fichiers spécifiques et intègre des mécanismes d’évasion améliorés, rendant sa détection plus difficile. « Cependant, une fois que cela a été publié, les attaquants ont mis à jour leur cryptage. Je m’attends à ce qu’ils changent de nouveau leur chiffrement après que j’ai publié ceci », explique le chercheur.
Des victimes au nombre de 808
Depuis son apparition en mars 2023, le ransomware Akira a ciblé 808 victimes, selon Ransomware Live. La moitié d’entre elles se retrouve aux États-Unis (305), au Canada (40), en Allemagne (28), au Royaume-Uni (17), au Brésil (17). En mai 2025, l’entreprise KNP Logistics, l’un des plus grands transporteurs britanniques, a été contrainte à la fermeture après la cyberattaque de juin 2023.
Parmi les victimes notables figurent Nissan Australie (12/2023), l’université de Stanford (10/2023), le zoo de Toronto (01/2024), dont les données sont divulguées sur le site de fuite.
Les dernières victimes en date sont : McKenzie Commercial Contractors (USA, 29/05/2025), AGME Automated Assembly Solutions (Allemagne, même date), Termignoni SpA (Italie, m.d.), et Del Corona & Scardigli (Canada, m.d.)
Selon des données de Ransomware[.]live, Akira a revendiqué plus de 250 attaques en un an, affectant aussi bien des écoles publiques américaines, des fournisseurs d’énergie (Mississippi Power) que des entreprises agroalimentaires.
(Crédits : Tima Miroshnichenko/Pexels)
Si l’entreprise ne paie pas la rançon (allant de 200 000 dollars à plus de 4 millions de dollars des États-Unis sur la base des informations d’Arctic Wolf and Incident Response), le nom et les données de la victime sont publiés sur le site de fuite d’Akira. D’ailleurs, le ransomware revendique les victimes à un rythme effréné : « 54 au mois d’avril, à date, après 62 en mars, et un total de 80 en février. Mais dans ce dernier cas, au moins 21 des revendications se rapportaient à des faits antérieurs. »
juin 1, 2025
La facture salée des cyberattaques
Les attaques cybernétiques ne cessent d’augmenter depuis le premier trimestre 2025. Mis à part la violation des données, leur publication ou la vente sur des réseaux annexes, un coût est souvent ignoré. Les cyberattaques sont devenues, à l’ère du tout numérique, des catastrophes économiques aux effets en cascade. Les cas récents de Marks & Spencer et de Coinbase le confirment avec éclat : des centaines de millions d’euros évaporés, des chaînes logistiques perturbées, des cours de Bourse en chute libre.
Pendant longtemps, les cyberattaques étaient perçues comme des incidents techniques, relégués aux équipes dites informatiques. Aujourd’hui, elles s’invitent au cœur des conseils d’administration, des États, de la géopolitique, de la guerre économique et militaire. Elles redessinent la carte des risques stratégiques.
M&S : une faille à 300 millions d’euros
Le 22 avril 2025, une cyberattaque cible le géant de la distribution Marks & Spencer. Dans un communiqué, l’entreprise reconnaît que « la nature de l’incident signifie que certaines informations personnelles des clients ont été volées ». Lesdites informations sont : le nom, l’e-mail, le numéro de téléphone, la date de naissance, l’historique des achats et les détails de paiement en ligne.
Il n’existe, au stade de l’enquête en cours, aucune preuve du partage ou non, des données. La paternité est conférée à une organisation de cybercriminels liés au réseau Scattered Spider externalisant un programme désigné DragonForce. Les victimes les plus connues de Scattered Spider sont les casinos américains : Caesars et MGM Resorts.
La première attaque du groupe date de 2022. Depuis, cinq membres sont arrêtés, quatre Américains et un Écossais. Ahmed Hossam Eldin Elbadawy, Noah Michael Urban, Evans Onyeaka Osiebo, Joel Martin Evans et Tyler Buchanan. Ce dernier, appréhendé en Espagne en juin 2024, est extradé vers les USA. Au-delà de la somme astronomique, c’est l’étendue des dégâts qui frappe : dysfonctionnement prolongé de l’unité e-commerce, désorganisation de la gestion des stocks, hausse des dépenses de cybersécurité… (Crédits : Mtaylor848/Wikipedia)
« […] nous avons décidé de suspendre la prise de commandes via nos sites web et applications de M&S.com […] », explique la marque sur son site web. L’objet des intrusions non autorisées n’est plus seulement de simples fichiers volés, mais des modèles économiques, et leurs conséquences peuvent être mortelles pour les entreprises touchées.
Coinbase : faille humaine et sociale
À quelques milliers de kilomètres, c’est un autre géant qui semble vaciller. La plateforme américaine d’échange de cryptomonnaies Coinbase révèle avoir été victime d’une attaque aux conséquences potentiellement plus lourdes encore. Les estimations hautes affichent jusqu’à 400 millions de dollars de pertes. « Des criminels ont ciblé nos agents de support client à l’étranger. Ils ont utilisé des offres en espèces pour convaincre un petit groupe d’initiés de copier des données dans nos outils de support client pour moins de 1 % des utilisateurs mensuels de Coinbase. »
Ce qu’ils ont : nom, adresse, téléphone et e-mail, pièces d’identité, données du compte (instantanés de solde et historique), données d’entreprise limitées. Ce qu’ils n’ont pas : identifiants de connexion ou codes 2FA, clés privées, capacité à déplacer ou accéder aux fonds des clients, accès aux comptes Coinbase Prime…
L’entreprise a immédiatement rompu ses contrats avec les prestataires impliqués. Au lieu de payer la rançon, la société fait un pied de nez aux cybercriminels. Ils établissent un fonds de récompense de la même somme, 20 millions de dollars pour toute information menant à l’arrestation et à la condamnation des attaquants. De plus, les adresses des cybercriminels sont marquées, afin que les autorités « puissent les suivre et travailler à la récupération des actifs. » (Crédits : Worldspectrum/Pexels)
Ce que révèlent ces deux affaires, c’est que la cybersécurité ne se résume pas à des pare-feu ou des protocoles. Elle touche à l’organisation même des entreprises, à la gestion de leurs partenaires, à la formation de leurs employés, à leur capacité à anticiper les modes opératoires de plus en plus sophistiqués des cybercriminels : l’ingénierie sociale.
Ingénierie sociale : quand la menace parle votre langue
Ce n’est plus seulement par la technique que les entreprises chutent : c’est par la parole, par l’illusion, par l’être humain. L’ingénierie sociale, cet art trouble de manipuler les comportements pour accéder à des informations ou à des systèmes, ne cesse de gagner en raffinement suite aux nombreuses fuites de données.
Les fautes grossières dans des courriels douteux sont en diminution. Les attaques par phishing, spearphishing… sont de plus en plus crédibles. Le manque d’attention, de temps, la précipitation, le mobile first, fait qu’elles se glissent dans le quotidien d’un employé, sans éveiller le moindre soupçon.
Et face à cette menace invisible, aucune ligne de code ne suffit. Ce qu’il faut, c’est une éducation., une culture de la vigilance, du doute constructif, de la responsabilité partagée. La cybersécurité ne se décrète pas, elle s’enseigne, se vit, se répète. Cela, aussi bien dans le monde professionnel que dans la sphère familiale. Elle n’est plus l’exclusivité des experts IT, mais elle doit être un réflexe collectif, une éthique du quotidien. Ce n’est pas la technologie qui échoue, c’est souvent la confiance mal placée, le silence gêné, le clic trop rapide. (Crédits : Mateusz Dach/Pexels)

Parce qu’à l’ère de l’ingénierie sociale, le vrai pare-feu, c’est la conscience humaine. Le plus grand exploit jamais enregistré est le vol de 1,5 milliard de dollars en février à Bybit, deuxième plateforme mondiale de cryptomonnaies. Face à cela, les entreprises commencent à revoir leurs priorités. Mais l’ampleur des réformes à mener est immense : reconsidérer la gouvernance, auditer les chaînes de sous-traitance, investir massivement dans les outils de détection, intégrer la cybersécurité dès la conception des services. Car ce n’est plus une simple menace, c’est une condition de survie.
mai 28, 2025
Doublement des cyberattaques en Amérique latine
Il y a moins d’articles publiés sur les attaques cybernétiques de type ransomware, mais pourquoi ? La banalité d’un phénomène devenu courant ? La lassitude des lecteurs ou des journalistes ? Un peu des deux. L’information est dominée par d’autres sujets. Pour autant, les cyberattaques perdurent, les opérateurs derrière les ransomwares ne faiblissent pas, bien au contraire. Le constat est quasiment identique sur le globe terrestre, comme en Amérique latine où les cyberattaques ont doublé au premier trimestre 2025 par rapport à 2024.
Selon les chiffres de Check Point, les établissements, de la très petite entreprise à la multinationale de la région américaine, ont subi 2,6 attaques par semaine. Une augmentation significative de 108 % par rapport au premier trimestre de l’année passée.
Les cyberattaques croissent de 47 %
Le constat est alarmant. « Une augmentation de près de 50 % des menaces cybernétiques dans le monde, avec une hausse de 126 % des attaques par ransomware. » Au premier trimestre de l’année 2025, les cyberattaques ont augmenté de 47 %, ce qui représente une moyenne de 1 925 attaques hebdomadaires (Afrique 3 286, +39% ; Asie-Pacifique 2 934, +38% ; Amérique latine 2 640, +108% ; Europe 1 612, +57% ; Amérique du Nord 1 357, +40 %). À travers la planète et de manière générale, l’éducation termine en tête avec 4 484 attaques par semaine. Suivent le gouvernement (2 678) et les télécommunications (2 664).
Si l’Afrique concentre la moyenne la plus élevée, avec 3 286 attaques hebdomadaires, l’Amérique latine n’est malheureusement pas en reste. Elle affiche la plus forte augmentation avec 108 %. La banalité des attaques augmente, quand celles par ransomware croissent de 126 %. L’Amérique du Nord concentre 62 % des incidents mondiaux, l’Europe 21 %. Les biens et services de consommation sont le secteur le plus ciblé (13,2 %).
« Même les journalistes qui écrivent habituellement sur les ransomwares ne parlent plus des incidents aussi souvent qu’avant. Plusieurs journalistes m’ont même dit que Cl0p s’est plaint que personne ne couvre son exploit Cleo et les fuites de données qui ont suivi », explique Allan Liska, spécialiste du renseignement sur les menaces chez Recorded Future. (Crédits : Darwin Laganzon/Pixabay)
Allan Liska indique avoir abordé le sujet de la lassitude à l’égard des ransomwares dans les conseils d’administration, mais concernant ces attaques cybernétiques, tous s’en moquent la majeure partie du temps.
Les différents vecteurs d’attaques
Les attaques de type ransomware augmentent, affichant 126 % de croissance au niveau mondial par rapport au premier trimestre 2024. Soit un total de 2 289 incidents signalés. Ils usent de faux courriels, de faux messages, de phishing, de spearphishing… mais pas seulement. Le clonage, plus ou moins bien réussi, de sites existants est de plus en plus prégnant.
Au Mexique, c’est la marque de vêtements de plein air MAJA Sportswear qui met en garde ses clients. Un site WEB reproduisant son image tente d’escroquer les utilisateurs. Cela reflète l’évolution de la société, avec l’utilisation exponentielle de l’intelligence artificielle. Qui plus est, avec la saturation d’information et de communication, qui rend difficile la distinction entre le réel et le virtuel.
« Ce que nous avons détecté, c’est une tentative de reproduction de notre site. Le design est similaire, les images sont les mêmes, les produits sont les mêmes. La seule chose qui n’était pas authentique était l’intention : il s’agissait d’une escroquerie visant nos clients », explique Jesús Polanco, responsable du commerce électronique de MAJA.
Comment ça fonctionne ?
Les cybercriminels clonent la conception et le contenu d’un site en question. Cela ne ressemble en rien au défaçage d’un site. Ils achalandent et proposent des produits à des prix très bas, défiant toute concurrence. Ils obtiennent ainsi vos données personnelles et bancaires.
Les secteurs les plus touchés jusqu’à présent sont la mode, les cosmétiques et la technologie, mais toute entreprise ayant une présence numérique est vulnérable.
Comment identifier un faux site ?
Par des attentions abordables à tout un chacun. Il faut vérifier l’URL du site. Elle doit commencer par « https:// ». Elle correspond lettre pour lettre au domaine officiel. Ne pas faire confiance aux promotions absurdes, trop alléchantes, ni aux liens qui arrivent par courriels ou par les réseaux sociaux non vérifiés. (Crédits : Sid Maia/Pexels)
Les diverses fuites renforcent la pseudo véracité des messages reçus. En cas de doute, il suffit de choisir votre moteur de recherches préféré, de taper le nom de la marque ou du produit. Consultez toujours les réseaux officiels de la marque, ou encore écrire directement en cas de doute. Jamais, Ô grand jamais votre banque, la direction générale des finances publiques (DGFIP), et tout autre organisme ne vous demanderont de confirmer les données en leur possession.
mai 23, 2025
Cyberattaque : Astral foods perd des plumes
La cyberattaque dont le géant sud-africain est victime le 16 mars 2025 a des effets immédiats. L’entreprise annonce, dans un communiqué officiel, le 24 mars qu’elle s’attend à voir son bénéfice semestriel chuter de 60 %. Cette attaque modifie et perturbe la production et les livraisons de ses produits. La firme se veut rassurante en indiquant « qu’aucune information confidentielle ou sensible n’a été compromise ». Cette histoire remémore la cyberattaque de la ferme états-unienne qui avait perdu 9 millions de dollars au final en 2021.
Le 16 mars 2025, la section avicole de la compagnie sud-africaine Astral Foods est à l’arrêt complet suite à une cyberattaque. En toute bonne foi, la compagnie assure avoir réagi « rapidement en mettant en œuvre tous les protocoles de reprise après sinistre et les plans de préparation. Cependant, notre division Volaille a été affectée par des temps d’arrêt dans la transformation et les livraisons aux clients. »
Conséquences diverses suite aux cyberattaques
Les cyberattaques touchent de très nombreuses sociétés à travers le monde. Certaines sont des TPE, PME mais aussi des multinationales. L’impact d’un tel traumatismes est différent d’une société à une autre, le tout en fonction de la conjoncture. Quelques unes s’en sortent sans trop de dommages, quand d’autres peuvent , en France , passe en redressement judiciaire, voire en liquidation. Ces cyberattaques font subir à leurs victimes une accélération avec des conséquences désastreuses parfois.
L’industrie avicole sud-africaine vit des moments particuliers. Les causes sont : la hausse des coûts de production, les conditions économiques compliquées et la baisse du prix du poulet. Cet incident cybernétique provoque la perte de 20 millions de rands (environ un million d’euros). Ainsi, Astral Foods estime que le bénéfice net par action ne devrait pas diminuer de plus de 60 %.
Selon le marché international le prix de la volaille a diminué de 0,01 BRL/kg, ou 0,12 % depuis le début de 2025 (l’unité de mesure le BRL est le Réal brésilien par kilogramme, NDLR).
En 2023, Les États-Unis représentent 17,5 % de la production mondiale devant la Chine (13,3 %) et le Brésil (12,3 %). Les producteurs de céréales utilisées dans l’alimentation de la volaille sont la Chine (20,4 %), États-Unis (18,4 %) et Brésil (6,5 %). (Crédits : Quang Nguyen/Pexels)
Le prix record est de 8,60 BRL/kg en septembre 2021, il affiche 8,29 BRL/kg à l’écriture de cet article (31/03/2025. La production mondiale de viande de volaille devrait atteindre plus de 141,3 millions de tonnes. La croissance affichée, selon les données de l’OCDE et la FAO est de 11 %. Elle devrait atteindre près de 160 millions de tonnes, lors de la prochaine décennie. Quant au traitement des volailles lors de leurs élevages : rien n’indique l’augmentation des bons traitements, comme l’accroissement de l’espace de vie, la vue de la lumière naturelle et le fait de manger de l’herbe.
Une perte de 9 millions de dollars suite à une cyberattaque
Une affaire similaire touche une ferme états-unienne en janvier 2021. La raison une attaque cybernétique de type ransomware qui bloque temporairement les activités agricoles d’une ferme. Elle entraîne des pertes d’environ 9 millions de dollars. De nombreuses entreprises à travers le monde ne se relèvent pas des suites des cyberattaques. Un exemple en France avec la société Octave : une cyberattaque survenue le 16 août 2024, liquidation judiciaire le 19 mars 2025.
Des sociétés de production de viande sont régulièrement la cible de cyberattaque. La compagnie JBS USA est la victime en mai 2021, du groupe Sodinokibi/REvil indique le FBI. Les conséquences sont multiples. L’interruption complète de ses activités, qui affecte durablement l’approvisionnement des supermarchés. « Il va sans dire que le bœuf a disparu des rayons de nombreux magasins aux États-Unis. »
L’entreprise a fait le choix de payer une rançon aux criminels. Le montant réglé est de 11 millions de dollars. Le but est d’éviter la perte des données de l’entreprise, des clients et des employés.
La note du département de la justice américaine indique une hausse du prix de gros jusqu’à 25 %. (Crédits : Tom Fisk/Pexels)
Le 14 janvier 2022, le FSB annonce le démantèlement du groupe Sodinokibi/REvil. Au total, quatorze personnes sont arrêtées. 426 millions de roubles, soit environ 4,8 millions d’euros et 20 voitures de luxe sont saisis.
mars 31, 2025
Le ransomware Qilin fait 23 victimes en mars
Le ransomware Qilin produit plus de vingt victimes suite à ces cyberattaques au 20 mars 2025. Depuis sa première apparition en juillet 2022, il affiche 329 victimes. Le groupe derrière le ransomware Qilin fait la une des journaux en juin 2024 avec la cyberattaque contre Synnovis. Il applique la double extorsion. L’une des dernières victimes est l’établissement hospitalier Los Madroños. Avec plus de 540 GB de données dérobées, sept photos sont affichées sur le site de fuite. Le tribunal de Cleveland et le ministère des Affaires étrangères ukrainien sont aussi victimes.
Le groupe Qilin ne cesse d’occuper le devant de la scène. Depuis une campagne en juillet 2024, les chercheurs de Sophos découvrent une méthode inhabituelle permettant aux attaquants de dérober les identifiants stockés dans les navigateurs Google Chrome, via une stratégie de groupe (GPO). Une de ses victimes l’hôpital Los Madroños est situé à moins de 30 km à l’ouest de Madrid, à Brunete. L’établissement de soins indique dans ses communiqués, avoir observé l’incident le 7 mars 2025, et en avoir informé les autorités compétentes.
Los Madroños et le ministère des Affaires étrangères ukrainien
Sur le site de fuite sons exposées 212 073 documents sur un total de 540 GB. L’établissement émet deux communiqués, l’un à l’attention des patients, l’autre pour le personnel. « Le ransomware Qilin a infecté le réseau interne de l’hôpital, bloquant temporairement l’accès aux données en les chiffrant. En outre, les attaquants ont extrait des données confidentielles au cours de l’incident. En résumé, il y a eu à la fois un cryptage de nos fichiers et une exfiltration (vol) d’informations », explique Los Madroños.
Concernant la patientèle, les données exposées sont de deux types. Les dossiers médicaux et les données d’identifications. Côté clinique, les diagnostics, les traitements, les résultats d’examens et les notes de vos médecins. Ainsi il est possible de consulter des analyses de sang, des protocoles…
De plus, les informations personnelles telles que le prénom et le nom, la carte d’identité, la date de naissance, l’adresse, le numéro de téléphone et d’autres coordonnées conservées dans nos systèmes. Toutes les informations que vous remplissez lors de votre admission, le registre d’entrée. Mais également des notifications du registre central des délinquants sexuels et de la traite des êtres humains. (Crédits : capture d’écran/Qilin)
Les personnels soignants, actuels et passés sont touchés par la fuite sur les documents d’identité, les données relatives aux études et formation ainsi que relative à leurs emplois. Les données sont : la pièce d’identité, les qualifications, certifications académiques, formations complémentaires et expériences professionnelles. Mais encore la catégorie et le poste occupé, la date d’embauche, l’historique des promotions ou des évaluations, les heures de travail, ainsi que les données salariales (le salaire, les déductions fiscales…) sans oublier l’IBAN.
Le ministère des Affaires étrangères de l’Ukraine
Le ministère des Affaires étrangères affirmait avoir des indices de l’implication russe sur une attaque cyber dans la nuit du 13 au 14 janvier 2022. « Plusieurs sites gouvernementaux ukrainiens ont été la cible vendredi d’une cyberattaque qui s’est produite dans un contexte de vives tensions entre Kiev et Moscou, accusé de préparer une invasion de son voisin ukrainien », écrivait France TV Info.
Le ransomware Qilin a revendiqué l’attaque sur le ministère des Affaires étrangères de l’Ukraine, le 7 mars 2025. Le principal intéressé n’a pas encore communiqué sur cette cyberattaque. Plus de 100 fichiers sont disponibles. Ils sont des échanges datant de l’année 2022.
Ils portent sur des passeports, des remerciements de soutien suite au conflit armé opposant l’Ukraine et la Russie, mais également des demandes de passeports. Selon les rapports suite à l’attaque contre Synnovis, le groupe serait d’obédience russophone.
Dans son discours le chef de l’État français déclare que « la Russie est devenue une menace pour la France et pour l’Europe. » Depuis de part et d’autre, les commentaires fusent, comme la guerre de la propagande dans les divers camps.
(Crédits : Capture d’écran/Qilin)
De son côté le tribunal de la ville de Cleveland, dans l’Ohio voit des données exposées sur le dark web. Après la cyberattaque de fin février, l’administration à fermer ses portes par mesure de précaution. Depuis le 23 février 2025, le site WEB est, quant à lui toujours hors service.
mars 20, 2025
Une faille dans le réseau Find My de Apple
Des chercheurs de l’université George Mason ont découvert un moyen, pour quiconque, de localiser quasiment n’importe qui, ou plus précisément quelques ordinateur ou appareil mobile. Ils baptisent cette faille « nRootTag ». Cette attaque utilise l’adresse Bluetooth d’une machine combinée au réseau Find My d’Apple pour transformer les appareils cibles en balises de localisation involontaires. Une trouvaille de taille qui pourrait ravir les services de police à travers le monde, comme toute personne malveillante usant de phishing, de ransomware.
Pour comprendre l’impact, il suffit de simplifier. « Cela revient à transformer n’importe quel ordinateur portable, téléphone ou même console de jeu en Air Tag Apple, sans que le propriétaire s’en rende compte », explique Junming Chen, auteur principal de l’étude. Hacker quelque chose est le détourner de son utilisation première, dans un contexte général.
Trouve-moi… si tu veux
L’histoire possède un relent de déjà-vu. Auparavant en 2021, des individus malintentionnés détournent l’utilisation première d’un Air tag. Quelques mois plus tard, une personne télécommande des voitures de marque Tesla, situées aux États-Unis, à partir d’un smartphone au Portugal. « Et le pirate peut faire tout cela à distance, à des milliers de kilomètres de distance, avec seulement quelques dollars ». L’équipe de Qiang Zeng et Lannan Luo, professeurs associés au département d’informatique de l’université George Mason, ainsi que Chen et Xiaoyue Ma, doctorants ont découvert que l’attaque fonctionne en faisant croire au réseau Find My d’Apple que l’appareil cible est un AirTag perdu.
L’Air Tag est un IoT que vous pouvez accrocher à un autre précieux à vos yeux : votre porte-monnaie, clefs… peut-être votre vie privée, voire bien, plus. Ici, l’AirTag envoie des messages Bluetooth aux appareils Apple situés à proximité, qui relaient sa position à son propriétaire pour qu’il puisse le localiser. Rien d’anormal, jusqu’ici.
La méthode d’attaque des chercheurs peut transformer un appareil (ordinateur de bureau, smartphone, IoT) en « AirTag » sans l’autorisation d’Apple. C’est alors que ledit réseau commence à le suivre.
Ainsi dans le protocole, ils ont été en mesure de faire des expériences « pas piquées des hannetons ». Après avoir contourné le chiffrement des adresses Bluetooth d’Apple, via d’une grande puissance de calcul, la cyberattaque est active.Ils localisent un ordinateur stationnaire à trois mètres près, suivent l’itinéraire d’un vélo électrique en mouvement, reconstituent la trajectoire exacte et identifient le numéro de vol d’une console de jeu embarquée dans un avion.
« Si le piratage de votre serrure intelligente est effrayant, il l’est encore plus si l’attaquant connaît également son emplacement. Avec la méthode d’attaque que nous avons introduite, l’attaquant peut y parvenir ».
Ce qui est inquiétant est hormis le taux de réussite est de 90 % et la capacité à suivre les appareils en quelques minutes, c’est que cette technique ne nécessite pas d’augmenter ses privilèges d’utilisateur à administrateur ou « root ». Procédure somme toute habituelle pour un tel accès au système.
(Crédits : Omran Jamal/Pexels)
Les chercheurs ont d’ores et déjà averti la firme à la pomme en juillet 2024, dont une mise à jour de sécurité à suivi. Ils ont démontré que l’attaque fonctionne également sur les ordinateurs et les appareils mobiles sous systèmes Linux, Android et Windows, ainsi que sur plusieurs téléviseurs intelligents et casques VR. Ce qui est préoccupant est les conséquences possibles sur la vie privée. Des personnes malveillantes pourraient facilement employer cette technique à des fins de traque, de harcèlement, d’espionnage d’entreprise ou de menaces pour la sécurité nationale, et commercial. Les groupes de marketing, de publicité pourraient établir le profil des utilisateurs sans dépendre du GPS de l’appareil.
mars 1, 2025
Le site du ransomware 8Base saisi
Une opération judiciaire internationale conduit à la saisie du site vitrine du ransomware 8Base. Quatre personnes sont arrêtées à Phuket, en Thaïlande dans le cadre de l’opération « Phobos Aetor » le 10 février 2025. Cette opération policière vise les cybercriminels derrière le ransomware Phobos. Le quatuor est accusé d’avoir mené des cyberattaques envers plus d’un millier d’entités. Ils auraient ainsi extorqué plus de 16 millions de dollars en bitcoin. La même intervention se saisit du site vitrine du ransomware 8base sur le darkweb.
La première capture de l’opération est le créateur et administrateur de Phobos. Il est extradé le 4 novembre 2024 de Corée du Sud vers les États-Unis. Le 18 novembre, le ministère de la Justice américain révèle son identité : Evgenii Ptitsyn, 42 ans de nationalité russe.
Quatre arrestations à Phuket
Le ransomware Phobos, par l’intermédiaire de ses filiales, a fait plus de 1 000 victimes. Elles sont des institutions publiques et privées aux États-Unis, comme partout dans le monde. L’extorsion à travers les rançons payées en cryptomonnaie est de plus de 16 millions de dollars.
Le ransomware 8base connu depuis le printemps 2022 revendique 455 victimes. Les dernières connues sont l’établissement St Nicholas au Brésil, la commune belge Héron, mais aussi le cabinet Jean Louvel Saoudi et l’entreprise FIO, ces deux derniers sur l’hexagone.
L’opération judiciaire internationale se saisit du site vitrine du rançongiciel 8Base. La brigade de lutte contre la cybercriminalité de la préfecture de Paris est l’une des forces à y avoir participé.
L’arrestation et l’extradition du fondateur en novembre 2024 ont sans doute permis de découvrir des liens. Ces liens sont avec toute vraisemblance, à l’origine du démantèlement du ransomware et de l’arrestation des quatre personnes présumées. Leurs identités sont logiquement encore inconnues, car l’enquête se poursuit.
(Crédits : DR)
La police thaïlandaise a saisi plusieurs téléphones mobiles, ordinateurs portables et portefeuilles numériques, soit un total de quarante pièces à conviction. Les suspects sont accusés de complot en vue de commettre une infraction contre les États-Unis et de complot en vue de commettre une fraude électronique. Ces arrestations font suite à une demande de la part des autorités suisses et des États-Unis, impliquant des mandats d’Interpol pour les suspects européens qui étaient entrés en Thaïlande dans le cadre d’une organisation criminelle transnationale.
Site vitrine du ransomware 8Base saisi
L’opération internationale visant le gang du ransomware Phobos, conduit à l’arrestation de quatre personnes à Phuket, en Thaïlande : deux femmes, deux hommes. Un coup supplémentaire est porté avec la saisie des sites de 8Base sur le dark web. Les suspects sont accusés d’avoir mené des cyberattaques contre plus de 1 000 victimes dans le monde.
Les personnes arrêtées sont Européennes. Ils auraient extorqué à leurs victimes 16 millions de dollars en bitcoins. L’opération de police, dont le nom de code est « Phobos Aetor », a donné lieu à des descentes coordonnées sur quatre sites (Mono Soi Palai, Supalai Palm Spring, Supalai Vista Phuket, and Phyll Phuket x Phuketique Phyll), où des pièces ont été saisies pour être analysées.
Les paiements de rançon ont été blanchis sur des plateformes de mélange de cryptomonnaies, ce qui a rendu plus difficile pour les forces de l’ordre de retrouver leur portefeuille final, relate Bleeping Computer.
En 2023, le ministère américain de la Santé et des Services sociaux a averti que les opérateurs de 8Base ciblaient des organisations du monde entier, sans limites.
« Selon les attaques du groupe, 8Base cible principalement les PME basées aux États-Unis, au Brésil et au Royaume-Uni. Les autres pays touchés sont l’Australie, l’Allemagne, le Canada et la Chine, entre autres. Il est à noter qu’aucun pays de l’ex-Union soviétique ou de la CEI n’a été ciblé », explique le bulletin du HHS, en page 4. (Crédits : DR)
Dans un message publié sur son site de fuite du dark web avant le démantèlement de cette semaine, 8base se décrivait comme des « pentesters honnêtes et simples », indique Techrunch. Mais avant de crier victoire, il faut raison garder. Car le retour d’expérience de l’opération sur le ransomware LockBit rappelle que de couper une tête sur une hydre, n’est pas concluant.
février 10, 2025
Natohub, hacker et étudiant de 18 ans arrêté en Espagne
Une opération conjointe de la police nationale et de la Guardia Civil a permis d’appréhender un hacker présumé. Le jeune homme de 18 ans est connu sous le pseudo de Natohub. Il serait responsable de plus de 40 cyberattaques contre des organisations stratégiques ibériques et internationales. L’enquête débute en 2022 pour finaliser son arrestation mardi 28 janvier 2025. De nombreux équipements informatiques sont saisis (en cours d’analyse), ainsi que des cryptomonnaies.
Arrêté dans sa ville de résidence, Calpe dans la province d’Alicante, le jeune homme est présumé être l’auteur de plus de 40 cyberattaques. Les faits qui lui sont reprochés sont les faits de découverte et de divulgation de secrets, d’accès illégal à des systèmes d’information, de dommages informatiques et de blanchiment d’argent. Les actions sont perpétrées contre le ministère de la Défense, la Fabrique nationale de la monnaie et du timbre (FNMT-RCM), la Generalitat Valenciana, la DGT et la Guardia Civil, entre autres. Les agents trouvent sur place une grande quantité de matériel informatique, lors de son arrestation.
« Natohub » placé en détention
Lors de la perquisition à son domicile, du matériel informatique en grande quantité est saisi. Il est en cours d’analyse par des spécialistes, explique le ministère de l’Intérieur espagnol. Il n’est pas exclu de trouver des preuves concernant d’autres actes.
« Natohub » possède plus de 50 comptes de cryptomonnaies avec différents types de cryptoactifs. Dans un souci de rester le plus invisible possible, il a changé de pseudo, à au moins trois reprises (Natohub, M100 ou DSF).
Il a volé et vendu des informations telles les bases de données de la Guardia Civil et de l’OTAN.
« Une enquête complexe et exhaustive menée par la police nationale et ses collègues des forces armées a abouti à l’arrestation de ce cybercriminel qui était dans le collimateur des agents depuis des mois », explique La Razón. Il est libéré après le règlement de sa caution et lui avoir retiré son passeport. (Crédits : Policia Nacional/Guardia Civil)
Au début de l’année 2024, la société — Medios de Prevención Externos Sur SL — en charge des examens médicaux des forces de l’ordre est attaquée. Les données volées sont vendues sur le Dark Web. Puis une nouvelle fois, les forces armées sont la cible d’une attaque cyber le 28 décembre 2024. Les données exfiltrées sont les courriels professionnels, leurs prénoms et noms, et leurs numéros d’identification (TIP), le RIO en France ; ce qui représente 160 000 identités.
Qui est « Natohub » ?
Si sa remise en liberté est effective, une enquête est en cours auprès du 54^e tribunal de Madrid, mais son identité reste secrète le temps de l’instruction tout au moins. Qui est donc « Natohub » ? En mars 2020, le confinement est décrété partout en France comme en Espagne, suite à la pandémie de Covid-19. Connu sous les pseudonymes Natohub, M100 ou DSF, il commence à s’intéresser à la cybersécurité et aux systèmes d’information, il n’a que 13 ans.
Il acquiert, en autodidacte les connaissances nécessaires pour pénétrer des organisations internationales et nationales telles que l’OTAN et la Guardia Civil. Mais aussi les capacités à voler des données et informations sensibles puis à les vendre sur des forums dédiés. Bien que ses principales cyberattaques soient dirigées contre l’armée et les forces de l’ordre. Il n’y aurait aucune motivation idéologique.
Suite à la plainte auprès de la Policia Nacional, d’une association de guides touristiques, l’enquête débute en février 2024. Grâce à une trace oubliée sur un portail mal configuré, ils remontent le fil jusqu’à son arrestation. Il découvrent alors un étudiant de 18 ans ordinaire, dans un foyer familial ordinaire. (Crédits : La Razón)
février 5, 2025
Cyberattaque de Telefónica en Espagne
Le vol de 2,3 gigaoctets de données fait la une de la presse ibérique. L’opérateur Telefónica subit une cyberattaque, à travers sa messagerie interne : les « tickets ». L’entreprise confirme l’accès non autorisé aux systèmes d’information et indique qu’une enquête est en cours. De son côté, sur un forum, l’attaque est revendiquée par un groupe de quatre entités. Les pseudonymes sont Grep, Pryx et Rey (Greppy, Saint-Prypex, Rey). Ils seraient également membres du ransomware HellCat dont Schneider Electric est la victime en novembre 2024.
Une victime de plus sur la péninsule ibérique. Après LynxSpa par le ransomware Morpheus, The Hoff Brand SL par Everest, et Candelas y Asociados S.L par LockBit au mois de janvier, la multinationale espagnole de télécommunications reconnaît avoir subi une cyberattaque autour du 9 janvier 2025. Le géant de la télécommunication, fondé le 19 avril 1924, affiche environ 363 millions d’abonnées. Présente dans douze pays pour la téléphonie fixe, mobile, internet et télévision payante, et principalement en Europe et Amérique latine (Movistar, O2, vivo…), Telefónica emploie plus de 100 000 personnes.
Deux gigaoctets de données volées
Le géant de la télécommunication, Telefónica, subit une cyberattaque aux alentours du 9 janvier 2025. Le groupe d’individus extrait environ 2,3 Go de données, y compris des documents et des « tickets ». L’intrusion non autorisée dans les systèmes d’information s’effectue à l’aide d’informations d’identification d’employés compromises. Depuis Telefónica, bloque cette possibilité, après avoir réinitialisé les mots de passe desdits comptes.
« Nous avons été informés d’un accès non autorisé à un système de billetterie interne que nous utilisons à Telefónica. Nous enquêtons toujours sur l’étendue de l’incident, mais nous pouvons confirmer que les clients résidentiels n’ont pas été affectés. Dès le début, les mesures nécessaires ont été prises pour bloquer tout accès non autorisé au système. »
La confirmation n’intervient qu’après qu’une base de données Jira de Telefónica fait l’objet d’une fuite sur un forum de piratage. Quatre personnes sous les pseudonymes Grep, Pryx et Rey revendiquent l’intrusion.
« Pryx affirme ne pas avoir contacté l’entreprise ni tenté de l’extorquer avant de divulguer les données en ligne », explique BleepingComputer. (Crédits : Telefónica)
« BleepingComputer a été informé que les tickets ont été ouverts avec des adresses e-mail @telefonica.com, et qu’il peut donc s’agir de tickets ouverts au nom de clients. » Le gouvernement espagnol est entré au capital en décembre 2023 à hauteur de 2,2 milliards d’euros. Ainsi, il s’adjuge 10 % du capital de l’opérateur et deviendra de facto son actionnaire principal, devant la Fondation bancaire Caixa d’Estalvis (9,994 %) et le groupe Saudi Telecom Company basé en Arabie saoudite (4,969 %).
Membres du ransomware HellCat
Les trois personnes à l’origine de cette attaque, Grep, Pryx et Rey, sont également membres du ransomware HellCat. Grep est aussi associé au ransomware HellDown. Le rançongiciel HellCat est vu pour la première fois en octobre 2024. Les victimes revendiquées et affichées par le groupe sont Carcareplan (Turquie), la municipalité de Blora (Indonésie), Pinger (USA), le Collège d’enseignement des affaires de Tanzanie, le ministère jordanien de l’Éducation et Schneider Electric en France.
Schneider Electric refuse de payer la rançon de 125 000 dollars, et Hellcat rend publique et disponible les données volées.
Pour Schneider Electric c’est également par le système Atlassian Jira qu’il revendiquent avoir réussi à pénétrer l’infrastructure. Sur le site de fuite, ils expliquent que « Cette intrusion a compromis des données critiques, notamment des projets, des problèmes et des plugins, ainsi que plus de 400 000 lignes de données utilisateur, soit un total de plus de 40 Go de données compressées. »
(Crédits : capture d’écran/HellCat)
Se targuant que Schneider Electric refuse de payer la rançon demandée, plus de 40 Go de données sont publiquement disponibles au téléchargement. Depuis les données téléchargeables ne sont plus disponibles.
janvier 18, 2025
Généalogie du ransomware
Il fête ses 35 ans d’existence, le 12 décembre 2024. Le premier ransomware ou rançongiciel date de la fin des années 80. Son but, par chiffrement de données : extorquer de l’argent. Le premier à se faire connaître est PC Cyborg Trojan, codé par Joseph Popp. Depuis les cyberattaques ne cessent de faire la une des journaux print ou web. Il n’est pas une société qui soit épargnée. Si l’année 2023 vit le paiement de un milliard en rançon, ce montant pourrait devenir astronomique dans le futur.
La population mondiale découvre depuis quelques années, vers 2008, un phénomène : les ransomwares ou rançongiciels. Depuis l’avènement des réseaux sociaux, tout est dit est son contraire. La première affaire internationale parlant de clef de déchiffrage moyennant une somme d’argent date du 11 décembre 1989.
Voyage dans le passé
Le virus du SIDA découvert par le Professeur Montagnier fait des ravages à travers le monde. Les années 80 voient une recrudescence de contamination par ce virus mortel. Pour comprendre l’étendue d’une contamination, il faut trouver le patient zéro, puis effectuer de la rétro-ingénierie. En 1989 éclate le scandale des disquettes connues sous le nom « AIDs Trojan ». Ce cheval de Troie est considéré comme le premier ransomware.
La Ketema & Associates distribue par voie postale, des disquettes (5 pouces 1/4) contiennent le code source d’un programme d’information et de prévention contre le sida.
Mais elle contenait également un autre programme. Ce dernier s’installe silencieusement. Il se met en ordre de marche après 90 redémarrages. Il chiffrait des informations sur le système d’information, et les données personnelles.
Puis un message exige 189 dollars pour obtenir la clef de déchiffrement. Elle est à régler sur un compte au Panama pour la société PC Cyborg. L’enquête nécessite l’intervention d’Interpol. Après plusieurs pistent, les inspecteurs s’orientent vers le Panama. Mais l’armée des États-Unis envahit le pays le 20 décembre 1989.
Le hasard n’existe pas. Les autorités aéroportuaires douillent les bagages d’une personne en transit à Amsterdam pour du Kenya se rendre aux États-Unis. La police saisit un tampon de la société PC Cyborg. Sans élément, le citoyen américain Joseph Popp poursuit son voyage.
(Crédits : Walter Koch/Wikipedia)
Il est arrêté le 2 février 1990 par le FBI près de Cleveland, puis extradé vers le Royaume-Uni où il est incarcéré à la prison de Brixton. Déclaré « public disgrace », il est inapte à être traduit devant la justice britannique. Il ne sera pas inquiété par la justice américaine, mais condamné par contumace en Italie. L’étude des disquettes et du chiffrement donnent lieu à des critiques. L’utilisation du chiffrement symétrique par le Dr Joseph Popp donnera naissance à la cryptographie asymétrique.
La naissance des programmes
La technologie célèbre ses 35 ans le 12 décembre 2024. Les balbutiements apparaissent dès 2004. Un individu cible les citoyens russes avec un programme connu sous « GPCode ». Il est le premier programme informatique nommé désormais « phishing ». L’arnaque à la promesse de carrière, ou offre d’emploi est née.
Puis les variants tels Archiveus, Krotten, Cryzip, MayArchive usent de clés de chiffrement de plus en plus grandes. Ensuite Reveton en 2012 et Cryptolocker en 2013. Sur les quatre derniers mois de l’année, CryptoLocker amasse plus de 4 millions de dollars. L’opération Tovar stoppe son déploiement. Evgeniy Bogachev, alias « lucky12345 » et « Slavik », est chargé par le FBI d’être le meneur de Gameover_Zeus et Cryptolocker.
Depuis des rançongiciels fleurissent ici et là. Mais différents types existent. Le chiffrant qui affecte l’ensemble des systèmes d’information contaminés. Les utilisateurs découvrent un fichier texte avec des instructions relatives au paiement en Bitcoins. Il existe également les bloquants, ceux qui sont dits de Master Boot Record (MBR), mais les chiffrements sont le plus courants.
Certains sont célèbres : WannaCry, Petya,
(Crédits : Mohamed Hassan/Pixabay)
Les ransomwares, dans une liste non exhaustive, sont au nombre de 231. Certains stoppent leur activité, d’autres sont arrêtés par les forces de l’ordre et certains perdurent : Omega, 8Base, BlackLock, Akira, alphalocker, BianLian, blacksuit, BrainCipher, Ciphbit, Cl0p, Daixin Team, DarkVault, Dunghill, Arcus, Basta News, DragonForce, Embargo, Play News, RA World, RansomEXX v2, RansomHouse, Space Bears, ThreeAM, RanomHub, Medusa, KillSec, Cicada3301… et bien sûr LockBit 3.0 (annonçant la version 4.0).
janvier 6, 2025