Étiquette : ransomware

Digitalstress fermé par la NCA
Les attaques par déni de service distribué (DDoS) ne sont pas les attaques informatiques les plus sophistiquées. Elles sont pourtant une offensive régulière. Elles sont le fait de nombreux acteurs. L’afflux de messages entrants, de requêtes, de paquets mal formés… ont un seul but : ralentir, bloquer, voire arrêter un ou plusieurs systèmes. Ceux qui usent de ce type sont des pirates informatiques individuels, des réseaux criminels organisés, jusqu’aux agences gouvernementales.
Le plus grand hub de DDoS-for-Hire est désormais sous le contrôle de la NCA depuis le 2 juillet 2024. Ils sont 61 sites démantelés par les forces de l’ordre sans le denier et troisième volet de l’opération PowerOFF. D’après une étude menée par Cloudflare, au cours du premier trimestre de 2024, 4,5 millions d’attaques DDoS sont menées. Une augmentation de 50 % en rapport à l’année 2023, cite le rapport vantant ses infrastructures.
L’opération PowerOFF met Digitalstress hors ligne
La National Crime Agency (NCA) au Royaume-Uni annonce que le site DDoS-for-hire www[.]digitalstress[.]su est sous le contrôle de l’entité britannique. Le 2 juillet 2024 une opération conjointe de la NCA, du PNSI (Service de police d’Irlande du Nord) et du FBI. La révélation de cette opération s’effectue seulement le 22 juillet, 20 jours après.
Et pour cause, le PNSI conduit à l’arrestation d’un présumé responsable en ce début du mois de juillet 2024. L’individu est connu sous le pseudonyme de Skiop.
L’agence s’est introduite tel un ver dans la pomme. Ayant pris le contrôle, de nombreuses données et informations sur les utilisateurs ont été glanées.
Puis via la confection d’une splash page, les autorités avertissaient les utilisateurs de la récupération de leurs données, par le service compétent.
(Crédits : NCA)
Désormais, les services épluchent l’ensemble des informations ainsi glanées. « L’activité […] a toutefois montré que ces domaines sont vulnérables et peuvent être exploités pour mettre fin aux activités criminelles et identifier les responsables », explique la NCA.
The NCA took over the site and disabled its functionality, replacing the domain with a splash page, warning users that their data has been collected by law enforcement. This was achieved by creating a mirror site that users were directed to. pic.twitter.com/6aV0Qc3rHA
— National Crime Agency (NCA) (@NCA_UK) July 22, 2024
« Les services de “booter” sont une forme attrayante de cybercriminalité d’entrée de gamme, qui permet à des individus ayant peu de compétences techniques de commettre facilement des cyberdélits », a déclaré Paul Foster, chef de l’unité nationale de lutte contre la cybercriminalité.
Opération PowerOFF
L’opération PowerOFF débute en 2018. Elle est une opération conjointe en cours depuis six années. Le FBI avec la police néerlandaise se saisit de 15 sites WEB. Le Département de la justice américaine a inculpé le 19 décembre 2018 Matthew Gatrel, 30 ans, de St. Charles (Illinois), et Juan Martinez, 25 ans, de Pasadena (Californie).
Le procès se tient en 2022. Matthew Gatrel et Juan « Severon » Martinez ont créé deux services, qui se trouvent être au cœur de ce procès. Le premier est un « booter », le second un « stresser », soit une attaque DDoS à la demande.
Le volet se décomposait en deux volets. Downthem permettait de lancer des attaques DDoS, via des abonnements. L’autre AmpNode fournissait aux clients des serveurs « usurpateurs » (spoofing).
Matthew Gratel est reconnu coupable de violations du Computer Fraud and Abuse Act (CFAA) au regard de trois chefs d’accusation. Le premier est la « conspiration en vue de commettre une atteinte non autorisée à un ordinateur protégé », le deuxième est la « conspiration en vue de commettre une fraude électronique », enfin celle « d’atteinte non autorisée à un ordinateur protégé ». (Crédits : Fokuza/Pixabay)
Il est condamné à deux ans de prison. Lors de l’opération, les canaux de communication sont saisis. Les services de police analysent les données. Ce qui pourrait aboutir à de nouvelles enquêtes. L’année passée au mois de mai 2023, treize autres sites sont tombés via la même opération PowerOFF.
juillet 26, 2024
Cyberattaque de Total en Espagne, 210 715 clients touchés
La firme française est touchée par une intrusion non autorisée. Le fournisseur d’électricité et de gaz dépose plainte. Les données personnelles de plus de deux cent mille clients sont ainsi entre d’autres mains. Elle suit les fuites de données ou/et cyberattaques d’entreprises sur le sol ibérique. L’entreprise française Orange, la ville de Calvià (Mallorca), parfums Douglas, Teo Concello en janvier 2024. Puis l’assureur FIATC, la DGT (Dirección General de Tráfico), les forces armées espagnoles, l’université Complutense, Banco Santander, Telefónica, et Iberdrola subissent une fuite de données.
Selon le journal La Nueva España, l’entreprise Total Energies a subi une cyberattaque. Elle touche les informations et données personnelles de 210 715 personnes. Elles sont le prénom, le nom, l’identifiant, le ou les numéros de téléphone, le courrier électronique, les CUPS (le PDL en France), l’adresse de livraison et les coordonnées bancaires. Pour autant, la société communique que les cartes bancaires et les informations d’accès en ligne ne seraient pas affectées.
Recrudescence d’attaques « informatique »
« Nous nous excusons et condamnons ce type d’actes criminels qui mettent en péril le bon fonctionnement du marché et nuisent à la fois aux clients et aux entreprises […] », déclare Total Energies SAU.
« La protection et la confidentialité des données de nos clients est une priorité absolue », communique publiquement la firme. Elle collabore avec l’agence de protection des données ibérique pour « prendre les mesures légales appropriées contre les responsables ».
Il est fort probable que la société va également renforcer la sécurité de ses systèmes d’information pour éviter que cela ne se reproduise.
Les clients concernés sont déjà informés par courrier postal ou électronique relate El Economista.
En mai l’AEPD, équivalent de la CNIL en France lance sa nouvelle version de gestion du règlement de protection des données personnelles (RGPD). (Crédits : Europawire)
La cyberattaque contre la multinationale est la dernière en date. De grandes entreprises ont subi sur le sol espagnol des attaques ciblées depuis le début de l’année. Elles sont Orange, la ville de Calvià, les parfums Douglas, Teo Concello, l’assureur FIATC, les forces armées espagnoles, l’université Complutense à Madrid, Banco Santander, Telefónica, et Iberdrola.
Cyberattaques en Espagne
Elles ne sont pas autant dévastatrices que celles subies par l’hôpital Clinique de Barcelone ou celle qui avait paralysé le Service public de l’Emploi (SEPE). Mais elles sont bien présentes. Les fuites de données mettent en péril la sécurité des clients, patients et entreprises. En ce début d’année, c’est les clients d’Orange qui se trouvait privée de l’usage d’internet durant quelques heures.
La commune de Calvia à Majorque subissait en janvier une cyberattaque de type ransomware. La rançon exigée était de 10 millions de dollars, rien ne sera versé. La commune Concelo de Teo en Galice en fait aussi l’expérience, avec de moindres maux, tout comme les parfums Douglas.
Les fuites de données sont problématiques. Elles peuvent être la porte d’entrée à de nouvelles attaques. L’une d’entre elles a dévoilé les données personnelles et sanitaires de dizaines de milliers d’agents et de membres des forces armées espagnoles. Il en est de même pour l’université madrilène Complutense. Puis c’est au tour de la banque Santander. Les prénoms, noms, adresses, dates de naissance de l’ensemble des employés, ainsi que de clients au Chili, en Espagne et en Uruguay sont compromis.
(Crédits : Zarateman/Wikipedia)
Elle compte plus de 211 000 employés à travers le monde. Les entreprises du Ibex35 (équivalent du CAC40) sont dans le viseur des cybercriminels. Une fuite de 120 000 clients chez Telefónica, mais c’est Iberdrola qui enregistre la plus grosse fuite : 850 000 clients exposés. Mais également la plus grosse amende. Une goutte d’eau en comparaison des 11 millions de clients en Espagne (10,4 millions pour l’électricité, 1,3 million pour le gaz).
Revente, escroqueries, phishing…
Le but est en majorité de récupérer de l’argent. Soit directement par la revente des données sur des réseaux particuliers, soit sous la forme de rançon (ransomware), soit via le phishing, ou autre escroquerie… Il peut être aussi pour déstabiliser, nuire à une entreprise, une multinationale, un État…
L’exemple du « Piratage de la DGT » est révélateur. Fin mai 2024, la direction générale de la circulation subit une intrusion non autorisée. Elle la révèle après la découverte d’une mise en vente d’un fichier contenant des informations sur plus de 40 millions de conducteurs espagnols.
Les informations divulguées sont les prénoms, noms, adresses, numéros de téléphone, mais pas seulement. Les données sur le véhicule telles que le modèle, son âge, le numéro d’immatriculation, le numéro de châssis ou VIN, jusqu’aux informations sur l’assurance du véhicule.
« Nous pouvons consulter n’importe quel enregistrement ou document des conducteurs. Nous vendons également l’ensemble de la base de données avec 34,5 millions de lignes », explique le vendeur.
Même sur des sites web et des plateformes apparemment sûrs et fiables, il existe des vulnérabilités. Exploitées, elles mettent en danger la sécurité et la vie privée des utilisateurs. (Crédits : Mohamed Hassan/Pixabay)
Le jeune homme de 27, originaire de Murcie le découvre. En quatre années, à travers un processus minutieux et lent, il s’infiltre dans les bases de données de la DGT en Murcie, en Andalousie, aux îles Canaries et aux îles Baléares. Le vendeur gourmand et confiant a dérobé 80 000 fiches en une seule fois en mai 2024. Ce qui a déclenché une alerte auprès des autorités. La Guardia Civil est remontée jusqu’à chez lui via son IP. Le procès n’a pas encore eu lieu.
juillet 4, 2024
Emcali victime d’une cyberattaque
Les entreprises municipales de Cali sont confrontées depuis ce dimanche 9 juin 2024 à une « grave cyberattaque ». Vers 9 h 30, une offensive menace d’affecter les services de facturations, d’informations ainsi que les systèmes commerciaux. La menace selon la direction est contenue. Emcali gère les télécommunications, l’eau potable, les eaux usées, l’électricité et le gaz de 600 000 clients. L’entreprise dont l’État de Colombie est actionnaire à 100 % depuis 2002 n’est pas à sa première cyberattaque subie.
L’enquête, en cours, doit lever les doutes et les améliorations dans la sécurité des systèmes d’information, suite à la cyberattaque du 9 juin 2024. Les services dédiés ont contenu l’attaque en moins de deux heures selon le communiqué. Pour autant le site n’est toujours pas accessible.
Nouvelle cyberattaque pour l’entreprise colombienne Emcali
Il semble qu’elle soit déjà coutumière du fait. La compagnie en subissait une le 16 octobre 2021. Un ransomware se propageait dans les différents systèmes de l’entreprise. Ce que confirme Jaime Osorio pour Emcali en 2021. Un montant est demandé pour obtenir la clé de déchiffrement. Le SARS-CoV-2 facilitait cette transmission. Le télétravail avec la moindre efficacité sur la sécurisation serait à l’origine cette contamination.

Les informations chiffrées pouvaient être récupérées contre monnaie sonnante et trébuchante. Rien n’indique qu’une somme avait été payée ou non aux cybercriminels. Selon le rapport de Rodrigo Mariano Díaz et de Georgina Núñez « Ciberataques a la logística y la infraestructura crítica en América Latina y el Caribe » le coût serait de 100 000 dollars. « Nous réinitialisons la sauvegarde et il n’y a pas eu de perte d’informations, en plus de mettre rapidement en place les serveurs. Ils n’ont infecté que 6 % des serveurs avec 402 actifs, les bases de données sont saines », a déclaré Osorio.
Contenue en moins de deux heures
Le communiqué indique que depuis « ce dimanche, l’équipe de gestion des technologies de l’information d’EMCALI a détecté l’indisponibilité de différents services offerts par cette unité. Différents services offerts par cette unité. » Ils travaillent d’arrache-pied pour remettre en cours l’ensemble des services. « L’équipe de gestion des technologies de l’information de l’EMCALI a détecté l’indisponibilité de différents services offerts par cette unité. »

Roger Mina, directeur actuel d’Emcali, a déclaré que « l’attaque visait apparemment les systèmes d’information associés à la fonction commerciale ». Les suppositions du directeur seront confirmées ou non par l’enquête. « Ce que nous avons fait, c’est isoler les systèmes d’information de la société […] nous devons reconnecter ces systèmes et les allumer ». La procédure de vérification s’effectue unité par unité.
La Colombie en ligne de mire
L’attaque contre Emcali (EMpresas Municipales de Cali) a mis en lumière les défis auxquels la Colombie est confrontée en matière de cybersécurité. « L’année dernière, nous avons eu 28 milliards de cyberattaques, dont beaucoup dans le secteur bancaire, et au cours de ces cinq mois, nous avons déjà accumulé 20 milliards », a déclaré Mauricio Lizcano à Carthagène. Le ministre des Technologies de l’information et des communications (TIC) indique investir pour la sécurité des Colombiens.
Les cyberattaques et vols de données se produisent en raison du manque d’éducation de la population (liens malveillants, mots de passe, wifi public…). L’éducation aux bons gestes ne souffre d’aucune frontière. Mais parfois entre l’infection et les contre-mesures, un laps de temps certain s’écoule.
La Colombie a connu en 2021 de nombreux événements et incidents relate Jeimy Cano directeur du magazine SISTEMAS. La fuite d’informations stratégiques de l’armée, celle de l’université El Bosque (28 juin), de l’aéronautique civile (31 août), EMCALI (22 octobre), du département administratif national des statistiques (DANE) (9 novembre) et de la Pontificia Universidad Javeriana (22 novembre).
Jeimy Cano explique l’attaque contre Empresas Públicas de Cali. « Elle est une attaque typique visant une infrastructure critique afin d’affecter ses serveurs et ses clients ». (Crédits : Luis Fernando Munoz Roldan)

La gestion et gouvernance de la sécurité/cybersécurité sont à reconnaître comme surmonter cinq défis systémiques. À savoir : absence de pensée systémique, biais cognitifs, technologie inadéquate, peu de preuves empiriques, et ignorance de l’adversaire. Dans son dernier article publié sur LinkedIn, le 10 juin 2024, Jeimy Cano conclut que « La cybersécurité n’est plus un problème technique à résoudre par la technologie, mais une composante fondamentale de l’essence et de la mission de l’organisation. Dans un environnement de plus en plus numérique et technologiquement modifié, la protection de la promesse de valeur de l’entreprise passe par le développement de la confiance numérique comme fondement de la relation symétrique, transparente et équivalente qui doit être établie entre l’entreprise et ses clients. » Les cyberattaques ne concernent pas seulement les grandes entreprises.
juin 11, 2024
Une loi interdit les mauvais mots de passe
Il faut le lire pour le croire. Le flegme britannique est légendaire. Ainsi les sujets de Sa Majesté Charles III possèdent une nouvelle loi. Elle interdit d’utiliser certains mots de passe. Son but prévenir les fuites de données, les cyberattaques. Du moins, ne pas faciliter la tâche des « hackers » sur le WEB. Si la bienséance n’est pas de mise, la logique l’est. La multiplicité des objets connectés, les utilisateurs qui par facilité usent du même mot de passe… sont des vecteurs par lesquels les personnes mal intentionnées passent.
Il est des raisonnements qui pourraient traverser la Manche. Sans effet de manche, le mot de passe est un sujet majeur, pas un simple tour de passe-passe. Les moyens mnémotechniques pour se remémorer le précieux sésame existent. Pour autant, plus ou moins facile selon l’âge de l’utilisateur.
Une loi pour interdire les mots de passe par défaut
Une nouvelle loi outre-Manche interdit les mots de passe par défaut sur les appareils dits « intelligents ». C’est le Centre national de cybersécurité (NCSC) qui en est l’origine. Il appelle les fabricants à se conformer dès le 29 avril 2024 à une nouvelle loi. Elle proscrit l’utilisation des mots de passe par défaut.
« La loi, connue sous le nom de Product Security and Telecommunications Infrastructure act (ou PSTI act), aidera les consommateurs à choisir des appareils intelligents qui ont été conçus pour fournir une protection continue contre les cyberattaques », déclare le NCSC.
Les mots de passe « 123456 » ou « password » sont utilisés en France par plus de 6 millions d’individus. D’ailleurs, les mêmes mots de passe tels que « admin » ou « 12345 » sont désormais interdits au Royaume-Uni.
Les cyberattaques, quelles qu’elles soient, font l’objet d’une lutte internationale. Puisqu’ils courants et faciles à deviner, la loi prohibe l’usage de ces mots de passe. C’est une première mondiale.
(Crédits : Mohamed Hassan/Pixabay)

« Une maison remplie d’appareils intelligents pourrait être exposée à plus de 12 000 attaques de piratage provenant du monde entier en une seule semaine, avec 2 684 tentatives de deviner des mots de passe faibles sur cinq appareils », relate News Sky.
Une recrudescence d’appareils connectés
Au Royaume-Uni, 99 % des adultes ont à minima un appareil « intelligent ». De plus les foyers britanniques détiennent neuf équipements connectés en moyenne. Les chiffres sont éloquents outre-Manche : 57 % des ménages possèdent une télévision, 53 % un assistant vocal et un sur deux arbore une montre ou un bracelet de fitness, l’ensemble dit « smart ».
Cette loi semble être à l’heure anglaise. Les dix mots de passe les plus utilisés en 2023 sont : 123456, password, qwerty, liverpool, 123456789, arsenal, 12345678, 12345, abc123, chelsea.
Cette loi tend à mettre en œuvre un ensemble de normes de sécurité minimales. L’exemple cité par les journaux anglais est le réseau de zombies DDoS tel que Mirai.
Mirai, explique Cloudflare « c’est un logiciel malveillant qui infecte les appareils intelligents qui fonctionnent grâce à des processeurs ARC ». Ce qui les transforme en un réseau de « zombies » contrôlés à distance. L’ensemble compose un réseau de botnet, utilisé pour lancer des attaques DDoS.
(Crédits : freestocks-photos/Pixabay)

La mutation, tel un virus, de Mirai inquiète. The Hacker News relate la déclaration d’Omer Yoachimik et Jorge Pacheco : « Quatre attaques DDoS HTTP sur 100, et deux attaques DDoS L3/4 sur 100 sont lancées par un botnet variante de Mirai« ». Le code source a été rendu public, tel un open source, au fil des ans, de nombreuses mutations ont eu lieu.
Des amendes records
Dorénavant les fabricants sont tenus de fournir des appareils n’utilisant pas des mots de passe par défaut devinables, ou simples. Le Royaume-Uni devient ainsi le premier pays au monde à interdire les noms d’utilisateur et les mots de passe par défaut sur les appareils IoT. Le rapport de Cloudflare sur les menaces DDoS pour le premier trimestre 2024, indique que les attaques basées sur Mirai continuent.
Ces attaques perdurent huit années après que le botnet original ait été démantelé. Paras Jha, Josiah White et Dalton Norman, âgés de 20 à 21 ans plaident coupable lors de leurs procès.
Les objets connectés concernés sont les sonnettes de porte intelligentes, les baby-phones et caméras de sécurité, tablettes cellulaires, smartphones, consoles de jeux.
Mais aussi les appareils électroménagers intelligents. C’est à dire les ampoules, les prises, bouilloires, thermostats, fours, réfrigérateurs, nettoyeurs jusqu’aux machines à laver.
Cette loi vise à instruire ou éduquer. Cet ensemble de normes de sécurité minimales vise à empêcher les appareils vulnérables d’être intégrés dans un réseau de zombies DDoS tel que Mirai.
(Crédits : urish/Pixabay)

Au Royaume-Uni on ne plaisante pas avec les amendes. Les entreprises qui ne respectent pas les dispositions de la loi PSTI s’exposent à des rappels et à des sanctions pécuniaires, avec des amendes pouvant aller jusqu’à 10 millions de livres sterling (11,64 millions euros) ou 4 % de leur chiffre d’affaires annuel global, selon le montant le plus élevé.
mai 13, 2024
Cyberattaque de l’hôpital de Cannes
Le 16 avril 2024, le centre hospitalier Cannes Simone-Veil subit une cyberattaque. Elle est de type ransomware. Le groupe d’opérateur à la base est le célèbre LockBit. Sur leur site de fuite, depuis hier le 1er mai peu après 22 h, 61,7 GB de donnée sont donc accessibles. Des données de bilans de santé, des évaluations psychologiques, des informations provenant du personnel soignant, des photos et pleins de documents internes. « La direction du centre hospitalier condamne cette publication et regrette les dommages éventuellement occasionnés […] »
Deux semaines après la cyberattaque, le centre hospitalier (CH) confirme par communiqué de presse que les données publiées dans la soirée du 1er mai lui appartiennent. Le CH Simone-Veil s’ajoute à la longue liste d’établissements de santé touchés.
Une énième cyberattaque d’un hôpital en France
La cyberattaque touchant l’hôpital cannois avait contraint à annuler toutes les opérations chirurgicales non urgentes. Mais aussi à reporter toutes les consultations jusqu’au retour à la normale. Depuis, l’activité de l’hôpital a repris son cours.

Comme à chaque fois le rétablissement du fonctionnement des systèmes d’information se fait au plus vite. Les informations sont directement accessibles après le décompte macabre de la mise en ligne, suite au non-paiement de la rançon.
L’établissement précise que « la qualification des données exfiltrées se poursuit et un retour dans les prochains jours, circonstancié et personnalisé sera réalisé auprès des personnes et institutions concernées. »
Le directeur du centre hospitalier, Yves Servant, assurait durant les premières minutes ne pas avoir « eu de demande de rançon ni de vol de données identifiés à ce stade. »
(Crédits : Capture d’écran/LockBit)

Des informations de patients, mais aussi de salariés, des cartes d’identité, bilans médicaux, des bulletins de salaire, des relevés d’identité bancaires, des relevées de comptes bancaires, des tableaux d’amortissement de prêts… sont désormais en ligne. Les très nombreux documents sont d’autant plus de possibilités d’usurpation d’identité, de phishing, spearphishing…
L’opération Cronos de février
L’opération conjointe des différents services de Police sur les cinq continents affaiblissait les affidés. Trente-quatre serveurs tombaient ainsi que le compte principal. Le CEO reconnaissait avoir laissé la sécurité de côté sans effectuer une mise à jour PHP. Depuis les victimes de LockBit sont à nouveau nombreuses.
Depuis de très nombreuses sociétés sont affichées. Les personnes mal intentionnées peuvent alors se saisir de documents. Le but est de lancer de campagnes de phishing ciblé.
Entre les pièces d’identité, des numéros de sécurité sociale, des relevées d’imposition aux relevées d’examens médicaux…
« J’ai regardé la quantité de données et il n’y a pas les 60 gigaoctets. Le reste sera revendu sur le darkweb à d’autres arnaqueurs pour essayer d’extorquer de l’argent aux gens », indique SaxX sur France Bleu.
(Crédits : Capture d’écran/LockBit)
Le centre hospitalier a porté plainte, et avoir alerté la CNIL et l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Elle précise qu’un « retour circonstancié » sera réalisé dans les prochains jours, avec des « conseils en cybersécurité à tenir ».
Une première au CH de Cannes
Le centre hospitalier n’avait jamais été victime de cyberattaque de type ransomware. « Nous sommes préparés depuis les dernières crises, notamment Covid à ces situations. Nous faisons régulièrement des exercices », précise le Docteur Gard.
« La direction du centre hospitalier condamne cette publication et regrette les dommages éventuellement occasionnés auprès de certains de ces patients, professionnels et partenaires. »
Ce qui est certain est que suite aux fuites de France Travail, des organismes de tiers payants Almedis et Viamedis, il faut redoubler d’attention.
(Crédits : Capture d’écran/LockBit)
mai 3, 2024
Attention aux arnaques par e-mail
Suite aux cyberattaques, des fuites de données sont régulièrement possibles. C’est le cas après celle concernant France Travail (ex-Pôle Emploi). Ce sont 43 millions de personnes qui sont touchées. Et tout autant de cibles potentielles. Des liens arrivent dans votre boite. Ils sont bienveillants. Vous êtes invité à payer une somme dérisoire avant le retour de votre colis. Vous avez un nouveau document des impôts. Tous les moyens sont bons pour vous soutirer de l’argent et vous escroquer.
Rien de les arrêtent. Ils utilisent toutes les fuites pour s’enrichir. Que vous receviez par SMS, par courriel, la méthode est la même : jouer sur vos sentiments. Vous êtes surpris. Machinalement vous appuyez là où ça fait mal. De la fausse commande sur Amazon, la contravention pour stationnement, de nouveaux documents de la part des impôts, solutions écologiques venant d’Engie… autant il existe de vecteurs, autant vous risquez, en toute bonne foi de tomber dans le piège. Le nombre de quarante semble élever, c’est l’ensemble des cas que révèle CaniPhish.
Les techniques les plus fréquentes
Il existe sept techniques régulières utilisées. L’escroquerie à la fausse commande, aux impôts, à la livraison de colis, la vignette Crit’Air, bancaire, à la loterie et à la contravention. L’arnaqueur emprunte alors l’identité de l’agence nationale de traitement automatisé des infractions (ANTAI). Puis exige le règlement d’une contravention mentionnant un retard de paiement.
Pour vous convaincre d’effectuer le versement, l’e-mail frauduleux rappelle, les risques et pénalités encourus. Dans la capture d’écran, la majoration est de 130 €. En France il existe le stationnement abusif, gênant, très gênant et dangereux. Les majorations sont de 75 et de 575 € en cas de dépassement. La seule amende s’approchant est celle de 135 € pour stationnement très gênant.
En survolant le bouton, « Régler » l’URL « httxx://moulinauloin [.] com » s’affiche. En cliquant, une redirection s’opère en un peu plus de 500 ms. Un beau site à l’image de l’ANTAI apparaît. Avec « antai.gouv.fr » dans la barre d’adresse, mais ce n’est pas le site du gouvernement.
« Les victimes qui donnent suite se voient redirigées vers un site frauduleux d’apparence officielle où leur sera demandé leurs informations personnelles et de carte bancaire », explique la plateforme du Gouvernement.
En cas de doute, choisissez votre moteur de recherche et renseignez ANTAI. Il suffit de vous rendre sur infraction au paiement pour comprendre que le numéro de dossier est un faux.
(Crédits : capture d’écran)

Encore un doute ? Après de légères recherches, le nom de domaine est enregistré au Canada, à Toronto. Pour être sûr, il suffit de se rentre dans votre commissariat le plus proche, ou la caserne de gendarmerie pour demander conseil.
L’escroquerie bancaire, aux impôts
Cette technique cible principalement les particuliers. Elle consiste à usurper l’identité de l’administration fiscale pour que la victime divulgue ses données personnelles. En règle générale, le courriel frauduleux l’informe qu’elle peut bénéficier d’un remboursement. Pour crédibiliser l’objet de l’e-mail, les escrocs « exploitent parfois des thèmes d’actualité », rappelle Cybermalveillance.
De la même manière, juste en survolant le bouton « Accéder à mon espace » l’URL « capusrdv [.] com » apparaît. En cas de doute, prudence. Il suffit avec son moteur de recherche d’accéder auxdits services, par le lien fourni.
Côté bancaire, même combat. En dépit des nombreuses campagnes de prévention, le phishing bancaire fonctionne encore.
Un message frauduleux vous incite à effectuer une mise à jour de vos informations personnelles. Le but « activer une sécurité supplémentaire ».
Sur une réplique du site de votre banque, vous êtes invité à communiquer vos données bancaires, vos civilités, comme vos identifiants.
« Une fois l’hameçonnage terminé, la victime est généralement redirigée vers le véritable site Internet de sa banque, ce qui peut la laisser croire qu’il y a eu un dysfonctionnement ou une déconnexion imprévue » détaille le site du gouvernement. Depuis ledit site n’existe plus. (Crédits : capture d’écran)

Cette escroquerie constitue 16,9 % du total de fraudes chaque année. Lors du premier semestre 2023, le coût est de 628 millions d’euros. Ce qui représente une goutte d’eau parmi les 16,1 milliards de transactions effectuées. La carte symbolise 93 % des fraudes. Elle est le moyen préféré des Français (61,9 %), vu que dans de nombreux endroits le paiement par chèque est refusé. Ils sont à l’origine de 29 % des montants fraudés, quand les virements représentent eux 24 %.
La fausse commande, la livraison, l’offre exceptionnelle
Dans la suite logique les escroqueries aux fausses commandes et la livraison des faux colis. À des moments choisis, ils piquent. La première est somme toute bienveillante. Elle consiste à persuader une victime qu’une commande a été effectuée en son nom. Mais par grand bonheur il est encore envisageable de l’annuler. L’escroc vient de jouer sur vos sentiments.
Une autre possibilité, l’idée immanquable, qui défie toute concurrence. 25 ampoules au prix modique de 1,95 €. Sauf que si vous exercez votre œil, l’offre spécifie « nous vous proposons de recevez 25 ampoule ECO+… »
Étrangement des fautes grossières, même pour quelqu’un qui éprouve des difficultés en orthographe.
Mais aussi les courriels qui vous alertent que votre compte va être bloqué. C’est en sorte ce que le courriel à l’entête d’Amazon Prime m’indique. « Si cette action n’est pas effectuée immédiatement des frais d’un montant de 46.99EU vous seront facturés », assurent-ils. Pris de panique je clique.
(Crédits : capture d’écran)

Aussitôt une page WEB s’affiche. Elle est entièrement rouge. Elle indique que cette page est trompeuse : « elle pourrait vous amener à réaliser des actions dangereuses comme installer un logiciel ou révéler des informations personnelles telles que vos mots de passe ou votre numéro de carte bancaire. » En résumé, prenez le temps, relisez le courriel, ne répondez pas. En cas de doute, ouvrez une page WEB, rendez-vous sur le véritable site et vérifiez. La même prudence est à respecter sur votre smartphone, quand vous recevez un SMS.
avril 23, 2024
Iberdrola condamnée à 6,5 millions d’euros d’amende
Il y a deux ans, la société ibérique I-DE Redes Eléctricas Inteligentes, distributeur d’électricité du groupe Iberdrola subit une cyberattaque. Les données de 1,3 million de clients étaient exposées. Le 15 mars 2022, l’incident se déroulait, le lendemain il est clos. La police affirmait que les responsables de cette attaque n’ont pas eu accès à des données sensibles. Le vol concerne au total 1,5 million de clients de I-De et Curenergia. La fuite a permis de télécharger pendant 7 jours les informations personnelles de millions de consommateurs à partir de son service de gestion des dossiers de raccordement.
Le prénom, nom, le numéro d’identification, l’adresse de domicile, le téléphone et le courriel sont divulgués. L’Agence espagnole de protection des données (AEPD) vient d’infliger une amende de 6,5 millions d’euros en ce mois d’avril 2024.
Grosse amende contre grosse fuite
Ainsi, durant une semaine, les personnes à l’origine du vol copient les informations de plus d’un million de clients. La société compte plus de 20 millions d’utilisateurs. Mais cette opération affecte d’autres spécialistes du marketing comme Curenergy. L’entreprise, Iberdrola paye pour apprendre.
Plusieurs procédures la concernant viennent de se clôturer. Pour violation de l’article 5.1.f du RGPD à l’article 83, paragraphe 5, du RGPD, une amende de 2,5 millions d’euros est infligée.
Auquel s’ajoute un autre million d’euros pour la violation de l’article 32 du RGPD, défini à l’article 83, paragraphe 4, du RGPD.
Mais le géant de l’électricité voit s’additionner 3 nouveaux millions d’euros après la résolution de procédures supplémentaires.
Dans ce dernier cas, les amendes sont d’un million (contrevenant à l’article 32 du RGPD, à l’article 83.5 du RGPD) et de 2 millions d’euros (une violation de l’article 5.1.f) du RGPD, définis à l’article 83.5 du RGPD).
La société avait déjà fait les frais d’amende au sujet du non-respect du règlement de protection des données.
À hauteur de 80 000 € le 14 février 2020, et 100 000 € le 3 février 2021. (Crédits : Erik Mclean/Pexels)

Il est également prévu une amende maximale de 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’année précédente, le montant le plus élevé étant retenu. Sauf que pour des entreprises qui ne communiquent pas leurs chiffres d’affaires, cela se complique.
Endesa s’offre la plus grosse amende
Si son concurrent espagnol Iderbrola voit une amende de 6,5 millions d’euros, elle correspond à plusieurs affaires. Endesa quant à elle se voit infliger la plus grosse amende pour une compagnie d’électricité. En une seule amende, Endesa est mis en demeure de régler 6,1 millions d’euros. Cela après la validation que quelqu’un vendait sur Facebook des codes d’accès à sa plateforme SalesFolder, explique Bandaancha.
Cette plateforme, ou base de données permet de consulter les données personnelles des clients. Mais également les points de livraison (PDL, CUPS en Espagne).
Les données personnelles de 4,8 millions de clients en électricité et de 1,2 million en gaz de la société Endesa ont pu être consultées par des tiers extérieurs à la société. L’AEPD explique l’ensemble sur 214 pages.
Ce qui occasionne des campagnes frauduleuses et malversations en tout genre.
Les propositions commerciales montrent patte blanche. Les données en leur possession permettent de connaître vos prénom et nom, et le fameux CUPS unique. Ainsi ils peuvent effectuer une migration de votre fournisseur d’électricité vers le leur.
(Crédits : bandaancha.eu)

Les données accessibles sont le prénom, le nom, le numéro de la carte d’identité, le numéro de téléphone, l’adresse électronique, l’adresse postale, le numéro de compte bancaire, le CUPS, la consommation, la facturation et l’en-cours. Encore mieux, l’obtention de données techniques sur 30,6 millions de points de fourniture en électricité et 8,6 millions pour le gaz auprès de n’importe quelle compagnie est possible.
La backdoor XZ et Andres Freund
Deux petites lettres qui ont un potentiel de destruction conséquent. Le 29 mars 2024, Andres Freund renifle un truc qui ne tourne pas rond, explique LeMagIT. Cette chose est capable de passer outre l’authentification SSH. Une backdoor installée par un certain JiaT75. « La backdoor se planque dans les fichiers de test bad-3-corrupt_lzma2.xz et good-large_compressed.lzma, et utilise un script appelé par build-to-host.m4 pour s’incruster dans le processus de build », relate Korben.
Ce qui est complètement ahurissant, c’est la méthode utilisée par cet individu. Depuis 2021, il s’intéresse et contribue à la bibliothèque XZ. Il finit par force de travail à obtenir la confiance, ce qui lui octroie des privilèges.
Par pression successive, Jia Tan accède à un degré de confiance qui lui permet de fusionner son propre code en janvier 2023. Il fait pression pour ajouter un autre mainteneur. En janvier 2024, la backdoor est finalisée, puis découverte en mars.
La réflexion posée sur l’open source est que des personnes donnent de leurs temps et de leurs talents pour aider, et résoudre des problèmes. Mais que comme toute équation, il tend avoir une limite mathématique.
(Crédits : Mantas Sinkevičius/Pexels)

Quand est-il du projet XZ ? Des questions se posent, beaucoup s’interrogent. Des retombées potentielles sur les projets open source ? Ce qui est sûr est que désormais la phrase de Vladimir Illicth Lénine prend encore plus de sens : « La confiance n’évite pas le contrôle ».
avril 13, 2024
Fuites et attaques en France, Allemagne et Argentine
Les fuites sont le résultat de maladresse, d’erreur « informatique » ou volontaire. Celle concernant la ville de Fréjus, les « Macron leaks », ou celle du groupe IBIS. Les données personnelles des agents et élus révélées dans le sud de la France. L’équivalent de 10 Go de correspondances laisse fuiter des données sur le parti politique Renaissance. Faille de sécurité dans les terminaux de check-in IBIS à Hambourg. L’attaque de type ransomware de la commune de Morón en Argentine est une autre menace.
La sécurité des données est un problème majeur. La fuite des infos de 43 millions de personnes de France Travail est un exemple criant. Elle suit la divulgation des informations du tiers-payants des sociétés Viamedis et Amelys.
Vos données sont exposées
Mercredi 27 mars 2024, un incident numérique sans précédent diffuse des informations hautement confidentielles. Plus d’un millier de personnes sont concernées. Un document de 1 298 pages détaille salaires, primes, adresses, informations bancaires relate VarActu.
Le document partagé via un lien est depuis supprimé par les services compétents de la ville. Chaque personne eut accès à l’ensemble des données de chaque collègue.
L’occasion est donnée de connaître salaires, les frais de représentation, primes, les avancements du personnel, adresses de domicile, numéros de Sécurité sociale, URSSAF, les RIB, le nom des banques et le montant de l’impôt sur le revenu
La commune martèle que « tout usage frauduleux ou diffusion de ce document confidentiel et interne pourra faire l’objet de poursuites […] »
Une enquête interne est diligentée annonçant que des mesures seront prises dans les prochains jours.
(Crédits : Pexels/Pixabay)

Si les 1 298 pages ne sont plus accessibles, l’ensemble est potentiellement téléchargé. L’utilisation frauduleuse ou la diffusion, même partielle peut engendrer des poursuites pénales.
Les « Macron Leaks » à nouveau en circulation
L’affaire politique française est constituée par le piratage de près de 10 Go de données. Des milliers de courriels et documents étaient publiés sur internet, juste avant la fin de campagne en 2017. Radio France explique que les fichiers sont composés de messageries électroniques personnelles et professionnelles de cinq personnes. Anne Christine Lang, Alain Tourret, Cédric O, Quentin Lafay, et le conseiller politique Pierre Person.
Mr SaxX relate que « les fichiers circuleraient au moins dans 2 différents forums/canaux du darkweb, repères de cybercriminels, de chercheurs en cybersécurité et autres agences de renseignements » à l’heure de l’écriture du post sur X (ex-twitter).
De nombreuses voix dénonçaient des opérations d’ingérence de la Russie pour déstabiliser les élections françaises.
Si certains conflits perdurent sur le sol, l’offensive cyber est bien réelle. Ainsi différents états alliés ou ennemis, différents groupes cybercriminels ou hacktivistes s’en prennent à la France.
« Ils vont prendre la France comme un terrain de jeu dans le cyberespace dans les prochaines semaines », continu Mr SaxX
Ce qui semble être le cas, quand vous naviguez sur différents réseaux comme telegram. Pour autant tout se passe sous les radars des différents médias. Est-ce utile que tout à chacun le sache ? (Crédits : Mandy Klein/Pixabay)

Les entreprises les plus exposées étant nos commerçants, nos collectivités territoriales, les millions de sites d’associations et particuliers qui se feront pirater et contribueront à leur insu à cette vague redoutée d’attaques informatiques en tout genre.
Cyberattaque par ransomware de Morón en Argentine
Une méthode bien connue : l’attaque cybernétique de type ransomware. Un courriel arrive infecté et patatras. Le chiffrage des informations, dont la clé de déchiffrement se monnaye. Un message vous demande de vous connecter au réseau au darkweb via Tor.
« El acceso a la red municipal y a cada uno de los servidores que se utiliza fue afectado por un programa de secuestro de datos. La maniobra perpetrada por hackers anónimos fue denunciada judicialmente », relate Lucas Ghi, maire de Morón sur X (ex-Twitter).
Le site web de la commune est hors service depuis dimanche 31 mars.
Une rançon s’affiche, avec une sanction : la diffusion des informations en cas de no paiement. Fort heureusement, la commune argentine dispose de sauvegarde. La restauration prendra cependant plusieurs jours.
La municipalité indique que l’ensemble sera opérationnel vendredi 5 avril.
(Crédits : Tiempo)
Une plainte est déposée auprès du tribunal compétent. La commune argentine se veut confiante. La municipalité de Morón informe que les numéros d’urgence, tels que le 911, 100 (Pompiers), la Défense civile ne sont pas affectés.
Une fuite découverte par hasard
Cocasse est le mot. Une faille de sécurité trouvée sur le terminal d’entrée de l’hôtel IBIS Budget, à Hambourg en Allemagne. Cette trouvaille accidentelle est l’œuvre de Martin Schobert (Pentagrid).
Juste après un congrès de hackers outre-Rhin, un utilisateur recherche une forme spécifique d’un numéro de réservation. Un bug apparaît.
« Si un invité n’entre pas dans une carte d’identité de réservation mais entre ‘—————————————————- Toute autre séquence de tirets est acceptée si elle est suffisamment longue pour permettre le bouton de soumission », explique Pentagrid. L’explication est documentée en vidéo.
Le terminal d’enregistrement fuit des informations sensibles : le numéro de la chambre et le code. Cela permet à une personne mal intentionnée de pénétrer dans n’importe quelle chambre. « Adieu vos effets personnels, surtout dans un hôtel bas de gamme comme celui-ci qui n’est pas équipé de coffres-forts dans les chambres. Et je vous parle pas des agressions en pleine nuit ! » ajuste Korben. (Crédits : Pentagrid)

La vulnérabilité est depuis corrigée par le groupe Accor. Ainsi sur une facture, une confirmation de réservation jetée peut donner accès à ladite chambre. Pentagrid recommande pour les hôtels franchisés que « le terminal soit désactivé tant que le problème n’est pas résolu. » Dès que la mise à jour du logiciel est disponible, l’installer et vérifier que le problème n’existe plus.
avril 3, 2024
Une cyberattaque concerne potentiellement 43 millions de Français
France Travail (ex Pôle Emploi) est victime d’une cyberattaque entre le 6 février et le 5 mars 2024. Ce mercredi 13 mars, l’organisme alerte sur le « risque de divulgation » de données personnelles. Elle touche « potentiellement » 43 millions de personnes. Les informations personnelles sont susceptibles d’être divulguées et d’être exploitées de manière illégale. Après Almerys et Viamedis, la cyberattaque contre les services du Premier ministre, deux jours avant la révélation de France Travail.
Fin août 2023, Pôle Emploi explique que l’un de ses prestataires est « victime d’un acte de cybermalveillance ». La potentielle conséquence est la compromission de données relatives aux « demandeurs d’emploi inscrits en février 2022 et d’anciens usagers de Pôle emploi ». Ledit prestataire est l’entreprise Majorel, qui martelait être « pleinement, investis dans la poursuite des investigations et mets tout en œuvre pour les mener à bien dans les meilleurs délais ».
43 millions d’usagers potentiellement concernés
À la suite d’une intrusion non autorisée, il existe un risque de divulgation des données personnelles. Elles sont susceptibles d’être divulguées, exploitées de manière illégale. Après avoir déposer plainte, les investigations sont en cours.
Les données exposées sont les suivantes : prénom et nom, date de naissance, numéro de sécurité sociale, identifiant France Travail, numéros de téléphone, adresses e-mail et postale.
« Les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cybermalveillance. Il n’existe donc aucun risque sur l’indemnisation » continu France Travail.
Le risque « zéro » n’existe pas.
(Crédits : capture d’écran)

L’opérateur public indique que la base de données contient les données personnelles d’identification des personnes actuellement inscrites depuis 20 ans. Ensuite, les personnes non inscrites sur la liste des demandeurs d’emploi, mais ayant un espace candidat. Un système de dépôt de plainte simplifié est mis en place.
Quid des attaques contre les services du Premier ministre ?
Comme l’écrit LeMagIT, « une cyberattaque d’une “intensité inédite” aux airs de tempête dans un verre d’eau » se déroule le 11 mars 2024. Le groupe Anonymous Sudan se targue des articles mentionnant leur cyberattaque. Le groupe fait parler de lui dès janvier 2023. Ils seraient un groupe d’hacktivistes pro-russe qui s’attaque à ceux qui soutiennent l’Ukraine.
Lors d’une campagne en mars 2023, le groupe vise des installations médicales, universités et aéroports en France. « Ces attaques étaient motivées par un dessin représentant le prophète Mahomet et qui aurait fait référence aux caricatures controversées du magazine Charlie Hebdo. »
« La principale tactique […] des attaques DDoS sur le Web à partir de serveurs publics en nuage, en dissimulant les sources d’attaque derrière et à travers des milliers de proxys HTTPS/SOCKS », explique Radware.
Anonymous Sudan change son mode opératoire dans le second semestre 2023 explique LeMagIT. « Il s’appuie sur le botnet Skynet-Godzilla, partageant une promotion à 100 $ la journée, fin novembre dernier. »
(Crédits : Capture d’écran/AS/Telegram)

Les attaques visent Israël, l’Inde, la France, l’Australie en avril 2023. Puis revendique les perturbations contre Outlook, Teams, SharePoint Online, OneDrive for Business et de la plateforme cloud Azure. « Les attaques d’Anonymous Sudan se caractérisent par des attaques par DDoS Web associées à des vagues UDP et SYN floods. Les attaques proviennent de dizaines de milliers d’adresses IP uniques avec un trafic UDP pouvant atteindre 600 Gbps et des vagues de requêtes HTTPS jusqu’à plusieurs millions de requêtes par seconde. »
Attaque versus communication
Les attaques cybernétiques de type Déni de service (DDoS) sont légion. Avec un investissement réduit, vous disposez d’un maximum d’efficacité. En 2022, Microsoft subit 1435 attaques de type DDoS par jour. Le but est toujours de nuire. Pour un euro investi, c’est plusieurs centaines de milliers d’euros de dégâts.
En 2023, chaque attaque coûte en moyenne 500 000 dollars aux entreprises. Les personnes dernières usées de défiguration de site et de DDoS
La communication autour de l’attaque est importante. Une attaque DDoS peut être utilisée pour camoufler une autre offensive.
Ce qui peut étonner, est la mise en avant ce ces attaques. La France est régulièrement attaquée. L’Assemblée nationale voit son site tomber en novembre 2023.
(Crédits : Elchinator/Pixabay)

Comme martèle LeMagIT, la publicité faite autour de ces attaques questionne. « Les incidents cyber au sujet dont l’État ne parle pas ne manquent pas. Choisir de communiquer sur ce DDoS, et saisir l’opportunité de se positionner en victime à coût nul, n’a rien d’innocent. »
mars 14, 2024
Quelques jours après son démantèlement, LockBit est de retour ?
La coopération des différentes forces de police met hors d’état 34 serveurs du ransomware-as-a-service LockBit. Actif depuis 2019, il est reconnu comme le rançongiciel le plus nocif et le plus prolifique. Les dégâts se chiffrent en milliards d’euros. Sauf qu’après l’effet d’annonce et la couverture médiatique, il semble être de retour. La seule certitude est que la coopération policière fonctionne, que le ransomware a souffert. L’opération Cronos nuit gravement à la capacité et la crédibilité du groupe cybercriminel.
L’action internationale coordonnée entre police et justice débouche le 19 février 2024 à une mise hors ligne de 34 serveurs. Une faille PHP est exploitée à l’insu du groupe de cybercriminels. Deux membres sont arrêtés en Pologne et en Ukraine sur demande des autorités françaises.
Opération Cronos
L’opération implique les services de police et de justice de plusieurs pays (États-Unis, Grande-Bretagne, France, Japon, Suisse, Canada, Australie, Pays-Bas, Suède et Allemagne) avec un appui de plusieurs autres pays (Finlande, Pologne, Néo-Zélande, Ukraine). Trois mandats d’arrêt internationaux et cinq actes d’accusation sont émis par les autorités judiciaires françaises et américaines, communique Europol.
L’exploitation qui a duré plusieurs mois a abouti à la compromission de la plate-forme principale de LockBit. C’est également d’autres infrastructures critiques qui ont servi à leur entreprise criminelle.
Il s’agit de 34 serveurs en Allemagne, aux Pays-Bas, aux États-Unis, en Finlande, en France, en Suisse, en Australie et au Royaume-Uni.
Les autorités ont ainsi gelé plus de 200 comptes de cryptomonnaie liés à l’organisation criminelle. Cela souligne l’engagement pris. La perturbation de perturber les incitations économiques qui poussent les attaques de rançongiciels.
(Crédits : capture d’écran)

La faille CVE-2023-3824 exploitée par les forces de police
Quand les rôles s’inversent, le gendarme devient voleur. La comparaison avec le jeu enfantin s’arrête ici. Les forces de l’ordre ont exploité la faille connue sous CVE-2023-3824.
Une vulnérabilité trouvée dans PHP à 8.0.29 est classée critique. Cela concerne la fonction phar_dir_read du composant PHAR Handler.
La désormais célèbre faille qui a fait tomber le ransomware Lockbit lors de l’opération Cronos le 20 février 2024. Lors du chargement d’un fichier phar, et de la lecture des entrées du répertoire PHAR, une vérification insuffisante de la longueur peut entraîner un débordement de la mémoire tampon de la pile. Ce qui conduit potentiellement à une corruption de la mémoire ou à un RCE.
Ce problème peut permettre à un attaquant d’initier une corruption de la mémoire en obligeant l’application à ouvrir une archive .phar spécialement conçue. Ainsi l’attaquant la permission de corrompre la mémoire ou de provoquer une condition de déni de service (DDoS). (Crédits : capture d’écran)

L’exécution de code à distance (Remote Code Exécution) est utilisée pour exposer une forme de vulnérabilité. Elle peut être exploitée lorsque l’entrée de l’utilisateur est injectée dans un fichier ou une chaîne, et que l’ensemble du paquet est exécuté sur l’analyseur du langage de programmation.
LockBit est de retour ?
« Le 19 février 2024 […] à 6 h 39 UTC j’ai trouvé une erreur sur le site 502 Bad Gateway, j’ai redémarré nginx – rien n’a changé, j’ai redémarré mysql – rien n’a changé, j’ai redémarré PHP – le site a fonctionné. À 20 h 47, j’ai constaté que le site affichait une nouvelle erreur 404 Not Found nginx. J’ai essayé d’entrer sur le serveur via SSH et je n’ai pas pu, le mot de passe ne convenait pas, comme il s’est avéré plus tard, toutes les informations contenues sur les disques ont été effacées. »
Celui qui semble être le CEO du ransomware explique qu’en raison de sa négligence personnelle et de son irresponsabilité, il n’a pas mis à jour PHP à temps. Il évoque cependant un autre style d’attaque comme 0day.
Les sites avaient disparu de la toile, comme annoncé. Mais 5 jours après un nouveau site vitrine apparaît. « LockBit dispose toujours d’une infrastructure en ligne qui fonctionne toujours. Il est assez ahurissant de constater que depuis 4 ans et 170 jours, ces types se livrent à des cambriolages d’écoles et d’hôpitaux et qu’ils viennent encore d’en faire », explique Kevin Beaumont, chercheur en sécurité.
« Aucun FBI avec ses assistants ne peut m’effrayer et m’arrêter, la stabilité du service est garantie par des années de travail continu. »

Depuis 63 victimes sont placardées sur le site de fuite. Les derniers en date sont l’hôpital texan Ernest Health, l’agence napolitaine en immobilier de luxe, stock developement avec 1 TB d’informations, l’entreprise chinoise de communication SunWave…
mars 8, 2024