Libre Expression

Étiquette : ransomware

  • Démantèlement d’un ransomware en Ukraine

    Démantèlement d’un ransomware en Ukraine

    Les attaques par ransomwares sont légion. Les dizaines voire centaines de millions de dollars générés attirent de nombreuses personnes. Un homme de 32 ans, suspecté d’être le chef du gang, et quatre complices présumés ont été arrêtés, annonce Europol le 28 novembre 2023. La collaboration internationale conduit au démantèlement d’un groupe d’opérateurs usant de ransomware, ce en Ukraine dans le contexte d’un conflit en cours. L’organisation aurait attaqué selon Europol des entreprises dans pas moins de 71 pays.

    Cette opération est la suite d’une enquête ayant débuté en 2019 entre la Norvège, la France, le Royaume-Uni et l’Ukraine. En 2021, 12 personnes cibles de haute importance étaient arrêtées le 26 octobre. Les actions menées en Suisse et en Ukraine permettaient la saisie de 52 000 dollars en espèces, cinq véhicules de luxes. Les suspects ciblés avaient tous des rôles différents.

    Certains utilisaient de multiples mécanismes pour compromettre les réseaux informatiques (attaques par force brute, injections SQL, vols d’identifiants, courriels de phishing avec des pièces jointes malveillantes…).

    Une fois sur le réseau, certains déployaient des logiciels malveillants tels que Trickbot, ou encore des outils tels que Cobalt Strike ou PowerShell Empire, pour rester sans être détectés et obtenir un accès plus poussé aux systèmes d’information.

    Les criminels ne sont alors pas détectés dans les systèmes compromis, parfois pendant des mois, dans un sommeil éveillé. Ainsi, ils sondaient les faiblesses dans les réseaux informatiques avant de passer à la monétisation de l’infection en déployant un ransomware. (Crédits : Rocco Stoppoloni/Pixabay)

    Ces cybercriminels sont connus pour avoir déployé LockerGoga, MegaCortex et Dharma ransomware, entre autres relatait Europol. Ils auraient touché plus de 1800 victimes dans 71 pays. L’enquête a permis de déterminer que les auteurs auraient chiffré plus de 250 serveurs appartenant à de grandes entreprises, causant des pertes dépassant plusieurs centaines de millions d’euros.

    Le 21 novembre 2023, 30 propriétés ont été fouillées dans les régions de Kiev, Cherkasy, Rivne et Vinnytsia, ce qui a entraîné l’arrestation du meneur présumé de 32 ans. Une coopération internationale est à l’origine ce des arrestations. Un officier de police ukrainien a été détaché à Europol pour deux mois pour préparer la première phase de l’action.

    Les cinq interpellés sont tous « âgés de 25 à 35 ans », a détaillé à l’AFP, Christophe Durand, chef adjoint de l’office de lutte contre la cybercriminalité de la police judiciaire française (OCLCTIC). Un important réseau est démantelé, mais les outils utilisés vendus à d’autres cybercriminels pourraient refaire parler d’eux.

    (Crédits : Europol)

  • Le département du Loiret et la « Com Com » Bresse Louhannaise touchés par des cyberattaques

    Le département du Loiret et la « Com Com » Bresse Louhannaise touchés par des cyberattaques

    Une nouvelle cyberattaque contre une collectivité française. Durant dans la nuit du 5 au 6 novembre 2023, l’incident informatique se serait déroulé. C’est le département du Loiret qui a été ciblé par des pirates informatiques. Depuis la communauté de communes, Bresse Louhannaise a fait son apparition sur le site de fuites du ransomware LockBit. Les dernières attaques L’EHPAD de Marigny-le-Lozon, le 13 octobre 2023, les hôpitaux de Vittel et Neufchâteau, et l’entreprise Le Tillet en novembre.

    Les opérateurs à l’origine de l’attaque des serveurs du Département du Loiret ont ciblé leurs victimes le week-end dernier. Par mesure de précaution, la réception et l’envoi de mails, l’accès aux serveurs ou à certains logiciels métiers ont été interrompus, explique la communication du Département. Une plainte a été déposée. L’enquête est en cours avec Orange Cyberdéfense. Leur but est de déterminer précisément l’origine et les conséquences de cette attaque.

    Depuis le 7 novembre, les équipes du Département sont à pied d’œuvre pour « résoudre » cet incident. L’accueil téléphonique est depuis accessible au 02 38 25 45 45 assure le service de communication.

    La mutualisation des ressources informatiques du CD et du SDIS a suite à l’attaque imposé la décision d’isoler immédiatement les serveurs du SDIS 45 afin de les protéger.

    La direction du SDIS 45 rassure les Loirétains et les Loirétaines dans son communiqué de presse : « Aucune conséquence n’est à déplorer sur le fonctionnement des numéros d’urgence 18/112 et la prise en charge des citoyens. Le SDIS du Loiret continue à répondre aux appels et à porter secours aux victimes. »

    Revendications du ransomware LockBit

    Les revendications des attaques par ransomware de l’entreprise Le Tillet et de la communauté de communes Bresse Louhannaise sont apparues le 5 novembre 2023.

    Sur les 376 attaques mondiales (en octobre 2023) affichées et revendiquées se trouve en tête du classement l’Amérique du Nord. En Europe, le Royaume-Uni et l’Irlande arrivent en tête avec 32 cas, dans l’est, l’Allemagne-Autriche-Suisse se contente de 20, l’un des niveaux les plus bas depuis le début de l’année.

    Valéry Rieß-Marchive, rédacteur en chef de LeMagIT note dans l’un des derniers articles qu’« après plusieurs mois marqués par des revendications de cyberattaques en grand nombre, détonant avec les observations en France et les tendances passées, octobre pourrait bien signaler le retour d’une forme de normalité. »

    Malheureusement, les fuites de données sont toujours fréquentes. Celle concernant le site LinkedIn affole les compteurs. Comme l’explique Zataz, ce sont 35 millions d’individus qui se retrouvent dans la nature. Plus particulièrement leurs adresses électroniques, fonctions, identités, entreprises… Le pirate à l’origine de ceci signe « du nom du groupe de hacker étatique américain Equation Group », écrit Damien Bancal.

  • Cyberattaques d’entreprises portuaire et de transports aux Pays-Bas, du fournisseur Internet de 72 communes en Allemagne

    Cyberattaques d’entreprises portuaire et de transports aux Pays-Bas, du fournisseur Internet de 72 communes en Allemagne

    Les conflits ne se déroulent pas seulement par des forces armées. Ils se produisent également sur le WEB. Ainsi la politique, la géopolitique ont un lien étroit avec l’actualité sur la toile. Si le ou les auteurs de l’attaque par ransomware des municipalités allemandes ne sont pas encore connus, l’identité de l’attaquant des entreprises aux Pays-Bas l’est : NoName057(16). Les attaques cybernétiques sont aussi des offensives contre un pays en fonction de la conjoncture, des conflits ou des divergences d’opinions.

    Les Pays-Bas vont débloquer une enveloppe d’un demi-milliard d’euros pour acheter et livrer des munitions à l’Ukraine, a annoncé Kajsa Ollongren, la ministre de la Défense des Pays-Bas, lors de sa visite en Ukraine. Elle indique que les Pays-Bas souhaitent continuer à fournir « un flux constant de munitions » à Kiev, car les combats ne peuvent continuer que dans le cas où leurs besoins en munition perdurent assure la ministre. La réponse des organisations pro-russes ne s’est pas fait attendre. Suite au conflit armé entre l’Ukraine et la Russie, des attaques des systèmes d’information sont perpétrées. L’annonce effectuée par la ministre néerlandaise de la Défense, jeudi 2 novembre 2023, ne déroge pas à la règle.

    Le groupe revendique les attaques des sites néerlandais, mais pas seulement. Des entreprises allemandes, italiennes suédoises ou tchèques. Si les Pays-Bas ont contribué à hauteur de 2 milliards d’euros, un article de Le Monde stipule que la France aurait participé pour 3,2 milliards d’euros. (Crédits : Capture d’écran/NoName057(16))

    Par des attaques de déni de services (DDoS), les opérateurs derrière NoName057(16) revendiquent et affichent leurs méfaits. Ainsi les attaques étaient dirigées vers le port de Den Helder, Allgobus et Arrival. Si le site WEB du port est de nouveau opérationnel, ce n’est pas le cas pour les deux autres victimes.

    Impossible d’accéder aux différents sites. Le groupe NoName057(16) avait attaqué l’administration suisse ainsi que l’Assemblée nationale en 2023.(Crédits : capture d’écran/Arriva)

    En plus la compagnie ferroviaire Arriva Netherlands, filiale de la Deutsche Bahn, a eu quelques sueurs froides dernièrement. Un hacker éthique a contacté l’entreprise pour leur dévoiler une faille. Celle-ci se trouve dans le formulaire de contact explique Wilbert Elting sur le site de Leeuwarder Courant. Les personnes malveillantes pouvaient accéder aux prénoms, noms, aux adresses électroniques, aux numéros de téléphone et dates de naissance des voyageurs ayant utilisé le formulaire dernièrement. Le formulaire a été mis hors ligne. « Une fois que nous aurons rétabli la sécurité, elle sera de retour en ligne », assure Tineke Witteveen pour la compagnie.

    72 municipalités allemandes attaquées par ransomware

    Une attaque massive durant la nuit du 29 au 30 octobre 2023, a paralysé les administrations dans plusieurs villes et districts de l’ouest de l’Allemagne. Pas moins de 72 municipalités sont ainsi limitées dans leurs mouvements des systèmes d’information. Un groupe de hackers inconnu a chiffré les serveurs du fournisseur de services municipaux local, Sodwestfalen. Les communes sont principalement dans l’État de Rhénanie du Nord-Westphalie, dans l’ouest de l’Allemagne. Le communiqué s’efforce d’être transparent sur l’actualité de Southwestphalia.

    Heureusement, les réseaux sociaux permettent de prévenir les usagers de l’indisponibilité des services en ligne. Les remises en marche des différents ordinateurs révèlent leurs lots de problèmes. Les autorités assurent les citoyens de mettre tout en œuvre pour le rétablissement, mais qu’il peut prendre un certain temps.

    L’Office fédéral allemand pour la sécurité de l’information (Bundesamt für Sicherheit in der Informationstechnik ou BSI) est au fait de l’incident, et une enquête est en cours. The Record explique que les procureurs allemands ont déclaré aux médias locaux qu’ils s’employaient actuellement à déterminer l’ampleur des dommages, quels services étaient touchés et qui étaient responsables de l’attaque. Ils s’attendent à une « enquête complexe et longue ».

  • Cyberattaques d’aéroports et de la filiale de Boeing, Jeppesen

    Cyberattaques d’aéroports et de la filiale de Boeing, Jeppesen

    Deux attaques d’aéroports sur le sol britannique par le groupe russophone UserSec, deux cyberattaques par ransomware une sur le sol mexicain et une sur le tarmac américain. Ces dernières seraient l’œuvre du ransomware LockBit, bien que pour Boeing Jeppesen, la revendication soit supprimée du site de fuite (au bouclage de l’article). Ce qui remémore une attaque dont la même filiale du géant américain avait subi les dommages en novembre 2022. Elle avait perturbé de nombreux vols.

    Le site de l’aéroport de Manchester en Angleterre est depuis revenu en ligne. Le 30 octobre 2023, les opérateurs du groupe UserSec revendiquaient l’attaque cybernétique de l’aéroport de Manchester. Sur le canal Telegram, ils affichent la couleur en ciblant des compagnies au Royaume-Uni. « Première cible, le plus grand aéroport du pays, l’aéroport de Manchester. Pour le moment, les serveurs sont hors service et le site est hors service. […] Ce site sera indisponible jusqu’à 20 h 30, heure de Moscou, puis nous passerons à la cible suivante », expliquent-ils. Si la durée d’indisponibilité du site WEB fut plus courte qu’indiqué, ils tendent à démontrer leurs capacités.

    Les logiciels malveillants ont eu, et continuent d’avoir un impact sur les utilisateurs comme Nitrokod. UserSec avait déjà ciblé le territoire britannique en août 2023 avec les attaques sur les aéroports de Birmingham et de Belfast. (Crédits : London Gatwick Airport/X)

    Mais une autre menace est révélé à demi-mots par London Gatwick Airport : « Assurez-vous de vous adresser à nous ». Des copies de sites, de pages WEB, etc. peuvent être mises en place pour tromper les usagers. Puis, comme annoncé par UserSec, c’est au tour de l’aéroport de Gatwick de subir les foudres d’UserSec. Le lieu n’est pas choisi au hasard, Gatwick est deuxième plus important aéroport du Royaume-Uni, en effet plus de 45 millions de passagers y transitent chaque année.

    Attaque de l’aéroport de Querétaro

    De l’autre côté de l’océan atlantique, c’est au Mexique qu’une cyberattaque d’ampleur, au sein de l’aéroport international de Querétaro (AIQ). Elle est revendiquée par le ransomware plus que connu LockBit. Le groupe cybercriminel laisse jusqu’au 27 novembre 2023 à l’aéroport pour satisfaire leurs exigences, faute de quoi ils publieront les données récupérées.

    Trois documents sont d’ores et déjà affichés par les opérateurs derrière le ransomware. Preuves des données en leur possession. (Crédits : capture d’écran/LockBit)

    Selon les autorités, « à aucun moment la sécurité opérationnelle de l’aéroport n’a été compromise et que l’organisation et son infrastructure fonctionnent normalement ». Une déclaration de l’AIQ a indiqué qu’une « cyberattaque a été subie, dérivée d’un acte involontaire du personnel de l’organisation interagissant avec un fichier contenant un logiciel malveillant. » L’entité aéroportuaire continue en indiquant que « des enquêtes ont été lancées en collaboration avec les autorités compétentes afin de déterminer la nature, l’étendue et les parties responsables. »

    Boeing confirme la cyberattaque

    En Amérique du Nord, c’est le principal concurrent d’Airbus qui est sur le devant de la scène. En effet, le géant de l’aérospatiale Boeing confirmait qu’un « cyberincident » avait eu lieu. Elle se serait déroulée vers le 28 octobre 2023. L’entreprise a confirmé l’incident de cybersécurité. « Il porte atteinte à l’activité de pièces détachées et de distribution », relate 20minutes. Aucune perturbation au niveau de la sécurité. L’entreprise enquête activement en collaboration étroite avec les forces de l’ordre et les autorités compétentes.

    Certaines revendications disparaissent des sites de fuite. C’est le cas pour l’entreprise américaine Boeing. Un accord a t-il été trouvé ? (Crédits : capture d’écran/LockBit)

    Étrangement, le post a été supprimé. TechCrunch rappelle que lorsqu’une le dossier est supprimé, c’est souvent « un signe qu’une organisation a accepté de négocier avec les pirates, ou payée tout ou partie de la demande de rançon. À la demande de TechCrunch, Boeing a refusé de dire s’il avait reçu une demande de rançon ou si la société avait payé. » La compagnie avait subi un cyberincident il y a tout juste un an, suivi par une enquête. Cet incident avait provoqué des perturbations dans la planification des vols le 4 novembre 2022, et le besoin d’accroître la sécurité pour ces lieux sensibles.

  • Hôpitaux à nouveau ciblés par des cyberattaques

    Hôpitaux à nouveau ciblés par des cyberattaques

    Les attaques cybernétiques sont quotidiennes, mais certains ont pour objets des lieux plus sensibles que d’autres. L’hôpital de Vérone comme l’Éhpad « Les Hortensias » à Marigny-le-Lozon en France. En Italie c’est aussi la province de Pérouse qui se faisait attaquer. De nombreuses données sont ainsi en proie à une divulgation, ou une utilisation frauduleuse. L’attaque des hôpitaux a eu lieu durant la même nuit du 22 au 23 octobre 2023. La revendication côté italien n’est pas encore connue, en France c’est le ransomware Medusa.

    Lundi 23 octobre 2023, l’Éhpad de Marigny-le-Lozon a fait l’objet d’une attaque de type ransomware. Les opérateurs derrière Medusa revendiquent et affichent les preuves sur leur site de fuite. Une série de capture affiche des pièces d’identité, des listes de menus portées aux domiciles de personnes potentiellement fragiles (avec leurs adresses), des courriers personnels… jusqu’à son organigramme. Fort heureusement, les soins sont toujours prodigués relatent Numerama, l’Éhpad n’est pas non plus paralysé. Les cybercriminels laissent un peu de plus de six jours pour accéder à leur demande, une rançon de 100 000 dollars.

    Médusa affiche Native Counselling Services of Alberta, Beaver lake cree nation au Canada et demande respectivement 200 000 et 150 000 dollars. Ils se sont attaqués à EDB et à Symposia organizzazione congressi SRL (Ita), Global product sales (USA), Safpro (UK) du même montant de rançon que l’Éhpad. (Crédits : capture d’écran/Medusa)

    Comme préconisé par l’Agence nationale de sécurité des systèmes d’information (ANSSI) l’établissement à porté plainte et ne paiera pas la rançon atteste France Inter. Ce ransomware est bien connu en France, il s’était attaqué au mois d’août à la commune de Sartrouville dérobant de nombreux documents personnels (CV, rib, CNI…), donnés financière… comme de l’école vétérinaire de Nantes, Oniris. Au Canada, cinq hôpitaux du sud-ouest de l’Ontario sont touchés.

    Hôpital de Vérone cyberattaqué

    Comme pour l’établissement français, l’hôpital italien subit une attaque, le lundi 23 octobre 2023 à l’aube a mis à mal le système de santé de la Vénétie, en particulier le site de l’Azienda Ospedaliera Universitaria Integrata (AOUI) de Vérone. Le président Luca Zaia a demandé à la population de se présenter aux urgences uniquement en cas de nécessité absolue. « N’y allez pas si vous n’avez pas d’urgences » : systèmes en panne !

    Le président indique que selon les premières analyses les données sensibles n’ont pas été dérobées et les procédures de sauvegarde périodiques ont eu lieu régulièrement avant l’attaque. Mais que les lignes téléphoniques et une partie du réseau sont encore inutilisables. (Crédits : capture d’écran/Luca Zaia/Facebook)

    Aucune conséquence fâcheuse n’est relevée actuellement. « Les structures informatiques régionales et les hauts responsables de la santé de la région ont été rapidement informés par le directeur général Callisto Bravi et suivent directement la situation en collaborant avec les structures de l’entreprise véronaise », a indiqué la région.

    La province de Pérouse bloque l’attaque

    Une tentative de chiffrage des données à, semble-t-il, échoué dans la province de Pérouse en Italie. Les professionnels ont réagi rapidement pour remédier à la situation. Mais c’est en amont que tout avait lieu. La province s’est fermement engagée en faveur de la cybersécurité et a mis en place un système de sécurité périphérique avec des pare-feu de la prochaine génération en juillet 2023. En septembre, l’Ente a également rejoint l’accord-cadre Consip « Cybersecurity 2 » avec un investissement important visant à créer un obstacle protecteur à la sécurité des données. Cet investissement a permis de bloquer l’attaque relate Umbraijournal.

    Huit jours avant, le 15 octobre 2023 c’est la province de Pérouse qui était attaquée. Des données internes auraient pu être exfiltrées, mais sans confirmation évoque le communiqué. « Étant donné qu’il n’est pas possible d’identifier toutes les parties intéressées afin de procéder à des communications individuelles et que l’on considère que les efforts déployés pour atteindre ces parties sont disproportionnés, la province de Pérouse communique les informations et les canaux de contact suivants aux parties intéressées qui n’ont pas encore été contactées par des communications personnelles. »

  • Le site du ransomware Ragnar Locker n’est plus !

    Le site du ransomware Ragnar Locker n’est plus !

    Le 19 octobre 2023, une coopération d’une dizaine de pays et de leurs services de police a fait tomber le site de Ragnar Locker. Le groupe de cybercriminels affichait plus d’une centaine de victimes, dont une concentration dans les domaines de l’énergie, mais pas seulement. Désormais sur le site de fuite et de divulgation des données volées est affiché que les sites Web avaient été saisis dans le cadre d’une « action coordonnée de maintien de l’ordre au niveau international ».

    Une opération conjointe est menée du 16 au 20 octobre 2023. Elle est le point final d’une enquête commencée en octobre 2021. Des recherches ont été effectuées en République tchèque, en Espagne et en Lettonie. La « cible principale » a été arrêtée à Paris le 16 octobre, et son domicile en République tchèque a été perquisitionné révèle Europol. Il a été déféré devant les juges d’instruction du tribunal judiciaire de Paris.. « L’infrastructure du ransomware a également été saisie aux Pays-Bas, en Allemagne et en Suède, et le site web associé à la fuite de données sur Tor a été supprimé en Suède. »

    L’infrastructure du ransomware a été saisie aux Pays-Bas, en Allemagne et en Suède. Le site web de fuite de données a été supprimé en Suède. En octobre 2021, des enquêteurs avaient été déployés en Ukraine. Ce qui avait conduit à l’arrestation de deux opérateurs importants de Ragnar Locker.

    En place du site de suite de l’organisation criminelle Ragnar Locker se trouve une image mentionnant une quinzaine de services de Police. Pas moins de dix pays ont collaboré pour ainsi démanteler le site. Les suspicions d’origine d’action des membres pointeraient vers la Russie. Des victimes furent exposées tout au long de la vie du site : Soltek Pacific, Dassault, Adata, Astro Industries, LDLC, Tap Air Portugal, Malayan Flour Mills Bhd, Cantalk… et le dernier en date du 12 octobre 2023 Scotbeff dont la quantité de renseignements était de 82,3 GB.

    Comme preuve de la saisie des systèmes d’information, désormais sur le site de fuite sur le darknet est affichée l’image ci-dessus. (Crédits : capture d’écran)

    Les opérateurs derrière Ragnar Locker avaient même poussé le vice en achetant des encarts publicitaires sur Facebook en 2020. Le chercheur Brian Krebs révélait l’information le 10 novembre 2020. C’était dans la soirée du lundi 9 novembre 2020 qu’une campagne publicitaire commençait à apparaître sur Facebook. Ladite annonce mettait en porte à faux la victime italienne : Campari Group. La rançon demandée était de 15 millions de dollars., qui a reconnu le 3 novembre que ses systèmes informatiques avaient été mis à l’écart par une attaque de logiciels malveillants.

    Le groupe italien célèbre pour ses marques de liqueur comme Frangelico, Epsolon, Grand Marnier… se voyait dérober 2 TB d’informations. (Crédits : DR)

    « La cybercriminalité implique des réseaux criminels très organisés, interconnectés et générant des chiffres d’affaires dont beaucoup d’entreprises légitimes ne pourraient que rêver. Ils sont partout, très puissants et motivés par l’appât du gain, la malveillance et le profit financier », explique Stephen Kavanagh, Directeur exécutif des Services de police d’INTERPOL. L’opération menée conjointement par différents services tels Europol, le FBI et en France la Gendarmerie nationale à permis de fermer le site, comme en début d’année pour le ransomware Hive mais les codes demeurent.

  • Cyberattaques des hôpitaux de Vittel et Neufchâteau

    Cyberattaques des hôpitaux de Vittel et Neufchâteau

    Une nouvelle cyberattaque a ciblé deux sites hospitaliers français. Le premier se situe à Vittel, le second à Neufchâteau. Samedi 7 octobre 2023, le Centre hospitalier de l’Ouest Vosgien communiquait sur sa page Facebook avoir été victime d’une cyberattaque. Les premières actions ont été le confinement des systèmes. Les soins ont pu se poursuivre par l’adaptation des personnels hospitaliers avec un retour des transcriptions papier. Les activités programmées, consultations, interventions chirurgicales sont suspendues jusqu’au mardi 10 octobre.

    Une fois de plus la sécurité des systèmes d’information des hôpitaux français est mise à rude épreuve. Vosges Matin explique que la cyberattaque se serait produite à 1 h 30 ce samedi 7 octobre 2023. Plus d’affichage sur les écrans, seul le noir subsiste. « C’est un service de soins qui nous a appelés, car son accès au dossier patient informatisé était perturbé », explique le directeur Dominique Cheveau à France Bleu. « C’est le black-out. On s’est cyberconfinés, c’est-à-dire que l’ensemble des systèmes d’information a été coupé. »

    L’attaque cybernétique contre le CHU de Rennes du 21 juin 2023 fut l’œuvre du ransomware Bianlian. Sur son site de fuite, il est indiqué que le volume d’information est de 300 Gb dans lequel se trouvent des documents techniques, des données personnelles, financières… (Crédits : capture d’écran/Bianlian)

    Aucune demande de rançon n’est encore apparue. Le directeur indiquait qu’une plainte allait être déposée. Le retour à la normale peut prendre des jours, des semaines et plusieurs mois en fonction de l’attaque. Le but des malfaiteurs est de générer de l’argent en vendant les informations volées. Les derniers cyberattaques en date en France, hormis l’une des plus connues comme Corbeil-Essonnes, sont le CHU de la Réunion, celui de Bourg-en-Bresse, de Rennes et celui de l’Ouest Vosgien.

  • Ransomware. MGM Vs Caesars : payer ou ne pas payer ?

    Ransomware. MGM Vs Caesars : payer ou ne pas payer ?

    Lorsque nos rêves nous emmènent à Las Vegas, la première pensée est pour les casinos et le film Ocean’s 11. Mais dernièrement le rêve se transforme en cauchemar pour les poids lourds que sont Caesars Entertainment et MGM Resorts. Du cinéma à la réalité, les deux entreprises américaines ont subi une cyberattaque. Deux réalités s’opposent. La première est le paiement d’une rançon pour récupérer les données volées, sans jamais être sûr qu’une copie n’est pas gardée. L’autre est le non-paiement.

    Le 7 septembre 2023, Caesars Entertainment révélait qu’une « a récemment identifié une activité suspecte dans son réseau de technologie de l’information résultant d’une attaque d’ingénierie sociale sur un fournisseur de support informatique externalisé utilisé par la société. » C’est dans le rapport de la U.S. Securities and Exchange Comission (SEC) que l’entreprise, après enquête, reconnaissait que l’acteur à la base du cyberincident possédait de nombreuses données.

    Scattered Spider (UNC3944) sévit

    Deux grands casinos de Las Vegas ont été victimes d’attaques par ransomware « attribuées » au groupe cybercriminel Scattered Spider. Pour autant, Alphv/BlackCat revendique la paternité de la cyberattaque de MGM sur son site de fuite. Depuis l’attaque cybernétique les systèmes informatiques du MGM ont été mis hors service, gelant les machines à sous, les distributeurs automatiques de billets, les ascenseurs et la technologie de l’hôtel. Cette entreprise refuse de payer.

    ransomware, MGM, cyber

    « À la suite de notre enquête, le 7 septembre 2023, nous avons déterminé que l’acteur non autorisé avait acquis une copie, entre autres données, de la base de données de notre programme de fidélisation, qui comprend les numéros de permis de conduire et/ou les numéros de sécurité sociale d’un nombre important de membres de la base de données. Nous sommes toujours en train d’enquêter sur l’étendue des informations personnelles ou sensibles supplémentaires contenues dans les fichiers acquis par l’acteur non autorisé. »

    Scattered Spider est considéré comme un groupe criminel usant d’une large gamme d’attaques d’ingénierie sociale pour pénétrer dans les réseaux d’entreprise. Les attaques comprennent l’usurpation de l’identité du personnel du service d’assistance. Le but est d’inciter les utilisateurs à fournir des informations d’identification. Il y a des attaques par échange de cartes SIM (pour prendre le contrôle du numéro de téléphone d’un appareil mobile), par fatigue (MFA Fatigue) et hameçonnage. « Contrairement à la plupart des affiliés de ransomware qui sont originaires des pays de la CEI, les chercheurs pensent que le groupe de pirates est composé d’adolescents et de jeunes adultes anglophones âgés de 16 à 22 ans », écrit Bleeping Computer. (Crédits : capture d’écran)

    Plus problématique que les données personnelles, les informations bancaires : « À ce jour, nous n’avons aucune preuve que des mots de passe de membres, des informations sur des comptes bancaires ou des informations sur des cartes de paiement ont été acquis par l’acteur non autorisé ». Scattered Spider, également appelé UNC3944, Scatter Swine ou Muddled Libra, est un groupe de pirates informatiques composé principalement d’individus âgés de 16 à 22 ans. De langage anglophone, ils seraient issus des États-Unis et du Royaume-Uni.

    Quels conséquences et conseils ?

    Caesars aurait donc payé la somme 15 millions de dollars, ce qui représenterait la moitié de la somme demandée. Fox Business relate que « MGM Resorts International devrait perdre jusqu’à 8,4 millions de dollars de revenus par jour jusqu’à ce qu’elle résolve les problèmes de cybersécurité qui ont affecté son système de réservation et les étages de ses casinos dans plusieurs États. » Les dirigeants doivent avoir une bonne raison de payer le cas échéant tout ou partie de la rançon. Malgré le fait que l’entité qu’est le FBI recommande de ne pas payer de rançon. L’organisme évoque plusieurs raisons à cela :

    • Payer la rançon encourage les pirates à continuer leurs attaques et à demander des sommes plus élevées.
    • Payer la rançon ne garantit pas que les pirates restitueront les données ou qu’ils n’ont pas installé une porte dérobée pour revenir plus tard.
    • Payer la rançon finance d’autres activités criminelles, comme le trafic d’armes, de drogues ou d’êtres humains.
    • Payer la rançon peut exposer les victimes à des poursuites judiciaires si elles violent des sanctions ou des lois contre le financement du terrorisme.
    • Payer la rançon ne résout pas le problème de fond, qui est le manque de sécurité et de prévention des systèmes informatiques.
  • Singing River Health System, Core Desktop et IT-Center Syd dernières victimes du ransomware Rhysida

    Singing River Health System, Core Desktop et IT-Center Syd dernières victimes du ransomware Rhysida

    Les trois compagnies victimes luttent pour le rétablissement de leurs systèmes d’information. Sans accéder aux exigences, tout ou partie des données volées seront publiés. Connu pour un fait d’armes contre l’armée chilienne le 27 mai 2023, le groupe criminel a depuis affiché 43 victimes sur son site de fuite. Les cyberattaques se seraient produites entre le 9 et 11 septembre 2023. Les demandes sont pour Core Desktop et IT-Center Syd de 5 Bitcoins chacune (BTC), de 30 BTC pour Singing River Health System.

    Le groupe #Rhysida est connu suite à l’affaire de l’armée chilienne. Le 29 mai 2023, l’armée chilienne confirmait que ses systèmes d’information avaient été touchés par un incident de sécurité, une cyberattaque. L’incident avait été détecté lors du week-end du 27 mai. Ainsi 360 000 documents confidentiels de l’armée chilienne sont diffusés (bulletins de renseignement, fichiers des achats, des dépenses, planification financière, informations sur ses unités militaires…). L’organisation criminelle affirme avoir vendu 70 % des informations à des tiers, et avoir mis les 30 % restants des documents en téléchargement gratuit sur le dark web.

    C’est environ 360 000 documents qui ont été publiés par le ransomware Rhysida, le reste aurait été vendu à des tiers. Les 30 % concernent le fonctionnement et la logistique des unités de la VIe division de l’armée en garnison dans les régions d’Arica, de Parinacota et de Tarapacá, et des rapports sur le nombre de véhicules dont elle dispose. (Crédits : capture d’écran/Rhysida)

    Depuis, un caporal de l’armée chilienne a été arrêté. Le parquet militaire a immédiatement ouvert une enquête en collaboration avec la brigade métropolitaine d’enquête sur la cybercriminalité de la police d’investigation (PDI). Selon La Tercera, et après une analyse approfondie, la PDI a arrêté l’auteur présumé de l’attaque informatique contre le réseau interne de l’armée chilienne. I

    Il s’agit d’un deuxième caporal de l’institution, qui a été arrêté pour son implication présumée.Les soupçons se fondent après la saisie d’une série d’appareils électroniques actuellement examinés par le personnel de la police d’investigation. (Crédits : capture d’écran/Rhysida)

    Depuis 43 victimes sont affichées sur le site de fuite. Les dernières en date sont l’école publique Prince George’s County à Washington (1,2 TB de données), Prospect Medical Holdings à Culver City en Floride (1,1 TB), Pierce College également à Washington (396 GB) et la ville de Ferrara en Italie (1,6 TB). Suite à l’interruption des systèmes d’information à Culver City, l’établissement communique sur son site que « les systèmes informatiques de Prospect Medical sont de nouveau opérationnels et notre système de santé continue à fournir des soins sûrs et de qualité aux patients suite à un incident de sécurité des données qui a perturbé nos opérations. »

    « Nous apprécions la résilience dont ont fait preuve nos médecins et nos employés pendant cette interruption », martèle l’entité. (Crédits : capture d’écran/Rhysida)

    Lundi 11 septembre 2023, les ordinateurs du Singing River Health System sont restés fermés suite à la détection d’une activité suspecte sur le réseau informatique au cours du week-end. Depuis, ils sont de retour au papier et aux crayons explique le directeur général par intérim Laurin St. Pe. L’entité ne sait pas encore quand les ordinateurs pourront être rallumés en toute sécurité. « Nous sommes actuellement en train de faire appel à des sociétés tierces pour comprendre exactement quels sont les systèmes qui ont été endommagés »

  • Cyberattaque du groupe américain MGM Resorts International

    Cyberattaque du groupe américain MGM Resorts International

    La chaîne de casinos et d’hôtels MGM Resorts international a révélé lundi 11 septembre 2023 qu’un « problème de cybersécurité » affectait certains de ses systèmes en ligne. Ce qui n’est pas sans provoquer des perturbations pour ses clients. Ce en particulier dans la ville de Las Vegas, où les experts en cybersécurité ont déclaré que la société était « probablement victime d’une cyberattaque généralisée ». En 2019, MGM a été victime d’une violation de données qui aurait touché environ 10,6 millions de personnes.

    Imaginez que dans le temple du jeu, une chaîne de casinos et d’hôtels subisse une attaque cybernétique, c’est le cas de MGM Resorts International. Les sites WEB de la société étaient hors service. MGM Resorts International a révélé qu’elle faisait face à un problème de cybersécurité affectant certains de ses systèmes. Et notamment son site Web principal, ses réservations en ligne et ses services dans les casinos.

    L’incident de cybersécurité survenu aux États-Unis, semble-t-il, n’a pas eu d’incidence sur les casinos de MGM à Macao, en Chine. (Crédits : MGM Resorts International)

    Des clients se plaignaient de problèmes avec les machines à sous et de l’accès aux chambres d’hôtel. Le nombre de personnes touchées n’a pas été précisé. Cela dit le groupe est une importante société de casinos et d’hôtels qui possède des milliers de chambres d’hôtel dans le temple du jeu, avec des établissements célèbres tels que Mandalay Bay, Aria, Bellagio, Excalibur, Luxor, MGM Grand Las Vegas, New York-New York et Cosmo.

    Dans une interview accordée au NYTimes, Greg Moody, professeur agrégé de systèmes d’information et de cybersécurité à l’université du Nevada à Las Vegas, déclarait lundi qu’un « problème de cybersécurité » signifie généralement qu’un individu ou un groupe a attaqué le réseau de l’entreprise.

    https://twitter.com/MGMResortsIntl/status/1701443388086825231
    Depuis la situation semble être de nouveau normale, selon le communiqué. Pour autant l’enquête se poursuit pour connaître véritablement l’étendue des dégâts.

    Le profit est possiblement le vol de données, comme c’est le cas avec des ransomwares. Suite au paiement de la rançon, les pirates redonnent les données, sans être certains qu’ils n’ont pas fait de copies. Mais, ils peuvent également vendre les données volées sur un marché clandestin en ligne, où les acheteurs recherchent des données contenant des informations permettant le vol d’identité, comme des noms, des numéros ou des adresses. Comme ce fut le cas en France avec plus de 10 millions d’individus uniques de Pôle Emploi pour 900 $.