Libre Expression

Étiquette : Snatch

  • Ransomware : les données volées comptent jusqu’à plusieurs Terabytes et totalisent des rançons de plusieurs centaines de millions de dollars

    Ransomware : les données volées comptent jusqu’à plusieurs Terabytes et totalisent des rançons de plusieurs centaines de millions de dollars

    Les opérateurs usant de ransomware prennent encore moins de pincettes pour diffuser les données volées. Suite aux cyberattaques, il est légion de voir des chiffres hallucinants et effrayants. D’autant que si le nombre de petites attaques réussies augmente de manière significative, les cyberattaques envers les grosses entreprises ne sont pas en reste. Le but persistant toujours l’argent des rançons. En 2022, la somme récoltée passait de 766 millions de dollars à 457 selon Chainalysis. Elle pourrait s’élever à 900 millions de dollars en 2023, selon le rapport.

    D’un côté comme de l’autre, la liste des victimes des divers ransomwares s’allonge. Les Cl0P, Alphav ou encore LockBit proposent même les archives dans différentes pages ou onglet. Chez LockBit, les informations sont à hauteur de 275 Gb pour Aimtron, 243 Gb pour Ibafrance, plus de 4 Tb en plusieurs fichiers pour Mundo-r ou encore Ifcaire est annoncé à 181 Gb. Tout comme l’agence Magnum dernièrement placardée qui devrait voir ses données exposées pour le 29 juillet 2023.

    Alors quand Snatch affiche 4 TB d’informations sur l’hôpital général de Tampa dans le centre ouest de la Floride, cela permet de relativiser. Ou davantage avec la compagnie chinoise Ningbo Joyson Electronic Corp. où cette fois c’est pas moins de 20 TB. (Crédits : capture d’écran/Snatch)

    Pour comprendre l’ampleur des chiffres, il suffit de différencier les millions et les milliards, ou les Megabytes aux Terabytes. Si 1 Mb équivaut à une seconde, cela représente 11 jours, 46 minutes et 40 secondes. Pour 1 Tb, cela symbolise 31 ans, 251 jours, 7 heures 46 minutes et 40 secondes. Soit un écart de 31 ans, 240 jours et 7 heures.

    Rien à cacher ?

    Souvent, la phrase entendue est « ça va, je n’ai rien à cacher ! » . D’autant plus si vous vivez pécuniairement de votre vie privée sur les réseaux sociaux. Pour les autres, vous n’avez rien à cacher jusqu’au moment où vous faites partie intégrante des données exposées, vous comprenez que c’est problématique. L’usurpation d’identité est courante, les faux également. Quand les données sont recoupées, analysées, cela devient une mine d’or pour toute personne les utilisant. Lorsque le groupe de cybercriminels usant du ransomware Alphv/BlackCat révélerait des données du groupe Estée Lauder et de VOG (Home of apples). Ainsi de nombreuses identités et autres informations pourraient être jetées en pâture. Vous pouvez ainsi croiser des données pour en obtenir davantage et ainsi attaquer de plus grosses entreprises.

    Un jeune homme de 26 ans sera jugé par le tribunal judiciaire de Paris le 15 novembre 2023, relate FranceTVinfo. Il est convoqué pour une comparution immédiate sur reconnaissance préalable de culpabilité. Il est soupçonné d’avoir commis le vol de données personnelles de 2 800 employés du journal Le Monde. (Crédits : Elias/Pixabay)

    Gagner encore plus d’argent

    Le rapport de Chainalysis indique que les sommes payées avaient diminué en 2021. Il faut dire que 2020 et 2021, les profits engendrés atteignaient des sommets avec respectivement 765 et 766 millions de dollars. Selon les dernières observations de Chainalysis, les cyberattaques avec rançongiciel ont rapporté en 2023 près de 450 millions de dollars aux cybercriminels, au premier semestre 2023.

    Si certains ransomwares ont disparu, comme Conti ou Revil/Sodinokibi, Cl0P et LockBit font la part belle aux cyberattaques. Sans oublier les nouveaux venus : cAcTUS, Médusa, Akira, 8Base, Bianlian… Les sommes des rançons pourraient atteindre les 900 millions cette année, selon les estimations de Chainalysis. (Crédits : Chainalysis)

    Coverware indique qu’au deuxième trimestre de 2023, le pourcentage de cyberattaque par ransomware ayant donné paiement d’une rançon par la victime chute à 34 %. Pour autant le nerf de la guerre est l’argent. Prenons l’exemple d’un cabinet médical qui voit l’ensemble de ses données chiffrées, et qui faute de sauvegarde subit un impact dévastateur. L’impact est de 100 %, mais sa réserve financière est faible, donc la rançon ne pourra qu’être minime.

    Selon l’analyse de Coverware, le groupe CloP aurait gagné entre 75 et 100 millions de dollars rien qu’avec la campagne MoveIT, peu de cibles, mais de fortes rançons. « À titre indicatif, ce montant est supérieur au budget annuel du Canada en matière de sécurité offensive ». (Crédits : Coverware)

    De l’autre côté, une multinationale aura un système de protection des systèmes d’information sans doute élevé. Donc le bénéfice de toute attaque doit être supérieur aux coûts, c’est le B.A.BA de chaque entreprise, légale ou non, faire du profit. Coverware explique que le groupe criminel Cl0P a « augmenté de façon spectaculaire la demande moyenne qu’il adresse aux victimes. […] un très faible pourcentage de victimes a pris la peine d’essayer de négocier, sans parler d’envisager de payer. Celles qui l’ont fait ont payé beaucoup plus que les campagnes CloP précédentes, et plusieurs fois plus que la rançon moyenne mondiale de 740 144 $ (+126 % par rapport au premier trimestre 2023). » Que les cyberattaques soient le fait de groupes criminels ou d’États, le but de perturber la disponibilité ou compromettre l’intégrité des processus commerciaux et opérationnels.

  • Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Situées au sud de l’Europe, deux entités du savoir ont subi ces attaques cybernétiques. La première se déroule au début du mois de mai 2023, la seconde dix jours plus tard. D’un côté comme de l’autre, rien n’indique à ce stade de l’enquête d’une quelconque fuite. Aucune revendication n’est encore connue. Pas plus de preuves précisant que des données n’ont pas été volées selon les communiqués. Brighton Hill Community School est quant à lui victime de fuites de données de l’action du ransomware Vice Society.

    L’école polytechnique de Leiria au centre du Portugal a subi une cyberattaque le 2 mai 2023. « À ce jour, aucune preuve n’a été détectée que des informations sensibles aient été volées, que ce soit au niveau de la communauté étudiante ou dans le cadre du fonctionnement des services de l’institution », pouvait-on lire dans un communiqué publié jeudi 11 mai 2023 en fin d’après-midi.

    Les systèmes internes « sont en cours de récupération et sont progressivement mis à disposition » depuis le 11 mai. L’accès au site est donc celui d’une copie avant l’incident cybernétique. À ce jour, « aucune demande de rançon n’a été formalisée ». (Crédits : capture d’écran)

    Selon l’École polytechnique de Leiria, « le Bureau de crise est depuis le début articulé avec les autorités compétentes, à savoir le Centre national de cybersécurité, la Commission nationale pour la protection des données et la police judiciaire ». Le rétablissement d’un plus grand nombre des services se poursuivrons explique l’entité. « Par mesure de prévention, après l’alerte d’attaque cybernétique, toutes les plateformes en ligne ont été désactivées, y compris l’accès à Internet, qui a déjà été rétabli, ainsi que l’accès au courrier électronique », ajoute l’institution.

    Leiria, Saragosse, Brighton…

    Dans la nuit de mercredi à jeudi 10 et 11 mai 2023, l’université de Saragosse subit une cyberattaque. « Le bureau de coordination de la cybersécurité, qui dépend du ministère de l’Intérieur, a alerté le campus aragonais de la tentative d’accès aux serveurs de l’institution par le biais d’au moins deux comptes d’utilisateur avec accès VPN », a confirmé l’institution universitaire. La direction a signalé qu’il pourrait s’agir d’une attaque par ransomware de type Lockbit. Or depuis peu un nouveau ransomware est apparu : cAcTUS.

    « Dans les attaques observées jusqu’à présent, les attaquants ont obtenu un accès en exploitant des vulnérabilités connues de systèmes VPN avant d’effectuer des déplacements latéraux pour déployer des outils de surveillance et de gestion à distance (RMM) afin de réussir à persister sur le réseau », explique Lucian Constantin dans Le Monde Informatique. Suite à ces événements et aux recommandations du Centre de cryptologie, le campus a momentanément fermé l’accès à distance. Les usagers qui en font la demande devront désormais se soumettre à un processus particulier.

    Les attaques contre les établissements d’enseignement sont régulières. Ci-dessus, les opérateurs derrière AvosLocker ont comme preuve de leurs attaques fait fuiter des documents. Snatch affiche Lawrence Family Development Charter School, Vice Society les établissements de Lakeland Community College, Lewis & Clark College, Berkeley County School… Des communes sont elles également victimes comme l’Américaine Dallas ou l’Espagnole Carballo.

  • Avos Locker revendique des attaques informatiques d’universités aux États-Unis

    Avos Locker revendique des attaques informatiques d’universités aux États-Unis

    Tandis qu’Uber fait les gros titres de la presse suite à une cyberattaque du fait de l’ingénierie sociale, cinq universités américaines seront peut-être les victimes d’une divulgation de données très prochainement. Le ransomware Avos Locker a revendiqué une action contre Paul Smith College, Our Lady of the Lake University, Savannah College art and Design, Northwest University et Stratford University. Cette dernière a déjà fait l’objet de divulgation de la part de Snatch.

    La firme Uber bien connue à travers le globe excelle dans le domaine de la livraison avec Uber Eat et celle des VTC, mais également dans celle de subir des cyberattaques. Une attaque en octobre 2017 fut réalisée avec un simple vol d’identifiants d’un développeur. Une rançon avait été réglée, à hauteur de 100 000 $. Personne n’a su à l’époque si la personne volée avait ordonné le règlement ou au contraire sous couvert d’un Bug Bounty. Cela occasionnait des données pour près de 60 millions de personnes, cinquante millions de chauffeurs et sept millions de clients. La firme américaine semble coutumière du fait, ou semble il devrait avoir une véritable politique de cybersécurité.

    La personne revendiquant l’introduction chez Uber a fourni des captures d’écran des systèmes internes, a déclaré qu’il avait 18 ans et qu’il travaillait sur ses compétences en cybersécurité depuis plusieurs années, a écrit le New York Times. (Crédits : DR)

    Cette fois, jeudi 15 septembre 2022, un simple message via smartphone aurait déclenché une véritable fuite. La personne qui a revendiqué l’attaque informatique a déclaré au New York Times qu’elle avait envoyé un SMS à un employé d’Uber en prétendant être un responsable des technologies de l’information de l’entreprise. Le travailleur, en toute bonne foi, a été persuadé de remettre un mot de passe au responsable et non une personne tierce hors de l’entreprise. Cette technique est connue sous le nom d’ingénierie sociale.

    Tandis que Snatch affiche 53 GB de données compressées, Avos Locker a réussi à prendre au moins 69 000 fichiers.
    Ils contiennent des informations sur les étudiants, des dossiers personnels et commerciaux. (Crédits : capture d’écran/Snatch)

    Toujours aux États-Unis, cinq universités sont dans l’escarcelle d’opérateurs. Elles sont Paul Smith College, Our Lady of the Lake University, Northwest University, Savannah College of art and Design et Stratford University. Les deux dernières ont déjà fait l’objet de précédentes attaques. Avos Locker fournit un pack de preuves sur l’université de Stratford. Aucune information n’a été effectuée, à l’heure actuelle par l’université.

    « Grâce à la détection précoce et à la réponse rapide de l’université, l’incident n’a eu aucun impact opérationnel pour l’université, a déclaré un porte-parole. La SCAD a des raisons de croire qu’un nombre limité de fichiers contenant des informations personnelles de certains étudiants et employés actuels et anciens ont été consultés par l’acteur non autorisé responsable de l’incident. »

    Au total en cette année 2022, Savannah College of Art and Design serait la 24e université à être touchée par un ransomware. (Crédits : DR)

    Si l’année 2021 vingt-six incidents informatiques avaient eu lieu, en 2022 pas moins de vingt-quatre établissements scolaires et universitaires sont déjà identifiés. Des noms tels Ohlone College (20/01), Savannah State University, University of Detroit Mercy (04/02), Centralia College, Phillips Community College of the University of Arkansas, National University College, North Carolina A&T University, Florida International University (BlackCat) , Stratford University, College of the Desert (04/07), SCAD (08/22), Sierra College (20/08), Los Angeles Unified School District (04/09) sont victimes de cyberattaques.

  • Ransomware: Toyota suspend les activités de son usine nationale

    Ransomware: Toyota suspend les activités de son usine nationale

    L’attaque informatique présumée survient juste après que le Japon rejoigne les alliés occidentaux, en rapport au conflit opposant la Russie et l’Ukraine. Les suppositions que l’agression était liée vont bon train, sans aucune preuve ne soit trouvée. La production est donc stoppée au sein de l’empire du soleil levant pour aujourd’hui, mardi 1er mars 2022. Peu de temps suivant la révélation par Snatch de données de Volvo fuitaient. À ce stade aucune information n’est disponible, ni sur l’identité de l’auteur ou des auteurs ni sur son motif.

    Suite à l’infection, par codes malveillants, survenue dans la nuit du 27 au 28 février 2022 la compagnie Toyota Motor Corp a annoncé suspendre les activités de ses usines nationales (14 usines, 28 lignes) ce mardi. L’impact entraînera, selon la firme, une perte de production d’environ 13 000 voitures. Le même jour, Hino Motors Ltd. et Daihatsu Motor Co. ont annoncé qu’ils fermeraient leurs usines au Japon pour la même raison. La cause est la présumée cyberattaque qui s’est présentée chez Kojima Press Kogyo dans la ville de Toyota, un fournisseur de pièces en plastique et de composants électroniques. La NHK a rapporté qu’un ransomware était suspecté d’avoir été utilisé. Tout ceci arrive alors que le ministère de l’Économie, du Commerce et de l’Industrie (METI) appelait le 23 février 2022 les entreprises japonaises à renforcer leur sécurité compte tenu de la situation tendue en Ukraine. La police préfectorale d’Aichi a lancé une enquête.

    Dimanche 27 février 2022, Fumio Kishida a annoncé que le Japon se joindrait aux États-Unis et à d’autres pays pour bloquer l’accès de certaines banques russes au système de paiement international SWIFT. Il a parallèlement déclaré que le Japon accorderait à l’Ukraine une aide d’urgence de 100 millions de dollars. (Crédits : Yoshio Tsunoda/AFLO/Imago)

    « Nous condamnons fermement la Russie pour son soutien à l’action militaire […] », a-t-il affirmé, lundi 28 février 2022 à la commission budgétaire de la Chambre haute qu’il envisageait également des sanctions contre la Biélorussie, qui a coopéré à l’invasion de l’Ukraine par la Russie. Il ajoutait que « l’Europe s’efforce de le mettre en œuvre dès que possible. La rapidité est importante », a-t-il déclaré à propos des sanctions tendant à éloigner les grandes banques russes de l’Association internationale des communications interbancaires (SWIFT).

    Concernant le gel des avoirs visant des responsables gouvernementaux russes tels que le président Vladimir Poutine : « Je veux confirmer rapidement la situation et prendre des mesures immédiates […] J’exprime ma vive critique en action en collaboration avec la communauté internationale », soulignait Fumio Kishida. (Crédits : DR)

    À propos de la cyberattaque qui stoppe la production de Toyota au Japon, le Premier ministre japonais, Fumio Kishida affirme qu’« il est difficile de dire si cela a quelque chose à voir avec la Russie avant de faire des vérifications approfondies ». Ajoutant que son gouvernement allait enquêter sur l’incident et déterminer si la Russie était impliquée. Toutefois, le journal ItMedia relate que « de nombreux groupes criminels qui développent des ransomwares opèreraient sous la juridiction de la Russie, et l’un de ces groupes a exprimé son “soutien à la Russie” concernant son invasion de l’Ukraine. » Cet arrêt intervient alors que Toyota, comme tous les constructeurs automobiles, avait été confronté aux perturbations de la chaîne d’approvisionnement dans le monde entier causées par la pandémie COVID-19, contraignant la compagnie à réduire sa production. De plus, elle a vu une partie de son exploitation interrompue en Amérique du Nord en raison de la pénurie de pièces détachées provoquée par les manifestations de camionneurs canadiens avec le Convoi de la Liberté. L’entreprise nippone souhaite redémarrer sa production au plus vite, elle évalue actuellement si elle sera en mesure de reprendre ses activités normales après le 2 mars.

  • Fuite de données chez Volvo

    Fuite de données chez Volvo

    Tandis qu’un pirate informatique diffuse sur le Darknet plusieurs bases de données comportant des milliers de propriétaires de BMW, Citroën, Peugeot, Ford, Honda, Kia, Mercedes… Les opérateurs derrière le ransomware Snatch divulguent des renseignements du constructeur Volvo. Au total 26 440 fichiers pour 4, 1 GB d’informations décompressées. Le groupe à l’origine de l’attaque a produit le 14 février 2022, les données relevant de l’infection subie par la société automobile suédoise le 25 novembre 2021.

    Zataz révèle une étonnante fuite de données. Elle concerne des dizaines de milliers de propriétaires de voitures de marques BMW, Citroën, Ford, Honda, Kia, Land Rover, Mercedes, Peugeot, Seat, Smart, Vauxhall et Volvo. Les bases contiennent pour Citroën, pas moins de 16 000 clients et des données de l’année 2016 (adresses postales, civilités, téléphones fixes et mobiles, numéros d’identification, mise en service…), pour la marque au lion, les indications sont de l’année 2018, avec le même type de renseignements.

    De nombreux scripts en Bash, Python, documentation interne, mais aussi des informations confidentielles sont en accès libre diffusés sur le site de fuite. (Crédits ; capture d’écran)

    En novembre 2021, le constructeur automobile suédois Volvo Cars annonçait avoir subi un vol d’informations de recherche et développement (R&D) sur ses serveurs. « Volvo Cars a appris qu’un tiers avait accédé illégalement à l’un de ses dossiers », a répondu l’intéressé. La firme mettait en exergue que seule une quantité limitée de ses propriétés en matière de R&D a été subtilisée pendant l’attaque. En outre, Volvo déclarait que l’incident faisait l’objet d’une enquête.

    Le groupe indique ne jamais perturber les chaînes d’approvisionnement, le travail d’un pays, d’un gouvernement, d’un état, d’une ville et d’entreprises privées en les verrouillant, en les cryptant ou par tout autre moyen. Snatch ne divulgue pas la vulnérabilité à l’exception de l’entreprise elle-même. (Crédits : capture d’écran)

    L’organisation Snatch a décidé de diffuser également plus de 26 GB de données compressées suite à l’infection du groupe Cadence Aerospace, effectuée en novembre 2021. Basé en particulier au Mexique comme aux États-Unis, la firme se définie comme un « fournisseur de l’industrie aérospatiale et de la défense qui s’engage à réussir avec ses partenaires commerciaux, grâce à un engagement actif, des stratégies de fabrication et d’approvisionnement alignées et des capacités de pointe. » Les données peuvent servir à de multiples choses. Des produits contrefaits, du phishing, de la diffusion de ransomwares via des courriels… La limite est celle que vous fixez à votre imagination.