Étiquette : Université

  • Qui dort le plus : le loir ou le chat ?

    Qui dort le plus : le loir ou le chat ?

    Deux espèces, deux écoles, deux courants. D’un côté, le chat, prince incontestable de la sieste, capable de s’assoupir entre deux croquettes comme d’autres entre deux respirations. De l’autre, le loir, petit rongeur, dont la devise pourrait être : « Dormir longtemps pour mieux vivre ». Mais alors, qui remporte la médaille du plus gros dormeur ? Penchons-nous sur ces deux champions, avec l’impartialité d’un juge olympique… et l’œil amusé d’une journaliste en manque cruel de café, pendant que bébé dort.

    Ils sont des dormeurs invétérés. Ils dorment partout, tout le temps, et avec un art assumé de la sieste. Mais entre le chat, star des sofas, comme des lieux et positions insolites… Et le loir, hibernant professionnel affichant une expérience certaine : qui décrochera la palme du plus gros dormeur ? Derrière cette question légère semble se cacher un besoin plus profond : à quoi sert vraiment le sommeil, et pourquoi certains dorment… plus que d’autres ?

    Le chat, le roi des siestes

    Animal favori des Français, le chat passe en moyenne de treize à seize heures par jour à dormir. Chez les chatons et les vieux matous, ce chiffre touche des sommets, jusqu’à 20 heures. Mais attention : il ne s’agit pas d’un sommeil profond prolongé. Le chat alterne entre micro-siestes et sommeil léger, toujours prêt à bondir au moindre bruit. C’est un dormeur polyphasique, qui dort en plusieurs fois, souvent aux heures où ses humains sont actifs.

    Enfin, pas partout. « Il n’est pas rare que mon chat bondisse sur mon ventre, puis descende, lorsque je dors. Ce, jusqu’à mon réveil. En cause : un manque de croquettes qu’il juge passablement critique et inacceptable. »

    Cela représente, pour un félin en bonne santé, plus des deux tiers de son existence passés dans un demi-monde de silence et de chaleur : un rêve éveillé.

    Mais pourquoi dort-il autant ? Parce que me semble une bonne réponse. C’est surtout que son organisme, de chasseur nocturne, est programmé pour conserver son énergie entre deux phases de prédation. La chasse se limite aujourd’hui à une boule de papier alu, une chaussette, une croquette hors de sa place habituelle. (Crédits : Francesco Ungaro/Pexels)

    Ne vous y trompez pas. Lors des différentes phases, chaque muscle est et reste prêt à l’action. Ses oreilles captent le moindre bruissement, sa queue frémit à la plus discrète des vibrations. Son sommeil est un mélange d’instinct et d’adaptation à la vie domestique. Où cette dernière n’a fait qu’adoucir cette discipline en lui offrant coussins, plaids, linge sur une table à repasser et bras accueillants, à chaque instant où il en fait la demande.


    Le loir est un marathonien du sommeil

    Le loir discret, rongeur arboricole, vit dans les forêts d’Europe, parfois jusque dans nos greniers. Une expression lui est consacrée, c’est pour dire : « dormir comme un loir ». Et pour cause… Mais si le chat est champion du quotidien, le loir joue dans une autre catégorie, voire hors catégorie. Il hiberne jusqu’à sept mois par an, souvent de septembre à avril. Ce qui représente plus de 210 jours d’affilée.

    Durant cette période, son métabolisme ralentit drastiquement : température corporelle, rythme cardiaque, respiration chutent, bref il hiberne. Il entre dans une forme de pause vitale pour survivre à l’hiver. Il dort, économisant chaque calorie pour y survivre.

    Quand le Saint-Laurent, cher à Joe Dassin avec la chanson « Dans les yeux d’Émilie », revient à la vie. Donc, lorsque les beaux jours reviennent, le loir ne se transforme pas pour autant en hyperactif.

    Il perdure dans son rythme de croisière. Il continue de beaucoup dormir — plus de 13 heures par jour en été — pour compenser son rythme de vie ralenti.

    (Crédits : Julien31/Wikipedia)

    Selon une étude de l’université de Zurich (2016), son cerveau montre une activité de récupération exceptionnelle pendant le sommeil post-hibernation, presque supérieure à celle observée chez l’homme après une privation de sommeil.


    Dormir, c’est survivre

    Qu’il s’agisse du chat ou du loir, le sommeil n’est pas un luxe : c’est une fonction vitale. Vital pour tous, même les êtres humains. Il permet la réparation cellulaire, la régulation hormonale, la consolidation de la mémoire et de l’apprentissage. Chez les animaux sauvages, il conditionne même la survie, en optimisant les ressources énergétiques.

    Pendant que chat et loir vivent à leur rythme, près d’un tiers des Français dorment moins de 6 heures par nuit. Une privation chronique qui altère mémoire, humeur et santé cardiovasculaire. Devrions-nous réhabiliter la sieste, et pourquoi pas… l’hibernation ?

    Mais entre ces deux énergumènes, quel est le verdict ?

    En heures cumulées, le loir l’emporte haut la main grâce à son hibernation. Mais dans l’art du repos quotidien, le chat reste imbattable. La morale : que l’on soit félin ou rongeur, dormir n’est jamais du temps perdu.

    Peut-être qu’en réapprenant à dormir comme un animal, nous finirions par vivre… un peu plus humainement. (Crédits : Kaboompics.com/Pexels)

    Car ces deux champions nous rappellent que dormir est un besoin vital, pas un luxe. Et vous, de quel côté penchez-vous ? Dormeur par pointillisme ou au contraire marmotte assumée ? Dans un monde en perpétuelle agitation, peut-être avons-nous tout à gagner à réapprendre. Comme eux, prendre de la hauteur, pour un l’art de la sieste intelligente, prendre le temps de s’offrir du temps pour soi.

  • Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Cyberattaques de l’université de Saragosse et de l’école polytechnique de Leiria

    Situées au sud de l’Europe, deux entités du savoir ont subi ces attaques cybernétiques. La première se déroule au début du mois de mai 2023, la seconde dix jours plus tard. D’un côté comme de l’autre, rien n’indique à ce stade de l’enquête d’une quelconque fuite. Aucune revendication n’est encore connue. Pas plus de preuves précisant que des données n’ont pas été volées selon les communiqués. Brighton Hill Community School est quant à lui victime de fuites de données de l’action du ransomware Vice Society.

    L’école polytechnique de Leiria au centre du Portugal a subi une cyberattaque le 2 mai 2023. « À ce jour, aucune preuve n’a été détectée que des informations sensibles aient été volées, que ce soit au niveau de la communauté étudiante ou dans le cadre du fonctionnement des services de l’institution », pouvait-on lire dans un communiqué publié jeudi 11 mai 2023 en fin d’après-midi.

    Les systèmes internes « sont en cours de récupération et sont progressivement mis à disposition » depuis le 11 mai. L’accès au site est donc celui d’une copie avant l’incident cybernétique. À ce jour, « aucune demande de rançon n’a été formalisée ». (Crédits : capture d’écran)

    Selon l’École polytechnique de Leiria, « le Bureau de crise est depuis le début articulé avec les autorités compétentes, à savoir le Centre national de cybersécurité, la Commission nationale pour la protection des données et la police judiciaire ». Le rétablissement d’un plus grand nombre des services se poursuivrons explique l’entité. « Par mesure de prévention, après l’alerte d’attaque cybernétique, toutes les plateformes en ligne ont été désactivées, y compris l’accès à Internet, qui a déjà été rétabli, ainsi que l’accès au courrier électronique », ajoute l’institution.

    Leiria, Saragosse, Brighton…

    Dans la nuit de mercredi à jeudi 10 et 11 mai 2023, l’université de Saragosse subit une cyberattaque. « Le bureau de coordination de la cybersécurité, qui dépend du ministère de l’Intérieur, a alerté le campus aragonais de la tentative d’accès aux serveurs de l’institution par le biais d’au moins deux comptes d’utilisateur avec accès VPN », a confirmé l’institution universitaire. La direction a signalé qu’il pourrait s’agir d’une attaque par ransomware de type Lockbit. Or depuis peu un nouveau ransomware est apparu : cAcTUS.

    « Dans les attaques observées jusqu’à présent, les attaquants ont obtenu un accès en exploitant des vulnérabilités connues de systèmes VPN avant d’effectuer des déplacements latéraux pour déployer des outils de surveillance et de gestion à distance (RMM) afin de réussir à persister sur le réseau », explique Lucian Constantin dans Le Monde Informatique. Suite à ces événements et aux recommandations du Centre de cryptologie, le campus a momentanément fermé l’accès à distance. Les usagers qui en font la demande devront désormais se soumettre à un processus particulier.

    Les attaques contre les établissements d’enseignement sont régulières. Ci-dessus, les opérateurs derrière AvosLocker ont comme preuve de leurs attaques fait fuiter des documents. Snatch affiche Lawrence Family Development Charter School, Vice Society les établissements de Lakeland Community College, Lewis & Clark College, Berkeley County School… Des communes sont elles également victimes comme l’Américaine Dallas ou l’Espagnole Carballo.

  • L’université de Pise attaque par le ransomware AlphV/BlackCat

    L’université de Pise attaque par le ransomware AlphV/BlackCat

    Les attaques informatiques en Italie se succèdent. Après Ferrovie dello Stato, Armani, Martinelli Ginetto, le ministère de la transition écologique et dernièrement la ville de Palerme, c’est l’université de Pise qui est la cible du Ransomware-as-a-Service APLPHV/BlackCat. Les opérateurs derrière cette cyberattaque ont d’ores et déjà commencé à diffuser les premiers échantillons d’informations. Ils auraient en leur possession des plaques d’immatriculation, numéro de téléphone…

    Ils laissent apparaître quelques indications sur le site de fuite. L’image capturée et diffusée d’un fichier montre ce qui semble être une table de base de données, « vraisemblablement un serveur SQL », explique à juste titre RedHotCyber. De nombreuses informations telles que les identifiants et les mots de passe associés sont diffusés et lisibles. De plus des numéros de téléphone, des identifiants accompagnés des tokens. Un token d’authentification est un dispositif matériel ou logiciel nécessaire à un utilisateur pour accéder à une application ou à un système réseau de manière « plus sécurisée ».

    Des fichiers CSV seraient en possession des opérateurs malveillants. « Lorsque nous mettons ces données dans notre blog, certaines personnes pourraient rencontrer des difficultés dans la vie », menacent-ils. (Crédits : capture d’écran)

    Ensuite il affiche une liste de fichier de type CSV. En anglais, comma separated values, est une base des données recueillies. Ainsi ils auraient exfiltré 307 KB de courriel, téléphone comme l’exemple ci-dessus, 15 KB de courriels… « Bonjour, l’Université de Pise. Jouons à “l’Université s’endort, la mafia se réveille” ? UPD : Nous avons 10 k plaques d’immatriculation — téléphone — pass — nom de membre – numéro fiscal – étudiants — professeurs données. Aussi, n’oubliez pas que votre réseau dort profondément », communique ALPHV-Blackcat.

    Comme indique la capture d’écran publiée par le chercheur en sécurité Dario Fadda sur le blog « (in)sicurezza digitale », la rançon exigée par le cybergang criminel ALPHV/BlackCat est de 4,5 millions de dollars. (Crédits : (in)sicurezza digitale)

    La nouvelle fait froid dans le dos. Les opérateurs seraient en possession de 54 GB de données. Cela représenterait 8 001 dossiers pour 89 273 documents. Mais c’est le montant de la rançon demandée qui est gigantesque : elle est de 4, 5 millions de dollars. Si l’université de Pise règle ce montant avant le 16 juin 2022, autrement il passera à 5 millions.

  • L’université américaine de Stratford attaquée

    L’université américaine de Stratford attaquée

    La ville de Stratford avait subi une attaque informatique, quasiment trois années jour pour jour. Les premiers problèmes survenaient le 14 avril 2019. La ville américaine avait choisi de payer 75 091 $ pour mettre fin à une récente cyberattaque. Cette fois c’est l’université qui vient d’être visée par le Ransomware Revil. Ils affirment détenir environ 60 Go de fichiers, passeports, rapports financiers et de nombreuses informations sur le personnel de l’établissement…

    La municipalité avait cédé devant les exigences de l’opérateur, trois jours après avoir été infecté. L’attaquant avait installé un logiciel malveillant sur six des serveurs physiques de la ville ainsi que sur deux de ses serveurs virtuels, puis avait crypté tous les systèmes afin que les membres du personnel ne puissent accéder à aucune donnée. Il réclamait un total de 10 bitcoins qui, à l’époque, étaient évalués à 7 509,13 dollars chacun. Quelques jours plus tard, le 25 avril, les clés de décryptage ont été reçues de l’attaquant, aucune donnée n’avait été compromise assurait les autorités.

    Les opérateurs derrière le ransomware Revil postent sur le site de fuite environ 60 Go. Sur la première partie se trouve l’accès aux budgets, finance, comptabilité confidentielle, des lettres de créance… (Crédits : Capture d’écran)

  • Ne pas confondre vitesse et précipitation

    Ne pas confondre vitesse et précipitation

    En Suisse, le Conseil d’État neuchâtelois expliquait qu’il avait progressé en matière de sécurité informatique, suite à l’infection de l’université le 18 février 2022. Mi-mars deux cabinets médicaux neuchâtelois sont la cible de hackers, qui ont publié sur le darknet les données de 43 651 fichiers médicaux, révèle une enquête du Temps. Ils avaient fixé un ultimatum pour le mardi 29 mars. Faute de percevoir une rançon, ils diffuseraient les renseignements. Ils sont passés à l’acte.

    Cette nouvelle attaque informatique, et le partage des données font l’effet d’une claque. Les opérateurs qui usent, compilent des lignes de codes dans un but malveillant qui produisent des attaques ont la plupart du temps, plusieurs longueurs d’avance sur les personnes qui œuvrent à la protection, et s’adaptent aux mesures de sécurité. Après la cyberattaque à l’Université le 18 février 2022, le canton a réduit l’indisponibilité de l’infrastructure informatique et amélioré la capacité de résister à une offensive au niveau des systèmes centraux. « Selon le dernier audit, la défense informatique est bonne », a ajouté Crystel Graf conseillère d’État. Le canton avait lancé le 7 mars 2022, pour une durée de dix mois une campagne de prévention.

    Prévue pour le 8 avril 2022, la publication d’informations du site de prise de rendez-vous suisse a été reportée par les opérateurs derrière le ransomware Lockit 2.0. En Suisse OneDoc peut être assimilé à Doctolib en France. (Crédits : capture d’écran)

    Les données exfiltrées suite à l’attaque de l’université s’avéraient plus sensibles que nous pouvions penser jusqu’à présent expliquait le journal Le Temps. Selon l’enquête, certains fichiers divulgués rapportent un conflit entre professeurs ou le licenciement d’un collaborateur, des courriels de la Police judiciaire neuchâteloise, des documents de justice… Sur la diffusion du 30 mars 2022, les pièces contenaient des listes de patients, leurs prénoms et noms, adresse, numéro de téléphone, fixe et portable, profession, date de naissance… Mais ce n’est pas tout, de nombreuses informations concernant pathologies, examens médicaux s’affichent sur le Darknet, comme savoir si un patient est séropositif, consomme de la drogue, etc. Ils ont été retirés le jour même suite au second ultimatum aux cabinets médicaux de payer la rançon.

    Le chat et les souris

    Remises en ligne, puis enlevées, puis… des échanges entre les opérateurs et les cabinets médicaux, auraient eu lieu, pour qu’un nouveau délai soit fixé au 8 avril, relate le journal Le Temps. Vendredi soir, un expert du darknet affirmait qu’« il est possible que les cabinets, voire les autorités politiques, négocient désormais avec les pirates pour payer une rançon. » Plusieurs faisceaux pourraient indiquer que l’un des cabinets aurait réglé une somme pour récupérer ses données dès le 22 mars, suppose Arcinfo. « Il faut un vrai électrochoc en Suisse, appuie David Billard, professeur associé à la Haute École de gestion de Genève (HÉS GE) et spécialisé en cybersécurité. Les organisations professionnelles (médecins et autres) devraient se prendre en main et commencer par faire un état des lieux de la capacité numérique de leurs adhérents (ou membres de leur organisation professionnelle). Lorsque l’on va voir un médecin ou un avocat, on s’attend à recevoir un avis médical ou un conseil juridique de qualité. De la même façon, on devrait avoir l’assurance que les informations que l’on échange soient traitées avec le même professionnalisme. »

    Les Médecins communiquent

    Le communiqué des médecins de Chaux-de-Fonds affirment qu’ils ont été la cible d’un ransomware, sans pour autant avoir fait preuve d’imprudence. Et non, ils ne s’acquitteront pas de la demande d’extorsion, se conformant ainsi aux recommandations des autorités et des spécialistes de cybersécurité. « Suivant le conseil des autorités, nous avons choisi de ne pas payer de rançon. Premièrement, il n’y a aucune garantie que cela aurait influencé le comportement des pirates informatiques et que les données ne seraient pas publiées, à un moment ou à un autre. Deuxièmement, le cabinet ne souhaitait pas financer le crime organisé et encourager ces actes de chantage », écrivent-ils.

    Le cabinet touché par l’attaque regroupe les Drs Marjorie Cosandey Tissot, Monika Nobel, Julie Meyrat et Marco Salvi, Francine Glassey Perrenoud (avant 2021), André-Philippe Méan (avant 2013), Marc Pierrehumbert (avant 2013), Ivana Babic (avant 2013) et Robert Muenger (avant 2014) sont également concernés. (Crédits : Alexas_Fotos/Pixabay)

    Si, les données volées ne sont pas accessibles à tout un chacun, elles figurent sur le darknet. Le risque de voir des tiers s’en emparer, pour des tentatives d’usurpation d’identité, d’escroquerie… est réel. Il est donc nécessaire de changer ses mots de passe, et se méfier de toute demande urgente ou pressante, qu’elle soit effectuée par téléphone, courrier ou mail. En cas de doute, ne pas hésiter à contacter la police pour être conseillé, conclu le quotidien suisse Le Matin.

  • Universités ciblées en Ukraine, l’ENT en France

    Universités ciblées en Ukraine, l’ENT en France

    Selon l’équipe derrière Wordfence, une attaque massive contre des facultés ukrainiennes coïncide avec l’invasion de l’Ukraine par la Russie, et a entraîné la compromission d’au moins 30 sites Web d’entre elles. Tout comme la région Île-de-France annonçait le 2 mars 2022, que l’espace numérique de travail (ENT) des lycées franciliens avait subi une agression informatique, ce malgré les mesures de sécurité engagées. Les différentes entités se placent et prennent position sur le conflit Russo-Ukrainien.

    Wordfence protège plus de 8 000 sites Web en Ukraine, hors mis trois cents universités, la société indique s’occuper de sites Web privés, gouvernementaux, militaires et policiers. « Nous avons identifié l’acteur de la menace à l’origine de l’attaque, qui fait partie d’un groupe appelé le groupe Monday, que les membres appellent “theMx0nday” », précisent-ils en s’appuyant sur des données, explications et images. Toujours selon le travail de Wordfence « la majorité des attaques ont transité par un fournisseur de services Internet appelé Njalla ». Cette société permettant l’anonymat, jusqu’à une certaine mesure, est l’œuvre de Peter Sunde. Il a été condamné dans le cadre du procès The Pirate Bay, et a depuis monté plusieurs projets, avec plus ou moins de succès.

    « Le groupe Monday a historiquement ciblé un grand nombre de sites brésiliens. Ils intègrent une vidéo de rap brésilien dans le code HTML des sites qu’ils dégradent », relate Wordfence. Ce qui a pour effet le conditionnement de Pavlov, avertissant d’un danger, ou d’une attaque lors de la prochaine écoute du morceau. (Crédits : Capture d’écran/Twitter)

    Trois pseudonymes (son1x, bky992 et xtdin66) associés à des comptes Twitter, dont les deux derniers sont définitivement clos, pourraient être les opérateurs derrière l’organisation « The MxOnday ». L’entité n’en est pas à son coup d’essai, fin 2021 des renseignements sensibles de la police indonésienne avaient été dérobés. De qui s’agissait-il ? « Un pirate brésilien nommé son1x a affirmé avoir réussi à s’introduire dans les données personnelles des policiers et des membres de leur famille la plus proche », écrivait le journal The Indonesia, le 22 novembre 2021. Environ 28 ko de données fournissaient le nom, le grade, le lieu et la date de naissance, l’unité de travail, l’état civil, le numéro de registre principal et plusieurs autres personnelles étaient en libre accès. De plus, il apparaîtrait que l’acteur de la menace est basé au Brésil.

    « The Mx0nday » a déclaré publiquement qu’il « soutenait » la Russie. Il ressort être identifié pour la première fois par Zone-H le 4 juillet 2019, suite à un incident. (Crédits : Zone-H)

    La nouvelle société de Peter Sunde propose à ses clients de réserver pour eux les noms de domaines qu’ils souhaitent acquérir, tout en leur laissant les droits d’utilisation. Cela leur procure un niveau d’anonymat supplémentaire, car le service Whois ne permet pas facilement de retrouver ledit détenteur. Njalla sera par conséquent bureau d’enregistrement, le client et détenteur du fameux nom de domaine, les bureaux ne disposeront pas d’information sur l’identité de l’utilisateur final. Le nom proviendrait d’une coutume du peuple Sami, qui a pour tradition de construire des huttes sur pilotis pour y conserver ses biens.

    Pic d’attaques

    Comme tout endroit sur Terre, des tentatives d’infections par diverses attaques (brute-force, DDoS…) se produisent à chaque instant. La majeure partie du mois a été marquée comme à l’accoutumée de quelques centaines d’attaques quotidiennes sur tous les sites de l’enseignement ukrainien (.EDU.UA). « À partir du 25 février, nous avons assisté à un pic de plus de 104 000 attaques en une seule journée visant ces sites universitaires », indique Wordfence. Tous sites confondus, le 25 février 2022, c’est un peu plus de 144 000 attaques. « Ce pic représente environ trois fois le nombre d’attaques quotidiennes du début du mois sur les sites ukrainiens que nous protégeons. »

    Sur les sites éducatifs, 479 attaques ont eu lieu le 24 février, 37 974 attaques le 25 février, 104 098 attaques le 26 février et 67 552 attaques le 27 février. (Crédits : Wordfence)

    Les lycées franciliens

    À moins de deux jours de la rentrée scolaire en Corse, Montpellier, Toulouse, et la région Île-de-France, la dernière annonçait mercredi 2 mars 2022 que l’espace numérique de travail (ENT) des lycées franciliens avait subi une cyberattaque. La collectivité territoriale, en lien avec les autorités académiques, « a immédiatement réagi et d’ores et déjà pris les mesures techniques et juridiques qui s’imposaient ». Le compte identifié comme étant à l’origine de l’accès frauduleux a été bloqué, une plainte a été déposée auprès du procureur de la République. « Un plan de protection a été mis en œuvre avec Orange Cyber Défense sur la base des recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) », alerte la région Île-de-France.

    « La maintenance sans cesse prolongée depuis trois jours de l’ENT île-de-France et donc le non accès à Pronote alors qu’on doit remplir les bulletins, c’est normal ? », questionnait une professeure d’Histoire et Géographie. (Crédits : capture d’écran)

    La région Île-de-France et les services du ministère de l’Éducation nationale ont informé les personnes concernées par cette cyberattaque, les invitant à modifier leurs mots de passe. Mais également de prendre des initiatives à prendre en cas d’utilisation illicite de données permettant de les identifier. Si les combats en Ukraine sont principalement conventionnels, rappelle l’ANSSI, elle constate l’usage de cyberattaques dans le cadre du conflit. Afin de réduire au maximum la probabilité de tels événements et d’en limiter les effets, l’agence incite les entreprises et les administrations à prendre les devants.

  • Vacances prolongées à Neuchâtel

    Vacances prolongées à Neuchâtel

    À trois jours de la rentrée scolaire, l’université de Neuchâtel est victime d’une attaque de ses systèmes informatiques. Les premiers signes relevés de l’infection sont survenus jeudi 17 février 2022, vers 23 h. Par mesure de sécurité, l’Unine, qui compte quatre facultés en son sein a désactivé l’ensemble de ses serveurs ce vendredi 18 février. Une affaire qui pourrait compliquer le retour des étudiants, prévu ce lundi. Si aucune rançon n’est encore exigée en échange de la clé de chiffrement, cela porte les stigmates et ressemble trait pour trait à une infection par codes malveillants de type ransomware.

    Depuis jeudi soir, tous les systèmes d’information de la faculté neuchâteloise sont bloqués, victimes d’une infection de type Ransomware-as-a-Service relate ArcInfo. Plus un ordinateur n’est accessible, l’arrêt général a été décrété. Fort heureusement, peu d’étudiants sont sur place. « Il est très probable que des gens malveillants soient derrière cette attaque, expliquait Nando Luginbühl, le responsable de la communication de l’Université de Neuchâtel. Le problème n’est pas réglé et nous ne pouvons pas dire à quel moment ça va refonctionner. »

    Des messages auraient été envoyés à destination du corps enseignant, mentionnant le cryptage des données. L’Université confirme l’existence dudit message, sans avoir « connaissance d’autres demandes à ce stade ». Une partie des professeurs profitent des derniers jours pour mettre à jour leurs supports de cours, de leur côté les élèves devaient consulter leurs horaires, comme échanger les ultimes renseignements par courriel. Il sera nécessaire de le consentir avec résignation.

    Les services affirment avoir confiné l’ensemble afin d’éviter que le code malveillant se propage sur de nouveaux terminaux. La Suisse est depuis plusieurs mois la cible de nombreuses infections, comme le fut la Croix-Rouge. L’université tente de restaurer une sauvegarde de l’état du système avant la cyberattaque. (Crédits : DR)

    Les cours avaient, jusqu’à présent, lieu à distance du fait du SARS-CoV-2. Le retour, en chair et en os, des étudiants sur le campus doit s’effectuer lundi matin 21 février. Toutefois, les enseignements qui se donnent en vis-à-vis sont aussi pour certains accessibles en ligne, garantit l’institut. Les vacances ne seront, à priori, donc pas prolongées. « Notre objectif est d’assurer la rentrée des cours, lundi. Comme il y a un retour au présentiel, cela tombe bien », affirme Nando Luginbühl.

  • Le ransomware « Cl0p » infecte six universités américaines

    Le ransomware « Cl0p » infecte six universités américaines

    Elles sont six universités américaines à avoir subi une infection par code malveillant, en un peu plus de dix jours. L’attaque cybernétique est de type ransomware. L’université du Colorado, de Miami, de Yeshiva, du Maryland, de Californie et la non moins prestigieuse université de Stanford, deuxième au classement mondial derrière le légendaire MIT. Tout ceci est rendu possible par l’infection préalable de l’application FTA d’Accellion de « transferts de fichiers sécurisés ». Des données privées sont ainsi divulguées.

    Tout commence avec la diffusion des notes, des numéros de sécurité sociale des étudiants de l’université du Colorado et de celle de Miami au début de l’année 2021. L’origine est l’application FTA (File transfer appliance) d’Accelion pour le transfert de données sécurisé. C’est un fournisseur de services de transfert de fichiers sécurisés qui permet aux organisations de partager « en toute sécurité » des documents sensibles avec des utilisateurs extérieurs à leur organisation.

    Cl0p exploite une faille

    Ce service, FTA, est populaire parmi les banques, les agences gouvernementales et les organisations financières qui partagent couramment des documents sensibles avec des utilisateurs externes. Une vulnérabilité a été découverte et documentée dans un rapport de onze pages, par la société de conseil en cybersécurité Mandiant. Il indique que la première faille a été découverte et résolue par Accellion le 16 décembre 2020, tandis que la seconde l’a été le 20 janvier 2021. En premier, l’opérateur malveillant a enchaîné les vulnérabilités suivantes : Injection SQL (CVE-2021-27101) et exécution de commandes du système d’exploitation (CVE-2021-27104).

    Les attaques impliquaient l’exploitation de plusieurs vulnérabilités zero-day dans l’ancien logiciel FTA. Un « zero-day » (0-day) est une vulnérabilité n’ayant fait l’objet d’aucune mise à jour, car n’ayant pas de publication, elle n’est pas connue. Elle cesse de l’être dès qu’un exploitant s’en sert. Le but fut l’installation d’un nouveau shell web, ou « code encoquillé », nommé « Dewmode », permettant un accès et un contrôle à distance. L’ANSSI documente un shell web avec l’exemple « Supernova » suite à la présence d’un code malveillant dans Solar Winds Orion.

    L’accès à des données de patients s’affich sur le site de fuite de Cl0p. (Crédits : capture d’écran)

    Quatre failles critiques

    Suite à de nombreuses attaques, l’entreprise Accellion a corrigé quatre vulnérabilités FTA. Elles étaient connues pour être exploitées par les opérateurs malveillants, en plus d’incorporer de nouvelles capacités de surveillance et d’alerte pour signaler tout comportement suspect. Les défauts sont les suivants :

    • CVE-2021-27101 – Injection SQL via un en-tête Host spécialement conçu
    • CVE-2021-27102 – Exécution de la commande OS via un appel de service Web local
    • CVE-2021-27103 – SSRF via une requête POST spécialement conçue
    • CVE-2021-27104 – Exécution de la commande du système d’exploitation via une requête POST spécialement conçue

    « Bien que nous croyons, sur la base de notre enquête à ce jour, que l’incident est limité au serveur Accellion utilisé pour les transferts de fichiers sécurisés, nous continuons à améliorer notre programme de cybersécurité pour protéger davantage nos systèmes contre les cybermenaces. Nous continuons à servir notre communauté universitaire conformément à notre engagement envers l’éducation, la recherche, l’innovation et le service », assure l’université de Miami. Sans pour autant être devin, le site Bleeping Computer avertissait : « il est probable qu’il publiera davantage de fichiers à l’avenir pour faire pression sur les victimes, afin qu’elles paient. »

    « Bien que l’ampleur de l’attaque n’ait pas encore été déterminée, les premières informations issues de l’enquête confirment que la vulnérabilité a été exploitée et que plusieurs types de données ont pu être consultées, notamment des informations personnelles identifiables sur les étudiants de Boulder et Denver, des informations personnelles identifiables sur les futurs étudiants, des informations personnelles identifiables sur les employés, des données cliniques et de santé limitées, ainsi que des données d’étude et de recherche », affirme l’université du Colorado dans son communiqué. Le 1er avril, sans mauvaise blague, « un certain nombre d’universités ont été ajoutées au site de fuite sur le dark web des acteurs de la menace Cl0p », souligne le site Data Breaches.

    La pression ne s’est pas fait attendre, sur leur site, les données s’affichent en cinq parties téléchargeables. (Crédits : capture d’écran)

    Elles semblent être liées à la brèche d’Accellion en décembre et janvier, renchérit l’auteur. La menace est prise très au sérieux, ainsi le 2 avril, le directeur financier de Stanford Medicine, M Randy Livingston et le doyen Lloyd Minor, ont confirmé dans un e-mail, adressé à leur communauté, l’exfiltration de données, relate le journal The Stanford Daily.

    Sous-investissements en cybersécurité ?

    Accellion a déclaré que 300 clients utilisaient l’ancien logiciel FTA, vieux de 20 ans, et que moins de 100 d’entre eux ont été victimes d’une brèche par les opérateurs derrière le ransomware Clop et FIN11. La chaîne de télévision CBS SF annonçait que « le système informatique de l’un des plus grands districts scolaires du pays a été piraté par une bande criminelle qui a crypté les données du district et exigé une rançon de 40 millions de dollars, faute de quoi elle effacerait les fichiers et mettrait en ligne les informations personnelles des élèves et des employés ».

    Code, cyber, web

    D’ailleurs, selon le site Bleeping Computer, des sources dans le domaine de la cybersécurité leur auraient révélé que la vulnérabilité du logiciel d’Accellion aurait été également à l’origine de l’infection de la Harvard Business School. Un sous-investissement en matière de sécurité des systèmes d’informations serait-il sous-jacent ?

    Au vu des nombreuses infections, la question a le mérite d’être posée ! Car, déjà deux décennies auparavant, le 25 avril 2001, ZDNET relatait déjà une attaque de l’université de Stanford où était scolarisée Chelsea Clinton, fille du 42e président des États-Unis.

    (Crédits : Gerd Altmann/Pixabay)

    Les opérateurs revendiquent que « nous n’avons jamais attaqué les hôpitaux, les orphelinats, les maisons de retraite, les fondations caritatives, et nous ne le ferons pas. Les organisations pharmaceutiques commerciales ne sont pas éligibles pour cette liste ; elles sont les seules à bénéficier de la pandémie actuelle. Si une attaque se produit par erreur sur l’une des organisations susmentionnées, nous fournirons le décrypteur gratuitement, nous nous excuserons et nous aiderons à corriger les vulnérabilités. » Parmi les autres victimes d’Accellion FTA infectées par « Cl0p » figurent le géant des supermarchés Kroger, la Reserve Bank of New Zealand, l’autorité australienne de régulation des marchés financiers (ASIC), Singtel, la société de cybersécurité Qualys, l’institut de recherche médicale QIMR Berghofer, le bureau de l’auditeur de l’État de Washington « SAO », ainsi que la société Shell.