Des chercheurs de l’université George Mason ont découvert un moyen, pour quiconque, de localiser quasiment n’importe qui, ou plus précisément quelques ordinateur ou appareil mobile. Ils baptisent cette faille « nRootTag ». Cette attaque utilise l’adresse Bluetooth d’une machine combinée au réseau Find My d’Apple pour transformer les appareils cibles en balises de localisation involontaires. Une trouvaille de taille qui pourrait ravir les services de police à travers le monde, comme toute personne malveillante usant de phishing, de ransomware.
Pour comprendre l’impact, il suffit de simplifier. « Cela revient à transformer n’importe quel ordinateur portable, téléphone ou même console de jeu en Air Tag Apple, sans que le propriétaire s’en rende compte », explique Junming Chen, auteur principal de l’étude. Hacker quelque chose est le détourner de son utilisation première, dans un contexte général.
Trouve-moi… si tu veux
L’histoire possède un relent de déjà-vu. Auparavant en 2021, des individus malintentionnés détournent l’utilisation première d’un Air tag. Quelques mois plus tard, une personne télécommande des voitures de marque Tesla, situées aux États-Unis, à partir d’un smartphone au Portugal. « Et le pirate peut faire tout cela à distance, à des milliers de kilomètres de distance, avec seulement quelques dollars ». L’équipe de Qiang Zeng et Lannan Luo, professeurs associés au département d’informatique de l’université George Mason, ainsi que Chen et Xiaoyue Ma, doctorants ont découvert que l’attaque fonctionne en faisant croire au réseau Find My d’Apple que l’appareil cible est un AirTag perdu.
L’Air Tag est un IoT que vous pouvez accrocher à un autre précieux à vos yeux : votre porte-monnaie, clefs… peut-être votre vie privée, voire bien, plus. Ici, l’AirTag envoie des messages Bluetooth aux appareils Apple situés à proximité, qui relaient sa position à son propriétaire pour qu’il puisse le localiser. Rien d’anormal, jusqu’ici.
La méthode d’attaque des chercheurs peut transformer un appareil (ordinateur de bureau, smartphone, IoT) en « AirTag » sans l’autorisation d’Apple. C’est alors que ledit réseau commence à le suivre.
Ainsi dans le protocole, ils ont été en mesure de faire des expériences « pas piquées des hannetons ». Après avoir contourné le chiffrement des adresses Bluetooth d’Apple, via d’une grande puissance de calcul, la cyberattaque est active.Ils localisent un ordinateur stationnaire à trois mètres près, suivent l’itinéraire d’un vélo électrique en mouvement, reconstituent la trajectoire exacte et identifient le numéro de vol d’une console de jeu embarquée dans un avion.
« Si le piratage de votre serrure intelligente est effrayant, il l’est encore plus si l’attaquant connaît également son emplacement. Avec la méthode d’attaque que nous avons introduite, l’attaquant peut y parvenir ».
Ce qui est inquiétant est hormis le taux de réussite est de 90 % et la capacité à suivre les appareils en quelques minutes, c’est que cette technique ne nécessite pas d’augmenter ses privilèges d’utilisateur à administrateur ou « root ». Procédure somme toute habituelle pour un tel accès au système.
(Crédits : Omran Jamal/Pexels)
Les chercheurs ont d’ores et déjà averti la firme à la pomme en juillet 2024, dont une mise à jour de sécurité à suivi. Ils ont démontré que l’attaque fonctionne également sur les ordinateurs et les appareils mobiles sous systèmes Linux, Android et Windows, ainsi que sur plusieurs téléviseurs intelligents et casques VR. Ce qui est préoccupant est les conséquences possibles sur la vie privée. Des personnes malveillantes pourraient facilement employer cette technique à des fins de traque, de harcèlement, d’espionnage d’entreprise ou de menaces pour la sécurité nationale, et commercial. Les groupes de marketing, de publicité pourraient établir le profil des utilisateurs sans dépendre du GPS de l’appareil.
Le canton de Vaud en Suisse a essuyé de nombreuses offensives par codes malveillants. Il est le plus à l’ouest de la Confédération helvétique, et compte 805 098 habitants au dernier recensement. La fondation Les Oliviers subissait le 17 janvier 2020 une « cyberattaque ». Quasiment au même endroit, c’est GRF, une importante société fiduciaire vaudoise d’être une cible, mais de choix.. La commune de Rolle en faisait l’expérience en mai 2021. Outre-Atlantique, c’est la chaîne californienne « Pizza Chicken » qui révèle une fuite considérable le 18 novembre 2021.
Le quotidien suisse 24 heures propose le récit vu de l’intérieur d’une attaque, car personne n’est véritablement préparé. Le chef-lieu qu’est Lausanne offre un havre de paix et un décor de rêve, elle se situe entre le massif du haut Jura et le lac Léman. C’est par un beau matin d’hiver que la foudre s’abat sur les épaules de la directrice Sanda Feal. La fondation dans laquelle elle œuvre, Les Oliviers, est destinée à toute personne qui se sent en difficulté avec sa consommation d’alcool et/ou d’autres produits, ce depuis 1976.
Le message reçu par l’organisation de la part des opérateurs derrière le ransomware PYSA ne laisse guère de doute. (Crédits : DR)
« Il est 6 h 40 quand un SMS arrive sur le portable de Sandra Feal, chargée du service technique. Un de ses informaticiens lui apprend qu’aucun serveur ne répond. Il a essayé à plusieurs reprises de relancer les ordinateurs, sans succès. Le dossier système est vide. La directrice adjointe quitte son domicile précipitamment et arrive à la Fondation à 7 h », raconte 24 heures.
Le ransomware PYSA est à l’origine de cette infection, comme celle de l’UAB. Le coût estimé est de 350 000 francs suisses (334 000 euros) en réponse à l’engagement de spécialistes, le rachat de matériel et le manque à gagner. (Crédits : capture d’écran)
« J’ai ressenti de la colère, raconte Sandra Feal. Ils n’en ont rien à fiche de qui on est. Ils s’attaquent à des personnes précaires. C’est comme s’ils volaient l’argent d’un musicien de rue. » La directrice jouait la carte de la transparence à travers un communiqué de presse relayé dans divers médias. Les premières mesures mises en place, une plainte est déposée l’après-midi. C’est lors du contact avec la cellule spécialisée de la police cantonale qu’elle découvre son existence.
Bis repetita
Grâce à la Doloréane, remontons dans le futur, en octobre 2021. Des opérateurs tentèrent, encore en Suisse, d’entrer dans le système de GRF Société fiduciaire SA, une importante fiduciaire vaudoise qui gère les données de pouvoirs publics (des informations budgétaires publiques et facturations de consommation d’eau). Une douzaine de communes et de collectivités du district de Morges sont ainsi concernées. Le 22 octobre 2021, la dernière sommation faisait été de 48 petites heures pour payer le total de 200 000 francs en bitcoins, menaçant de laisser fuiter les renseignements sur le darknet. « […] nous n’avons rien trouvé sur le darkweb », commente Marc Caron de la société O plc, le 18 novembre 2021. GRF, de son côté, envisage de déposer une plainte pénale contre cette cyberattaque que la police cantonale vaudoise qualifie de sérieuse. « La question n’est plus de savoir si une collectivité sera un jour cyberattaquée, mais quand », explique Marc Genton.
La porte d’entrée dévoilée
Le 15 novembre 2021, la mairie de Turin se trouvait ciblée par un ransomware. C’est toute la structure de la cité des quatre rivières qui était hors service, lundi dernier. « Nous vous informons que l’activité de certains services, dont les services d’enregistrement, a été suspendue ce matin ». Dans une note, la municipalité explicite que « les techniciens de la Ville et de CSI Piedmont — le consortium public qui gère les services informatiques — travaillent pour rétablir le bon fonctionnement du système […] ».
L’ordinateur utilisé comme accès par le groupe Conti, explique La Stampa pour diffuser le malware était un PC appartenant à la police de la commune. Il était connecté au système informatique municipal et servait de canal d’entrée. (Crédits : Pexels/Pixabay)
Les équipes craignaient de subir la même chose que l’Azienda Territoriale per la Casa, le 11 avril dernier. Elle avait été victime d’une lourde attaque, 43 téraoctets de données, qui a sérieusement compromis la prestation de services, les pratiques et les procédures informatiques, avec une rançon de 700 000 dollars (plus d’un demi-million d’euros). La porte d’entrée de l’offensive contre le conseil municipal de Turin aurait été un ordinateur appartenant à la police de la circulation, révèlent les enquêteurs.
Attaque d’une chaîne de Pizzeria
Chez l’oncle Sam, la California Pizza Kitchen (CPK) a révélé une violation de données exposant les numéros de sécurité sociale de plus de 100 000 employés actuels et anciens. La chaîne qui compte plus de 250 établissements dans 32 États a confirmé l’incident. « La société a déclaré avoir été informée d’une “perturbation” de ses systèmes le 15 septembre et avoir pris des mesures pour “sécuriser immédiatement” son environnement », raconte Techcrunch. L’infection se serait déroulée le 4 octobre 2021.
Une notification du bureau du procureur général du Maine a indiqué qu’un total de 103 767 employés actuels et anciens – dont huit résidents du Maine – sont concernés. La découverte de cette intrusion ne date que du 13 octobre 2021, selon la note de l’institution du Maine. (Crédits : capture d’écran)
« La sécurité des informations fait partie de nos plus hautes priorités, et nous avons mis en place des mesures de sécurité strictes pour protéger les informations dont nous avons la charge, ajoutait CPK. […] Nous révisons les politiques de sécurité existantes et avons mis en place des mesures supplémentaires pour nous protéger davantage contre des incidents similaires à l’avenir. »
Le ministère de la santé québécois attaqué
Entre le 5 et 10 octobre dernier, il était impossible d’accéder à certains services web des centres intégrés de santé et de services sociaux (CISSS) de Montérégie. Plus particulièrement au « Virtuo », dans lequel se trouvent des données personnelles et sensibles sur les employés, annonce Le Montarvillois. La porte-parole, Joëlle Jeté confirmait qu’il y avait eu effectivement une tentative d’intrusion visant les serveurs « Virtuo », du fournisseur Médisolution, hébergés sur les infrastructures informatiques du ministère de la Santé et des Services sociaux (MSSS). « Des modifications ont été apportées pour empêcher que cela ne se reproduise et que les services ont été rétablis lors de mise en place des correctifs », concluait-elle.
Attention aux mises à jour
Diverses méthodes sont utilisées par les agents malveillants pour souiller comme pour voler de la liquidité à leurs victimes. Parmi elles, deux sont particulièrement nuisibles cite le site de cyberveille français :
les alarmiciels
les mises à jour frauduleuses
Les premières ont pour finalité l’extorsion d’argent, les suivantes la contamination du poste de travail avec aussi un fort risque de racket de monnaie sonnante et trébuchante. Souvent, l’une ne vient pas sans l’autre. Les Scarewares existent sous pléthores de formes (pop-up, programme…), et tentent de vous faire croire que votre système est victime de plusieurs infections très dangereuses. Le message et son contenu incitent à vous diriger vers une solution payante garantissant une hygiène informatique, en toute bonne foi. Tout n’est que fadaise, leur but vous faire peur pour vous extorquer de l’argent.
La prudence est mère de sûreté. Dans le cadre de son Patch Tuesday, en date du 14 septembre 2021, Microsoft a initié un correctif pour cette vulnérabilité. Le CERT-FR recommande fortement d’appliquer ce correctif et, le cas échéant, d’enlever les contournements préalablement appliqués pour se protéger de cette vulnérabilité. (Crédits : Tomasi/Pixabay)
Les mises à jour frauduleuses, ou FakeUpdate s’apparentent à une légitime. Pour autant, elle dispose d’une charge malveillante destinée à déployer un ou plusieurs maliciels dans le système de l’usager. Elle peut commencer comme un alarmiciel, mais aussi se présenter pour perturber la navigation sur Internet via une fenêtre Pop-Up répétitive et intempestive. Le contenu vous incite fortement à effectuer la mise à jour pour reprendre sereinement votre navigation. Lorsque vous accepte le processus d’installation, une véritable charge malveillante est activée. Elles peuvent contenir des ransomwares ou rançongiciels. Le site de cyberveille donne deux exemples :
Le premier se présente comme une mise à jour (MAJ) importante de Microsoft Windows. Lorsque l’usager accepte l’implantation de cette dernière, son système est rapidement sous l’emprise du rasomware qui chiffre les données. Une rançon est demandée pour retrouver le contrôle des informations. Puis, le Cyborg arrive presque toujours chez l’utilisateur en tant que pourriel, ou dans les indésirables. Également sous le même procédé que le Fantom, il vous invite urgemment à autoriser l’installation de la MAJ. Si vous acceptez, la charge malveillante se déclenche et commence un chiffrement rapide des données. Une rançon est là aussi demandée. Vous n’avez plus qu’à vous mettre en rapport les services de gendarmerie ou de police, comme l’ANSSI. « Il est recommandé que l’antivirus et l’EDR soient à jour sur l’ensemble des systèmes. Dans le cas où certains terminaux ou appareils ne peuvent pas recevoir de protections antivirales, il est conseillé de prendre contact avec le prestataire du produit pour connaître les moyens de protections alternatifs. Installer des filtres anti-pourriel et toujours être vigilant contre les courriels externes. Ne jamais accepter les offres présentées dans des pop-up ou courriels sans d’abord demander l’avis de l’expertise SSI. Effectuer des sauvegardes régulières des données sensibles, et les stocker hors réseau. Appliquer le règlement sur la politique des mots de passe », conseille Cyberveille.
Les jours se suivent, et semblent se ressembler. Un hôpital israélien victime d’une attaque par ransomware, l’université de Sunderland fortement perturbée, la chaîne Meliá Hotels International affectée début octobre par un code malveillant, Olympus leader américain dans le domaine des technologies médicales est au chevet des experts, Banco Pichincha plus grande banque privée d’Équateur est hors service… jusqu’à l’utilisation du presse-papiers pour dérober 24 millions de dollars en cryptomonnaies.
L’institution de cyberveille du gouvernement français alertait que FIN12 visait différents secteurs, dont l’éducation, la santé, la finance, la manufacture, et l’ingénierie. « FIN12 est un groupe cybercriminel particulièrement “agressif”. Ses proies sont essentiellement localisées en Amérique du Nord, en Asie Pacifique, ainsi qu’en Europe, l’agence. Auparavant, ce groupe était identifié sous le nom UNC1878. Il est réputé pour ses attaques envers les acteurs du domaine de la santé. »
« L’hôpital utilise actuellement des systèmes alternatifs pour traiter ses patients. Les traitements médicaux se poursuivent comme d’habitude, à l’exception des procédures électives non urgentes. L’incident a été immédiatement signalé au ministère de la Santé et à Cyberpro, et pris en charge », explique l’institut. (Crédits : capture d’écran)
L’investigation des services israéliens déterminera s’il y a un lien avec ledit groupe. Le centre médical Hillel Yaffe, situé dans la ville d’Hadera affirme pouvoir continuer à fonctionner, à l’exception des procédures non urgentes, en passant à des systèmes alternatifs. « Le ministère de la Santé et la direction nationale de la cybernétique ont été informés des détails de l’incident et coopèrent à l’enquête et au traitement de l’incident », a déclaré le ministère. En ajoutant que des avertissements avaient été envoyés à titre préventif à d’autres hôpitaux. En septembre, la société israélienne de cybersécurité Check Point a indiqué que les institutions de l’État étaient l’objectif de deux fois plus de cyberattaques que la moyenne des divers pays du monde, y compris le secteur de la santé, qui subit en proportion 1 443 attaques par semaine. Le rapport a révélé qu’en moyenne, une organisation ou entreprise israélienne sur 60 est ciblée chaque semaine par des attaques de ransomware, soit une augmentation de 30 % par rapport au taux de 2020, selon The Times of Israel.
Le flegme britannique éprouvé
L’alerte fut donné par un gazouillis des pontes de l’université de Sunderland. Ils ont confirmé qu’un certain nombre de systèmes informatiques restaient hors service et que les cours en ligne restent suspendus. « Les étudiants sont encouragés à se rendre sur tous les campus de l’université où l’enseignement en face à face se poursuit, et des bureaux d’information seront disponibles pour offrir des conseils et un soutien. Pour ceux qui étudient à l’étranger, des plans ont été mis en place pour s’assurer qu’ils puissent continuer à le faire, avec un minimum de perturbations », explique un porte-parole de l’université.
S’il s’agit d’une opération informatique par code malveillant de type ransomware, comme l’avaient subit les facultés de Northumbria et Newcastle en 2020, l’affichage sur les réseaux sociaux d’une adresse mail n’est peut-être pas la meilleure idée (phishing). (Crédits : Facebook Sunderland)
Le site Internet de l’institut demeure également fermé pour maintenance. « L’Université continue de subir des perturbations informatiques importantes qui pourraient avoir été causées par une cyberattaque. L’université travaille actuellement avec plusieurs organismes, dont la police, pour déterminer ce qui s’est passé exactement et l’étendue des problèmes. » Elle ajoute que ces lignes téléphoniques, leur site web et systèmes informatiques sont toujours hors service, mais le campus reste ouvert, il n’y aura pas de vacances anticipées.
Plusieurs hôtels du groupe Meliá touchés
« Aux premières heures du 4 octobre 2021, une attaque informatique a été détectée qui a affecté plusieurs hôtels du Groupe, après quoi la société a activé ses protocoles de réponse et ses travaux de confinement, convoquant le Comité de crise, qui a déployé les plans de continuité des activités », indiquait le communiqué. Depuis l’accès dans divers hôtels de la multinationale, dont le Meliá Barcelona Sky, est rétabli.
Le groupe avait déjà subi ce même genre de désagrément en septembre 2021. Cette fois, c’est son réseau européen, moyen-oriental et africain qui était visé. La demande de rançon émanait des opérateurs derrière BlackMatter. (Crédits : DR)
Olympus, leader dans le domaine des technologies médicales enquête à l’heure actuelle sur un incident potentiel de cybersécurité décelé le 10 octobre 2021. Ce dernier perturbe ses systèmes aux États-Unis, Canada et Amérique latine. « Dès la détection d’une activité suspecte, nous avons immédiatement mobilisé une équipe d’intervention spécialisée comprenant des experts en criminalistique, et nous travaillons actuellement avec la plus haute priorité pour résoudre ce problème », indique Olympus dans un communiqué publié deux jours après l’attaque. Dans le cadre de l’enquête « nous avons suspendu les systèmes affectés et avons informé les partenaires externes concernés », communique sur son site mardi 12 octobre 2021. Les résultats récents de l’analyse suggèrent que l’incident a été contenu dans les Amériques sans impact connu sur d’autres régions.
La banque privée d’Équateur Banco Pichincha hors service
La plus grande banque privée d’Équateur a vu ses systèmes d’information attaqués. Durant le week-end du 9 et 10 octobre, les opérations, les guichets automatiques ainsi que son portail sur l’internet ont été perturbés. « Au cours des dernières heures, nous avons identifié un incident de cybersécurité sur nos systèmes informatiques qui a partiellement désactivé nos services. Nous avons pris des mesures immédiates pour isoler les systèmes potentiellement affectés du reste de notre réseau et avons mis en place des experts en cybersécurité pour aider à l’enquête », stipule l’organisme fiduciaire sur sa page Facebook, information partagée plus de 7 000 fois depuis sa publication le lundi 11 octobre 2021. Depuis, le statu quo demeure, c’est pourquoi mercredi matin, les files d’attente sont légion, les retraits et les paiements par carte ne pouvaient être réalisés que dans les agences.
Un employé de banque a poliment précisé aux consommateurs qu’il n’était pas possible d’effectuer des règlements au Service des impôts (SRI) ou à l’Institut équatorien de sécurité sociale (IESS), explique le journal équatorien El Universo. (Crédits : El Universo)
Cette attaque n’est pas s’en rappeler celle encourue en début d’année par la même banque et le ministère des finances en Équateur, déjà fragilisé par la crise du SARS-CoV-2 et ses conséquences. Le groupe « Hotarus Corp » revendiquait l’attaque et le vol de « 31 636 026 millions d’enregistrements de clients et 58 456 enregistrements de systèmes sensibles », y compris des numéros de cartes de crédit. Les opérateurs derrières le ransomware avait déclaré à BleepingComputer qu’elle avait dérobé « des informations sensibles du ministère, des courriels, des informations sur les employés, des contrats. » La Commission de développement économique de l’Assemblée équatorienne avait (mercredi 13 octobre 2021) convoqué plusieurs autorités que sont le ministre des Télécommunications, la présidente du conseil judiciaire, les surintendants des banques, des sociétés et des assurances, et le représentant des organismes établissements de crédit. Pour faire la lumière sur les causes et conséquences de cette mise hors service des prestations de Banco Pichincha et la souffrance ressentie par les citoyens, survenue deux fois en une seule année.
Le presse-papiers comme entrée
Une ou plusieurs personnes ont développé un malware pour s’emparer des mots de passe et identifiant, conservés dans le presse-papiers des victimes. C’est un outil qu’utilise tout un chacun, le fameux « copier-coller ». L’affluence des cryptomonnaies provoque des envies auprès d’individus mal intentionnées. C’est pourquoi de nombreuses malversations consacrées au cambriolage de cryptomonnaies (fausses clefs USB, applications Android frauduleuses) font les gros titres. Cette fois-ci, c’est 24, 7 millions de dollars subtilisés en Bitcoin, Ethereum et Dogecoin. L’analyse d’Avast a permis de découvrir plus de 1 300 nouvelles adresses de portefeuilles qui ont été utilisées pour transférer ses fonds. Les chercheurs en cybersécurité de la firme attribuent cette opération au module de vol de presse-papiers du botnet « MyKings », en s’appuyant sur les travaux réalisés par les spécialistes de SophosLabs. Il est un botnet implacable de longue date qui est actif depuis au moins 2016.
À l’heure des piratages, des fuites de données ici et là, il est parfois nécessaire de prévenir une fois de plus, avant la catastrophe. (Crédits : Uwe Baumann/Pixabay)
Il apparaît plus que nécessaire, dorénavant, de vider son presse-papiers. Depuis la mise à jour 1809 d’Octobre, Windows 10 peut conserver trace de tout ce que vous y copiez grâce à la fonctionnalité historique. Pour l’effacer, une manière simple est de créer un raccourci, sur votre bureau pour le nettoyer à chaque instant comme explique PCAstuces. Mais également pour ceux sous OS Androïd, il suffit d’appuyer longuement sur la touche personnalisable de votre clavier. Ensuite, choisissez « Presse-papiers » pour afficher le contenu du presse-papiers sur Android avec succès. N’oubliez pas les applications (Facebook Messenger, WhatsApp…), un homme averti en vaut deux. Pour les aficionados de la pomme, le presse-papiers ne se vide qu’au redémarrage du téléphone, à priori. Concernant, les Macintosh, choisissez de vous rendre sur Finder, puis Edition et vous accédez au presse-papiers. À vous de jouer !
