Catégories
Association Assurance Attaque Cybercriminels informatique Professionnel Sécurité Service informatique Technologie

France Travail, ex-Pôle Emploi : Une Série Noire de Fuites de Données Révèle des Failles de Cybersécurité

Une fois de plus, France Travail, anciennement connu sous le nom de Pôle Emploi, se trouve au cœur d’une affaire de piratage massif de données. Cette troisième fuite de données soulève des questions sérieuses sur la sécurité de cette plateforme pourtant cruciale, détenant une mine d’informations sur ses utilisateurs. Quels sont les risques et les enjeux révélés par cette cyberattaque massive ?

Les Détails de l’Attaque et les Risques Encourus

Les données personnelles de près de 46 millions d’utilisateurs inscrits à France Travail et Cap Emploi au cours des 20 dernières années sont potentiellement compromises suite à cette attaque. Les informations sensibles telles que les noms, prénoms, numéros de sécurité sociale, dates de naissance, identifiants France Travail, adresses mail et postales, ainsi que les numéros de téléphone ont été exposées. Cette fuite pourrait entraîner des cas d’usurpation d’identité, constituant ainsi une menace sérieuse pour la sécurité des citoyens concernés.

L’Enquête en Cours et les Mesures Prises

Face à cette situation préoccupante, une enquête préliminaire a été ouverte par le Parquet de Paris, confiée à la Brigade de Lutte Contre la Cybercriminalité de la Direction de la Police Judiciaire de Paris. Toutes les personnes affectées par cette cyberattaque sont encouragées à déposer plainte, et des mesures de précaution sont recommandées, telles que le changement de mot de passe sur France Travail ainsi que sur d’autres plateformes où le même mot de passe est utilisé.

Les Catégories de Personnes Touchées

Trois catégories de demandeurs d’emploi sont concernées par cette fuite de données. Tout d’abord, les utilisateurs actuellement inscrits sur France Travail sont potentiellement affectés. Ensuite, toutes les personnes ayant été inscrites au cours des 20 dernières années sur la plateforme de France Travail (anciennement Pôle Emploi) sont également concernées. Enfin, même les demandeurs d’emploi non inscrits sur France Travail mais disposant d’un espace sur Fracetravail.fr pourraient être impactés.

La Réponse de France Travail et les Mesures d’Assistance

France Travail s’engage à contacter individuellement toutes les personnes affectées par cette cyberattaque. Des mesures d’assistance sont mises en place, comprenant un formulaire simplifié pour porter plainte en ligne et un numéro de téléphone dédié pour répondre aux questions des victimes. Il est crucial pour les utilisateurs de rester vigilants et de signaler toute activité suspecte.

Cette nouvelle fuite de données met en lumière les lacunes en matière de cybersécurité au sein de France Travail, soulevant des préoccupations quant à la protection des informations personnelles des utilisateurs. Alors que l’enquête suit son cours, il est impératif que des mesures robustes soient mises en place pour renforcer la sécurité des plateformes en ligne et protéger la vie privée des citoyens.

Catégories
Association Attaque Cybercriminels Sécurité

Cyberattaque au Sidaction : Risque de Divulgation des Données Personnelles des Donateurs

Le 28 février 2024, l’association emblématique de lutte contre le Sida, le Sidaction, a été secouée par une cyberattaque visant le système d’hébergement d’un de ses prestataires. Cette intrusion informatique expose désormais un risque potentiel de divulgation des données personnelles de certains donateurs, mettant ainsi en péril la confidentialité des informations sensibles.

L’Attaque Informatique : Une Menace pour la Sécurité des Donateurs

Cette cyberattaque a ciblé les données sensibles des donateurs du Sidaction, incluant des informations telles que les noms, prénoms, adresses postales, adresses électroniques, numéros de téléphone et montants des dons. De manière plus alarmante, pour environ 3% des données affectées, des informations bancaires cruciales telles que les IBAN et BIC sont également susceptibles d’avoir été compromises.

Réactions et Mesures Prises par le Sidaction

Face à cette violation de sécurité, le Sidaction a rapidement pris des mesures pour atténuer les dommages potentiels. L’association a informé individuellement toutes les personnes directement concernées par cette brèche de sécurité, tout en alertant la CNIL, le gardien de la protection des données en France.

Dans une déclaration publique, le Sidaction a tenu à rassurer ses donateurs, soulignant que moins de 20% des personnes ayant effectué un don depuis janvier 2023 sont susceptibles d’être affectées. De plus, l’association a renforcé ses recommandations de vigilance envers toute tentative de fraude éventuelle, tout en garantissant la sécurité des dons en ligne grâce au renforcement des mesures de sécurité par ses prestataires.

Contexte des Attaques Informatiques dans le Secteur de la Santé

Cette cyberattaque contre le Sidaction s’inscrit dans une série d’attaques informatiques récentes qui ont ciblé le secteur de la santé en France. Des événements similaires ont affecté des millions de Français, notamment avec un vol massif de données lors d’une cyberattaque au tiers payant, ainsi que la compromission de données sensibles de près de 300 000 patients lors d’une attaque contre l’hôpital d’Armentières dans le Nord de la France.

Conclusion : La Nécessité de Renforcer la Sécurité des Données Sensibles

Cette nouvelle attaque contre le Sidaction met en lumière l’urgence de renforcer la sécurité des données sensibles, en particulier dans le secteur de la santé et des associations caritatives. Alors que le Sidaction s’efforce de poursuivre sa mission vitale de lutte contre le Sida, cette intrusion souligne l’importance cruciale de protéger la confidentialité des donateurs et des personnes affectées par cette maladie dévastatrice.

Catégories
Attaque Cybercriminels Hôpital informatique Ransomware Sécurité

Cyberattaque à la Polyclinique du Cotentin : 3 300 Personnes Victimes de la Violation de Leurs Données

Dans une récente tourmente numérique, la Polyclinique du Cotentin, à Equeurdreville-Hainneville près de Cherbourg, se retrouve en proie à une cyberattaque, exposant les données de 3 300 personnes à un risque de violation. Une plongée dans les détails de cette intrusion numérique inquiétante.

Les Faits : Une Polyclinique Prise en Otage

Les tenants de l’attaque et la réponse de la direction

Le 16 novembre 2023, la Polyclinique du Cotentin est ciblée par une cyberattaque revendiquée par le groupe criminel « Lockbit ». Les données ont été cryptées, avec la menace de publication par les assaillants. La directrice, Béatrice Le Goupil, assure que les données bancaires sont indemnes, mais la sécurité des informations personnelles des patients et du personnel est compromise.

Les Implications : Violation des Données Sensibles

Les détails sur les informations compromises

Malgré les efforts déployés pour contenir l’incident, la Polyclinique confirme une possible « violation » des données personnelles. Les informations sensibles telles que l’identité, les numéros de sécurité sociale et de téléphone, ainsi que la raison du séjour à la polyclinique, sont potentiellement exposées. Le personnel, avec environ 400 membres, voit également des données de ressources humaines en péril.
Sauvegarde informatique Toulon Hyères

Réponse et Transparence : Une Communication Maîtrisée

La réaction de la direction face à la situation

Béatrice Le Goupil se veut rassurante malgré la gravité de la situation. Elle souligne l’absence de piratage des données bancaires et explique que les patients ne sont pas tous touchés de la même manière. Une liste exhaustive est établie pour une communication transparente avec les personnes concernées.

Les Enjeux de la Sécurité des Données : Une Menace Persistante

Les défis actuels dans la protection des informations sensibles

Cette attaque souligne les défis croissants auxquels sont confrontés les établissements de santé en matière de cybersécurité. La question de la vulnérabilité des systèmes d’information devient cruciale dans un contexte où les données médicales et personnelles sont de plus en plus ciblées.

L’Appel à la Vigilance Numérique

Les leçons à tirer de cet incident

La cyberattaque à la Polyclinique du Cotentin est un rappel poignant de la nécessité d’une vigilance accrue en matière de sécurité numérique. Les institutions de santé doivent redoubler d’efforts pour protéger les données sensibles des patients et du personnel dans un paysage numérique de plus en plus complexe et menaçant.

Catégories
Attaque Cybercriminels Europe Sécurité Service informatique

Attaque Cybernétique en Suède : Un Chaos Numérique aux Origines Russes

Une vaste cyberattaque secoue la Suède, plongeant le pays dans un état de perturbation sans précédent. Plus de 60 000 employés touchés, 120 administrations paralysées, le rétablissement annoncé en semaines. L’entreprise Tietoevry, sous-traitant informatique, est la cible, avec des soupçons de liens russes.

La Tempête Numérique : Suède sous Attaque

Les détails de la cyberattaque qui paralyse la Suède

Une attaque majeure cible Tietoevry, affectant 60 000 employés et 120 administrations. Cinémas, magasins, services en ligne hors service. La piste russe pointée du doigt. Le rétablissement s’annonce long, laissant la Suède dans l’incertitude.

Tietoevry en Ligne de Mire : Un Acteur Central

Les implications de l’attaque sur l’entreprise Tietoevry

Tietoevry, géant suédo-finlandais des services informatiques, subit une attaque sur l’un de ses centres de données. Les conséquences se répandent à travers les services publics et privés. Les experts pointent du doigt le groupe de hackers Akira, soupçonné d’avoir des liens avec la Russie.

Les Conséquences Locales : Des Municipalités aux Commerces

L’impact de la cyberattaque sur les institutions locales

Les conséquences touchent les municipalités et les commerces locaux. Les fonctionnaires ne peuvent gérer leurs congés, heures supplémentaires ou arrêts maladie. Boutiques fermées, services publics paralysés. Une atteinte à la vie quotidienne des Suédois.

Protection informatique entreprise Hyères et Toulon

La Cybersécurité en Question : Une Sonnette d’Alarme

Les réflexions sur la cybersécurité en Suède

Les autorités suédoises considèrent l’attaque comme une alerte sérieuse. La numérisation rapide du pays souligne la nécessité d’investir davantage dans la cybersécurité. Le gouvernement réagit en faisant de la cybersécurité une priorité nationale.

Le Motif Russe : Derrière le Voile de l’Attaque

Les motivations derrière la cyberattaque et les implications géopolitiques

Les experts pointent vers le groupe Akira, lié à la Russie, suggérant un motif financier avec l’utilisation probable d’un rançongiciel. Une menace qui rappelle des incidents similaires en France. La Suède se retrouve au cœur d’une guerre numérique aux ramifications géopolitiques.

Catégories
Association Attaque Cybercriminels Ransomware Sécurité Service informatique Technologie

Trellix XDR for Ransomware Detection and Response : La Nouvelle Arme Anti-Rançongiciels Issue de la Fusion McAfee-FireEye

La récente fusion entre McAfee et FireEye a donné naissance à une nouvelle entité, Trellix, qui se positionne comme une figure majeure dans la protection des terminaux. Cette alliance stratégique dévoile aujourd’hui une plateforme révolutionnaire baptisée « Trellix XDR for Ransomware Detection and Response, » intégrant l’intelligence artificielle et capitalisant sur les 1000 intégrations de Trellix. Cette nouvelle solution vise à renforcer la sécurité informatique en ciblant directement la menace omniprésente des rançongiciels.

La Convergence des Géants de la Cybersécurité : La fusion entre McAfee et FireEye a généré une synergie inédite, donnant naissance à Trellix, une entité focalisée sur la protection des terminaux. Cette alliance marque une étape significative dans le paysage de la cybersécurité, offrant une réponse unifiée face aux défis croissants posés par les attaques de ransomware.

Trellix XDR for Ransomware Detection and Response : Une Approche Sobre et Efficace : La nouvelle plateforme, sobrement intitulée Trellix XDR for Ransomware Detection and Response, s’inscrit comme une réponse directe à la menace grandissante des rançongiciels. En élargissant son arsenal de solutions de cybersécurité, Trellix cherche à doter les équipes de sécurité des opérations (SOC) d’un outil efficace pour détecter et répondre rapidement aux attaques de ransomware.

Intelligence Artificielle et Intégrations Multiples au Service de la Cybersécurité : Trellix XDR for Ransomware Detection and Response se distingue par son utilisation intensive de l’intelligence artificielle. En exploitant les plus de 1000 intégrations disponibles, la plateforme vise à améliorer l’efficacité opérationnelle des SOC en traitant rapidement et efficacement les données. Cette approche multi-vecteurs et multi-fournisseurs est renforcée par les informations collectées auprès des 40 000 clients de l’éditeur, ainsi que de sources tierces, contextualisant et hiérarchisant les menaces.

Trellix, fruit de la fusion entre McAfee et FireEye, affirme sa position dominante sur le marché de la cybersécurité avec le lancement de Trellix XDR for Ransomware Detection and Response. Cette nouvelle plateforme incarne l’engagement de l’entreprise à fournir des solutions innovantes pour contrer la menace constante des rançongiciels, offrant aux SOC un outil puissant pour renforcer leur posture de sécurité.

Catégories
Attaque Cybercriminels informatique Sécurité Service informatique Windows

Phemedrome : Un Nouveau Malware Menace la Sécurité des Utilisateurs Windows – Urgence de Mises à Jour

Malgré la réputation de Microsoft Defender, ce malware échappe à sa vigilance, infiltrant discrètement les navigateurs Internet et les conversations instantanées. En plus de cela, il a la capacité de récupérer des mots de passe enregistrés et d’autres données sensibles, créant ainsi une menace substantielle pour la confidentialité en ligne.

Une Vulnérabilité Corrigée en Novembre par Microsoft

Selon les informations de Windows, cette menace particulière exploite une faille qui peut être activée lorsque l’utilisateur clique sur un raccourci Internet spécifique ou un lien hypertexte pointant vers un fichier de raccourci Internet. Ce faisant, le malware peut s’installer et opérer sans être détecté par Microsoft Defender.

Microsoft a cependant réagi rapidement en identifiant et en corrigeant cette vulnérabilité dès le mois de novembre. La solution est simple : télécharger les dernières mises à jour Windows pour garantir la sécurité de votre système. Ignorer cette étape expose votre ordinateur au risque constant d’une infection par Phemedrome.

Agissez Rapidement pour Protéger Vos Données

En conclusion, la menace posée par Phemedrome souligne l’importance cruciale des mises à jour régulières du système d’exploitation. Ignorer cette étape peut avoir des conséquences graves, compromettant la confidentialité des utilisateurs et facilitant le vol de données sensibles. La vigilance et la réactivité sont essentielles pour contrer cette nouvelle menace dans le paysage numérique.

Catégories
Attaque

Enquête en Australie sur la Panne Télécom Majeure: Les Origines et les Répercussions Explorées

Quoi s’est-il passé lors de la panne télécom en Australie et pourquoi est-ce préoccupant?

Le gouvernement australien a lancé une enquête approfondie jeudi pour élucider une panne massive qui a paralysé les communications de 10 millions de clients. Pourquoi cette panne est-elle qualifiée de préoccupante?

Pourquoi le gouvernement a-t-il décidé d’enquêter sur cette panne?

La ministre des Télécommunications, Michelle Rowland, a souligné l’importance d’analyser les pannes à grande échelle pour renforcer la résilience des réseaux. Pourquoi est-il crucial pour l’industrie et les gouvernements de tirer des leçons de ces incidents?

Quels sont les détails entourant la gestion de la crise par Optus et la question de l’indemnisation?

Optus, le deuxième opérateur téléphonique, a présenté la panne comme une « panne technique du réseau » sans fournir de détails. Le gouvernement et Optus divergent sur l’indemnisation des entreprises touchées. Pourquoi Optus s’oppose-t-il à l’indemnisation, et pourquoi le gouvernement estime-t-il raisonnable de compenser les pertes subies?

Quelles conséquences ont été observées pendant la panne et qui a été affecté?

Des perturbations ont touché des services essentiels, notamment le ministère de l’Éducation, le Royal Melbourne Hospital, et la Commonwealth Bank. Les trains ont également été brièvement arrêtés. Comment ces interruptions ont-elles impacté la vie quotidienne des Australiens?

Existe-t-il des antécédents de problèmes similaires avec Optus?

Il y a un an, plus de neuf millions de clients Optus ont été victimes d’une cyberattaque. Le directeur général promet de renforcer la confiance des clients. Quels sont les enseignements tirés de cette expérience passée, et comment cela influe-t-il sur la réaction actuelle d’Optus et la confiance des clients?

Piratage d’Optus 2022

LIEN

Catégories
Ransomware Sécurité Service informatique

Corsica Ferries Victime d’une Cyberattaque Sans Précédent : Des Milliers de Données Sensibles en Péril

Qu’est-ce qui s’est passé lors de l’attaque de Corsica Ferries et quels en sont les détails cruciaux ?

Corsica Ferries a été victime d’une cyberattaque percutante à la fin d’octobre 2023. Des pirates, identifiés comme ALPHV / BlackCat, ont pris en otage des données sensibles, y compris des informations bancaires, des factures, des données personnelles, des documents administratifs internes et même des plans de bateaux.

Pirates derrière l'Attaque Dévoilés : ALPHV / BlackCat

Qui est derrière cette attaque et quelles sont leurs motivations ?

Les malfaiteurs, ALPHV / BlackCat, ont opté pour une approche terre-à-terre en tentant de monnayer leur silence après avoir pris en otage des fichiers. Corsica Ferries a refusé de coopérer, révélant un acte de chantage informatique.

Où ont été stockées ces données dérobées et comment les pirates ont-ils procédé ?

Les fichiers volés étaient curieusement entreposés chez OSHI, un fournisseur nuagique accessible sur le web et le darkweb. Cette entreprise, qui promet le stockage « anonyme », semble avoir joué un rôle crucial dans cette cyberintrusion.

Quand la fuite de données a-t-elle été révélée et comment Corsica Ferries a-t-elle réagi ?

Les documents ont été mis à disposition dès le 1er novembre, avec Corsica Ferries réagissant rapidement à la menace. Une mise à jour du 8 novembre rapporte que la compagnie a pris des mesures légales, déposant une plainte et notifiant les autorités compétentes.

Pourquoi Corsica Ferries a-t-elle refusé de payer la rançon exigée par les pirates ?

Conformément aux recommandations des autorités, Corsica Ferries a résolument refusé de céder au chantage des cybercriminels. La compagnie a entamé des investigations pour évaluer l’étendue des données volées, visant à informer individuellement les personnes concernées.

Comment Corsica Ferries a-t-elle renforcé sa sécurité après l’attaque ?

Dès la détection de l’incident, Corsica Ferries a pris des mesures rapides, collaborant avec Orange CyberDéfense et l’ANSSI. Une cellule de crise a été mise en place, les serveurs potentiellement touchés ont été isolés, et des démarches ont été entreprises pour améliorer la sécurité globale.

En conclusion, Corsica Ferries reste vigilante, assurant que les données bancaires de ses clients ne sont pas compromises, et promet une communication transparente avec toutes les parties affectées.

LIEN 1

LIEN 2

Catégories
Armée Association Cybercriminels Europe informatique Mutuelle Ransomware Sécurité Service informatique

Démantèlement Historique : Le FBI et la Police Française Triomphent sur le Botnet QBot

Alors que l’année 2023 progresse, une tendance indéniable émerge dans le monde de la cybersécurité : le démantèlement de réseaux criminels mondiaux. Après une série d’opérations réussies contre Breached Forums, Genesis Market, et de nombreux sites DDoS, ainsi que l’infiltration du ransomware Hive en janvier dernier, le FBI ajoute un autre succès impressionnant à sa liste en mettant hors d’état de nuire un botnet de longue date : QBot.

QBot : Une Menace de Longue Date Éradiquée: Depuis son apparition initiale sous le nom de Qakbot en 2007, ce botnet a fait preuve d’une résilience impressionnante. Connus sous diverses appellations telles que QBot, QuakBot, Pinkslipbo, et TA570, ses créateurs semblaient jouer au jeu du chat et de la souris avec les chercheurs en sécurité. Évoluant continuellement, le botnet ajoutait constamment de nouvelles fonctionnalités et développait des stratégies pour échapper à la détection. Cela a créé une traque perpétuelle.

Finalement, la persévérance a porté ses fruits, et grâce à la coopération acharnée entre le FBI et ses partenaires, dont la Police Française, le botnet a été mis hors d’état de nuire. C’est une victoire bienvenue, témoignant des efforts soutenus pour protéger l’écosystème en ligne contre les menaces persistantes.

Des Millions de Dollars Sauvés grâce à l’Opération Conjuguée: La Cybersecurity and Infrastructure Security Agency (CISA) et le Federal Bureau of Investigation (FBI) ont publié un avis conjoint de cybersécurité (CSA), « Identification and Disruption of QakBot Infrastructure, » pour aider les organisations à détecter et à se protéger contre les activités et les logiciels malveillants liés à QakBot.

Plusieurs nations occidentales, comprenant les États-Unis et la France, ont collaboré pour démanteler la plateforme Qakbot, une action annoncée conjointement par les autorités américaines et françaises le mardi 29 août. Selon le département de la Justice américain, « Le logiciel malveillant Qakbot a infecté plus de 700 000 ordinateurs, facilité le déploiement de rançongiciels et infligé des centaines de millions de dollars de préjudices à des entreprises, des prestataires de soins et des administrations publiques à travers le monde. »

Dans le cadre de cette coopération internationale, la procureure de la République de Paris a révélé que parmi les quelque 700 000 ordinateurs identifiés comme étant infectés, 26 000 se trouvaient en France. Laure Beccuau a ajouté que six serveurs, parmi les 170 à l’origine du logiciel malveillant, étaient situés sur le territoire français.

L’opération, menée le samedi précédent, a impliqué les autorités policières et judiciaires des États-Unis, de la France, de l’Allemagne, et des Pays-Bas. Cette collaboration a abouti à la saisie de 8,6 millions de dollars en cryptomonnaies, a indiqué la procureure de Paris.

Un Botnet Inopérant : Les Détails de l’Opération: Laure Beccuau a précisé : Dans la nuit du 26 août 2023, le FBI a procédé à la redirection du trafic vers des serveurs sous son contrôle, libérant ainsi toutes les machines du botnet et rendant celui-ci complètement inopérant. L’opération a également entraîné la désactivation d’environ cinquante serveurs répartis entre les quatre pays partenaires, suivi de la mise hors service du reste de l’infrastructure.

Conclusion: Le démantèlement du botnet QBot représente un pas de géant dans la lutte contre les menaces cybernétiques. Cette opération conjointe entre les États-Unis, la France, l’Allemagne, et les Pays-Bas a non seulement sauvé des millions de dollars en préjudices, mais elle a également renforcé la coopération internationale dans la lutte contre la cybercriminalité. C’est un rappel puissant que la persévérance et la collaboration sont des atouts essentiels dans la défense de notre écosystème en ligne.

Catégories
Attaque Ransomware Sécurité Service informatique

Les Nouveautés dans le Monde des Logiciels Malveillants : Emotet, DarkGate et LokiBot

Le monde des logiciels malveillants ?

Le paysage des logiciels malveillants ne cesse d’évoluer. De nouvelles familles apparaissent tandis que d’autres disparaissent. Certaines familles ont une durée de vie courte, tandis que d’autres restent actives pendant longtemps. Pour suivre cette évolution, nous nous appuyons à la fois sur les échantillons que nous détectons et sur nos efforts de surveillance, qui couvrent les botnets et les forums clandestins.

Dark web underground forum

Découvert récemment ?

Au cours de nos recherches, nous avons découvert de nouveaux échantillons d’Emotet, un nouveau chargeur baptisé « DarkGate » et une nouvelle campagne d’infostealer LokiBot. Nous avons décrit ces trois éléments dans des rapports privés, dont cet article contient un extrait.

Si vous souhaitez en savoir plus sur notre service de signalement de logiciels malveillants, veuillez nous contacter à l’adresse crimewareintel@kaspersky.com.

DarkGate : Un Nouveau Venu dans le Monde Malveillant

En juin 2023, un développeur de logiciels malveillants bien connu a publié une annonce sur un forum populaire du dark web, se vantant d’avoir développé un chargeur sur lequel il travaillait depuis plus de 20 000 heures depuis 2017. Certaines des principales fonctionnalités, qui dépassaient la simple fonction de téléchargement, comprenaient notamment les suivantes :

  • VNC caché
  • Exclusion de Windows Defender
  • Vol d’historique de navigation
  • Proxy inversé
  • Gestionnaire de fichiers
  • Vol de jetons Discord

La liste complète des capacités annoncées est disponible dans notre rapport privé.

L’échantillon que nous avons obtenu ne dispose pas de toutes ces fonctionnalités, mais cela ne signifie pas grand-chose, car elles peuvent être activées ou désactivées dans le programme de construction. Cependant, nous avons pu reconstituer la chaîne d’infection, qui comporte quatre étapes, jusqu’au chargement de la charge finale : DarkGate lui-même.

LokiBot : L’Infostealer Persévérant

LokiBot est un infostealer apparu pour la première fois en 2016 et toujours actif aujourd’hui. Il est conçu pour voler des identifiants de diverses applications, telles que les navigateurs, les clients FTP, et autres. Récemment, nous avons détecté une campagne de phishing ciblant les entreprises de transport maritime et distribuant LokiBot.

Dans les cas que nous avons étudiés, les victimes ont reçu un e-mail semblant provenir d’un contact professionnel et indiquant des frais portuaires à payer. Un document Excel était joint à l’e-mail. Comme prévu, à l’ouverture du document, l’utilisateur était invité à activer les macros. Cependant, il s’agissait d’un avertissement frauduleux, car le document ne contenait aucune macro et tentait d’exploiter la CVE-2017-0199.

Cette vulnérabilité permet d’ouvrir un document distant en fournissant un lien. Cela entraîne le téléchargement d’un document RTF, qui exploite à son tour une autre vulnérabilité, à savoir la CVE-2017-11882. En exploitant cette autre vulnérabilité, LokiBot est téléchargé et exécuté.

Une fois exécuté, LokiBot collecte les identifiants de diverses sources et les enregistre dans une mémoire tampon à l’intérieur du logiciel malveillant, avant de les envoyer au C2. Les données sont envoyées via des requêtes POST compressées avec APLib. Après avoir envoyé des informations système, le logiciel malveillant reste à l’écoute de commandes C2 supplémentaires. Ces commandes peuvent être utilisées pour télécharger d’autres logiciels malveillants, exécuter un enregistreur de frappe, etc.