Après que la rançon NetWalker a verrouillé plusieurs serveurs de sa faculté de médecine, l’UCSF a payé la rançon pour décrypter les données et restaurer le fonctionnement des systèmes affectés.
29 juin 2020 – L’Université de Californie à San Francisco a récemment payé une demande de rançon de 1,14 million de dollars après que les acteurs de la menace NetWalker aient infecté plusieurs serveurs de sa School of Medicine avec une rançon, rapporté pour la première fois par Bloomberg.
Les acteurs de la menace NetWalker ont suivi la voie du tristement célèbre groupe de piratage de rançongiciels Maze. Les pirates prennent d’abord pied sur le réseau des victimes, se déplacent latéralement sur le réseau à travers des appareils vulnérables, puis volent des informations précieuses avant de lancer la charge utile du ransomware.
Les chercheurs ont récemment averti que NetWalker avait depuis étendu ses opérations à un modèle RaS (Ransomware-as-a-Service) pour s’associer à d’autres cybercriminels expérimentés et cibler le domaine des soins de santé dans le cadre de la pandémie de COVID-19. Le district de santé publique de Champaign-Urbana de l’Illinois a été victime du rançongiciel NetWalker en mars.LIEN
Les ransomwares restent la cyber-menace la plus courante pour les PME, selon une étude Datto auprès de plus de 1 400 décideurs politiques gérant des systèmes informatiques dans les PME.
Les PME, une cible majeure pour les pirates
Généralement, les grandes entreprises ont des systèmes de sécurité plus avancés, tandis que les petites entreprises n’ont pas les ressources et les ressources pour sécuriser sérieusement leur infrastructure informatique. Et les pirates l’ont compris.
Le nombre d’attaques de rançongiciels contre les PME est en augmentation. Quatre-vingt-cinq pour cent des MSP ont signalé des attaques contre les PME en 2019, contre 79% des MSP qui en ont fait état en 2018.
De plus, il y a une réelle rupture de l’importance des ransomwares en tant que menace. 89% des MSP déclarent que les PME devraient être très préoccupées par la menace des ransomwares. Cependant, seulement 28% des MSP disent que les PME sont très préoccupées par la menace
Comment vous en protégez-vous?
Il existe de nombreuses recommandations pour réduire le risque d’attaques, telles que la formation des employés à risque de cybersécurité, la mise à jour des systèmes, le renforcement des politiques de mot de passe, etc. Cependant, et surtout en matière de sécurité informatique, il n’y a pas de risque nul.
Il existe trois scénarios de défense pour ce type d’attaque:
Atténuation des risques: cela implique la mise en œuvre de solutions pour réduire le risque d’attaques. L’un des contrôles les plus efficaces pour se protéger contre les accès non autorisés est l’authentification multifactorielle. Préparation pour un processus de récupération: Il s’agit ici de préparer une attaque et de répondre après l’attaque. Surtout, ne payez pas la rançon car vous n’êtes pas sûr de récupérer vos données. Votre meilleure arme est de faire une sauvegarde régulière de vos données pour vous assurer de restaurer toutes vos données. Détection et approche proactive: cette procédure consiste à détecter et à stopper l’attaque avant que les dégâts ne se produisent. Si vous disposez d’un système de détection des attaques de ransomwares, vous pouvez l’arrêter avant que vos données ne soient cryptées.LIEN
Les primes proposées par la société japonaise concernent la PlayStation 4 et PlayStation Network. Comparés à Microsoft et Nintendo, ils sont assez généreux.
Comme vous le savez, Sony et sa PlayStation sont constamment la cible de pirates informatiques qui ont déjà réussi à pirater plusieurs fois leur compte de console ou de siphon sur le PlayStation Network. Pour réduire ce risque, la société a maintenant lancé un « bug bounty » sur la plateforme HackerOne, c’est-à-dire. un programme de récompense pour détecter les failles de sécurité. L’entreprise souligne que la sécurité est « un élément fondamental pour créer des expériences incroyables pour notre communauté ».
Ce programme couvre la PlayStation 4 et ses accessoires ainsi que les services en ligne fournis par PlayStation Network. Le montant des récompenses dépend du système analysé et des critiques. Cela commence à 100 $ pour une petite erreur dans les services en ligne. Pour une panne de console critique, vous pouvez obtenir plus de 50 000 $. Pour l’instant, les chercheurs participant à ce programme ont déjà trouvé 88 erreurs d’une valeur moyenne de 400 $.
En réalité, Sony est le dernier des grands joueurs de jeux vidéo à avoir créé un bug bounty, mais c’est le plus généreux. Microsoft en a lancé un pour la Xbox en janvier 2020, et Nintendo récompense les lacunes depuis quatre ans. Dans les deux cas, les récompenses peuvent aller jusqu’à 20 000 $ (sauf en cas de constat inhabituel).LIEN
Une campagne de rançongiciels, appelée Hakbit, cible les employés de niveau intermédiaire en Autriche, en Suisse et en Allemagne avec des pièces jointes Excel malveillantes fournies par le célèbre fournisseur de messagerie GMX.
La campagne de spear-phishing est de faible volume et a jusqu’à présent ciblé les secteurs pharmaceutique, juridique, financier, des services aux entreprises, du commerce de détail et des soins de santé. Les campagnes à faible volume, parfois appelées attaques de spam en raquettes, utilisent plusieurs domaines pour envoyer des rafales relativement petites de faux e-mails pour contourner la réputation ou le filtrage du spam en fonction du volume.
« La plus grande quantité de messages que nous avons observés a été envoyée aux secteurs de la technologie de l’information, de la fabrication, de l’assurance et de la technologie », ont écrit les chercheurs de Proofpoint dans une analyse lundi. Ils ont noté que << la majorité des rôles ciblés dans les campagnes Hakbit concernent les clients, les coordonnées des individus étant divulguées publiquement sur les sites Web et / ou les publicités du cabinet. Ces rôles comprennent les avocats, les conseillers à la clientèle, les directeurs, les conseillers en assurance, les PDG. et chefs de projet. «
Les e-mails de spear phishing originaux utilisent un leurre financier avec des lignes d’objet telles que « Fwd: Steuerrückzahlung » (Traduit: Tax Payment) et « Ihre Rechnung (Translated: Your Bill) ». Les e-mails sont fournis par un fournisseur de services de messagerie gratuit (GMX) qui dessert principalement une clientèle européenne.
«C’était une campagne à faible volume. GMX est largement utilisé et bien connu en Europe germanophone, il a donc confiance dans la reconnaissance des noms », a déclaré à Threatpost Sherrod DeGrippo, directeur principal de la recherche sur les menaces chez Proofpoint. « Il s’agit d’un service de messagerie gratuit, il est donc difficile de suivre et de menacer les joueurs susceptibles de générer plusieurs comptes. »
Les pièces jointes aux e-mails sont supposées être de fausses factures et remboursements de taxes. Une adresse e-mail prédit 1 & 1, une entreprise allemande de télécommunications et d’hébergement Web, indiquant à la victime que la pièce jointe à un e-mail, par exemple, est une facture.
Lorsque les pièces jointes Microsoft Excel sont ouvertes, elles demandent ensuite aux victimes d’activer les macros. Il télécharge et exécute à nouveau GuLoader. GuLoader est un compte-gouttes largement utilisé qui compromet les cibles et fournit des logiciels malveillants de deuxième étape. Il est constamment mis à jour tout au long de 2020 avec de nouvelles techniques d’évitement de sandbox sportif binaire, des fonctionnalités de randomisation de code, un cryptage URL de commande et de contrôle (C2) et un cryptage supplémentaire de la charge utile.
sous les projecteurs plus tôt en juin, après que les enquêteurs ont affirmé qu’une entreprise italienne avait vendu ce qu’elle décrit comme un outil de cryptage légitime – mais qu’il a en fait été utilisé comme package de malware pour GuLoader.
Dans cette campagne, lorsque GuLoader est en cours d’exécution, il télécharge puis exécute Hakbit, un utilitaire bien connu qui chiffre les fichiers à l’aide du chiffrement AES-256. Hakbit existe depuis au moins 2019 et a fait plusieurs victimes confirmées, y compris des utilisateurs à domicile et des entreprises aux États-Unis et en Europe, selon Emsisoft. On pense que Hakbit est lié au ransomware Thanos – Dans une analyse récente du ransomware Thanos, les chercheurs de Record Future ont évalué « en toute confiance » que les exemples de ransomware suivis pendant que Hakbit étaient construits à l’aide du constructeur de ransomware Thanos développé par Nosophoros (basé sur la codabilité, la réutilisation rigoureuse, l’extension du rançongiciel et le format des notes de rançon).
Lorsque Hakbit crypte les fichiers des victimes, il publie une note exigeant un paiement de 250 euros en bitcoin pour déverrouiller les fichiers cryptés et donne des instructions sur la façon de payer la rançon.
Ransomware HackBit. Au 16 juin 2020, les chercheurs ont déclaré n’avoir trouvé aucune transaction montrant le paiement d’une rançon pour le portefeuille Bitcoin. Threatpost a atteint Proofpoint sur le nombre d’entreprises ciblées par Hakbit – et sur le nombre de ces cibles qui ont été compromises.
Quoi qu’il en soit, les chercheurs affirment que la campagne provient uniquement de plusieurs campagnes de « ransomware » à faible volume et souvent « boutique » qui ont frappé les victimes depuis janvier 2020.
« Les chercheurs de Proofpoint ont récemment identifié un changement dans le paysage des menaces avec une campagne de rançongiciels Avaddon à grande échelle qui était conforme aux récents rapports des fournisseurs open source », ont-ils déclaré. « Hakbit illustre une campagne de ransomware centrée sur les personnes, adaptée à un public, un rôle, une organisation et une langue maternelle spécifiques à l’utilisateur. » LIEN
Beazley a observé une explosion de cyber-attaques de ransomwares l’année dernière. Hiscox estime que le nombre d’entreprises touchées par un incident de cybersécurité a diminué. Mais que les pertes induites ont considérablement augmenté.
Publié au début d’avril de l’année dernière, Beazley Breach Briefing 2020 a signalé une augmentation de 131% des attaques signalées contre les clients des assureurs l’année dernière. Le rapport s’appuie sur les données de 775 incidents de cybersécurité liés aux ransomwares. Et pour Beazley, c’est une véritable explosion: en 2018 et 2017, il n’avait enregistré qu’une augmentation de 20% et 9% respectivement pour ce type de cyberattaque. Et pour aggraver les choses, « les montants exigés par les cybercriminels ont également augmenté de façon exponentielle avec des demandes à sept ou huit chiffres, ce qui n’est pas inhabituel ».
Mais cette tendance à la hausse de la rançon n’est pas spécifique à l’année écoulée. Pour Katherine Keefe, chef des Services d’intervention en cas de violation de Beazley (BBR), «les opérations de ces délinquants sont couronnées de succès et elles ont été détournées». Et pour souligner qu’ils « sont également intéressés par des choses comme la taille de l’organisation et la façon dont ils se présentent sur leur propre site Web. En général, plus l’organisation est grande, plus la demande est grande ». rançon partagée: de l’ordre de dizaines de milliers de dollars pour les petites structures, jusqu’à plus de dix millions de dollars pour les grandes organisations.
Le rapport de Beazley ne dit pas combien de clients ont choisi de faire du chantage car l’éditeur ne divulgue pas ces informations. Mais lorsqu’un client choisit de payer, Beazley travaille avec Coveware. Début mai, ce dernier a déclaré un montant moyen par Incident de 111605 $ au premier trimestre 2020, 33% de plus qu’au dernier trimestre 2019.
Dans un article de blog, le consultant a attribué cette augmentation au fait que « les distributeurs de ransomware ont de plus en plus ciblé les grandes entreprises et ont réussi à les forcer à payer une rançon pour récupérer leurs données ». Si le constat apporte peu d’indicateurs rassurants sur les garanties de ces grandes entreprises, Coveware a assuré que « les gros versements de rançons constituent une minorité en volume ». Mais ils ont donc remonté la moyenne.
Sur la base du nombre d’échantillons soumis sur le service d’identification des rançongiciels ID Ransomware, Emsisoft a estimé début février que ce malware avait coûté un peu plus de 485 millions de dollars en France en 2019 – pour la rançon uniquement. Depuis Hexagon l’an dernier, plus de 8 700 échantillons ont été déposés à des fins d’identification. Compte tenu de l’interruption d’activité, Emsisoft a estimé le coût de ces attaques pour les organisations françaises à environ 3,3 milliards de dollars.
Hiscox, dans son récent rapport annuel sur la gestion des cyberrisques, montre que 18% des entreprises françaises qui ont été agressées tant paient une rançon. Ainsi, sur l’ensemble de l’échantillon, outre la France uniquement, « les pertes ont été presque trois fois plus importantes pour les entreprises victimes d’une attaque par rançongiciel que pour celles qui ont subi un [simple] malware » soit 821 000 € contre 436 000 € … et que la rançon ait été payée ou non. Mais en France, 19% des victimes de ransomwares affirment avoir pu récupérer leurs données « sans avoir à payer la rançon ». Cependant, cela suggère la possibilité que les autres se soient repliés devant leurs assaillants.
En fait, lorsque Hiscox parle de logiciels malveillants, il couvre également ceux qui peuvent être utilisés pour insérer des ransomwares. Pour l’assureur, « les chiffres montrent l’importance de la détection avant qu’un malware ne devienne un ransomware ». Et souligner que les attaques se déroulent souvent en plusieurs étapes, ce qui laisse du temps pour la détection. SentinelOne a ainsi observé une attaque impliquant TrickBot avant d’installer le rançongiciel Ryuk: entre les deux, deux semaines se sont écoulées. Pour Hiscox, c’est très simple: « Les entreprises disposant de bonnes capacités de détection peuvent arrêter une attaque pendant ce temps et ainsi subir des désagréments moins durables, avec un coût global moindre et moins d’impact sur les affaires ».LIEN
Le ransomware est un malware qui crypte les données sur les machines qu’il infecte. Les personnes ou entités à l’origine de l’attaque demandent alors le paiement d’une rançon en échange de la clé de déchiffrement des systèmes concernés. La conférence organisée par le Cyber Club par EGE le mardi 20 mai 2020 avait pour objectif de jeter les bases d’une gestion de crise pour une entreprise victime d’un tel processus. Béatrice Ghorra, ingénieure avant-vente spécialisée dans les produits de sécurité des centres de données et de l’environnement cloud au CISCO et enseignante à la School of Economic Warfare, était la modératrice de cette conférence.
ransomware
En juin 2017, Wannacry a fait la une des ransomwares pour tous les médias. Ce fut l’attaque informatique la plus massive de l’histoire du domaine. La publicité sur l’incident est un tournant pour le monde de la cybersécurité et les problèmes qui en découlent car ils sont mis en avant. Le discours des professionnels de la discipline est alors légitimé là où ils avaient déjà eu du mal à entendre. Le ransomware, pour le désigner avec le terme français, représente toujours une menace de premier ordre. Selon le CERT France, il s’agit même du risque le plus grave pour les entreprises. La crise actuelle associée à COVID-19 et le succès des campagnes malveillantes liées à l’essor du télétravail en témoignent: particuliers, professionnels, PME ainsi que multinationales, personne n’est à l’abri.
Il est nécessaire de bien comprendre comment ces attaques fonctionnent et les mentors des attaquants pour mieux gérer le risque et la crise si nécessaire. Depuis l’avènement de ce mode de fonctionnement dans les années 80, les attaquants ont affiné leurs techniques et méthodes d’accès aux systèmes d’information. On voit que l’attaquant cherche toujours des portes dérobées. Ils ne veulent pas attaquer le système de front, mais contourner autant que possible les couches de sécurité. En particulier, parmi les vecteurs qui permettent l’infection figurent:
Campagnes de phishing, désormais précédées d’opérations d’ingénierie sociale pour personnaliser les e-mails et optimiser la pénétration.
L’annonce erronée ou « téléchargement en voiture » qui vous permet de démarrer des téléchargements instantanés via des fenêtres contextuelles qui redirigent vers d’autres pages.
Ils ont oublié ou dépassé des machines dans un système d’information. Il existe de nombreuses plates-formes que vous pouvez acheter des informations d’identification pour vous connecter à l’équipement d’une multitude d’entreprises à des prix élevés.
Les fameux périphériques USB, mais non moins efficaces, ont été perdus.
À titre d’exemple, voici le mode de fonctionnement de Loki, une solution qui est apparue pour la première fois en 2013:
Un fichier PDF est capturé et envoyé en pièce jointe à un e-mail soigneusement conçu afin que le destinataire ne se méfie pas d’eux et n’ouvre pas le fichier. Cette action exécute un extrait de code trouvé dans la pièce jointe qui ouvre un canal de communication vers un serveur de commande et de contrôle (C2) sous le contrôle de l’attaquant. Ce serveur télécharge instantanément un ransomware et une clé de cryptage. Le logiciel analyse ensuite méthodiquement le disque dur de l’utilisateur et crypte tous ses fichiers. Ensuite, l’ordinateur est crypté. Un message et un compte à rebours apparaissent sur l’écran montrant les instructions de paiement, souvent associées à la crypto-monnaie, ce qui rend le suivi difficile, permettant aux données de la machine cryptée d’être restaurées.
Certains ransomwares tentent également de se propager latéralement, c’est-à-dire vers toutes les stations voisines pour paralyser complètement un maximum d’équipements. Il a fallu environ sept minutes à NotPetya pour chiffrer l’intégralité du système d’information de Maersk, la plus grande société de transport de conteneurs au monde.
Cependant, les entreprises sont de moins en moins susceptibles de payer la rançon, ce qui équivaut à des montants vertigineux, nous parlons de dizaines de millions de dollars pour les plus importantes. Sophos estime qu’il est toujours plus rentable pour l’entreprise de ne pas payer car les dommages sont déjà présents et qu’il n’y a aucune garantie que l’attaquant tiendra sa parole et fournira la clé de déchiffrement. Ces derniers se sont donc adaptés et procèdent désormais à l’extraction des données par l’entreprise pour obtenir un effet de levier supplémentaire en menaçant leurs victimes de la diffusion des informations ainsi collectées en public.
Les attaquants à l’origine de la campagne de rançongiciels Maze, qui a vu le jour en novembre 2019, maintiennent ainsi un site Web sur lequel ils publient des informations d’entreprises qui refusent de payer la rançon. Maze a également la particularité d’être au cœur d’une attaque dite à long cycle. Une fois qu’une machine a été infectée, une semaine est consacrée à la reconnaissance et à la collecte d’informations utiles sur l’architecture réseau de l’entreprise, les employés et leurs informations d’identification, les comptes d’utilisateurs, etc. La semaine suivante est consacrée aux mouvements latéraux et au filtrage des données à installer dans autant de machines que possible et à maximiser les chances de paiement. Enfin, au cours de la troisième semaine de la campagne, les attaquants tentent de transiger avec Active Directory (serveur central et critique qui donne à la personne en contrôle ce qu’elle veut au sein du système d’information) et implémentent le labyrinthe sur toutes les machines infectées.
Il est important de réaliser que chaque ransomware observé est spécialisé dans ses modes d’attaque. Les canaux d’entrée et de sortie sont très différents. Certains profitent d’erreurs logicielles non corrigées, d’autres préfèrent les vulnérabilités liées aux navigateurs Web ou à certains protocoles de communication. Cette gamme d’opportunités est très bien représentée dans le marché des ransomwares en tant que service (RaaS) qui s’est développé à un rythme rapide ces dernières années. Les développeurs de ce logiciel ont en fait eu la brillante idée de vendre leur logiciel en échange d’une partie du correctif qui a été soulevé. Par conséquent, l’expertise en développement n’est plus nécessaire pour la création d’une campagne de ransomware ciblée! Il s’agit d’un changement très important car il élargit la portée des attaquants potentiels.
gestion de crise
L’impact d’une attaque de ransomware réussie est énorme pour une entreprise. Cela n’endommage pas seulement le système d’information d’une entreprise. Tout son écosystème est affecté. La confiance que nous lui accordons s’évapore, ses parts de marché chutent, ses partenaires, parties prenantes et fournisseurs en souffrent également, l’impact économique qui en résulte étant parfois fatal à la victime qui pourrait tomber sous le coup du RGPD dont les données personnelles sont filtrées. C’est pourquoi il est important de bien gérer une telle crise si elle survient pour permettre à l’entreprise de se remettre sur pied, de contrôler et d’atténuer les dommages causés.
Avant la crise, l’entreprise doit anticiper au maximum les difficultés. Définir une feuille de route ainsi qu’un Business Continuity Plan (BCP), l’adapter au contexte et au développement des attaquants, ce qui implique de surveiller la menace. Déterminer qui fait partie de la cellule de crise, quelle est la responsabilité de chaque membre ou même définir où cette cellule doit être créée? Autant de questions auxquelles il est possible et souhaitable de répondre avant la crise.
De plus, l’utilisation de certaines meilleures pratiques peut limiter l’exposition ou l’impact de l’attaque si nécessaire. Parmi ces bonnes pratiques, citons l’utilisation et les tests réguliers des sauvegardes pour éviter de perdre toutes les données chiffrées. Cela a sauvé Maersk lors de l’attaque de NotPetya, une combinaison de circonstances qui leur a permis de garder une sauvegarde intacte. Cette sauvegarde a complètement empêché la perte de tout le contenu de leur système d’information. D’un autre côté, une analyse régulière des risques vous donne une bonne idée des produits importants que l’entreprise souhaite protéger à tout prix. Il s’agit du point de départ d’actions qui rendront l’accès des tiers à ces ressources beaucoup plus difficile. La surveillance des canaux d’information tels que le courrier électronique et Internet, en particulier via le filtrage DNS et l’utilisation de solutions comme SIEM, vous permet de contrôler les flux qui transitent par l’entreprise. Désactivez les services obsolètes ou inutiles, mettez à jour les systèmes régulièrement, effectuez des tests de pénétration, toutes ces pratiques contribuent à assurer la résilience des entreprises résilientes en cas d’attaque réelle. Le plus élémentaire de tous, cependant, continue de placer les utilisateurs au cœur du processus de sécurité car ils sont le premier matériel de défense de l’entreprise. Les bons réflexes des employés font souvent la différence entre une crise maîtrisée qui cause des dommages tangibles et une catastrophe qui menace la vie d’une entreprise.
Cependant, si cette attaque se produit, la priorité est de déclencher l’alarme et de contenir l’attaque pour empêcher sa propagation en isolant la partie infectée du reste du système d’information. Un bon réflexe à avoir est de documenter l’ensemble du processus pour faciliter les étapes suivantes. Prenez des photos d’écrans, de messages reçus, d’adresses spécifiées, tout ce qui peut constituer un chemin vers l’attaquant doit être enregistré et notifié. Notez qu’il n’est pas recommandé de désactiver les ordinateurs infectés pour les mêmes raisons pour une enquête plus approfondie. Préférez simplement les déconnecter du réseau et assurez-vous qu’ils ne communiquent pas avec le reste du système d’information.
À ce stade, et si l’entreprise n’a pas les compétences, il est impératif qu’elle obtienne l’aide et l’assistance d’entreprises spécialisées dans l’atténuation de l’attaque. Une fois de plus, l’expérience de Maersk sert d’exemple dans ce domaine. Leur communication de crise a permis à leurs partenaires et autorités compétentes de les aider à se remettre le plus rapidement possible. Les experts contactés par l’entreprise pourront appliquer les corrections nécessaires aux systèmes qui en ont besoin, s’assurer que le reste de l’infrastructure ne risque pas d’être réinfecté et pourra assurer la transition vers l’analyse médico-légale.
Cette dernière partie de la gestion de crise vise à déterminer l’origine de l’attaque, à documenter son mode de fonctionnement et tous les aspects techniques s’y rapportant pour établir un post-mortem de la situation et un retour d’expérience. Cette documentation est d’autant plus précieuse qu’elle peut servir de guide à d’autres entreprises et éventuellement les aider à se remettre de la crise qui pourrait les affecter. De plus, cette analyse ainsi que l’expérience de l’entreprise doivent être utilisées. Il est impératif d’apprendre de ce qui s’est passé et de mettre en œuvre les mesures qui serviront à vous protéger à l’avenir.
En conclusion, il existe de nombreuses façons de le gérer, bien qu’il soit impossible d’être insensible aux risques associés aux ransomwares. La préparation joue un rôle important comme nous l’avons vu. Il est donc conseillé de se donner les moyens techniques, organisationnels et humains pour rester au courant et pouvoir réagir rapidement et efficacement si nécessaire. Une bonne préparation vous permet de vous concentrer sur l’essentiel au cœur de la crise. Cependant, communiquer correctement sur le test est important car il vous permet de rechercher une aide extérieure pour obtenir des ressources et des compétences que l’entreprise peut ne pas avoir en interne. Enfin, une victime de ransomware devrait être en mesure de tirer des leçons de ce qui lui est arrivé pour prévenir plus efficacement ce risque à l’avenir.LIEN
Rançongiciel en français, est un logiciel malveillant qui prend en otage des données. Le ransomware crypte et bloque les fichiers sur votre ordinateur et demande une rançon en échange d’une clé qui leur permet de les décrypter. Le ransomware, qui est apparu pour la première fois en Russie, s’est répandu dans le monde entier, principalement aux États-Unis, en Australie et en Allemagne. Souvent, le ransomware s’infiltre sous la forme d’un ver informatique, via un fichier téléchargé ou reçu par e-mail, et crypte les données et les fichiers de la victime. Le but est d’extorquer une somme d’argent qui est le plus souvent payée en monnaie virtuelle pour éviter les traces.LIEN
Plusieurs utilisateurs de MacBook Air ou MacBook Pro 13 pouces lancés cette année signalent une erreur liée à la gestion ou plutôt à la gestion incorrecte des périphériques USB 2.0 connectés à leur machine via un concentrateur USB-C. L’accessoire cesse de fonctionner de manière aléatoire et ne peut pas être reproduit. Par exemple, lorsqu’il s’agit d’une souris USB-A, d’une interface audio USB-A et d’un moniteur HDMI externe connecté au Mac avec un concentrateur USB-C, les deux premières cabines, tandis que HDMI l’alimentation continue d’être distribuée entre l’ordinateur et le moniteur secondaire.
Certains utilisateurs ont essayé de réinitialiser SMC, de redémarrer en mode sans échec, de réparer le volume avec l’utilitaire de disque, de réinstaller macOS Catalina, certains ont même fait remplacer leur MacBook dans l’Apple Store… Mais rien n’y fait. Y compris les tests de plusieurs hubs différents. Seul le modèle CalDigit Thunderbolt 3, très complet mais non fourni, semble offrir un peu de répit.
Apple, qui est remis en question par de nombreux propriétaires de ces Mac, en est certainement conscient. Il faut espérer qu’une solution est en cours d’élaboration et qu’elle sera proposée rapidement.LIEN
Le ransomware de « Big game hunt » diffère de ses prédécesseurs qui ont combattu sans distinction. L’activité la plus courante dans les ransomwares reste l’arnaque non sophistiquée qui cible une très grande échelle. Mais de plus en plus de cybercriminels ont les ressources pour développer des campagnes beaucoup plus sophistiquées et du temps pour pénétrer profondément dans les systèmes d’information, planifier et identifier les ressources les plus précieuses, puis tout détruire uniquement après avoir rentabilisé leur investissement.
Ces attaques de rançongiciels de «gros gibier» peuvent représenter un danger moins fréquent mais beaucoup plus grave pour la victime. Pour cette raison, la détection préventive est devenue extrêmement importante pour les entreprises. Cet article explique pourquoi:
Les vagues précédentes étaient différentes
Les anciennes campagnes de rançongiciels comme Locky étaient critiques et n’avaient pas la sophistication des attaques modernes. Leurs auteurs ont ciblé le plus grand nombre, souvent dans le cadre de vastes campagnes de phishing. Les destinataires non acceptants ont cliqué sur un lien malveillant. Les ransomwares pourraient alors gagner de l’espace jusqu’à ce que les fichiers chiffrés soient stockés sur leur machine ou dans le cas des entreprises de leur centre de données. C’était généralement suffisant pour collecter des sommes importantes en très peu d’efforts.
L’attaque bien documentée de WannaCry a marqué le début d’une nouvelle vague de ransomwares. Cependant, la propagation sans discrimination s’est avérée plus dangereuse car elle exploitait les vulnérabilités de manière plus sophistiquée. WannaCry et NotPetya se sont propagés de pair à pair et hors des frontières de l’entreprise, infiltrant des systèmes non corrigés et prenant à la fois des données et des otages de données. Bien que les cybercriminels n’aient pas nécessairement obtenu des fortunes en échange de leurs efforts, ces attaques ont été dévastatrices et ont offert un avenir troublant.
Que pouvez-vous attendre d’un ransomware de gros gibier?
Les ransomwares manquent toujours de subtilité. Loin de saper de petites quantités régulières ou d’espionnage discret des communications d’entreprise, ils s’apparentent davantage à des vols à main armée. Le but est d’être vu, effrayé et payé. Les ransomwares ne sont pas non plus très furtifs, surtout lorsqu’ils ont commencé à chiffrer des fichiers ou à désactiver des systèmes.
Inversement, le ransomware «chasse au gros gibier» infecte discrètement de nombreux systèmes sur le réseau de la victime avant de faire du bruit et de rester silencieux jusqu’au stade de la destruction.
L’énorme télétravail introduit pendant la crise du COVID-19 a permis à de nombreux attaquants d’infiltrer plus facilement les réseaux et de prendre le temps de se préparer à des attaques plus sophistiquées … comme nous le verrons peut-être dans les mois à venir.
Active Directory, l’épine dorsale des nouvelles attaques de ransomwares
Nous avons récemment étudié un nouveau type de ransomware appelé Save the Queen, qui se propage à partir des serveurs Active Directory de la victime (contrôleurs de domaine).
Les contrôleurs de domaine ont les clés du monde numérique. Presque tout autre système s’y connecte, ce qui le rend très important et en fait une cible principale pour la distribution de ransomwares. En raison de leur importance, la manipulation des serveurs Active Directory nécessite des droits d’accès étendus, exactement ce dont les cybercriminels bénéficient dans ce cas. L’ANSSI s’intéresse – et est au courant – depuis longtemps sur ce sujet et vient de publier une collection sur AD Security: https://www.cert.ssi.gouv.fr/uploads/guide -ad.html
L’accès est l’une des raisons pour lesquelles les ransomwares de gros gibier sont si troublants. Pour les cybercriminels, infiltrer un réseau est un jeu d’enfant. Ils peuvent facilement accéder à des applications de niveau supérieur ou à des comptes administratifs. Ils peuvent également utiliser leur propre infrastructure contre leur victime. Les auteurs de Save the Queen l’ont fait.
Avec tous ces accès, l’attaquant peut accéder à des données extrêmement sensibles: informations financières, propriété intellectuelle, monétiser ces informations confidentielles, copier des fichiers importants avant de les chiffrer pour menacer de les publier. Il faudrait être naïf pour penser qu’ils n’ont pas réussi à s’en éloigner et le phénomène est suffisamment grave pour mériter d’être inversé. Certains cybercriminels peuvent ne pas vouloir s’embêter à chercher quand ils peuvent se contenter d’une entrée et d’une introduction rapide, efficace et facile. Mais plus ces groupes sont organisés et efficaces pour gagner de l’argent sur la propriété de quelqu’un d’autre, plus ils sont susceptibles de ne laisser aucune miette à leurs victimes.
Quatre étapes pour protéger votre entreprise * Sachez où les données de propriété intellectuelle, les informations financières, les données personnelles et les e-mails sensibles sont stockés avant que les cybercriminels ne tentent de les voler, de les transmettre ou de les chiffrer. Limitez l’accès à ceux qui en ont absolument besoin pour réduire la surface de l’attaque. * Identifiez la période pendant laquelle l’indisponibilité d’un système ou de données aura les pires conséquences, par exemple, les jours précédant la semaine la plus occupée de l’année. Les cybercriminels sont intéressés par ce type d’informations sur leurs victimes. Mieux vaut avoir élaboré un plan d’affaires pour la continuité / reprise plutôt que d’avoir à improviser sous pression. * Une grande partie de la prévention des ransomwares repose sur les sauvegardes. Bien qu’évidemment important, le défi consiste à décider lesquels restaurer, en particulier en ce qui concerne les fichiers. Sans suivi de l’activité du système de fichiers, de nombreuses entreprises doivent saisir une rançon pour savoir ce qui a été chiffré et quand. Si le registre d’activité de fichier n’existe pas, il doit être créé. Cela fournit ensuite des informations sur les activités des utilisateurs infectés. * Profitez de l’automatisation. Des journaux d’activité et d’analyse adéquats permettent de détecter et d’arrêter les attaques potentielles avant qu’elles ne se propagent. Hiérarchisez et analysez les activités des ensembles de données et les systèmes critiques tels que les grands entrepôts de données, Active Directory et d’autres données télémétriques qui peuvent alerter lorsqu’un cybercriminel est entré sur le réseau.
Actuellement, les fournisseurs de télécommunications offrent un moyen simple d’accéder aux ressources, notamment en raison des capacités de recherche et de filtrage offertes par les outils de collaboration utilisés. Dans le même temps, la plupart des entreprises ne sont pas prêtes à détecter une activité inhabituelle générée par ces utilisateurs externes. Le but principal de toute entreprise est de détecter les cybercriminels qui tentent d’en profiter pour neutraliser leurs activités le plus rapidement possible.LIEN
Paralyser les systèmes informatiques les plus importants des grandes industries: tel est l’objectif d’Ekans, une rançon. Très sophistiqué, ce serait l’œuvre de pirates indépendants, pas d’un État.
Ekans /Abo Il peut se déboîter la mâchoire pour avaler tout rond des proies plus grosses que lui. Il se replie ensuite sur lui-même pour digérer.
Les cyberattaques contre les systèmes industriels sont assez rares et sont attribuées à presque tous les États, compte tenu de leur niveau sophistiqué. C’est notamment ce qui s’est passé en Ukraine avec la division de la distribution électrique lors du piratage de la centrale d’Ivano Frankivsk fin 2015 ou même avec la destruction de centrifugeuses d’enrichissement nucléaire en Iran en 2010.
Cette fois, les chercheurs des sociétés de cybersécurité Sentinel One et Dragos ont découvert le ciblage de code pour les installations industrielles. Il peut être attribué à des pirates indépendants selon eux. Le code appelé Ekans, ou Snake, est spécifiquement destiné aux raffineries, aux réseaux de distribution d’électricité et aux lignes de production des usines. Au lieu d’essayer de détruire ou de prendre le contrôle des installations, c’est la technique simple du ransomware. Tout d’abord, le code arrête 64 processus liés aux logiciels spécifiques aux commandes industrielles. C’est à partir de ceux-ci que les pirates peuvent accéder et chiffrer les données qui interagissent avec des systèmes importants. Les auteurs demandent le paiement d’une rançon pour les libérer.
Ne payez pas pour perdre gros
Comme toujours, l’attribution de l’attaque est compliquée et, au cours de ses enquêtes, Dragos a retiré une attribution potentielle à une équipe d’État iranienne. Le mode de fonctionnement semble beaucoup plus proche de celui utilisé par les criminels venant dans les hôpitaux de rançon. Ils savent que ces institutions feront tout leur possible pour payer une rançon afin d’assurer la continuité de leur mission. Et pour les industriels, c’est une véritable bénédiction car la plus petite paralysie peut coûter très cher.
Ce n’est pas la première fois qu’un ransomware conçu par des pirates indépendants attaque les processus des systèmes de contrôle industriels. Selon Dragos, une autre souche de code connue sous le nom de Megacortex a été identifiée au printemps 2019. Elle comprenait les mêmes fonctionnalités et pourrait bien avoir été développée par la même équipe.
Ransomware: Les opérateurs de Revil / Sodinokibi ont brièvement revendiqué le vol d’une très grande quantité de données de ce spécialiste de l’imagerie 3D. Avant de supprimer les traces. Une intrusion aurait pu se produire via un système Citrix NetScaler vulnérable ou un service RDP disponible sur Internet, entre autres.
FARO Technologies est un spécialiste reconnu de la mesure et de l’imagerie 3D. L’année dernière, l’entreprise s’est distinguée notamment par sa collaboration avec AGP (Arts Graphiques et Patrimoine) pour réaliser une opération de numérisation 3D de Notre-Dame de Paris en cas d’urgence.
L’objectif: « en une journée, procéder à un examen 3D précis du bâtiment après incendie pour établir un diagnostic des dégâts ». Auparavant, les outils FARO avaient déjà été utilisés pour numériser de nombreux bâtiments historiques, dont le monastère du Mont-Saint-Michel. Mais la portée de sa technologie va bien au-delà, par exemple, de l’inspection de grandes structures complexes, y compris même pendant la construction, ou de la modélisation de scènes de crime, entre autres.
FARO Technologies est apparu pour la première fois sur le site, les opérateurs du ransomware Revil / Sodinokibi annonçant leurs victimes de la résistance à l’extorsion le 20 mai. Avec une menace: révéler une partie de leur vol, ce qui représente 1,5 To de données. Ce qui a été fait deux jours plus tard.
Dans leur publication originale, les cybercrapules ont revendiqué le vol de « plusieurs téraoctets de données » qui concernaient l’entreprise et ses clients, mais aussi des graphiques et du code source. Surtout, ils ont affirmé qu’ils étaient déjà en pourparlers pour « vendre les données les plus intéressantes » tout en accusant leur victime « d’essayer de cacher le piratage et la fuite de données ».
Le 25 mai, les cybercriminels ont mis à jour leur annonce: « Il n’y aura pas d’autre publication. FARO Technologies a trouvé un acheteur pour vos données. Pas le montant que nous espérions, mais toujours valable. » Très rapidement, toute mention de cette victime disparaîtrait. du site Revil / Sodinokibi Operators, récemment contacté par les rédacteurs, a déclaré n’avoir aucune information à partager sur ce sujet.
De son côté, il ne semble pas que FARO Technologies ait communiqué l’incident, ni à la presse ni à ses investisseurs: au moment de la publication de ces lignes, son site Internet est muet sur le sujet, de même que ses déclarations au policier boursier SEC.
Nous avons contacté le spécialiste de l’imagerie 3D à deux reprises le 27 mai avant d’obtenir un premier contact de son attaché de presse externe. Ce n’est qu’après un échange téléphonique que la réponse officielle de FARO Technologies est tombée le 4 juin: « Nous connaissons cette publication et nous l’étudions ». Cinq jours plus tard, après un premier rappel, rien de plus.
Cette annonce de FARO Technologies s’avère d’autant plus surprenante que les opérateurs Revil / Sodinokibi ne se lancent pas immédiatement sur l’affichage de leurs victimes: ils commencent par laisser la place à des négociations. Ainsi, les cibles des ransomwares ont initialement au moins sept jours pour céder aux demandes de leurs extorqueurs avant de doubler leur prix. Dans certains cas, cette première phase peut même durer deux semaines, selon plusieurs observations.
Ce n’est qu’après avoir considéré que les négociations ont échoué que les cyber-vagues ont commencé à menacer de transmettre les données volées dans le système d’information de leurs victimes – et même récemment de les vendre au plus offrant, par le biais d’enchères tenues à leur propre site Web. Par conséquent, il ne serait pas surprenant que le lancement du rançongiciel chez FARO Technologies ait eu lieu dans la première moitié de mai, ou même plus tôt.
Pendant ce temps, nous avons découvert un service RDP exposé directement sur Internet par une machine qui semble appartenir à FARO Technologies, selon les données de BinaryEdge. Dans de mauvais rapports sur les packages, Troy a déclaré à Mursch que pendant un certain temps, la société avait exposé un système Citrix Netscaler affecté par la célèbre vulnérabilité CVE-2019-19781, connue sous le nom de Shitrix. Il a été découvert le 11 janvier.
Onyphe a également constaté que le système avait été identifié comme vulnérable lors d’un incident survenu le 15 janvier. Et pour préciser que ce système est resté en ligne au moins entre le 8 décembre et le 8 février. Cependant, il n’existe aucun lien établi entre ces observations et les exigences des opérateurs Revil / Sodinokibi. Jusqu’à présent, après une nouvelle augmentation, FARO n’a rien dit de plus sur l’incident.LIEN
Le réseau informatique interne de la ville, son site Internet et le réseau judiciaire ont été paralysés pendant des heures. « Les systèmes d’information suivent actuellement les protocoles recommandés. Cela comprend la fermeture des serveurs, de nos connexions Internet et des PC. Veuillez ne pas vous connecter au réseau ni utiliser des applications informatiques pour le moment », ont averti des courriers électroniques reçus par des autorités locales.
Plus de 50 autorités locales ont été affectées par des ransomwares depuis janvier.
Les réseaux informatiques de la ville américaine de Knoxville, dans le Tennessee, ont été attaqués par des ransomwares, rapporte les médias locaux WVLT dans un article publié le 11 juin 2020. Knoxville est la 134e ville des États-Unis par la taille de sa population, avec 188 000 habitants. C’est également le 51e État ou municipalité des États-Unis à être touché par les ransomwares cette année, selon les déclarations de Brett Callow, chercheur au sein du cabinet de sécurité Emsisoft, à Ars Technica.
La ville de Knoxville, dans le Tennessee, a été victime d’une rançon qui a paralysé son réseau informatique, son site Internet et le réseau judiciaire. C’est la 51ème autorité locale des États-Unis à être victime de ransomware depuis le début de l’année.
Ils ont depuis été récupérés, bien que l’attaque puisse encore occasionner des inconvénients mineurs. Les services d’urgence tels que la police, les pompiers et la ligne d’assistance 911 n’ont pas été affectés lorsqu’ils fonctionnaient sur des systèmes distincts. De plus, aucun serveur de sauvegarde n’a été atteint, grâce auquel les services de la ville pouvaient rapidement revenir à la normale.
David Brace, directeur exécutif et maire adjoint, a déclaré que le Bureau des enquêtes du Tennessee et le Bureau fédéral des enquêtes (FBI) soutiennent la ville dans la résolution de cet incident. Alors que les enquêteurs n’ont pas encore trouvé l’étendue des rançongiciels, David Brace dit qu’aucune donnée sur la cybercriminalité n’a été volée.
Ces pièces jointes sont incluses en millions de dollars
Ces attaques informatiques sont parfois très coûteuses. Deux des incidents les plus connus se sont produits en 2018 à Atlanta et à Baltimore, entraînant des coûts de 12,2 millions de dollars et 18 millions de dollars, respectivement. Il est donc temps pour les villes de réaliser que le coût de leurs réseaux coûtera toujours moins cher qu’une attaque informatique. LIEN
Selon une enquête réalisée par Veritas, la responsabilité personnelle des dirigeants d’entreprise a été remise en cause en cas d’attaque de ransomware, selon 40% des 12 000 consommateurs interrogés dans le monde. Les Français, cependant, lancent d’abord des pierres sur les cybercriminels devant les dirigeants.
La responsabilité personnelle des dirigeants d’entreprise remise en cause.
Très souvent, lorsque des cyberattaques ont lieu, RSSI est en première ligne. A la fois pour éteindre le feu et prendre les précautions nécessaires pour éviter le pire, mais parfois même lorsqu’il s’agit de se trouver «responsable». S’ils s’avèrent plus ou moins exposés, les RSSI ne sont pas les seuls désignés, c’est également le cas des dirigeants de l’entreprise elle-même, à savoir leur PDG. Selon une enquête réalisée par Veritas, pour laquelle 12 000 consommateurs dans 6 pays (États-Unis, Royaume-Uni, Allemagne, France, Japon et Chine) ont été interrogés en avril 2020, 40% pensent même qu’ils sont personnellement responsables lorsque les entreprises sont compromises par attaques de rançongiciels.
Les administrateurs ne sont pas épargnés par les dommages subis et les jugements attendus sont aussi divers que surprenants. 42% exigent que les PDG s’excusent publiquement pour les ransomwares, tandis que 35% veulent qu’ils paient une amende. 30% des répondants vont jusqu’à déclarer que les PDG en question ne devraient plus pouvoir diriger une entreprise à l’avenir, tandis que 27% demandent leur démission, 25% une baisse de salaire et 23% demandent même sur la prison.
Les consommateurs français plus indulgents envers les PDG «En tant que consommateurs, nous acquérons de plus en plus de connaissances sur les ransomwares, nous ne pardonnons donc pas aux entreprises qui ne le prennent pas aussi au sérieux que nous», a déclaré Simon Jelley, vice-président des produits chez Veritas. . Cependant, il semble que les Français soient les répondants les plus indulgents des pays interrogés, avec moins d’un quart (24%) voulant blâmer les chefs d’entreprise, un peu plus de la moitié (55%) dans la conviction que seuls les criminels peuvent être accusés. pour les attaques de ransomwares, et seulement un tiers (36%) prévoient de se passer des services d’une entreprise attaquée. LIEN
Questions sur les attaquants chez Honda et Enel (alerte spoiler) Le télétravail!
Les deux groupes ciblés par le ransomware d’Ekan, également appelé Snake, ont exposé d’anciens services RDP directement sur Internet. Mais ils avaient également des systèmes Citrix NetScaler affectés par la vulnérabilité CVE-2019-19871.
Honda et Enel ont récemment reconnu avoir été la cible de cybercriminels. Très rapidement, deux échantillons du ransomware d’Ekan, également connu sous le nom de Snake, sont apparus, suggérant que ses opérateurs avaient en fait tenté d’attraper le constructeur automobile d’un côté et la société énergétique italienne. , d’autre part. Mais où les attaquants ont-ils réussi à s’inviter, ne serait-ce que de manière relativement limitée, aux systèmes d’information de ces deux cibles?
Le chercheur Germán Fernández a très rapidement rapporté qu’un service RDP était exposé sur Internet par un système lié au nom de domaine honda.com, ainsi qu’un de ces services … mais faisant référence à Enel. Et de s’interroger naturellement sur la possibilité d’un lien entre ces services exposés directement en ligne et les attaques menées contre les deux groupes.
Mais une passerelle potentielle a été identifiée par Troy Mursch du rapport Bad Packets: systèmes Citrix affectés par la vulnérabilité CVE-2019-19781, également connue sous le nom de Shitrix. Sur Twitter, il a déclaré qu’un « serveur Citrix VPN (NetScaler) utilisé par Honda » avait été identifié comme vulnérable lors de sa première campagne de recherche de systèmes affectés. Et ajoutez que cela s’applique également à Enel. Pour ces derniers, les systèmes affectés n’ont également tué l’utilisation des correctifs « que quelque part entre le 31 janvier et le 14 février 2020 ».
Vitali Kremez souligne que « les cybercriminels continuent de rechercher des passerelles VPN d’entreprise exploitables comme premier vecteur de violation », et en particulier les systèmes Citrix / Netscaler affectés par la vulnérabilité CVE-2019-19781. En réponse, Troy Mursch se souvient avoir identifié plusieurs victimes de ransomware qui exposaient de tels systèmes: Chubb, Conduent et Pitney Bowes, par Maze, mais aussi ISS World, par Ryuk ou encore Brittany Telecom, par DoppelPaymer.
Selon les chercheurs en sécurité, les réseaux de contrôle industriels sont exposés à un certain nombre d’attaques de rançongiciels. Cet avertissement fait suite à une expérience qui a révélé la vitesse à laquelle les pirates détectent les vulnérabilités des infrastructures critiques.
Des chercheurs en sécurité avaient mis en place un leurre pour surveiller la progression de l’attaque … qui ne tarda pas à venir.
Mise en place du leurre
L’entreprise de sécurité Cybereason a construit un leurre conçu pour ressembler à une entreprise d’électricité opérant en Europe et en Amérique du Nord. Le réseau a été conçu pour paraître authentique afin d’attirer des attaquants potentiels en incluant des environnements informatiques technologiques et opérationnels ainsi que des systèmes d’interface humaine.
Toutes les infrastructures sont construites en tenant compte des problèmes de sécurité communs aux infrastructures critiques, en particulier les ports des stations distantes connectées à Internet, les mots de passe de complexité moyenne et certains contrôles de sécurité habituels, y compris la segmentation du réseau.
Le leurre a commencé plus tôt cette année et il n’a fallu que trois jours aux attaquants pour découvrir le réseau et trouver des moyens de le compromettre – y compris une campagne de ransomware qui a infiltré des parties du réseau et qui a réussi à récupérer les informations de connexion.
Le cours de l’attaque
« Très peu de temps après le lancement du » pot de miel « , la capacité du ransomware a été placée sur chaque machine compromise », explique Israel Barak, chef de la sécurité informatique de la cyber-raison chez ZDNet.
Les pirates ont placé des ransomwares sur le réseau à l’aide d’outils de gestion à distance pour accéder au réseau et déchiffrer le mot de passe administrateur pour se connecter et contrôler le bureau à distance.
À partir de là, ils ont créé une porte dérobée pour un serveur compromis et utilisé des outils PowerShell supplémentaires, y compris Mimikatz, qui ont permis aux attaquants de voler des informations de connexion, permettant un mouvement latéral sur le réseau – et la possibilité de compromettre encore plus de machines. L’attaquant a effectué des analyses pour trouver autant de points d’accès qu’ils le souhaitaient et collecté des identifiants au fur et à mesure.
Double peine
En fin de compte, cela signifie qu’en plus de déployer un rançongiciel, les attaquants ont également la possibilité de voler des noms d’utilisateur et des mots de passe qu’ils pourraient exploiter comme un levier supplémentaire en menaçant de révéler des données sensibles si la rançon n’était pas payée.
« Ce n’est qu’après la fin des autres étapes de l’attaque que le ransomware se propage simultanément à tous les terminaux compromis. C’est une caractéristique commune des campagnes de ransomware à plusieurs étapes visant à amplifier l’impact de l’attaque sur la victime », explique Israël Barak.
Réseau compromis
Les attaques de ransomwares provenant de diverses sources ont souvent révélé le piège, et beaucoup ont essayé d’autres attaques, tandis que d’autres pirates informatiques étaient plus intéressés par la reconnaissance du réseau – comme c’était le cas dans une précédente expérience d’oiseau de leurre.
Même si cela ne semble pas aussi dangereux, à première vue qu’une rançon, les attaquants qui tentent d’exploiter le réseau de ce qu’ils croient être un fournisseur d’électricité peuvent finalement avoir des conséquences très dangereuses.
Néanmoins, il semble que les ransomwares soient devenus l’une des principales méthodes par lesquelles les attaquants tentent d’exploiter une infrastructure qu’ils peuvent facilement compromettre, que le rapport décrit comme un «barrage constant» d’attaques contre le secteur. Et le risque devrait s’intensifier.
Renforcer la sécurité de la prévention
Heureusement, ces attaques contre un leurre ne feront aucun mal.
L’expérience montre cependant que les réseaux qui prennent en charge les infrastructures critiques doivent être suffisamment résilients pour résister aux intrusions indésirables en concevant et en exploitant des réseaux pour la résilience – en particulier lorsqu’il s’agit de séparer les réseaux informatiques de la technologie opérationnelle.
Même des améliorations relativement simples, telles que la protection des réseaux avec des mots de passe complexes et difficiles à deviner, peuvent aider, tandis que des initiatives de sécurité plus complexes peuvent aider à renforcer la protection. LIEN
Le rançongiciel Thanos, découvert en janvier 2020, est développé par le cyber gang de Nosophoro et possède des propriétés de protection exceptionnelles. En utilisant la technique RIPlace, les logiciels malveillants peuvent contourner les actions système et réseau utilisées pour le désactiver.
Thanos, pas de solution anti-ransomware!
Entre pirates informatiques et responsables de la sécurité, c’est un jeu perpétuel de chat et de souris. Mais parfois, la souris peut être particulièrement difficile à neutraliser. C’est le cas du ransomware de Thano, découvert en janvier 2020 par Inskit Group, qui a publié un rapport pour mieux comprendre sa fonction. C’est le groupe de cyber hackers opérant sous le nom de famille Nosophoros, qui se trouve être derrière Thanos, et proposant à la vente sur le dark web une version personnalisable dans 43 configurations possibles de ce malware pour s’adapter au plus près aux besoins du cyber coke . Le mode de distribution, type de rançongiciel en tant que service, combiné avec des mises à jour et de nouvelles fonctionnalités, montre à quel point l’opérateur derrière Thanos professionnalise son activité.
«Le client Thanos est simple dans sa structure et ses fonctionnalités générales. Il est écrit en C # et est facile à comprendre malgré son obscurité [consistant à rendre un exécutable ou un code source illisible et difficile à comprendre par un humain ou un décompilateur, la note de l’éditeur], et bien qu’il contienne des fonctionnalités plus avancées telles que la technique RIPlace », Explique Inskit Group. Ce malware intègre 12 à 17 classes, dont un programme de base commun et Crypto, puis d’autres tels que NetworkSpreading, Wake on LAN, selon les « options » choisies par les acheteurs de ce ransomware. La technique RIPlace, embarquée dans Thanos, consiste à augmenter la capacité de ce malware à contourner la défense introduite par l’équipe de sécurité de l’entreprise (antivirus, pare-feu …) pour le désactiver. «Avec les meilleures pratiques en matière de sécurité, telles que l’interdiction des connexions FTP externes et la mise sur liste noire des outils de sécurité offensifs connus, les risques associés aux deux composants clés de Thanos – le voleur de données et le mouvement latéral (via l’outil SharpExec) – peuvent être évités», explique Inskit Group.
Kaspersky et Carbon Black s’arrêtent pour corriger la vulnérabilité RIPlace
«Le client Thanos utilise AES-256 en mode CBC pour crypter les fichiers utilisateur. La clé utilisée pour le chiffrement AES provient d’un mot de passe et d’un sel créés via l’appel de fonction Windows rfc2898DeriveBytes. Une fois que le client Thanos a utilisé cette clé pour crypter tous les fichiers qu’il découvre, il utilise une clé publique RSA 2048 intégrée pour crypter le mot de passe AES utilisé. La chaîne Bas64 de ce mot de passe chiffré est ajoutée au message de rançon demandant à la victime d’envoyer la chaîne de mot de passe chiffrée aux acteurs de la menace pour déchiffrer leurs fichiers. La clé privée associée à la clé publique utilisée pour chiffrer le mot de passe est requise pour déchiffrer le mot de passe AES. Seul l’opérateur qui a créé le client Thanos doit avoir accès à la clé privée », a déclaré Inskit Group.
La technique RIPlace utilisée par Thanos a d’abord fait l’objet d’un POC par Nyotron en novembre 2019. Ce dernier a mis en garde les fournisseurs de solutions de sécurité, dont Microsoft. Mais à l’époque, cette technique n’était pas considérée comme une vulnérabilité par la plupart d’entre eux, à l’exception de Kaspersky et Carbon Black (acquis par VMware), qui ont modifié leur logiciel en conséquence. Début 2020, Inskit Group a pu observer sur le dark web et sur les forums de cyber pirate que la technique RIPlace commençait à être mise en œuvre.
Une chance de récupérer des données sans payer
Cependant, tout n’est pas perdu: « Si une clé dynamique est sélectionnée avant le démarrage du processus de chiffrement, le client Thanos utilise Windows RNGCryptoServiceProvider pour générer une chaîne base64 de 32 octets aléatoire qui sera utilisée comme mot de passe AES. Si le client Thanos est configuré pour utiliser un mot de passe statique, il est stocké dans le binaire lui-même. Cela signifie que si un client Thanos est restauré après le chiffrement, les victimes de Thanos ont toujours la possibilité de récupérer leurs fichiers sans payer de rançon « , explique Inskit. Cependant, selon les dernières analyses de la société, Nosophoros a reçu des signaux positifs de la communauté des pirates, affirmant que l’outil « fonctionne parfaitement » et encourage les cyber gangs à « garder les mises à jour à venir ». Pour Nosoporos, c’est comme d’habitude.
Une application masquée comme un décryptage de ransomware DJVU / STOP a été identifiée par un chercheur en sécurité. Cela crypte les données des victimes qui pensaient avoir trouvé une solution à leur problème.
Face à une attaque de ransomware, le remède peut parfois s’avérer pire que la maladie. Ainsi, un chercheur en sécurité a rapporté la semaine dernière un nouveau programme malveillant se faisant passer pour un décrypteur de ransomware DJVU / STOP, un ransomware très actif, et destiné aux particuliers. Michael Gillespie, chercheur indépendant en sécurité spécialisé dans la lutte contre les ransomwares, a attiré l’attention sur les malwares dans un tweet à la fin de la semaine dernière. Ce programme malveillant, appelé Zorab, se présente sous la forme d’un décrypteur: un type de programme qui exploite les erreurs logicielles dans la conception d’un ransomware pour décrypter les fichiers de la victime sans que la victime ait besoin de récupérer la clé de cryptage pour les attaquants.
Zorab ne vous sortira pas de l’affaire, au contraire: le chercheur explique qu’il crypte les données de la victime une seconde fois, et met sur l’ordinateur une note demandant à l’utilisateur de payer une rançon pour décrypter les fichiers en question. Pour la victime, il s’agit donc d’une double peine: il a dû payer une première fois pour décrypter les données rendues indisponibles par le ransomware Zorab, puis une deuxième fois pour décrypter le cryptage DJVU / STOP. Le groupe derrière DJVU / STOP attire moins d’attention que des acteurs malveillants comme Maze ou Dopplepaymer, mais ce ransomware est l’un des plus actifs aujourd’hui. Selon Emisoft, fin 2019, Stop / DJVU représentait plus de 56% des fichiers téléchargés sur la plateforme ID Ransomware, se plaçant en tête du classement. Comme l’explique Bleeping Computer, les opérateurs de ce ransomware sont plus susceptibles d’attaquer des individus et de demander des montants entre 500 $ et 1000 $ pour obtenir la clé de déchiffrement.
Double peine
Les cybercriminels derrière Zorab ont soigneusement choisi leurs cibles: plusieurs déchiffreurs sont en fait proposés par des sociétés de sécurité pour déchiffrer les fichiers chiffrés par les anciennes versions du rançongiciel DJVU / STOP. En mars, Emsisoft a publié plusieurs décrypteurs pour aider les victimes de cette rançon. Mais le jeu du chat et de la souris dure depuis des mois: lorsque les éditeurs publient un décryptage, les auteurs du ransomware distribuent une nouvelle version de leur ransomware. Dans cette jungle, il est donc facile pour un tiers de profiter de la multiplication des décrypteurs pour distribuer son propre ransomware en le transmettant comme un outil de déverrouillage de fichier.
Pour obtenir des outils de décryptage, il vaut mieux être prudent: nous pouvons recommander l’initiative NoMoreRansom mise en œuvre par Europol et plusieurs sociétés antivirus pour centraliser les outils de décryptage et anti-ransomware. Vous pouvez également accéder directement aux sites Web officiels d’éditeurs antivirus connus, tels que Kaspersky ou Emsisoft. Des décrypteurs pour les anciennes versions de DJVU / STOP sont disponibles, mais des analyses sont toujours en cours pour développer des outils similaires pour Zorab. Bien sûr, la meilleure solution est d’avoir des sauvegardes mises à jour, mais c’est souvent plus facile à dire qu’à faire.
Son nom bien choisi provoque la terreur et son comportement en fait un ransomware discutable. Thanos prospère sous Windows 7, 8.1 et 10 depuis octobre 2019 sous différents noms, mais ce n’est qu’en janvier 2020 qu’il a fait l’objet d’un rapport détaillé publié par la société Inskit Group. Il s’agit d’une famille de ransomware qui possède à son ancêtre un seul outil développé par un hacker nommé Nosophoros.
Cet outil est capable de générer un ransomware personnalisé basé sur 43 paramètres de configuration différents. La solution est disponible sur le Dark Web et en particulier sur les forums de piratage russes comme les logiciels de type « ransomware as a service ». En d’autres termes, Nosophorus recrute d’autres pirates pour diffuser des logiciels malveillants. Ce dernier obtient une part de revenu d’environ 60 à 70% pour tout paiement de rançon.
Thanos: premier ransomware à tirer parti de l’erreur RIPlace qui la rend indétectable
RIPlace est une technologie de camouflage qui a été dévoilée comme preuve de concept fin 2019 par des scientifiques de Nyotron. Il est utilisé pour modifier des fichiers indétectables par Windows et par un antivirus. Par conséquent, les attaquants peuvent contourner diverses protections contre les ransomwares pour crypter les fichiers sur les machines ciblées.
Lire aussi – Ransomware: les pirates s’excusent pour les dégâts qu’ils ont causés à leurs victimes!
Nyotron a partagé sa découverte avec les fournisseurs d’antivirus et Microsoft. À l’époque, la plupart d’entre eux estimaient que cette technique ne devait pas être traitée comme une vulnérabilité, d’autant plus que son utilisation réelle n’a pas été prouvée. Seuls Kaspersky et Carbon Black (appartenant à VMware) avaient modifié leur logiciel pour empêcher cette technique d’être appliquée.
Dans un nouveau rapport publié le 10 juin 2020, Inskit Group décrit comment la vulnérabilité RIPlace est utilisée par Thanos, le premier ransomware à l’utiliser. Les chercheurs pensent que les logiciels malveillants continueront d’être exploités, individuellement ou collectivement, dans le cadre du programme d’affiliation de son créateur. La nouvelle version devrait inciter Microsoft et d’autres fournisseurs de protection à intervenir.
Le constructeur japonais de véhicules et de moteurs Honda enquête sur un dysfonctionnement de son réseau informatique. Cet incident sera lié aux conséquences de la diffusion du rançongiciel SNAKE dans ses infrastructures.
Un vent de panique chez Honda. Le constructeur japonais de véhicules et de moteurs traverse actuellement une cyber-crise suite à l’intrusion et se répand dans ses réseaux informatiques de malware. «Le dimanche 7 juin, Honda a subi une interruption de son réseau informatique, entraînant une perte de connectivité, ce qui a eu un impact sur nos opérations commerciales. Nous avons annulé une partie de la production aujourd’hui et évaluons actuellement la situation », a déclaré un porte-parole. Chez Honda, une enquête est en cours sur cet incident de sécurité qui a affecté ses infrastructures informatiques au Japon, mais aussi en Europe.
Le groupe a été contacté par BleepingComputer, confirmant que son réseau informatique était affecté sans préciser clairement l’événement, quelle que soit la diversité des indications, même des preuves de cette cyberattaque. Les chercheurs en cybersécurité pensent que l’entreprise a été ciblée par un ransomware personnalisé après avoir analysé la situation. Ce dernier serait une variante du rançongiciel SNAKE (également connu sous le nom d’EKANS) conçu pour cibler le nom de domaine mds.honda.com.
Des détails provenant du cyber gang derrière SNAKE? Le chercheur en sécurité Vitali Kremez a également déclaré qu’en plus de cibler mds.honda.com, ce ransomware comprend également une référence à l’adresse IP 170.108.71.15, citant le nom d’hôte – plus que suspecté – unspec170108.amerhonda. com. La référence à cette adresse IP et la vérification interne du nom d’hôte sont des indicateurs très forts que les fermetures actuelles du réseau ont été causées par une attaque par le rançongiciel SNAKE. « Pour le moment, nous ne partagerons pas les détails de l’attaque pour permettre à la cible de la nier pendant un certain temps. Cela va changer avec le temps », a déclaré le gang derrière le malware à notre collègue.LIEN
MAJ:
Le ransomware EKANS destiné aux systèmes de contrôle industriels semble avoir lié Honda à son tableau de chasse. Quelles conséquences?
Vous voulez créer un site? Trouvez des thèmes et plugins WordPress gratuits.
Honda, victime d’un ransomware? Le groupe automobile refuse actuellement de confirmer les informations.
Son annonce officielle fait état d’un « incident » sur le réseau informatique qui a été observé dimanche 7 juin. En conséquence, une « perte de connexion » et la suspension d’une partie de la production.
Selon les dernières nouvelles, l’activité a repris dans la plupart des usines.
En plus du discours de façade, il y en a un qui circule en interne. Et le contenu n’est pas le même.
Illustration avec un message d’un membre du service informatique de la filiale américaine. Il parle clairement d’un ransomware qui a affecté « le moins » les SI dans cette région géographique. Résultat signalé: accès indésirable aux données critiques et incapacité à poursuivre les opérations sur la plupart des lignes de production.
Un rançongiciel ICS spécial …
Quel ransomware a touché? Plusieurs éléments suggèrent qu’il s’agit d’une variante de SNAKE.
Il est également appelé EKANS, notamment en référence à une étiquette affectée aux fichiers qu’il crypte. Son premier morceau remonte à fin 2019.
Le but initial du créateur du virus « I Love You » n’était pas de créer des logiciels malveillants dangereux mais de surfer gratuitement sur Internet.
L’écrivain de code informatique, qui a causé des milliards de dollars de pertes au début des années 2000, vit maintenant une vie modeste et à faible kilométrage à Manille, selon la BBC.
Le 4 mai 2000, le virus « I Love You » s’est propagé à travers le monde de manière fulgurante. En quelques jours, il a frappé les systèmes informatiques du Pentagone, de la CIA et de grandes entreprises comme L’Oréal, Siemens et Nestlé. Ce petit morceau de code a infecté des dizaines de milliers d’ordinateurs, ce qui en fait l’un des virus les plus virulents de l’histoire.
L’auteur a été identifié quelques jours plus tard: un Philippin de 24 ans nommé Onel de Guzman. Il ne sera pas inquiet, car à cette époque, la législation de son pays ne contient pas ce type d’infraction. Vingt ans après l’incident, un journaliste britannique l’a trouvé à Manille, la capitale, et l’a interrogé sur ses motivations dans un reportage publié le 4 mai sur le site Internet de la BBC.
Selon l’auteur du virus « I Love You », son objectif initial n’était pas de créer des logiciels malveillants dangereux, mais simplement de surfer gratuitement sur Internet. À ce moment-là, vous pouviez vous connecter au réseau à partir de différentes lignes téléphoniques avec le mot de passe et l’ID de quelqu’un d’autre. On dit que De Guzman a envoyé une version initiale de son virus à quelques cibles pour récupérer leurs codes, des personnes avec lesquelles il avait l’habitude de socialiser dans les salles de chat en ligne.
Recherche dans le carnet d’adresses
C’est plus tard que le jeune homme arme son virus pour qu’il se propage automatiquement et fouille dans les ordinateurs infectés à la recherche du carnet d’adresses du logiciel de messagerie Outlook et s’envoie ensuite à des dizaines de correspondants. De Guzman a l’idée de nommer son virus LOVE-LETTER-FOR-YOU.TXT.VBS. « Je pensais que beaucoup de gens veulent une petite amie, ils veulent de l’amour », a-t-il déclaré à la BBC aujourd’hui.
Beaucoup de gens cliquent sur ce message qui, si vous regardez trop vite, regarde un fichier texte « TXT » mais se révèle être un morceau de code informatique « VBS » si vous intervenez pour lire son nom jusqu’au bout. Agressif infecte la mémoire de l’ordinateur en remplaçant les photos ou les morceaux de musique qu’il détruit au cours du processus. « I Love You » est responsable de dommages estimés à 10 milliards de dollars.
Onel de Guzman a aujourd’hui 44 ans. Interrogé par la BBC, il a regretté les dégâts causés. «Je n’aurais jamais imaginé que le virus irait aux États-Unis et en Europe. Cela m’a surpris », dit-il maintenant. Il va même jusqu’à confesser … souffrant de sa renommée. «Parfois, ma photo apparaît sur Internet. Mes amis me disent: « Mais c’est toi! » Je suis une personne timide, je ne veux pas. «
Un petit atelier
Un discours qui contraste avec celui qu’il a prononcé quand il était plus jeune. En 2000, quelques mois à peine après la création du virus, le jeune homme a déclaré au New York Times: « Je pense que je fais partie de l’histoire des Philippines. Il ne peut pas être supprimé. À l’époque, la blessure ne lui causait pas autant d’émotion. De Guzman souligne la responsabilité de Microsoft de commercialiser des «produits vulnérables».
Le jeune homme imagine même un avenir en tant que concepteur de logiciels inviolables. Selon lui, de nombreuses sociétés informatiques ont tenté de le pousser dans les semaines qui ont suivi la publication du virus, mais Onel de Guzman ne trouve pas de travail lorsque son avenir juridique se précise quelques mois plus tard.
Il n’obtient pas non plus son diplôme universitaire après avoir rejeté sa thèse finale. Cette thèse a été reproduite avant la date fatidique du 4 mai, décrivant un programme informatique proche du virus « I Love You ». Son professeur l’a ensuite rejeté avec la déclaration « C’est illégal. Nous ne formons pas de voleurs ».
Onel de Guzman gère maintenant un petit atelier pour téléphones portables avec un comptoir étroit et désordonné. C’est là que la BBC l’a trouvé après une longue enquête à travers des forums obscurs dédiés à l’internet souterrain philippin, puis des dizaines d’ateliers à Manille. LIEN1 LIEN2
Charles Delingpole, PDG et fondateur de ComplyAdvantage
Ces derniers mois, les attaques lancées par le crime économique se sont multipliées. Mais au-delà des ennemis habituels, les ransomwares soulagés par COVID-19 restent une activité criminelle insuffisamment combattue.
Les ransomwares ou ransomwares offrent aux criminels un environnement particulièrement favorable pour lancer des attaques contre des systèmes médicaux qui sont plus importants que jamais et qui sont généralement des proies faciles pour les malwares.
Il est envisagé qu’en 2021, une attaque contre rançon contre une nouvelle entreprise soit lancée toutes les 11 secondes, sachant que nombre de ces attaques seront menées à grande échelle par des criminels cherchant à exploiter des vulnérabilités logicielles connues.
Des attaques de rançongiciels ont été imposées sur la scène internationale en mai 2017 lors de la tristement célèbre attaque appelée WannaCry. L’incident, qui a exploité un bogue dans le système d’exploitation Windows, a empêché les utilisateurs d’accéder aux systèmes médicaux et a pris la date en otage.
L’une des principales raisons de l’attaque de WannaCry était que les ordinateurs ciblés n’avaient pas été mis à jour depuis plusieurs années. Et bien que de nombreuses entreprises soient bien protégées de ces exploits, elles sont loin d’être le seul vecteur d’attaque qui nécessite une rançon. Combinées à d’autres techniques d’ingénierie sociale, les attaques de phishing et de spear phishing sont en fait des moyens très efficaces qui permettent aux criminels de violer la sécurité et d’accéder aux données.
Les ransomwares sont au mieux un fléau pour la communauté. Et lors d’une pandémie, elles pourraient avoir un effet catastrophique. Les hôpitaux et les sociétés médicales ont été avertis par Interpol qu’ils pourraient être la cible d’attaques de rançon pendant cette période de panique et de communication accrue. Ajoutez à cela le système d’information qui est connu pour être obsolète, et aujourd’hui les établissements de santé sont susceptibles d’utiliser des logiciels qui contiennent des vulnérabilités qui ne demandent qu’à être exploitées.
Mais pourquoi est-il si important pour les institutions financières et autres entités qui traitent l’argent? Parce que ces attaques empêchent souvent les utilisateurs d’accéder aux données jusqu’à ce qu’une rançon ait été payée sous la forme d’un paiement numérique pour restaurer l’accès aux données. Cependant, les rançonneurs disposent désormais d’une grande quantité d’argent numérique, souvent en bitcoins, qu’ils doivent convertir en espèces avant de les transférer sur leurs comptes. Et pour ce faire, ils doivent recourir au système financier.
Par conséquent, les institutions financières et les entreprises du secteur doivent veiller à ne pas faciliter le paiement de la rançon. Dans certains cas, il s’agit de lutter contre une certaine forme de blanchiment d’argent, mais aussi d’éviter la violation des sanctions.
Ransomware et violations des sanctions Le ransomware est un outil traditionnellement utilisé par certains pays sanctionnés pour obtenir des fonds. Il s’agit d’une pratique particulièrement utile pour les nations sanctionnées sur plusieurs fronts et effectivement coupées de l’économie mondiale. La Corée du Nord a été accusée à plusieurs reprises de l’utiliser, en particulier lors de l’attaque de WannaCry.
Il s’agit d’une activité très lucrative, surtout lorsqu’elle est réalisée au niveau national. Les cyberattaques lancées depuis Pyongyang sont innovantes, efficaces et représentent 2 milliards de dollars. En prenant du recul, il n’est guère surprenant qu’une entité sanctionnée utilise des cyberattaques pour lever des capitaux lorsqu’elle est exclue du marché mondial.
Depuis le début de la pandémie, les attaques de logiciels malveillants et les rançons ont demandé peu de couverture dans la presse spécialisée. Mais comme le paiement d’une rançon peut désormais être interprété comme une violation des sanctions dans un contexte bien précis, les institutions financières doivent désormais être plus vigilantes à cet égard.
Les institutions financières doivent toujours préparer un rapport d’activité suspecte lorsqu’elles pensent avoir affaire à un paiement de rançon ou faire face à une demande de rançon. Ils doivent également coopérer avec l’unité d’intelligence économique ou de conformité financière appropriée. Une application généralisée de cette pratique éviterait d’atténuer ces informations et faciliterait l’identification des criminels. Mais autoriser cette transaction en premier lieu est rarement une question simple.
Faciliter le paiement d’une rançon en soi peut rendre une institution financière responsable de la violation des sanctions. Deux personnes basées en Iran et sanctionnées sur la liste des ressortissants spécialement désignés créée par l’OFAC ont facilité la conversion des fonds d’une attaque par rançongiciel en 2016. Les auteurs de cette attaque ayant été sanctionnés et les adresses des portefeuilles numériques en question correspondaient bien aux sanctions imposées. les institutions financières concernées étaient exposées au risque de sanctions secondaires. Quant à ces individus basés en Iran et qui ont converti des bitcoins en rial iranien, l’OFAC avait à l’époque publié une déclaration rappelant que «peu importe si une transaction est libellée en monnaie numérique ou en fiduciaire traditionnel monnaie, les obligations de conformité de l’OFAC restent les mêmes ».
Comprendre la rançon
L’OFAC a précédemment déclaré que les entreprises américaines doivent savoir qui reçoit les transferts d’argent, même lorsqu’ils sont transformés en portefeuille numérique, une position soutenue par la règle de voyage du GAFI. Par conséquent, toute infraction à cette règle pourrait entraîner des sanctions sévères.
Les régulateurs n’ont pas encore abordé les paiements liés aux attaquants de ransomware. Il est généralement admis que ces paiements ne sont pas effectués volontairement, que les entreprises sont victimes d’extorsion et que les institutions financières participant au paiement ne sont qu’une partie d’une chaîne destinée à restaurer le fonctionnement d’une entreprise. une partie de leur clientèle. Nous ne savons pas si cette vision est susceptible de changer, mais une réflexion semble avoir commencé selon que les fonds sont destinés ou non à des entités non sanctionnées.
Cependant, si les futures institutions financières sont obligées d’identifier les entités auxquelles elles envoient de l’argent, les attaques de ransomwares nécessiteront une collecte accrue de renseignements. Il faudra également s’assurer que les équipes chargées de la conformité pourront consacrer le temps nécessaire à la conduite des recherches.
Une fois l’attaque du ransomware lancée, la rançon payée et l’argent converti, ce dernier intègre le système financier, ce qui ne doit cependant pas faire passer cette opération inaperçue.
Grâce à la surveillance automatique et puissante des transactions, les responsables de la conformité peuvent passer plus de temps à enquêter sur les activités suspectes et à identifier les bons destinataires de l’argent.
La surveillance des transactions est un goulot d’étranglement traditionnel pour les entités de conformité. En fait, enquêter sur les transactions peut être un processus lourd, tandis que trouver des sujets pertinents peut être fastidieux. Ce n’est un secret pour personne que les criminels utilisent constamment de nouvelles méthodes pour déplacer de l’argent et essaient de se fondre dans les flux de trésorerie fous associés à la panique économique mondiale en cours. Cependant, l’utilisation d’une solution automatisée vous permet de définir des règles personnalisées pour détecter les comportements suspects et anormaux et identifier les transactions qui portent de l’argent sale.
Pendant la crise du COVID-19, les rançongiciels ont été repris par des criminels pour de l’argent. Vous devez en être conscient et vous y préparer. Sinon, les conséquences pourraient être désastreuses pour toute institution financière impliquée de quelque manière dans ces stratagèmes frauduleux. LIEN
Ransomware ou rançongiciel en français est un logiciel malveillant qui prend en otage des données. Le ransomware crypte et bloque les fichiers sur votre ordinateur et nécessite une rançon en échange d’une clé qui leur permet de les décrypter. Le ransomware, qui est apparu pour la première fois en Russie, s’est répandu dans le monde entier, principalement aux États-Unis, en Australie et en Allemagne. Souvent, le ransomware s’infiltre sous la forme d’un ver informatique, via un fichier téléchargé ou reçu par e-mail, et crypte les données et les fichiers de la victime. Le but est d’extorquer une somme d’argent qui est le plus souvent payée par monnaie virtuelle pour éviter les traces. LIEN
Depuis plusieurs années, je vous parle du double effet RGPD chez les pirates. Le double effet d’une cyber-attaque de ransomware. Voici le troisième effet, la vente aux enchères de données volées.
Je dois admettre que je n’ai pas vu venir ce troisième effet RGPD provenant de pirates informatiques et d’opérateurs de transomware. Le double effet du règlement général sur la protection des données étant annoncé depuis plusieurs années, ce troisième effet est encore plus « inquiétant ».
Le premier effet est d’héberger des machines et des fichiers en les chiffrant. Vous payez pour le décryptage des documents pris en otage. Un « classique » du chantage numérique. Des groupes comme Rex Mundi en sont devenus les maîtres en 2015.
Le deuxième effet, la menace de pirates informatiques révélant vos informations pour « alerter » les autorités.
Le troisième effet, les ventes de données volées aux enchères.
Si depuis des années je rencontre des magasins sur les marchés noirs qui se spécialisent dans ce type d’entreprise d’achat et de vente d’informations sensibles et en interne pour une entreprise, la promotion de ce marché est nouvelle.
Enchères
Les premiers à l’annoncer, les opérateurs pirates de Sodinokibi. D’abord, de manière « astucieuse », en menaçant un cabinet d’avocats new-yorkais de divulguer les informations de leurs célèbres clients: Lady Gaga, Madonna, Trump … Dans ce dernier cas, les informations et la demande de rançon ont disparu comme par magie.
Selon Lady Gaga, selon les pirates, quelqu’un aurait payé (le label? L’artiste? Un fan?). Pour Madonna, Sodinokibi réclame comme prix de départ, 1 million de dollars. Ils viennent d’annoncer les diffusions du 3 juin prochain sur les stars américaines.
Deux semaines plus tard, arrive le marché des pirates. Ils ont créé une section de leur entreprise qu’ils ont appelée «Vente aux enchères». Conclusion, nous sommes confrontés à une salle d’enchères pour les données volées à des entreprises qui n’ont pas payé les deux premiers chantage.
Dépôt de garantie de 5 000 $
Le système de hacker est très professionnel. Nous constatons qu’ils ne sont pas à leur première tentative. J’avouerais même, sans trop en dire, que leur système a déjà été vu sur deux marchés noirs, comme la gestion et la création d’un compte participant.
Le site pirate génère automatiquement un mot de passe unique pour participer aux enchères! – Source: zataz.com
Pour participer à l’enchère, il vous suffit de vous inscrire. Après avoir passé un captcha anti-bot, un identifiant de connexion de type 92829, un mot de passe et une adresse de transaction dans la crypto-monnaie Monero (XMR) sont générés automatiquement et de manière aléatoire. Une monnaie qui est devenue depuis quelques semaines la référence des voyous 2.0 abandonnant le Bitcoin. Vous remarquez dans ma capture d’écran ci-dessous que le système pirate peut changer de devise.
Une adresse de paiement dans Monero est générée par. Acheteur. Les Pirates exigent une caution de 5 000 $.
Concernant une vente notariée légitime, un acompte est demandé. C’est 5 000 dollars américains. « Avant de pouvoir enchérir, vous devez envoyer une caution », ont expliqué les pirates. Si quelqu’un d’autre gagne ce prix, votre dépôt sera remboursé. Ne t’inquiète pas. Vous verrez votre dépôt et toutes vos transactions. Si vous gagnez un prix mais ne payez pas votre mise, vous perdrez votre dépôt. »
Ransomware: Le groupe reconnaît une cyberattaque sur ses serveurs Congo le 14 mai. Il rend toujours compte des enquêtes en cours sans fournir plus de détails. L’attaquant menace bientôt de divulguer des données volées.
Le groupe Bolloré est apparu sur le blog des opérateurs de ransomware NetWalker ce week-end. L’incident remonte en fait à la mi-mai, mais il ne semble pas toucher autant le groupe que l’une de ses différentes filiales. LIEN
Easyjet est menacé de faillite en raison d’une attaque informatique. La victime du piratage des données personnelles de neuf millions de clients est sollicitée pour 20 milliards d’euros par un cabinet d’avocats qui mène une action collective. LIEN
Lady Gaga, Madonna, Mariah Carey, Bruce Springsteen ou même les membres de U2 pourraient payer le prix d’une attaque de ransomware majeure contre un célèbre cabinet américain.
Le groupe de cybercriminels derrière le rançongiciel REvil / Sodinokibi a une nouvelle cible. Il s’agirait d’un célèbre cabinet d’avocats basé à New York. Il s’appelait Grubman Shire Meiselas & Sacks (GSMS) et il a été victime d’une tentative de chantage la semaine dernière après avoir été infecté par cette rançon.
Le 7 mai, les opérateurs REvil ont envoyé un message au personnel du GSMS sur un portail Web sombre menaçant l’entreprise de divulguer des fichiers sur ses clients, des fichiers que le gang REvil a volés du réseau interne de l’entreprise. avocats avant de crypter.
Les captures d’écran publiées sur le site suggéraient que des pirates avaient volé des documents relatifs à la clientèle de célébrités qui représente GSMS, parmi lesquels des célébrités telles que Lady Gaga, Madonna, Mariah Carey, Nicki Minaj, Bruce Springsteen, U2 ou le duo Outkast .
GSMS a confirmé l’incident et tenté d’extorsion lundi dans une déclaration au site Web de nouvelles de divertissement Variety. Les pirates ont donné à l’entreprise une semaine pour négocier et payer la rançon qui a expiré la nuit dernière lorsque les pirates ont publié un autre message sur leur site Web. Les cybercriminels ont déclaré que GSMS n’avait proposé de payer que 365 000 $ sur les 21 millions de dollars demandés. Conséquence: ce dernier a désormais doublé le besoin de solution à 42 millions de dollars.
