Un employé de Tesla a refusé 1 million de dollars à un espion russe pour pirater l’usine Tesla au Nevada.
Tout commence comme un mauvais roman d’espionnage. Un citoyen russe, Egor Igorevich Kriuchkov, a été arrêté le 22 août à Los Angeles alors qu’il tentait de quitter le pays. Suite à une enquête du FBI, il a été accusé de complot. Il est arrivé aux États-Unis sous le couvert d’un visa de touriste et a affirmé avoir attaqué un pot-de-vin d’un employé d’une entreprise du Nevada. Il lui aurait offert un million de dollars pour infecter le réseau de produits en vrac de l’entreprise.
Ladite société n’est autre que Tesla, comme l’a tweeté son fondateur Elon Musk. « C’était une attaque sérieuse », a déclaré le chef. Moi M. Le plan de Kriuchkov était que l’implantation de ransomwares soit en fait couverte par une attaque DDoS contre l’usine Gigafactory. Et ainsi tromper les équipes informatiques de Tesla.
Combinez sécurité informatique et sécurité
Pour s’adresser à l’employé de Tesla, Kriuchkov l’aurait contacté à l’avance via WhatsApp avant de le rencontrer physiquement à plusieurs reprises du 1er au 3 août, notamment lors d’un voyage au lac Tahos avec d’autres employés de l’entreprise. Après avoir révélé son plan, le Russe aurait donné à l’employé un appel téléphonique unique et lui aurait demandé de le laisser en mode avion jusqu’à ce que les fonds soient transférés. En contrepartie de cette compensation, l’employé devait soit introduire un ransomware via une clé USB ou en cliquant sur une pièce jointe dans un e-mail, mais aussi fournir des informations en amont sur le réseau de Tesla pour améliorer la charge.
L’acte d’accusation a enregistré une discussion entre Egor Igorevich Kriuchkov et le collaborateur de Tesla, dans laquelle le citoyen russe se vantait d’avoir été impliqué dans deux projets similaires. Les entreprises ont généralement négocié une rançon et donnent l’exemple d’une entreprise qui a finalement payé 4 millions de dollars au lieu de 6. Il peut évoquer le cas de Carlson Wagonlit Travel, soupçonné d’avoir payé 4,5 millions de dollars. dollars. L’homme peut être lié au gang derrière le ransomware Ragnar Locker. Dans tous les cas, pour avoir tenté de soudoyer un employé de Tesla, il encourt jusqu’à 5 ans de prison et une amende de 250000 $.
Cette affaire montre que les opérateurs de ransomwares tentent par tous les moyens de pénétrer les réseaux des grandes entreprises. Dans ce contexte, la sécurité informatique ne suffit pas et il est important que les services travaillent également avec la sécurité physique.
L’absence de protocole rend les entreprises vulnérables aux cyberrisques
Les experts en sécurité informatique de Proofpoint ont publié les résultats de l’analyse DMARC (Domain-Based Message Verification Reporting and Compliance) montrant dans quelle mesure les compagnies aériennes sont exposées aux cyberattaques.
Réalisée sur 296 compagnies aériennes membres de l’Association du transport aérien international (IATA), qui représente 82% du trafic mondial, l’étude montre que 61% des compagnies aériennes n’ont pas de registre DMARC publié, ce qui les rend plus vulnérables aux cybercriminels, il s’agit de voler leur identité et ainsi d’augmenter le risque de fraude par e-mail. LIEN
L’Agence du revenu du Canada (ARC) a dû suspendre ses services en ligne dimanche après avoir été la cible de deux cyberattaques au cours desquelles des pirates ont utilisé des milliers d’identités et de mots de passe frauduleux pour obtenir des avantages et accéder aux renseignements personnels des Canadiens.
Environ 5 500 comptes de l’ARC ont également été la cible d’une cyberattaque «bloquant la légitimité». Ce type de cyberattaque utilise des noms d’utilisateur et des mots de passe collectés lors de piratages de comptes précédents et tire parti du fait que de nombreux internautes utilisent les mêmes mots de passe pour plusieurs de leurs comptes.
L’accès à tous les comptes concernés a été suspendu afin de protéger les informations des contribuables canadiens. Le service en ligne «Mon dossier» de l’Agence du revenu du Canada n’était pas disponible dimanche matin.
Cette décision intervient à un moment où de nombreuses entreprises et citoyens canadiens utilisent le site Web de l’agence pour s’inscrire à divers programmes financiers mis en place pour les aider pendant la pandémie du COVID-19.
Selon un haut fonctionnaire fédéral, le gouvernement espère rétablir le service en ligne aux entreprises d’ici lundi. C’est à partir de cette date qu’ils ont pu souscrire aux derniers services d’assistance qui leur étaient destinés. On ne sait pas si la suspension des services aura un autre impact sur les programmes fédéraux tels que l’Allocation canadienne pour enfants et l’Allocation canadienne d’urgence.
L’ARC reste vague sur ce que les victimes de ces cyberattaques doivent faire pour restaurer leurs comptes. Elle dit simplement qu’une lettre leur sera envoyée.
Au moins une victime dit qu’elle attend toujours les nouvelles du gouvernement après que quelqu’un a déjà piraté son compte de l’ARC pour s’inscrire avec succès à la prestation d’urgence mensuelle du Canada de 2 000 $.
Leah Baverstock de Kitchener, en Ontario, dit qu’elle a découvert que son compte avait été piraté lorsqu’elle a reçu plusieurs courriels de l’ARC le 7 août annonçant que sa demande de PKU avait été acceptée. Cependant, elle n’a pas perdu son emploi pendant la pandémie et n’a jamais fait une telle demande. Elle a également appelé l’agence.
«La dame à qui je parlais a pensé que c’était bizarre», dit-elle. Elle m’a alors dit qu’un de ses supérieurs devait m’appeler dans les 24 heures car mon compte n’était pas disponible. Et je n’en ai pas entendu plus. «
Mme Baverstock a exprimé sa frustration face à ce manque de suivi. Elle dit toujours qu’elle ne sait pas comment les pirates ont pu accéder à son compte. Elle a contacté sa banque et d’autres institutions financières pour leur demander d’empêcher les pirates d’utiliser ses informations personnelles pour commettre d’autres fraudes. «Je suis très inquiet. Tout le monde peut utiliser mon nom. Qui sait ? «
Les services en ligne du gouvernement fédéral qui utilisent GCKey pour y accéder ont été la cible de cyberattaques affectant 14 541 comptes, a déclaré samedi le Secrétariat du Conseil du Trésor du Canada dans un communiqué.
Utilisé par près de 30 ministères fédéraux, GCKey donne aux Canadiens accès à des services comme mon compte ou leurs comptes d’immigration, de réfugiés et de citoyenneté au Canada. Les mots de passe et noms d’utilisateur de 9 041 Canadiens ont été acquis frauduleusement et utilisés pour tenter d’accéder aux services publics.
«Tous les comptes GCKey concernés ont été annulés dès que la menace a été détectée», selon le gouvernement fédéral, qui garantit que les ministères concernés communiqueront avec les Canadiens touchés par cette cyberattaque.
La Gendarmerie royale du Canada (GRC) et le Commissariat du Canada à la protection de la vie privée ont été informés de ces cyberattaques visant les renseignements personnels des Canadiens. LIEN
Le gendarme européen de la cybersécurité a été alerté en début d’année sur la sécurité informatique dans les hôpitaux. Liste des recommandations à suivre pour assurer la sécurité de leur réseau informatique.
L’UE fournit dix conseils pour protéger les hôpitaux contre les cyberattaques
Les hôpitaux deviennent une cible de plus en plus tentante pour les cybercriminels. D’autant moins depuis la crise sanitaire, qui place le réseau hospitalier et le marché de la santé au premier plan des risques croissants de cyberattaques.
La taille des réseaux hospitaliers, l’importance vitale du parc de PC dans les réseaux qui restent opérationnels, car la manière dont une grande partie des systèmes informatiques liés à la santé fonctionnent sur des systèmes d’exploitation non pris en charge signifie que la protection des hôpitaux contre les cyberattaques devient de plus en plus compliquée tâche aujourd’hui.
Les pirates informatiques en profitent, soit pour distribuer des ransomwares, soit pour tenter de voler des informations personnelles sensibles aux patients. Pour lutter contre ces menaces croissantes, l’ENISA, l’agence européenne de cybersécurité, a publié en début d’année une liste de recommandations destinées aux responsables informatiques des hôpitaux. Bien que cette liste s’adresse principalement au secteur de la santé, la plupart des recommandations émises par Bruxelles ont une portée plus large.
« Protéger les patients et assurer la résilience de nos hôpitaux est une partie essentielle du travail de l’Agence pour rendre le secteur européen de la santé cyber-sûr », a déclaré Juhan Lepassaa, PDG de l’ENISA, entre autres. Le document intitulé «Directives pour la passation de marchés pour la cybersécurité dans les hôpitaux» recommande dix bonnes pratiques pour rendre le secteur de la santé plus résilient aux cyberattaques.
Impliquer le service informatique dans les achats
Cela semble évident, mais impliquer l’informatique dans l’approvisionnement dès le départ garantit que la cybersécurité est prise en compte dans toutes les phases du processus d’approvisionnement technologique. Ce faisant, des recommandations peuvent être faites sur la manière dont les nouvelles technologies s’intègrent dans le réseau existant et quelles mesures de sécurité supplémentaires peuvent être nécessaires.
Mettre en place un processus d’identification et de gestion des vulnérabilités
Nous vivons dans un monde imparfait, et il existe des produits qui contiennent des vulnérabilités, connues ou non encore découvertes. Avoir une stratégie en place pour faire face aux vulnérabilités tout au long du cycle de vie d’un appareil peut aider l’équipe de sécurité à se tenir au courant des problèmes de sécurité potentiels.
Développer une politique de mise à jour matérielle et logicielle
Les chercheurs en sécurité découvrent souvent de nouvelles vulnérabilités dans les appareils et les systèmes d’exploitation. Cependant, le réseau informatique de l’hôpital a toujours été incapable de garantir l’utilisation des correctifs – et c’est l’une des raisons pour lesquelles le ransomware WannaCry a eu un tel impact sur le NHS, le service public de la santé à travers le canal.
Le document, publié par Bruxelles, recommande donc aux services informatiques de déterminer le moment le plus approprié pour appliquer les correctifs dans chaque segment du réseau, ainsi que de déterminer des solutions pour les machines qui ne peuvent pas être réparées, par ex. Segmentation.
Renforcez les contrôles de sécurité pour la communication sans fil
L’accès aux réseaux hospitaliers doit être limité par des contrôles stricts, ce qui signifie que le nombre d’appareils connectés doit être surveillé et connu afin que tout appareil inattendu ou indésirable essayant d’y accéder soit identifié. Le document publié par les autorités européennes recommande que le personnel non autorisé n’ait pas accès au Wi-Fi et que les mots de passe réseau soient conçus pour être forts et difficiles à déchiffrer.
Création de politiques de test plus strictes
Les hôpitaux qui acquièrent de nouveaux produits informatiques devraient établir un ensemble minimum de tests de sécurité à effectuer sur les nouveaux appareils ajoutés aux réseaux – y compris des tests de pénétration, une fois ajoutés au réseau, pour prendre en compte les tentatives des pirates. abuser.
Créez des plans d’affaires pour la continuité
Des plans de continuité des activités doivent être élaborés chaque fois qu’une défaillance du système menace de perturber les services hospitaliers de base – qui dans ce cas sont les soins aux patients – et le rôle du prestataire dans ces cas. doit être bien défini.
Prendre en compte les problèmes d’interopérabilité
La capacité des machines à transmettre des informations et des données est essentielle au bon fonctionnement des hôpitaux, mais elle peut être compromise en cas de cyberattaque ou de temps d’arrêt. L’hôpital doit avoir des plans de sauvegarde au cas où cette opération serait compromise.
Autoriser le test de tous les composants
Les systèmes doivent être testés régulièrement pour s’assurer qu’ils offrent une bonne sécurité en combinant convivialité et sécurité – par exemple, le service informatique doit s’assurer que les utilisateurs n’ont pas changé des mots de passe complexes pour des mots de passe plus simples. Tout cela doit être pris en compte lors des tests, explique le document fourni par l’ENISA.
Autoriser l’audit des réseaux informatiques La conservation des journaux des tests et de l’activité du réseau permet de suivre plus facilement ce qui s’est passé et comment les attaquants ont accédé au système en cas de compromission, ainsi que d’évaluer quelles informations ont été compromises. «La sécurisation des journaux est l’une des tâches de sécurité les plus importantes», explique le document.
Avec un ransomware, le group Nefilim ont attaqué le groupe SPIE en juillet. Si le groupe a réussi à récupérer ses systèmes, des données volées sont diffusées depuis hier par des attaquants.
Le groupe SPIE ciblé par les ransomwares en juillet
Le groupe SPIE n’a pas échappé à la vague de ransomwares qui a touché les entreprises françaises en juillet. Comme le rapporte leMagIT, le groupe SPIE, spécialisé dans les réseaux d’énergie et de télécommunications, a été pris pour cible par les opérateurs de rançongiciels Nefilim début juillet. Le ransomware a été activé dans la nuit du 13 au 14. Juillet et a bloqué plusieurs serveurs Windows du groupe, provoquant un «temps d’arrêt des applications métier», selon un porte-parole de Spie. L’entreprise précise néanmoins que l’impact opérationnel est resté très limité et que les équipes se sont immédiatement activées pour remettre en service les systèmes concernés.
Comme c’est maintenant le cas avec les attaques de ransomwares, cela a également entraîné le vol de données. Hier, les opérateurs de ransomware nefiliim ont commencé à placer sur leur blog des archives sur des fichiers qu’ils prétendent volés sur les serveurs du groupe. Une archive 10go est proposée et le blog montre que cette archive n’est que la première partie des données publiées. Le groupe SPIE, pour sa part, confirme que « des données internes et des données d’un nombre très limité de clients peuvent avoir été volés » et assure avoir pris contact avec les clients concernés.
La distribution en ligne de données volées n’est pas une bonne nouvelle pour SPIE, mais cela indique que l’entreprise a choisi de ne pas payer la rançon exigée par les cybercriminels et a réussi à remettre ses systèmes en marche sans récupérer la clé de décryptage utilisée par les ransomwares.
Le groupe Nefilim avait déjà été à l’origine de l’attaque d’Orange Business Services début juillet.
Coveware collecte des données mondiales sur les ransomwares et la cyber-extraction pour minimiser les coûts et les temps d’arrêt associés.
Une réponse professionnelle et transparente aux incidents de ransomware. Lorsque le ransomware arrive et que les sauvegardes échouent.
Coveware vous aide à vous concentrer sur votre récupération en interne, tandis que les équipes de professionnels de Coveware gèrent le processus de négociation de cyber-chantage et de récupération de données cryptées par le ransomware. Laissez les experts ransomware guider votre entreprise pour une récupération sûre, compatible et rapide des ransomwares.
Il y a quelques jours, Garmin a été victime d’une cyberattaque de type ransomware. En raison de ce dernier, les utilisateurs de nombreux services Garmin ne pouvaient pas accéder aux services des appareils. Il semble que l’entreprise ait payé une partie de la rançon demandée par les pirates en échange des données volées.
Canon a été victime d’une attaque de pirates. Grâce aux ransomwares, les pirates auraient détourné 10 To de données sur les serveurs de l’entreprise. Le lot concerne à la fois les données internes et les données clients.
Un mémo interne envoyé par Canon à ses employés révèle qu’une attaque de ransomware Maze a ciblé plusieurs sites Web et services Internet du groupe.
Sécurité: les attaques de ransomwares ciblant Garmin et CarlsonWagonLit ont apparemment porté leurs fruits pour les cybercriminels. Dans les deux cas, les preuves suggèrent que les entreprises ont effectivement payé les rançons requis.
Officiellement personne ne paie de rançon
La société Garmin a été prise pour cible le 23 juillet par des attaquants utilisant le ransomware WastedLocker, un correctif apparu en mai 2020 et apparemment lié au groupe Evil Corp. L’attaque a complètement incarné les systèmes de l’entreprise, qui offrent des services GPS utilisés à la fois dans plusieurs appareils connectés et dans des applications utilisées dans l’aviation. La semaine dernière, Garmin a annoncé un « retour progressif aux opérations » après une longue semaine de silence radio.
Comme le rapporte Bleeping Computer, cela n’est pas dû au retour à la normale, notamment à la compétence et à la prévoyance des équipes informatiques de l’entreprise: le magazine britannique explique qu’il a pu accéder au logiciel de décryptage utilisé par les équipes Garmin pour récupérer ‘accès aux business units.
«Une fois que ce package de récupération a été déballé, il contient divers installateurs de logiciels de sécurité, une clé de déchiffrement, un déchiffreur WastedLocker et un script pour les exécuter», explique Bleeping Computer, notant que la clé de déchiffrement et le déchiffreur ont probablement été obtenus grâce au paiement d’une rançon.
Bleeping Computer rapporte également que le package comprend des références à Emsisoft et Coveware, deux sociétés américaines de cybersécurité spécialisées dans les ransomwares. Coveware fait une offre de soutien aux victimes de ransomwares, et une étude de Propublica l’année dernière a révélé que l’entreprise se positionnait souvent comme un médiateur dans les négociations entre victimes et attaquants. Emsisoft propose de développer un logiciel de décryptage pour les victimes qui ont réussi à récupérer la clé de cryptage de l’attaquant mais qui préfèrent éviter d’utiliser le logiciel de décryptage fourni par l’attaquant. Les deux sociétés ont donc probablement aidé Garmin à récupérer la clé de cryptage et à récupérer les machines affectées par les ransomwares.
Le montant exact de la rançon versée par Garmin n’est pas connu, mais selon des sources internes de l’entreprise citées par la presse américaine, les attaquants ont initialement demandé 10 millions de dollars.
Garmin a mis la main dans le pot de confiture, mais ils peuvent se réconforter en pensant qu’ils ne sont pas les seuls cette semaine. En fait, la société Carlson Wagonlit Travel (CWT) a également été ciblée sur les ransomwares: cette fois, il s’agit d’un groupe utilisant le ransomware RagnarLocker. Vendredi dernier, le groupe CWT s’est contenté d’évoquer « une attaque informatique » et a refusé de commenter le sujet tel que rapporté par LeMagIT.
Mais les chercheurs en sécurité ont découvert, jeudi 30 juillet, sur le service VirusTotal, un échantillon de produits de rançon RagnarLocker contenant une rançon spécifiquement adressée à CWT. Cela a été téléchargé sur le service de découverte le 27 juillet. Le chercheur de MalwareHunterTeam, JamesWT, qui a découvert l’échantillon, retrace également les transactions qui ont eu lieu à l’adresse bitcoin fournie par l’attaquant en rançon. Et cela indique avoir reçu un paiement de 414 bitcoins, soit 4,5 millions de dollars par. 28 juillet: sur la blockchain Bitcoin, toutes les transactions sont enregistrées et sont accessibles au public.
Alors que le distributeur du ransomware GrandCrab vient d’être arrêté en Biélorussie, les auteurs de ce ransomware sont toujours en cours d’exécution.
Un distributeur de ransomware GandCrab arrêté en Biélorussie
Les autorités biélorusses viennent d’annoncer l’arrestation d’un homme de 31 ans accusé de distribution de ransomware depuis GandCrab. L’homme, dont l’identité n’a pas été révélée, a été arrêté à Gomel, une petite ville du sud-est de la Biélorussie, à la frontière avec la Russie et l’Ukraine. Les autorités ont déclaré que l’homme n’avait pas été condamné avant son arrestation, mais s’était inscrit à un forum de piratage pour devenir un affilié au ransomware GandCrab.
Ce dernier aurait loué l’accès à un panel web avec des paramètres modifiés pour obtenir une version personnalisée de GandCrab, qu’il enverrait ensuite sous forme de fichiers capturés à d’autres internautes via des techniques de spam. Les victimes qui ont ouvert les fichiers ont été infectées et ont vu leurs fichiers chiffrés, les forçant à payer une rançon pour obtenir une application de déchiffrement et récupérer leurs fichiers.
Les autorités biélorusses ont déclaré que le suspect avait infecté plus de 1 000 ordinateurs alors qu’il était affilié à GandCrab. Pour chaque victime, le suspect a exigé environ 1200 dollars payés en bitcoins, sans préciser combien. Le directeur adjoint de la division criminelle de haute technologie du ministère biélorusse de l’Intérieur, Vladimir Zaitsev, a déclaré que le suspect avait infecté des victimes dans plus de 100 pays, dont la plupart sont situés en Inde, aux États-Unis, en Ukraine, en Angleterre, en Allemagne, en France, en Italie et en Russie.LIEN
La société CWT, spécialisée dans les voyages d’affaires, a été victime du ransomware Ragnar Locker et aurait payé 4,5 millions de dollars pour reprendre ses activités normales.
Carlson Wagonlit Travel a choisi la voie des négociations depuis Ragnar Locker.
Constatons-nous un pic de l’activité des ransomwares cet été? C’est la question que l’on peut se poser à la lumière des différents cas. Le dernier après Garmin, Carlson Wagonlit Travel (CWT), spécialiste des voyages d’affaires, a également été attaqué par un ransomware. Selon Reuters, la société a payé 4,5 millions de dollars pour redémarrer les 30 000 PC recroquevillés par l’attaque. De plus, les hackers auraient téléchargé 2 To de données, dont certaines sont considérées comme sensibles (informations de facturation, souscriptions d’assurance, comptes, etc.).
Si CWT a confirmé avoir subi un «cyber incident», la société nie le vol de données. Un moyen de rassurer les clients qui comprend de nombreuses grandes entreprises comme Axa Equitable, Abbot Laboratories, AIG, Amazon, Facebook ou Estée Lauder. Le groupe a ouvert une enquête sur les attaques et les évasions, mais la reprise aurait été particulièrement rapide.
Ragnar Locker et une négociation de rançon publique
Selon JameWT de l’équipe Malware Hunter, le ransowmare impliqué est Ragnar Locker. Ce dernier n’est pas étranger et utilise les vulnérabilités RDP dans Microsoft Windows. Dernièrement, il a même réussi à se camoufler comme une machine virtuelle. Le poids lourd de l’énergie portugais EDP (Energias de Portugal) en avait fait les frais: des cyber-hackers parvenaient à accéder à 10 To de données sensibles, et une rançon de près de 11 millions de dollars (1580 bitcoins) avait alors été demandée.
Dans le cas de CWT, les pirates ont initialement exigé le paiement de 10 millions de dollars en bitcoin. Nos collègues de Reuters ont pu observer l’échange entre les pirates et le responsable de la société (dans ce cas le CFO) dans un groupe de discussion public en ligne. DAF a expliqué que la société avait été durement touchée par la pandémie de Covid-19 et avait donc accepté de payer 4,5 millions de dollars soit 414 bitcoins. Le paiement a été réglé le 28 juillet. Avec humour, les hackers ont même donné à CWT quelques conseils de sécurité « fermer RDP et autres services, mettre en place une liste blanche IP (rdp / ftp), installer un EDR, avoir au moins 3 administrateurs fonctionnant 24h / 24… ». Après Garmin, l’affaire CWT montre que de plus en plus d’entreprises n’hésitent pas à payer une rançon pour reprendre rapidement leurs activités. Les effets de la pandémie de Covid-19 ont affaibli les entreprises et elles ne peuvent pas se permettre une longue procédure.
