Catégories
Attaque hyères informatique prix Ransomware Sécurité Service informatique

Le géant mondial de la viande JBS paie aux pirates 11 millions de dollars de rançon

Selon les autorités américaines, JBS a été victime d’une attaque de ransomware fin mai par une « organisation criminelle probablement basée en Russie »

Les cyberattaques peuvent coûter très cher. La question devrait même être au menu de la rencontre entre Joe Biden et Vladimir Poutine le 16 juin à Genève. Pendant ce temps, le géant mondial de la viande JBS, victime d’une attaque fin mai, a déclaré mercredi avoir payé une rançon de 11 millions de dollars en bitcoins à des pirates.

Le géant mondial de la viande JBS paie aux pirates 11 millions de dollars de rançon

JBS avait déclaré aux autorités américaines qu’il était la cible d’une cyberattaque de ransomware d’une « organisation criminelle peut-être basée en Russie », selon la Maison Blanche. Les serveurs sur lesquels reposent ses systèmes informatiques en Amérique du Nord et en Australie avaient été visés, paralysant notamment les activités du groupe en Australie et suspendant certaines lignes de production aux Etats-Unis.

L’entreprise est loin d’être un cas isolé. Le groupe Colonial Pipeline, également cible d’une telle attaque début mai, a reconnu avoir versé aux pirates 4,4 millions de dollars. Lundi, les autorités américaines ont annoncé avoir récupéré une partie de la somme.

« Ce fut une décision très difficile pour notre entreprise et pour moi personnellement », a déclaré Andre Nogueira, patron de la filiale américaine, dans un communiqué. « Cependant, nous avons estimé que cette décision devait être prise pour prévenir tout risque potentiel pour nos clients », a-t-il poursuivi. « Au moment du paiement, la grande majorité des installations de l’entreprise étaient opérationnelles », a déclaré JBS, l’une des plus grandes entreprises alimentaires au monde. Il s’agissait de « s’assurer qu’aucune donnée ne soit exfiltrée » et « d’éviter des problèmes imprévus liés à l’attaque », selon le groupe.

Catégories
Aérien Android Apple Association Attaque Bitcoins COVID-19 Ekans Entreprise de construction Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange presse prix Ragnar Locker Ransomware revil Ryuk Sécurité Service informatique Shade sodinokibi SolarWinds Sunburst Technologie ThiefQuest Uncategorized vidéo

Comment la vulnérabilité informatique est-elle mesurée?

Le score CVSS est utilisé presque systématiquement pour évaluer le danger des vulnérabilités. Mais savez-vous quel calcul se cache derrière le score sur 10?

Il faut dire que la cybersécurité regorge de termes spécifiques et autres acronymes (et anglophones, d’ailleurs) pour qualifier les scénarios d’attaque. On parle de RCE, XSS, de « web shell » ou même d’élévation de privilèges. Les balles d’avertissement sont le plus souvent destinées aux spécialistes et n’utilisent que du jargon. Ils soulignent rarement les risques concrets qu’une nouvelle vulnérabilité pose au public.

SUITE… Avec Numerama.com

Catégories
Hôpital hyères informatique Ransomware Sécurité Service informatique Technologie

L’Etat alloue 350 millions d’euros au renforcement de la sécurité informatique des structures hospitalières.

«Depuis le début de l’année, un établissement de santé est victime d’une cyberattaque chaque semaine», a déploré Olivier Véran, avant de laisser entendre que l’État utiliserait «très rapidement» 350 millions d’euros pour renforcer les systèmes de protection informatique des hôpitaux français. groupes, un montant prélevé sur «l’enveloppe numérique» de Ségur de la Santé supérieur à 25 millions d’euros alloué à l’Agence nationale de sécurité des systèmes d’information (ANSSI) pour réaliser des audits et accompagner les établissements de santé.

Cybersécurité dans les hôpitaux

Bien que la pandémie de coronavirus ait secoué la majorité des gens, des industries et même l’État … à l’exception des pirates. En fait, même en pleine crise sanitaire, ces personnes sans scrupules se sont multipliées par les cyberattaques.

Les hôpitaux de Dax (Landes) et de Villefranche-sur-Saône font partie des hôpitaux qui ont subi des cyberattaques. Pire encore, ils ont perturbé les chirurgies et même l’accès des patients aux urgences. Face à ce fléau, le ministre des Solidarités et de la Santé Olivier Véran et le secrétaire d’Etat au Numérique, Cédric O, se sont rendus à l’hôpital de Villefranche-sur-Saône pour rencontrer le personnel soignant et présenter des mesures de sécurisation des réseaux informatiques des hôpitaux.

Cybersécurité Hyères

Le gouvernement aurait effectivement débloqué un budget de 350 millions d’euros de Ségur de Santé, une consultation qui a eu lieu en mai 2020, qui portait sur la révision du secteur de la santé et les mesures de sécurité à prendre pour protéger les hôpitaux contre les cyberattaques.

Apparemment, l’État a l’intention de procéder d’abord à des audits pour soutenir les hôpitaux dans leur processus de sécurité. Par ailleurs, le gouvernement souhaite également accélérer la mise en place du service national de cybersurveillance en coopération avec l’Agence du Numérique en Santé (ANS). Pour rappel, ce dispositif vise à détecter les points faibles du système d’information de l’hôpital afin d’y remédier au plus vite.

1 milliard de l’État

Emmanuel Macron souhaite renforcer la sécurité des entreprises, des hôpitaux et des administrations tout en augmentant le nombre de cyberattaques dans le monde. Le secteur est exhorté par l’État à doubler ses effectifs en quatre ans

Ce service a été mis en place en 2020 et priorise les demandes de 136 groupes hospitaliers de territoire (GHT).

Bien que l’État ait mis en place des mesures pour protéger les hôpitaux contre les cyberattaques, les conditions d’obtention des aides d’État sont nombreuses. D’autant plus que cette aide suscite au final plus de critiques car elle ne garantit finalement aucune protection des établissements de santé.

Catégories
Aérien hyères informatique Sécurité Service informatique Technologie

Les cyberattaques contre le fournisseur Sita affectent les compagnies aériennes du monde entier

Sita, fournisseur de services informatiques pour 90% des compagnies aériennes, met en garde contre un « incident de sécurité des données » après avoir été victime d’une « attaque très sophistiquée ».

Sita, le fournisseur informatique de l’industrie aéronautique mondiale, confirme avoir été victime d’une cyberattaque. Les attaquants ont eu accès aux informations personnelles des passagers aériens.

La société de technologie de l’information et de la communication, qui prétend desservir environ 90% des compagnies aériennes du monde, affirme que le 24 février 2021, une cyberattaque a entraîné un « incident de sécurité des données » impliquant des données de passagers stockées sur les serveurs SITA Passenger. Service System Inc. (qui gère le traitement des données des billets d’avion et des passagers) à Atlanta, Géorgie, États-Unis.

Dans un communiqué, la société a décrit l’incident comme une « attaque très sophistiquée » et a déclaré qu’elle « avait agi rapidement » pour contenir l’incident, qui fait toujours l’objet d’une enquête par l’équipe de sécurité de Sita avec des experts externes en cybersécurité.

Certaines compagnies aériennes ont détaillé les informations auxquelles les attaquants avaient accès pendant l’attaque, en mentionnant que des données sur les voyageurs fréquents – telles que leur nom, leur statut et leur numéro de membre – ont été volées.

Un e-mail envoyé aux clients d’Air New Zealand indique que la violation de données n’inclut pas les mots de passe, les informations de paiement, les informations de passeport ou les adresses de contact.

Le chiffre exact du nombre de passagers touchés par l’infraction reste incertain car Sita n’a pas encore répondu publiquement à la question. Mais un article publié dans The Guardian suggère que des centaines de milliers de passagers auraient pu se faire voler leurs informations.

«Nous reconnaissons que la pandémie de Covid-19 a soulevé des inquiétudes quant aux menaces à la sécurité, et que dans le même temps, les cybercriminels sont devenus plus sophistiqués et plus actifs», affirme la société.

Les compagnies aériennes unies dans le cadre de la Star Alliance, notamment Singapore Airlines, Air New Zealand et Lufthansa, ont mis en garde les passagers contre les violations de données Sita. C’est également le cas de certaines compagnies aériennes de la One World Alliance, notamment Malaysia Airlines, Finnair, Japan Airlines et Cathay Pacific. La compagnie aérienne sud-coréenne JeJu Air a également envoyé un e-mail à ses passagers au sujet de l’incident.

Sita n’a pas confirmé la nature exacte des informations auxquelles les pirates ont accès.

Catégories
Attaque Etude Hôpital hyères informatique Mac Mairie maze Orange presse prix Ragnar Locker Ransomware Ryuk Service informatique Technologie Uncategorized

Des auteurs de ransomwares arrêtés en Ukraine

La police ukrainienne a arrêté le 9 février plusieurs membres d’un groupe de cybercriminels à l’origine de plusieurs attaques informatiques dans le monde, dont le quotidien Ouest France, la police et des sources proches ont raconté l’affaire ce jeudi.

Cette « opération internationale », menée en coordination avec les policiers français et ukrainiens ainsi qu’avec le FBI, a mis un terme à la diffusion du ransomware appelé « Egregor », décrit la police dans un communiqué.

Piratage informatique

Au moins 150 entreprises ont été attaquées, principalement aux États-Unis et en Europe, avec des pertes estimées à environ 66 millions d’euros, selon les premiers éléments de l’étude publiée par les services de sécurité ukrainiens (SBU). Selon une source proche du dossier, au moins trois personnes ont été arrêtées dans cet acte. Les domiciles des suspects ont été perquisitionnés et le matériel informatique saisi est « toujours utilisé » par les enquêteurs français envoyés sur les lieux, selon la police.

Les solutions de sécurité informatique Hyères

C’est un rapport d’Europol en septembre qui a conduit le parquet de Paris à ouvrir une enquête en France, remise à la sous-direction cybercriminalité (SDLC). Le groupe a pratiqué la technique de la « double extorsion »: d’une part le cryptage et le vol des données de l’entreprise ciblée, d’autre part la menace de publier ces données compromises sur un site internet si l’entreprise refusait de payer une rançon en bitcoins, le la plus célèbre des monnaies virtuelles.

Le ransomware s’est propagé par pré-intrusion « via l’envoi d’e-mails de phishing et un accès à distance Windows mal sécurisé au bureau », a déclaré la police française. Particulièrement sophistiqué, « Egregor » pourrait prendre le contrôle des imprimantes connectées aux ordinateurs infectés et imprimer la rançon, « amplifiant encore l’impact psychologique de l’extorsion », a déclaré la même source.

Plusieurs entreprises françaises ont été visées par «Egregor», dont le quotidien Ouest France, le transporteur Gefco et le géant du jeu vidéo Ubisoft. Deux attaques de ransomware ont été ciblées ces derniers jours contre des hôpitaux de Villefranche-sur-Saône (Rhône) et de Dax (Landes), mais elles ne portent pas la signature «Egregor». Il a travaillé sur le modèle du logiciel à la demande (Raas, Ransomware as a Service): ses créateurs l’ont mis à disposition d’autres hackers, «affiliés», qui ont pris la responsabilité des attaques avant de partager les bénéfices.

Les détenus font partie « plutôt que de l’équipe de conception et de production », a déclaré Catherine Chambon, directrice adjointe de la lutte contre la cybercriminalité à la magistrature centrale. Si Catherine Chambon qualifie l’opération contre «Egregor» de «démantèlement assez efficace», elle exhorte à rester «très prudente et modeste» sur ce qui ressemble à «un brouillard».

L’origine du mal

Selon l’Agence nationale de sécurité des systèmes d’information (Anssi), « Egregor serait lié à la fin de l’activité du groupe d’attaquants derrière le ransomware Maze », notamment à l’origine d’une attaque contre Bouygues Construction en janvier 2020. À son tour,  » Egregor « pourrait-il renaître sous une autre forme? « Il est possible que ce soit la vie d’un ransomware », a répondu Catherine Chambon. «L’idée est de mettre progressivement en sécurité les cybercriminels afin qu’ils se sentent moins impunis. Même si, une fois qu’il y a un crime, il a peu de chances de disparaître ».

Catégories
hyères informatique Sécurité Service informatique

Les pirates de SolarWinds vendent des gigaoctets de données volées en ligne

Les codes sources de Microsoft, Cisco et SolarWinds ainsi que les outils de piratage de FireEye sont proposés pour un million de dollars.

Code source de Microsoft, Cisco Internal Vulnerability Manager, outils de piratage FireEye, fiche client SolarsWinds … Les prétendus hackers russes de ce hack, qui a touché plus de 250 organisations à travers le monde, viennent de créer le site « solarleaks.net », où ils vendent plusieurs gigaoctets des données volées à des entreprises piratées. Un site a été créé.

Les débits de données sont élevés. Comptez ensuite 600 000 $ pour les données Microsoft, 500 000 $ pour les données Cisco et 250 000 $ pour les données SolarsWinds. Les données de FireEye sont les plus abordables car elles ne valent «que» 50 000 $. L’entrepôt entier est offert pour aussi peu qu’un million de dollars. D’autres données seront publiées dans les semaines à venir. « Pensez-y comme un premier jet », disent les hackers.

Sécuriser votre informatique

Avez-vous un fort sentiment de déjà vu? Oui, cette façon de faire est très similaire au groupe Shadow Brokers, qui en 2016/2017 avait sorti des outils de piratage volés à la NSA et souhaitait en vendre d’autres sur Internet (même sous la forme d’un abonnement mensuel, lol). Si vous êtes intéressé, il est trop tard car l’adresse e-mail et les liens sur le site ne fonctionnent plus.

Quoi qu’il en soit, ce n’est probablement pas une offre de bonne foi. Les pirates de SolarWinds ont probablement été pilotés par une agence de renseignement russe. Le but est donc plus de créer une diversion et de ridiculiser les victimes que de gagner de l’argent.

Catégories
Attaque Etude hyères informatique Non classé presse prix Ransomware Ryuk Sécurité

Ryuk aurait réclamé plus de 150 millions de dollars

Suite à l’invasion d’entreprises à travers le monde, on dit que le groupe de rançongiciels Ryuk a mis 150 millions de dollars dans la poche avec le paiement d’une rançon.

Les opérateurs de ransomware Ryuk auraient gagné plus de 150 millions de dollars en Bitcoin en payant de l’argent de piratage à des entreprises du monde entier.

c’est pas très clair!

La société de renseignement sur les menaces Advanced Intelligence (AdvIntel) et la société de cybersécurité HYAS ont publié jeudi une étude qui suit les paiements effectués sur 61 adresses Bitcoin, précédemment attribuées et liées aux attaques de ransomware de Ryuk.

« Ryuk reçoit une partie importante de la rançon d’un courtier bien connu qui effectue des paiements au nom des victimes du ransomware », affirment les deux sociétés. «Ces paiements s’élèvent parfois à des millions de dollars, mais ils se comptent généralement par centaines de milliers. « 

AdvIntel et HYAS expliquent que les fonds extorqués sont collectés sur des comptes de dépôt, puis transférés au blanchiment d’argent. Ensuite, soit ils retournent au marché noir et sont utilisés pour payer d’autres services criminels, soit ils sont échangés dans un véritable échange de crypto-monnaie.

Mais ce qui a le plus attiré l’attention des enquêteurs, c’est que Ryuk a converti son Bitcoin en véritable monnaie fiduciaire à l’aide de portails de crypto-monnaie bien connus tels que Binance et Huobi – probablement via des identités volées. D’autres groupes de ransomwares préfèrent généralement utiliser des services d’échange plus obscurs.

Cette enquête met également à jour nos chiffres sur les activités de Ryuk. Les derniers chiffres étaient datés de février 2020, après que des collaborateurs du FBI se soient exprimés lors de la conférence RSA. À l’époque, le FBI affirmait que Ryuk était de loin le groupe de ransomware actif le plus rentable avec plus de 61,26 millions de dollars générés entre février 2018 et octobre 2019, selon les plaintes reçues par son «Internet Crime Complaint Center».

Cette nouvelle étude de 150 millions de dollars montre clairement que Ryuk a conservé sa place au sommet, du moins pour le moment.

Au cours de l’année écoulée, d’autres groupes de ransomwares – tels que REvil, Maze et Egregor – se sont également fait un nom et ont été très actifs et ont infecté des centaines d’entreprises. Cependant, à l’heure actuelle, aucun rapport ne permet d’estimer les sommes déclarées de ces groupes. L’enquête la plus récente de ce type était celle de la société de cybersécurité McAfee, publiée en août 2020, qui estimait que le groupe de ransomware Netwalker avait accumulé environ 25 millions de dollars de rançon entre mars et août 2020.

Catégories
hyères informatique Sécurité Service informatique

Nissan: fuite de code source … en raison d’un compte administrateur avec mot de passe: admin

Un serveur Git utilisé par Nissan est resté exposé en raison d’une configuration incorrecte des identifiants qui permettent d’accéder à divers outils internes d’applications mobiles du constructeur.

En laissant la paire nom d’utilisateur et mot de passe par défaut lors de la configuration du serveur Git, il était facile pour tout le monde de se connecter à son compte Nissan North America et d’accéder aux différents fichiers de développement.

Innovation that excites

Informé par une source anonyme, Tillie Kottman, ingénieur logiciel basé en Suisse, a déclaré à ZDNet que divers codes sources étaient disponibles en raison d’une configuration non sécurisée des informations d’identification sur l’un des serveurs Git utilisés par Nissan North America.

Ainsi, le code source des applications mobiles Nissan NA, une partie de l’outil de diagnostic Nissan Assist, les outils distributeurs, les outils marketing, les services liés au véhicule et d’autres fichiers pouvaient être consultés librement.

NISSAN Hyères

Le serveur incriminé a été rapidement neutralisé après que les fichiers ont commencé à circuler sur Internet via des liens torrent sur Telegram et des sites de piratage dédiés.

Après avoir pris connaissance du problème et mis hors ligne le serveur Git contrefait, Nissan a commenté la fuite vers ZDNet: «Nissan a immédiatement enquêté sur l’accès incorrect au code source propriétaire de l’entreprise. Nous prenons ce problème au sérieux et sommes convaincus qu’aucune donnée personnelle sur les consommateurs, les détaillants ou les employés n’était disponible avec cet incident de sécurité. Le système concerné est sécurisé et nous sommes convaincus qu’il n’y a aucune information dans le code source exposé qui pourrait mettre en danger les consommateurs ou leurs véhicules. « 

Au printemps dernier, Mercedes a également rencontré une fuite de données, également due à une configuration incorrecte d’un serveur.

Catégories
Attaque hyères informatique Ransomware Service informatique Technologie

Les groupes derrière les ransomwares appellent les victimes qui les ignorent

Les cybercriminels continuent de développer à un rythme leurs méthodes intimidantes de pression sur leurs victimes. Après les menaces de fuite que le marketing téléphonique …

Les groupes derrière les ransomwares appellent les victimes qui les ignorent

« Si vous voulez arrêter de perdre votre temps et récupérer vos données cette semaine, nous vous recommandons de discuter de la situation avec nous sur le chat, sinon les problèmes avec votre réseau ne finiront jamais. » Depuis août, des firmes qui ont sacrifié des rançongiciel qui ne contactent pas leurs rançonneurs ont reçu de tels appels, rapporte ZDNet.

Sur la ligne, un agent d’un centre d’appels payé par des cybercriminels a été constamment trouvé. Il explique que les hackers soupçonnent qu’une société de cybersécurité est impliquée dans la gestion de l’incident, puis cela se transforme en menaces. Cette demande vise à mettre encore plus de pression sur les équipes de sécurité déjà débordées pour tenter de favoriser la restauration du réseau de rançon.

Virus informatique Hyères

Les noms les plus connus du secteur comme Conti, Ryul ou Maze (qui a depuis cessé ses activités) ont déjà utilisé cette méthode. S’il n’est pas complètement nouveau, il est systématisé pour la première fois. Selon les spécialistes interrogés par ZDNet, il semble que les hackers utilisent tous le même centre d’appels.

CHOISIR D’IGNORER L’APPLICATION DE LA SOLUTION EST DIFFICILE
Une récupération et un nettoyage complets d’un réseau infecté par un ransomware peuvent prendre des jours, voire des mois, en fonction de la propagation du malware et de l’architecture du réseau. Pendant cette période, la société offreuse fonctionnera au ralenti, ce qui affectera de manière irréversible son chiffre d’affaires.

Il peut donc être tentant de payer la rançon, même si elle est élevée (de quelques centaines de milliers d’euros à des dizaines de milliers de millions d’euros pour les grands groupes), car ce choix peut être économiquement avantageux. Si elle se conforme aux demandes des hackers, elle a la possibilité de récupérer son système en peu de temps, et en plus, certaines assurances couvrent une partie des frais.

Mais choisir de payer la rançon signifie faire confiance aux criminels, risquer de laisser des restes de logiciels malveillants sur votre système et, surtout, remplir la force de frappe du gang derrière les attaques, qui se développent à un rythme alarmant.

Pour mettre leurs victimes sous pression, les voyous ne cessent d’innover depuis deux ans. Ils ont commencé à menacer d’avertir les journalistes afin d’attirer l’attention sur l’attaque et de nuire à la réputation des victimes auprès de leurs clients. Ensuite, ils ont commencé leurs propres blogs où ils ont menacé de publier des échantillons de données volées aux victimes.

Ils commencent par télécharger quelques mégaoctets comme preuve de leurs méfaits et peuvent aller jusqu’à publier toutes les données volées. Et ce n’est pas tout: si la victime s’expose, les cybercriminels n’hésiteront pas à doubler la rançon après le temps imparti.

Solutions de sécurités informatique

Ces derniers mois, les opérateurs de ransomwares ont pris la liberté de tirer de nouveaux threads. Ragnar Locker a acheté des publicités Facebook pour décourager la communication de sa victime Campari. De son côté, Egregor a codé un script dans son malware pour imprimer automatiquement sa note de rançon sur des imprimantes liées à des appareils infectés. Et maintenant, d’autres gangs font face au harcèlement téléphonique. Alors, où s’arrête l’escalade des méthodes utilisées par les cybercriminels?

Catégories
Android Apple Attaque Bitcoins COVID-19 Ekans Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange prix Ragnar Locker Ransomware revil Ryuk Sécurité Service informatique Shade sodinokibi Technologie ThiefQuest vidéo

Ryuk LE ransomware 2020?

Anssi a publié un nouveau rapport, cette fois axé sur l’activité ransomware de Ryuk. Particulièrement impliqué dans l’attaque de Sopra Steria en France, ce logiciel malveillant se distingue de la concurrence et ne se contente pas de dupliquer les méthodes de ses concurrents.

Ryuk LE ransomware 2020?

Ryuk est un ransomware actif depuis 2018 et dont les opérateurs sont particulièrement actifs. C’est ce qui a valu le titre de «ransomware le plus rentable» selon le FBI en 2018 et généré plus de 61 millions de dollars de rançon entre février 2018 et octobre 2019.

Cependant, Ryuk n’aborde pas les méthodes qui ont fait le succès de groupes malveillants comme Maze ou Revil: pas de chantage pour le vol de données, pas de place pour montrer les victimes ou les communiqués de presse ici. Pourtant, ce ransomware, qui est actif depuis deux ans maintenant, reste une menace majeure, et Anssi a publié un rapport de statut.

Ryuk est un ransomware dont le but est de crypter les données de la victime pour exiger une rançon. Anssi indique que les cibles privilégiées des opérateurs de ce ransomware sont les grandes entreprises capables de payer les grosses rançons requises, principalement aux États-Unis et au Canada. L’agence note également que les opérateurs de Ryuk ne réservent pas d’autres groupes vis-à-vis des établissements de santé: « en octobre 2020, Ryuk serait responsable de 75% des attaques sur le secteur de la santé qu’il attaquerait depuis le premier semestre 2019 ». Des dizaines d’hôpitaux américains ont été victimes d’une campagne de Ryuk au début d’octobre visant les services dans les hôpitaux de l’UHS. Le FBI et le CISA américain ont également mis en garde contre le risque de nouvelles attaques basées sur Ryuk dans un nouveau communiqué d’information publié fin octobre.

Trickbot, Emotet et le bazar
Comme de nombreux ransomwares, Ryuk n’est que la dernière étape d’une chaîne d’infection multi-malware. Les auteurs du rapport indiquent que l’infection Trickbot, au moins jusqu’en septembre 2020, aurait été le point d’entrée privilégié des opérateurs Ryuk pour s’implanter dans les réseaux d’entreprise. Trickbot, avec Emotet et bien d’autres, est un malware de type chargeur qui se propage généralement via des campagnes de courrier électronique malveillantes pour infecter un appareil cible, puis se propager à travers le réseau interne d’une victime et se déplacer jusqu’à ce qu’il compromette un contrôleur de domaine. La dernière étape est la mise en œuvre du ransomware, le cryptage des machines et la demande de rançon. Et si ce type d’attaque prend généralement du temps, certains opérateurs Ryuk se démarquent par leur rapidité: Anssi indique ainsi que dans certains cas le temps de la première infection et du cryptage est réduit de quelques jours. (2 à 5) en trois heures ».

En 2020, cependant, les opérateurs de Ryuk semblent s’être progressivement tournés vers un nouveau chargeur, connu sous le nom de BazarLoader, actif depuis mars 2020. «Comme TrickBot, Bazar serait utilisé comme un accès en tant que service pour faire des compromis ou même qualifier un SI pour le compte d’autres groupes d’attaquants. On ne sait pas si BazarLoader, comme TrickBot, fonctionne également sur un modèle d’affiliation », précise l’agence, qui précise que le logiciel est principalement distribué par le groupe derrière Trickbot. D’autres chargeurs ont également été identifiés dans des attaques impliquant le malware Ryuk: Buer et Le logiciel Silent Night a également été utilisé dans l’attaque qui a implémenté Ryuk.

Raas ou pas Raas, c’est la question
L’un des points qui sépare Ryuk du reste de l’écosystème de la cybercriminalité des groupes de ransomware est la question du modèle commercial de Ryuk. Pour de nombreux ransomwares apparus ces derniers mois, le modèle économique utilisé est généralement celui de RaaS (Ransomware as a service): le groupe à l’origine des ransomwares commercialise ses logiciels sur des forums clandestins auprès d’autres groupes, qui s’assurent ensuite de les diffuser réseaux informatiques de leurs victimes.

Pour Anssi, Ryuk n’est « pas officiellement un RaaS »: l’agence déclare ainsi qu’elle n’a observé aucune promotion des opérateurs Ryuk sur les forums clandestins. Ryuk est néanmoins exploité par plusieurs acteurs malveillants, selon Anssi. S’il n’est pas vendu au public, il pourrait être mis à la disposition de partenaires de confiance par le créateur du code malveillant, ou il pourrait être exploité indépendamment par plusieurs groupes à l’aide d’outils et de formes de propagation communs. .

Il est donc difficile de savoir qui tire exactement les fils de Ryuk: le rapport de l’agence met en évidence le rôle central joué par deux acteurs malveillants, le groupe WizardSpider derrière Trickbot et le groupe identifié comme UNC1878. Selon FireEye, ce dernier groupe est responsable de 83% des attaques impliquant Ryuk. L’agence note également l’implication d’autres groupes tels que FIN6 dans la prolifération du ransomware Ryuk ainsi que du code et des méthodologies entre Ryuk et un autre ransomware connu sous le nom de Conti. Si Ryuk n’est pas «officiellement un RaaS», il n’en est pas moins un acteur profondément enraciné dans la sphère de la cybercriminalité et avec de nombreux liens avec des groupes tiers.