Catégories
Aérien Android Apple Association Attaque Bitcoins COVID-19 Ekans Entreprise de construction Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange presse prix Ragnar Locker Ransomware revil Ryuk Sécurité Service informatique Shade sodinokibi SolarWinds Sunburst Technologie ThiefQuest Uncategorized vidéo

Comment la vulnérabilité informatique est-elle mesurée?

Le score CVSS est utilisé presque systématiquement pour évaluer le danger des vulnérabilités. Mais savez-vous quel calcul se cache derrière le score sur 10?

Il faut dire que la cybersécurité regorge de termes spécifiques et autres acronymes (et anglophones, d’ailleurs) pour qualifier les scénarios d’attaque. On parle de RCE, XSS, de « web shell » ou même d’élévation de privilèges. Les balles d’avertissement sont le plus souvent destinées aux spécialistes et n’utilisent que du jargon. Ils soulignent rarement les risques concrets qu’une nouvelle vulnérabilité pose au public.

SUITE… Avec Numerama.com

Catégories
Attaque Mairie NetWalker Ransomware Sécurité Service informatique Technologie

à La Rochelle et Annecy on ne chante pas!

Entre Noël et le jour de l’an, la ville de La Rochelle et la ville d’Annecy ont été victimes de cyberattaques. Malgré la paralysie des services et l’affichage des preuves de piratage, les deux administrations ont choisi de ne pas payer de rançon pour accéder aux données.

C’est la nouvelle star des malwares, les «ransomwares». Les hackers n’endommagent ni ne volent plus de données, ce qui les motive maintenant, c’est de l’argent, et pour débloquer une cyberattaque, ils exigent une rançon, d’où le terme «ransomware» ou «ransomware». vécu plus d’une semaine.

Lundi, les hackers du groupe Netwalker ont revendiqué la responsabilité de l’attaque, et il ne sera pas surprenant d’apprendre qu’ils sont russes. Pour prouver qu’ils étaient en fait les auteurs de cette cyberattaque, ils ont téléchargé des visuels comme preuve des données «récupérées». Cité par France Bleu, celui choisi garantit qu’il ne s’agit que « d’une capture d’écran de fichiers qui ne signifie pas que les informations qu’il contient sont extraites et exploitées ».

Cependant, les hackers demandent une rançon et ils menacent de publier les données «récupérées» sur une trentaine de serveurs de la ville. Leur ultimatum est de 14 jours, et un compte à rebours est mis sur les serveurs lorsque les employés de la mairie tentent d’accéder aux données. «Nous ne savons pas exactement ce qu’ils ont pris et nous n’avons actuellement aucune preuve qu’ils détiennent des données importantes», précise le Parisien des techniciens chargés de rétablir l’accès aux différents services, comme le civil statut, DRH ou services généraux.

Ils menacent de publier les données «récupérées»

Du côté de la ville, nous avons porté plainte et une enquête judiciaire est en cours. Et si jamais les données étaient vraiment mises en ligne, la mairie assure qu’elle avertira ses citoyens, mais dans l’immédiat, l’objectif n’est pas de céder au chantage. Un accident qui touche aussi l’urbanité d’Annecy, et bien que les 1.200 fonctionnaires n’aient plus accès à leurs emails et que les services n’aient pas été rétablis, nous avons également choisi de ne pas céder au chantage, et nous sommes surtout étonnés que être la cible des pirates.

Ceci est d’autant plus dommageable en cette période de pandémie que les services ne sont proposés qu’en ligne, notamment pour les personnes âgées. À l’heure actuelle, cette attaque n’a pas été revendiquée, mais le modus operandi semble être identique. D’ailleurs, le groupe Netwalker avait déjà frappé en France plus tôt, et cet été il était soupçonné d’être à l’origine de la cyberattaque contre les compagnies d’assurance MMA.

Netwalker avait déjà frappé en France plus tôt

Plusieurs grandes entreprises françaises avaient subi des attaques de la part de ce groupe russophone, et l’un des points d’entrée était un PC sous Windows 7, qui n’avait pas été mis à jour. Qu’il s’agisse de logiciels ou de matériel, les pirates sont plus que souvent heureux d’exploiter des vulnérabilités non corrigées. Autre passerelle: le courrier électronique via le phishing et la période des fêtes est la raison idéale pour envoyer de fausses cartes de vœux qui cachent des logiciels malveillants.

Catégories
Android Apple Attaque Bitcoins COVID-19 Ekans Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange prix Ragnar Locker Ransomware revil Ryuk Sécurité Service informatique Shade sodinokibi Technologie ThiefQuest vidéo

Ryuk LE ransomware 2020?

Anssi a publié un nouveau rapport, cette fois axé sur l’activité ransomware de Ryuk. Particulièrement impliqué dans l’attaque de Sopra Steria en France, ce logiciel malveillant se distingue de la concurrence et ne se contente pas de dupliquer les méthodes de ses concurrents.

Ryuk LE ransomware 2020?

Ryuk est un ransomware actif depuis 2018 et dont les opérateurs sont particulièrement actifs. C’est ce qui a valu le titre de «ransomware le plus rentable» selon le FBI en 2018 et généré plus de 61 millions de dollars de rançon entre février 2018 et octobre 2019.

Cependant, Ryuk n’aborde pas les méthodes qui ont fait le succès de groupes malveillants comme Maze ou Revil: pas de chantage pour le vol de données, pas de place pour montrer les victimes ou les communiqués de presse ici. Pourtant, ce ransomware, qui est actif depuis deux ans maintenant, reste une menace majeure, et Anssi a publié un rapport de statut.

Ryuk est un ransomware dont le but est de crypter les données de la victime pour exiger une rançon. Anssi indique que les cibles privilégiées des opérateurs de ce ransomware sont les grandes entreprises capables de payer les grosses rançons requises, principalement aux États-Unis et au Canada. L’agence note également que les opérateurs de Ryuk ne réservent pas d’autres groupes vis-à-vis des établissements de santé: « en octobre 2020, Ryuk serait responsable de 75% des attaques sur le secteur de la santé qu’il attaquerait depuis le premier semestre 2019 ». Des dizaines d’hôpitaux américains ont été victimes d’une campagne de Ryuk au début d’octobre visant les services dans les hôpitaux de l’UHS. Le FBI et le CISA américain ont également mis en garde contre le risque de nouvelles attaques basées sur Ryuk dans un nouveau communiqué d’information publié fin octobre.

Trickbot, Emotet et le bazar
Comme de nombreux ransomwares, Ryuk n’est que la dernière étape d’une chaîne d’infection multi-malware. Les auteurs du rapport indiquent que l’infection Trickbot, au moins jusqu’en septembre 2020, aurait été le point d’entrée privilégié des opérateurs Ryuk pour s’implanter dans les réseaux d’entreprise. Trickbot, avec Emotet et bien d’autres, est un malware de type chargeur qui se propage généralement via des campagnes de courrier électronique malveillantes pour infecter un appareil cible, puis se propager à travers le réseau interne d’une victime et se déplacer jusqu’à ce qu’il compromette un contrôleur de domaine. La dernière étape est la mise en œuvre du ransomware, le cryptage des machines et la demande de rançon. Et si ce type d’attaque prend généralement du temps, certains opérateurs Ryuk se démarquent par leur rapidité: Anssi indique ainsi que dans certains cas le temps de la première infection et du cryptage est réduit de quelques jours. (2 à 5) en trois heures ».

En 2020, cependant, les opérateurs de Ryuk semblent s’être progressivement tournés vers un nouveau chargeur, connu sous le nom de BazarLoader, actif depuis mars 2020. «Comme TrickBot, Bazar serait utilisé comme un accès en tant que service pour faire des compromis ou même qualifier un SI pour le compte d’autres groupes d’attaquants. On ne sait pas si BazarLoader, comme TrickBot, fonctionne également sur un modèle d’affiliation », précise l’agence, qui précise que le logiciel est principalement distribué par le groupe derrière Trickbot. D’autres chargeurs ont également été identifiés dans des attaques impliquant le malware Ryuk: Buer et Le logiciel Silent Night a également été utilisé dans l’attaque qui a implémenté Ryuk.

Raas ou pas Raas, c’est la question
L’un des points qui sépare Ryuk du reste de l’écosystème de la cybercriminalité des groupes de ransomware est la question du modèle commercial de Ryuk. Pour de nombreux ransomwares apparus ces derniers mois, le modèle économique utilisé est généralement celui de RaaS (Ransomware as a service): le groupe à l’origine des ransomwares commercialise ses logiciels sur des forums clandestins auprès d’autres groupes, qui s’assurent ensuite de les diffuser réseaux informatiques de leurs victimes.

Pour Anssi, Ryuk n’est « pas officiellement un RaaS »: l’agence déclare ainsi qu’elle n’a observé aucune promotion des opérateurs Ryuk sur les forums clandestins. Ryuk est néanmoins exploité par plusieurs acteurs malveillants, selon Anssi. S’il n’est pas vendu au public, il pourrait être mis à la disposition de partenaires de confiance par le créateur du code malveillant, ou il pourrait être exploité indépendamment par plusieurs groupes à l’aide d’outils et de formes de propagation communs. .

Il est donc difficile de savoir qui tire exactement les fils de Ryuk: le rapport de l’agence met en évidence le rôle central joué par deux acteurs malveillants, le groupe WizardSpider derrière Trickbot et le groupe identifié comme UNC1878. Selon FireEye, ce dernier groupe est responsable de 83% des attaques impliquant Ryuk. L’agence note également l’implication d’autres groupes tels que FIN6 dans la prolifération du ransomware Ryuk ainsi que du code et des méthodologies entre Ryuk et un autre ransomware connu sous le nom de Conti. Si Ryuk n’est pas «officiellement un RaaS», il n’en est pas moins un acteur profondément enraciné dans la sphère de la cybercriminalité et avec de nombreux liens avec des groupes tiers.

Catégories
Android Apple Association Attaque Bitcoins COVID-19 Ekans Etude EvilQuest GandCrab Hakbit Hôpital informatique Mac MacOS maze Nefilim NetWalker Ragnar Locker Ransomware revil Ryuk Sécurité Shade sodinokibi Technologie ThiefQuest

Ransomware de la semaine- octobre 2020 – Des hôpitaux assiégés

Ransomware de la semaine- octobre 2020 – Des hôpitaux assiégés

Cette semaine, nous avons assisté à une attaque concertée contre le secteur de la santé par des groupes de piratage utilisant le ransomware Ryuk. En outre, nous avons vu certaines grandes entreprises bien connues souffrir d’attaques de ransomwares, qui ont affecté leurs activités commerciales.

La plus grande nouvelle cette semaine est que le gouvernement américain a averti le secteur de la santé qu’il existe « des informations crédibles sur une menace accrue et imminente de cybercriminalité pour les hôpitaux et les prestataires de soins de santé américains ». À la suite de ces attaques, nous avons vu six hôpitaux ciblés cette semaine, dont l’hôpital Wyckoff, l’Université du Vermont Health Systems, le Sky Lakes Medical Center et St. Louis. Lawrence Health System.

Nous avons également été informés d’attaques de ransomwares contre des sociétés bien connues, telles que le fabricant de meubles SteelCase, la société de conseil informatique française Sopra Steria et la société d’électricité italienne Enel Group.

Enfin, un représentant de REvil connu sous le nom de UNKN a déclaré qu’ils avaient gagné 100 millions de dollars en un an et que le tristement célèbre gang de labyrinthe avait commencé à fermer son opération de ransomware.

Maintenant que le week-end approche, il est important que toutes les entreprises surveillent les activités suspectes sur leur réseau Windows et leurs contrôleurs de domaine et réagissent de manière proactive si quelque chose est découvert.

LIEN

Les contributeurs et ceux qui ont livré de nouvelles nouvelles et histoires sur les ransomwares cette semaine incluent: @PolarToffee, @VK_Intel, @struppigel, @BleepinComputer, @malwrhunterteam, @malwareforme, @ demonslay335, @jorntvdw, @Seifreed, @FourOctets , @, @Ionut_Ilascu, @DanielGallagher, @fwosar, @MarceloRivero, @Malwarebytes, @Amigo_A_, @GrujaRS, @ 0x4143, @ fbgwls245, @siri_urz, @Mandiant et @IntelAdvanced.

Catégories
Android Apple Association Bitcoins COVID-19 Entreprise de construction Etude EvilQuest GandCrab Hakbit Hôpital hyères NetWalker Non classé Orange prix Ragnar Locker Ransomware Ryuk Sécurité sodinokibi Technologie ThiefQuest vidéo

Ransomware: Septembre 2020 sans précédent

La rentrée scolaire a été marquée par un nombre sans précédent de cyberattaques connues impliquant des ransomwares. Le fruit de la connexion entre plusieurs facteurs. Et ceux-ci ne suggèrent aucun règlement réel.

Ransomware: Septembre 2020 sans précédent

En septembre, nous avons enregistré près de 270 attaques de ransomwares dans le monde, une explosion par rapport aux mois précédents, alors que juin et août ont déjà été marqués par une activité intense des cybercriminels. Mais attention aux trompe-l’œil.

En France, nous avons dénombré 10 cas confirmés, auxquels s’ajoute un cas suspect, mais non confirmé à ce moment, vers le 8 août et à peu près le même en juillet. Les attaques confirmées sont répertoriées sur la chronologie que nous mettons à jour régulièrement. Sur Intrinsec, Cyrille Barthélemy rapporte 13 cas «en crise» en septembre contre 10 en août.

Et de préciser que sa capacité d’intervention n’était évidemment pas la même en plein été qu’en début d’année scolaire. Chez I-Tracing, Laurent Besset a noté 9 interventions sur le mois dernier contre 4 en dessous de la précédente. Chez Advens, Benjamin Leroux fait 3 interventions majeures et moins de 5 interventions plus petites. Mais toujours 150 détections de menaces qui pourraient conduire à une détonation de ransomware, principalement Emotet.

Début septembre, l’Agence nationale de sécurité des systèmes d’information (Anssi) a rapporté avoir traité 104 attaques de ransomwares depuis le début de l’année contre 54 sur l’ensemble de 2019. Et bien sûr, cela ne prend pas en compte les cas hors de son champ d’application.

Concernant la plateforme Cybermalveillance.gouv.fr, le directeur général de GIP Acyma, Jérôme Notin, a encore signalé 1.082 signalements de ransomwares début septembre depuis le lancement de la plateforme le 4 février, avec 44% d’entreprises ou d’associations et 10 % d’administrations ou de communautés. En septembre, Jérôme Notin a enregistré 131 demandes d’assistance, contre 104 en août et 122 en juillet.

En France, à ce stade, il semble difficile de parler d’une explosion. Mais si la tendance à la hausse semble moins prononcée que pour le reste du monde, la menace semble sans doute rester à un niveau élevé.

Il y a au moins deux explications possibles de la situation, qui suggèrent que la menace ne diminuera probablement pas dans un proche avenir. Nous les développons ci-dessous le long de la chronologie.

LIEN

Catégories
Android Apple Association Attaque Bitcoins COVID-19 Ekans Entreprise de construction Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS maze Nefilim NetWalker Non classé Orange prix Ragnar Locker Ransomware revil Sécurité Shade sodinokibi Technologie ThiefQuest vidéo

L’été meurtrier 2 (toujours pas le film), un ransomware.

La rentrée scolaire a été marquée par un nombre sans précédent de cyberattaques connues impliquant des ransomwares. Le fruit de la connexion entre plusieurs facteurs. Et ceux-ci ne suggèrent aucun règlement réel.

L’été meurtrier 2 (toujours pas le film), un ransomware.

En septembre, nous avons enregistré près de 270 attaques de ransomwares dans le monde, une explosion par rapport aux mois précédents, alors que juin et août étaient déjà marqués par une activité intense des cybercriminels. Mais attention aux trompe-l’œil.
En France, nous avons dénombré 10 cas confirmés, auxquels s’ajoute un cas suspect, mais non confirmé à ce moment, vers le 8 août et à peu près le même en juillet. Les attaques confirmées sont répertoriées sur la chronologie que nous mettons à jour régulièrement. Sur Intrinsec, Cyrille Barthélemy rapporte 13 cas «en crise» en septembre contre 10 en août.

Et de préciser que sa capacité d’intervention n’était évidemment pas la même en plein été qu’en début d’année scolaire. Chez I-Tracing, Laurent Besset a noté 9 interventions sur le mois dernier contre 4 en dessous de la précédente. Chez Advens, Benjamin Leroux fait 3 interventions majeures et moins de 5 interventions plus petites. Mais toujours 150 détections de menaces qui pourraient conduire à une détonation de ransomware, principalement Emotet.

Début septembre, l’Agence nationale de sécurité des systèmes d’information (Anssi) a rapporté avoir traité 104 attaques de ransomwares depuis le début de l’année contre 54 sur l’ensemble de 2019. Et bien sûr, cela ne prend pas en compte les cas hors de son champ d’application.

Concernant la plateforme Cybermalveillance.gouv.fr, Jérôme Notin, PDG de GIP Acyma, a encore signalé début septembre 1.082 signalements de ransomwares à ce jour depuis le lancement de la plateforme le 4 février, avec 44% d’entreprises ou d’associations et 10 % d’administrations ou de communautés. En septembre, Jérôme Notin a enregistré 131 demandes d’assistance, contre 104 en août et 122 en juillet.

En France, à ce stade, il semble difficile de parler d’une explosion. Mais si la tendance à la hausse semble moins prononcée que pour le reste du monde, la menace semble sans doute rester à un niveau élevé.

Il y a au moins deux explications possibles de la situation, qui suggèrent que la menace ne diminuera probablement pas dans un proche avenir. Nous les développons ci-dessous le long de la chronologie.

Catégories
Android Apple Attaque Bitcoins COVID-19 Ekans Entreprise de construction EvilQuest GandCrab Hôpital hyères informatique Mac MacOS maze Nefilim NetWalker Orange prix Ragnar Locker Ransomware revil Sécurité Shade sodinokibi Technologie ThiefQuest

L’été meurtrier (pas le film), un ransomware.

Plusieurs entreprises ont été touchées, dont certaines ont décidé de traverser Rubicon en payant une rançon. Dans le même temps, les cybercriminels se structurent et se professionnalisent.

L’été meurtrier (pas le film), un ransomware.

Il est difficile de trouver une semaine sans voir une ou plusieurs entreprises victimes de ce fléau. En juillet, Netwalker était soupçonné d’avoir gravement perturbé l’activité MMA de la compagnie d’assurance, tout comme le groupe de construction Rabot Dutilleul. Une succursale d’Orange Business Services a été attaquée par Nefilim et a volé 350 Mo de données. Comment ne pas mentionner Garmin, dont la production a été arrêtée pendant deux jours, ainsi que ses sites Web, ses applications mobiles, ses appels téléphoniques, son chat en ligne et sa messagerie.

Et le mois d’août n’a pas été plus paisible, au contraire. Les vacances ont été gâchées pour Carlson Wangonlit Travel by Ragnar Locker ransomware. 30 000 PC auraient été bloqués et 2 To de données volées. Autre spécialiste du voyage dans les troubles, l’une des marques sur la compagnie de croisière Carnival a été visée par une attaque. La litanie se poursuit avec le groupe Maze, qui regroupe plusieurs sociétés Canon, LG et Xerox. Récemment, la société coréenne de semi-conducteurs SK Hynix a été touchée par ce gang. Le groupe derrière Sodinokibi, quant à lui, a poursuivi Brown-Forman, la société mère de Jack Daniel. Le fournisseur de services complets Spie a eu du mal à se débarrasser du ransomware Nefilim. 4 sites de production ont été fermés par MOM, propriétaire des compotes Materne et des crèmes MontBlanc. LIEN

Catégories
Attaque Bitcoins informatique NetWalker Ransomware Sécurité

Equinix affecté par le Ransomware NetWalker

Equinix, responsable mondial de centre de données, affirme avoir été ciblé par un ransomware. Heureusement, les données client ne sont pas compromises (normalement!)

Les centres de données sont désormais considérés comme des coffres-forts. Le fournisseur mondial de centres de données Equinix affirme avoir été ciblé par une cyberattaque de type ransomware.

La société n’a pas fourni de détails sur l’attaque et a simplement déclaré qu’une enquête avait été ouverte et que les autorités avaient été prévenues. Cependant, le site Web Bleeping Computer affirme avoir reçu une copie de la rançon reçue par Equinix.

Selon la source, la note contenait une capture d’écran de dossiers contenant des fichiers cryptés par des logiciels malveillants. Selon les noms de ces fichiers, ils contiennent des données très sensibles telles que des informations juridiques et financières.

Par cette note, les pirates menaceraient Equinix d’envoyer les fichiers sur Internet si la rançon n’est pas payée dans les trois jours. Cette attaque aurait eu lieu le week-end dernier.

Un lien ajouté à la note a conduit à un site de paiement de rançon. Le montant demandé était de 455 Bitcoins ou l’équivalent de 4,5 millions de dollars. Les criminels ont également menacé de doubler la somme si la rançon n’était pas payée rapidement. On ne sait pas encore si Equinix a choisi de payer ou non.

Quoi qu’il en soit, la société affirme que seules les données de ses propres systèmes ont été compromises. Bien que la plupart des clients exploitent leur propre équipement dans ses centres de données, leurs données et leur fonctionnement n’ont pas été affectés.
Les centres de données ont été pleinement opérationnels ainsi que les services gérés proposés par la société. En d’autres termes, Equinix a frôlé le désastre car une fuite de données de ses clients les aurait sans doute incités à changer de fournisseur.

Pour rappel, Equinix est le leader mondial du marché des data centers en termes de chiffre d’affaires. Basée à Redwood City, en Californie, la société exploite plus de 200 centres de données dans 55 pays à travers le monde. Ses clients comprennent Ford, Netflix et Spotify.
Si même ce colosse peut être paralysé par les ransomwares alors que ses serveurs sont sécurisés par les technologies les plus avancées, c’est la preuve que personne n’est plus à l’abri des cybercriminels. En fait, Equinix n’est pas le premier fournisseur de centres de données à être victime d’une cyberattaque.

Les attaques de ransomwares visent généralement des individus, mais les pirates ciblent désormais les grandes entreprises informatiques et leurs centres de données. Un autre fournisseur, CyrusOne, a également payé le prix. Il en va de même pour le producteur d’aluminium Norsk Hydro, l’Université de Californie à San Francisco et le système juridique du Texas.

Il existe plusieurs mesures préventives pour protéger vos systèmes contre les ransomwares en adoptant les meilleures pratiques de cybersécurité. Assurez-vous de sauvegarder vos données les plus sensibles et de les chiffrer afin qu’elles ne puissent pas être utilisées par des pirates. Même si vous êtes victime d’un ransomware, il existe des remèdes qui peuvent vous permettre de récupérer vos données sans payer la rançon. Consultez notre guide à ce sujet.

SOURCES:

4,5 millions d’euros Rançon pour Equinix affectée par le ransomware
LeMondeInformatique


Le géant du data center Equinix victime d’un ransomware
LeBigData


Ransomware: Equinix détruit par NetWalker
Silicom


Equinix enquête sur « un incident de sécurité »
Next INpact


Victime de ransomware, leader mondial des data centers Equinix
Numerama