Catégories
Armée Association Attaque Bitcoins Cybercriminels Déchiffrement Etude Europe Hôpital hyères informatique Mairie Non classé presse prix Ransomware Sécurité Service informatique Technologie Uncategorized

Les intermittent de la cybercriminalité

Les chercheurs de la sécurité ont mis en évidence des personnes qui constituent une partie importante de l’écosystème de cybercrimination

Les intermittent de la cybercriminalité

Programmes de phishing, campagnes de logiciels malveillantes et autres opérations utilisent un nombre total de travailleurs ombragers. Pour leur offrir de meilleures opportunités de travail légitimes pourraient aider à réduire le crime?

Une collaboration de recherche avec l’Université technique tchèque à Prague et GoSecure et SecureWorks entreprises de sécurité Cyber a analysé les activités des personnes en marge de la cybercriminalité, les projets sous – jacents tels que la création de sites Web, finissent par être utilisés pour des attaques de phishing, les affiliés Systèmes pour diriger le trafic sur les sites Web compromis ou contrefaits ou écrire sur le code trouvé dans les logiciels malveillants.

Les gens sur l’origine de ces projets font parce qu’il est un moyen facile de gagner de l’argent. Mais faire ce travail, ils jettent les bases de campagnes malveillantes pour les cyber-criminels.

Un regard sur le web
L’étude, Mass Effect: Comment Opporitistic travailleurs conduisent dans la cybercriminalité et présenté au Black Hat États-Unis, trouve ses origines dans une analyse de l’Université technique tchèque qui a révélé des roues geost, un botnet et une campagne de logiciels malveillants Android comme des centaines infectés de milliers d’utilisateurs. Ce travail a permis aux chercheurs d’examiner les journaux pour certaines des personnes impliquées.

Ils ont pu trouver des traces de personnes dans ces journaux sur des forums en ligne et d’autres plates-formes de discussion et avoir une idée de leurs motivations.

«Nous avons commencé à comprendre que même s’ils étaient impliqués dans la diffusion de programmes malveillants, ils n’étaient pas nécessairement cerveaux, mais plutôt des travailleurs informels, ceux qui travaillent sur de petits projets», a déclaré Masarah Forfait-Clouston, chercheur de sécurité à Gosécur.

Bien que ces personnes sont au bas de la hiérarchie, ils exécutent des tâches utiles pour les cyber-criminels à des sites d’utilisation et d’outils, ils créent des activités malveillantes, y compris le phishing et les logiciels malveillants communication.

« Ils essaient de gagner leur vie et peut – être le salaire du crime mieux, donc ils vont là – bas, » a déclaré Sebastian Garcia, professeur adjoint à l’Université technique tchèque, affirmant que nous devons accorder plus d’ attention aux personnes qui oscillent entre la cybercriminalité et l’ activité juridique.

« Il y a beaucoup de gens dans ces forums publics que les sociétés de sécurité ne se rapportent pas, mais ce sont ceux qui soutiennent la majorité du travail, la création de pages web pour les e – mails de phishing, l’ APK, le cryptage, les logiciels malveillants, mulet, » dit – il.

L’arbre qui dissimule la forêt
« Si nous nous concentrons toujours sur des cerveaux » délinquants motivés « qui ont vraiment développé le Botnemetten et les moyens de gagner de l’argent avec tout cela, nous oublions les travailleurs », avertit M. Paquet-Clouston. « En tant que société, nous oublions souvent que beaucoup de gens sont impliqués et que ce n’est pas nécessairement des personnes très motivées, mais plutôt ceux qui finissent par faire l’activité », a-t-elle déclaré.

Mais cela ne signifie pas nécessairement que les personnes impliquées dans ces systèmes doivent être traitées comme des cybercriminels de vol élevé, en particulier lorsque certains ne savent même pas que leurs compétences sont utilisées pour la cybercriminalité.

En fait, il serait possible de donner à bon nombre de ces personnes la possibilité d’utiliser leurs avantages de compétences plutôt que de les utiliser pour l’aider à la criminalité.

Catégories
Aérien Android Apple Armée Association Attaque Avaddon Bitcoins COVID-19 Déchiffrement Ekans Entreprise de construction Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange presse prix Ragnar Locker Ransomware revil Rugby Ryuk Sécurité Shade sodinokibi SolarWinds Spectre Sunburst Technologie ThiefQuest Uncategorized vidéo

Le coût des « piratages » professionnelles atteint un niveau record

Les grandes attaques des grandes entreprises et l’exposition de 50 à 65 millions d’enregistrements ont un prix élevé, jusqu’à 401 millions de dollars.

Selon une étude IBM, le coût moyen d’une attaque est de plus de 4 millions de dollars.

Le coût des piratages professionnelles atteint un niveau record

Le coût moyen d’une attaque a maintenant dépassé le barreau fatidique de 4 millions de dollars et a atteint un niveau record en vertu de la crise de la santé. Dans un rapport publié mercredi d’IBM, Big Blue estime que, en 2021, coûte une violation de données typique des entreprises de 4,24 millions USD. Le coût est de 10% supérieur à 2020.

En France, les secteurs les plus touchés sont des services financiers, du secteur pharmaceutique ainsi que de la technologie. Au niveau international, aux secteurs de la santé et des services financiers qui enregistrent les violations les plus chères.

Logiciels malveillants et hameçonnage

IBM estime qu’environ 60% des entreprises se sont tournées vers «Cloud» pour poursuivre leurs activités, bien que le renforcement du contrôle de la sécurité n’ait pas nécessairement suivi. Lorsque l’utilisation de travaux distants a explosé, elle était la même pour les infractions de données dont les quantités ont augmenté de 1 million de dollars – les taux les plus élevés de 4,96 millions de dollars contre 3, 89 millions de dollars.

Le vecteur d’attaque le plus courant des victimes de données d’un transfert de données est un compromis sur les informations d’identification, soit extraits des souches de données soumises, vendues ou obtenues par une attaque de force brute. Une fois que le réseau est infiltré, les informations personnelles identifiables (IPI) sont devenues des clients, notamment des noms et des adresses électroniques, volées dans près de la moitié des cas.

Services informatique Hyères

En 2021, il a fallu un total de 287 jours pour détecter et contenir une violation de données ou 7 jours de plus que l’année précédente. Au total, une organisation moyenne n’enregistrera pas d’entrer dans les 212 jours. Il ne sera donc pas capable de résoudre complètement le problème avant que 75 jours supplémentaires soient passés.

Les infractions de données dans le secteur de la santé ont été les plus chères, avec une moyenne de 9,23 millions de USD suivi des services financiers – 5,72 millions de dollars – et des médicaments, avec 5,04 millions de dollars.

Selon IBM, les entreprises qui utilisent des solutions de sécurité sont basées sur des algorithmes d’intelligence artificielle (AI), l’apprentissage automatique, l’analyse et le cryptage, ont tous diminué le coût potentiel d’une violation qui permet aux entreprises. Économisez en moyenne entre 0,1 25 et 1,49 million de dollars.

« L’augmentation des infractions de données sont une autre dépense supplémentaire pour les entreprises en fonction des changements technologiques rapides lors de la pandémie », a déclaré Chris McCurdy, vice-président de la sécurité IBM. « Bien que le coût des infractions de données ait atteint un niveau record au cours de la dernière année, le rapport a également démontré des signes positifs de l’impact des tactiques de sécurité modernes, telles que l’AI, l’automatisation et l’adoption d’une approche de confiance zéro – qui pourrait être payée en réduisant coûte ces incidents plus tard. « 

Catégories
Attaque informatique Non classé presse Ransomware Sécurité Service informatique Technologie

Ce nouveau groupe de hackers vise les diplomates européens

BackdoorDiplomacy ne coupe pas les cheveux en quatre en matière de cyberespionnage.

Ce nouveau groupe de hackers vise les diplomates européens

Un groupe de cyberattaques récemment découvert cible des diplomates européens, africains et moyen-orientaux. Mis en évidence jeudi par des chercheurs d’ESET, le groupe appelé BackdoorDiplomacy, a été lié à des attaques réussies contre des ministères des Affaires étrangères dans de nombreux pays d’Afrique, du Moyen-Orient, d’Europe et d’Asie ainsi que contre un petit sous-ensemble d’entreprises de télécommunications en Afrique et au moins un organisme de bienfaisance au Moyen-Orient.

Selon les chercheurs d’ESET, ce groupe est opérationnel depuis au moins 2017. Il cible à la fois les systèmes Linux et Windows et semble préférer exploiter les appareils vulnérables face à Internet comme vecteur d’attaque initial.

S’il trouve des serveurs Web ou des interfaces de gestion de réseau présentant des points faibles, tels que Des problèmes logiciels ou une mauvaise sécurité de téléchargement de fichiers affectent le groupe. Dans un cas observé par ESET, un bogue appelé F5 – CVE-2020-5902 – a été utilisé pour déployer une porte dérobée Linux, tandis que BackdoorDiplomacy dans un autre cas a adopté les vulnérabilités du serveur Microsoft Exchange pour déployer China Chopper, un webshell.

Bien que BackdoorDiplomacy ait été enregistré en tant que groupe de hackers à part entière, il semble avoir des connexions ou au moins quelque chose en commun avec d’autres groupes. Le protocole de chiffrement du réseau utilisé par APT est presque identique à celui utilisé par la porte dérobée Whitebird du groupe Calypso, et ce malware a été déployé contre des cibles diplomatiques au Kazakhstan et au Kirghizistan dans les années 2017-2020.

En outre, ESET pense avoir des points communs avec CloudComputating / Platinum, qui a ciblé les organisations diplomatiques, gouvernementales et militaires en Asie au cours des années précédentes. D’autres index de codage et de mécanisme sont similaires à Rehashed Rat et MirageFox – également connus sous le nom d’APT15.

Dans le cadre d’autres recherches menées ce mois-ci, Check Point Research a découvert une nouvelle porte dérobée développée par des acteurs chinois de la menace pour une période de trois ans. Le malware, appelé VictoryDll_x86.dll, a été utilisé pour compromettre un réseau appartenant au département d’État d’un gouvernement d’Asie du Sud-Est.

De temps en temps, les attaquants analysent l’appareil pour un déplacement latéral, installent une porte dérobée personnalisée et mettent en œuvre une variété d’outils pour effectuer la surveillance et le vol de données. La porte dérobée, appelée Turian, serait basée sur la porte dérobée Quarian, un malware associé à des attaques contre des cibles diplomatiques en Syrie et aux États-Unis en 2013. L’implant principal est capable de récolter et d’exfiltrer des systèmes informatiques, de prendre des captures d’écran, mais aussi d’écraser. , déplacer/supprimer ou voler des fichiers.

Certains des outils utilisés incluent EarthWorm Network Tunnel Software, Mimikatz, NetCat et des logiciels développés par la National Security Agency (NSA) des États-Unis et dévoilés par ShadowBrokers, tels que EternalBlue, DoublePulsar et EternalRocks. VMProtect a dans la plupart des cas été utilisé pour essayer de cacher les activités du groupe.

Les diplomates peuvent avoir besoin de gérer des informations sensibles transmises via des disques et des supports de stockage amovibles. Pour étendre la portée de ses activités de cyber-espionnage, BackdoorDiplomacy recherche les clés USB et tente de copier les fichiers qu’elles contiennent dans une archive protégée par mot de passe, qui est ensuite envoyée à un centre de commande et de contrôle (C2) via la porte dérobée.

Catégories
Aérien Android Apple Association Attaque Bitcoins COVID-19 Ekans Entreprise de construction Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange presse prix Ragnar Locker Ransomware revil Ryuk Sécurité Service informatique Shade sodinokibi SolarWinds Sunburst Technologie ThiefQuest Uncategorized vidéo

Comment la vulnérabilité informatique est-elle mesurée?

Le score CVSS est utilisé presque systématiquement pour évaluer le danger des vulnérabilités. Mais savez-vous quel calcul se cache derrière le score sur 10?

Il faut dire que la cybersécurité regorge de termes spécifiques et autres acronymes (et anglophones, d’ailleurs) pour qualifier les scénarios d’attaque. On parle de RCE, XSS, de « web shell » ou même d’élévation de privilèges. Les balles d’avertissement sont le plus souvent destinées aux spécialistes et n’utilisent que du jargon. Ils soulignent rarement les risques concrets qu’une nouvelle vulnérabilité pose au public.

SUITE… Avec Numerama.com

Catégories
Attaque informatique Non classé Ransomware Technologie

Plusieurs unités françaises touchées par une cyberattaque de 2017 à 2020

Des entreprises françaises ont été victimes d’une longue campagne de cyberattaques. Une intrusion via la solution de surveillance Centreon et un état de fonctionnement de sandworm faisant référence à un groupe de cyberespionnage russe.

MAJ:  » L’attaque concerne une version open source obsolète du logiciel, déployée sans respect des recommandations d’hygiène de l’Anssi. Les clients de Centreon ne sont pas concernés.  »

L’Agence nationale de sécurité des systèmes d’information (Anssi) a mis en garde lundi contre la découverte d’un piratage informatique « affectant plusieurs appareils français » via le logiciel français Centreon, qui compte parmi ses clients de grandes entreprises et le ministère de la Justice. LIEN

L’attaque, qui a duré de fin 2017 à 2020, « rappelle les méthodes déjà utilisées par le groupe de renseignement russe Sandworm, mais elle ne garantit pas qu’il s’agit bien de lui », a déclaré Gérome Billois, spécialiste de la cybersécurité de Wavestone. . La durée de l’attaque avant sa découverte suggère que les attaquants sont « extrêmement discrets, plutôt connus pour être dans la logique du vol de données et de renseignements », a-t-il ajouté.

Air France, Airbus, EDF, Orange, RATP, Thales ou encore Total sont quelques-uns des noms utilisant Centreon, ainsi que le ministère de la Justice. Centreon revendique plus de 600 clients dans le monde, dont 70% ont leur siège en France.

Le policier de la cybersécurité en France fait des compromis qui ont été identifiés fin 2017 et jusqu’en 2020. C’est donc une découverte tardive qui indique une campagne de cyberattaque particulièrement discrète.

L’affaire rappelle l’énorme cyberattaque attribuée à la Russie, qui visait les États-Unis en 2020, alors que des pirates informatiques exploitaient une mise à jour d’un logiciel de surveillance développé par une société texane, SolarWinds, et utilisé par des dizaines de milliers d’entreprises et d’administrations à travers le monde.

Catégories
Attaque Non classé Ransomware Service informatique

L’hôpital de Dax complètement bloqué par un ransomware, dernier recours pour les RDV: Twitter!

L’attaque «a mis à plat les systèmes informatiques et le téléphone de l’hôpital avec un danger évident et évident pour les soins aux patients».

Après des mois d’attaques massives de ransomwares contre des entreprises et organisations françaises, un hôpital entier est désormais bloqué par une attaque informatique. Un ransomware bloque depuis mardi le fonctionnement du système informatique de l’hôpital de la ville de Dax (Landes). Le seul moyen de contacter l’hôpital est donc désormais le 15 ou le compte Twitter de l’entreprise.

« Au vu de l’ampleur de l’attaque », le parquet de Dax, qui avait initialement saisi l’enquête pour « accès frauduleux à un système de traitement automatisé de données », avait renoncé à compétence au profit du parquet de Paris, qui a compétence nationale en matière de cybercriminalité, A déclaré l’AFP. L’attaque «a mis à plat les systèmes informatiques et le téléphone de l’hôpital avec un danger évident et évident pour les soins aux patients».

Le malware a chiffré le contenu des disques durs sur la plupart des ordinateurs de l’établissement. « Les données n’ont pas été volées, elles sont toujours sur nos serveurs, mais elles sont cryptées et donc plus disponibles », a déclaré Aline Gilet-Caubère, directrice générale adjointe de l’hôpital du Sud Ouest.

L’attaque a des conséquences sur les soins
Outre le système informatique et le système téléphonique, l’attaque aura des conséquences sur les soins. Les outils de stérilisation, par exemple, mais aussi ceux de radiothérapie et de chimiothérapie, sont indirectement affectés par cette attaque. Le centre de vaccination Covid-19 de l’hôpital a également été contraint de fermer ses portes.

Des experts de l’Agence nationale de sécurité des systèmes d’information (Anssi) sont prêts à tenter de reprendre le contrôle. L’intervention de l’Agence dans ce type de situation a presque doublé en un an.

En septembre 2020, une attaque de ransomware contre un hôpital allemand a entraîné la mort. La patiente, qui avait besoin de soins médicaux d’urgence, était décédée après avoir été détournée vers un hôpital de la ville de Wuppertal, à plus de 30 km de sa destination d’origine, l’hôpital universitaire de Düsseldorf, qui a été victime d’une cyberattaque. C’était la première fois qu’une mort humaine était signalée comme étant indirectement causée par une attaque de ransomware.

Les attaques de ce type se sont multipliées ces dernières années. Le fonctionnement du CHU de Rouen a été gravement perturbé en 2019 après une attaque similaire. Des experts d’Anssi sont également intervenus, et la variante de ransomware utilisée aurait été Cryptomix Clop. En décembre 2020, les hôpitaux de Narbonne (Aude) et d’Albertville-Moûtiers (Savoie) avaient également été touchés par des ransomwares.

Face à ces attaques, la tentation de payer pour la récupération de données est grande. Mais en 2017, le Kansas Heart Hospital (Witchita, Kansas) a payé pour récupérer ses données en vain. Les ravisseurs ont refusé de déverrouiller le système d’information retenu en otage une fois la rançon payée et ont exigé un nouveau paiement.

LIEN

Catégories
Attaque informatique Non classé Sécurité Service informatique vidéo

Les cyberattaques de novembre dernier ont frappé 390 000 personnes chez Capcom

En novembre 2020, Capcom a subi une attaque majeure sur ses serveurs. Et si l’on en croit les dernières informations sur ce sujet, des dizaines de milliers de personnes ont été touchées.

Jeux vidéo

Lors de cette cyberattaque, dont l’éditeur japonais a été victime, de nombreuses données personnelles ont été volées à la fois aux employés et aux utilisateurs. Les noms et adresses de ces derniers se rapportent. De plus, des informations confidentielles sur divers jeux comme Resident Evil Village et Monster Hunter Rise sont apparues sur Internet après l’incident.

Malheureusement, cet accident a eu plus de conséquences que prévu. Aujourd’hui, Capcom affirme qu’environ 390 000 personnes ont été directement touchées par la cyberattaque. C’est 40 000 de plus par rapport au communiqué de presse précédent. Les pirates ont également volé des documents financiers appartenant à l’entreprise.

134 000 joueurs touchés

En détail, Capcom mentionne le fait que les informations personnelles de 3 248 partenaires commerciaux, 3 994 employés et 9 164 anciens employés ont été volées de cette manière. En termes de joueurs, 134 000 fichiers ont été volés au service client japonais, 14 000 sur la boutique en ligne nord-américaine et 4 000 sur le site d’esports.

Catégories
Attaque Non classé Ransomware

Sprite Spider: La p’tite bête qui monte qui monte qui monte

Un nouveau ransomware

Dans combien de temps devriez-vous recevoir un ransomware, le groupe Sprite Spider émerge de l’ombre. Son point fort: utilise désormais un package de code ransomware efficace et difficile à détecter.

Lors de la récente conférence SANS Cyber ​​Threat Intelligence, deux responsables de la cybersécurité de CrowdStrike, Sergei Frankoff et Eric Loui, respectivement chercheur principal en sécurité et analyste principal du renseignement, ont donné des détails sur un nouveau joueur majeur de ransomware nommé Sprite Spider. Comme beaucoup d’autres attaquants de ransomwares, la cybercriminalité derrière les attaques de Sprite Spider s’est rapidement développée en capacité de sophistication et de négociation depuis 2015. Aujourd’hui, Sprite Spider est même sur le point de devenir l’un des plus importants. Acteurs de menace de ransomware 2021 avec un profil de menace comparable à celui des acteurs APT il y a cinq ou dix ans. L’émergence de Sprite Spider n’est pas surprenante étant donné – comme beaucoup d’autres gangs de ransomwares organisés – qu’elle attire des hackers qui sont souvent embauchés et payés par des acteurs travaillant pour le compte d’un pouvoir étatique. LIEN

Catégories
Attaque Etude hyères informatique Non classé presse prix Ransomware Ryuk Sécurité

Ryuk aurait réclamé plus de 150 millions de dollars

Suite à l’invasion d’entreprises à travers le monde, on dit que le groupe de rançongiciels Ryuk a mis 150 millions de dollars dans la poche avec le paiement d’une rançon.

Les opérateurs de ransomware Ryuk auraient gagné plus de 150 millions de dollars en Bitcoin en payant de l’argent de piratage à des entreprises du monde entier.

c’est pas très clair!

La société de renseignement sur les menaces Advanced Intelligence (AdvIntel) et la société de cybersécurité HYAS ont publié jeudi une étude qui suit les paiements effectués sur 61 adresses Bitcoin, précédemment attribuées et liées aux attaques de ransomware de Ryuk.

« Ryuk reçoit une partie importante de la rançon d’un courtier bien connu qui effectue des paiements au nom des victimes du ransomware », affirment les deux sociétés. «Ces paiements s’élèvent parfois à des millions de dollars, mais ils se comptent généralement par centaines de milliers. « 

AdvIntel et HYAS expliquent que les fonds extorqués sont collectés sur des comptes de dépôt, puis transférés au blanchiment d’argent. Ensuite, soit ils retournent au marché noir et sont utilisés pour payer d’autres services criminels, soit ils sont échangés dans un véritable échange de crypto-monnaie.

Mais ce qui a le plus attiré l’attention des enquêteurs, c’est que Ryuk a converti son Bitcoin en véritable monnaie fiduciaire à l’aide de portails de crypto-monnaie bien connus tels que Binance et Huobi – probablement via des identités volées. D’autres groupes de ransomwares préfèrent généralement utiliser des services d’échange plus obscurs.

Cette enquête met également à jour nos chiffres sur les activités de Ryuk. Les derniers chiffres étaient datés de février 2020, après que des collaborateurs du FBI se soient exprimés lors de la conférence RSA. À l’époque, le FBI affirmait que Ryuk était de loin le groupe de ransomware actif le plus rentable avec plus de 61,26 millions de dollars générés entre février 2018 et octobre 2019, selon les plaintes reçues par son «Internet Crime Complaint Center».

Cette nouvelle étude de 150 millions de dollars montre clairement que Ryuk a conservé sa place au sommet, du moins pour le moment.

Au cours de l’année écoulée, d’autres groupes de ransomwares – tels que REvil, Maze et Egregor – se sont également fait un nom et ont été très actifs et ont infecté des centaines d’entreprises. Cependant, à l’heure actuelle, aucun rapport ne permet d’estimer les sommes déclarées de ces groupes. L’enquête la plus récente de ce type était celle de la société de cybersécurité McAfee, publiée en août 2020, qui estimait que le groupe de ransomware Netwalker avait accumulé environ 25 millions de dollars de rançon entre mars et août 2020.

Catégories
Android Apple Attaque Bitcoins COVID-19 Ekans Etude EvilQuest GandCrab Hakbit Hôpital hyères informatique Mac MacOS Mairie maze Nefilim NetWalker Non classé Orange prix Ragnar Locker Ransomware revil Ryuk Sécurité Service informatique Shade sodinokibi Technologie ThiefQuest vidéo

Ryuk LE ransomware 2020?

Anssi a publié un nouveau rapport, cette fois axé sur l’activité ransomware de Ryuk. Particulièrement impliqué dans l’attaque de Sopra Steria en France, ce logiciel malveillant se distingue de la concurrence et ne se contente pas de dupliquer les méthodes de ses concurrents.

Ryuk LE ransomware 2020?

Ryuk est un ransomware actif depuis 2018 et dont les opérateurs sont particulièrement actifs. C’est ce qui a valu le titre de «ransomware le plus rentable» selon le FBI en 2018 et généré plus de 61 millions de dollars de rançon entre février 2018 et octobre 2019.

Cependant, Ryuk n’aborde pas les méthodes qui ont fait le succès de groupes malveillants comme Maze ou Revil: pas de chantage pour le vol de données, pas de place pour montrer les victimes ou les communiqués de presse ici. Pourtant, ce ransomware, qui est actif depuis deux ans maintenant, reste une menace majeure, et Anssi a publié un rapport de statut.

Ryuk est un ransomware dont le but est de crypter les données de la victime pour exiger une rançon. Anssi indique que les cibles privilégiées des opérateurs de ce ransomware sont les grandes entreprises capables de payer les grosses rançons requises, principalement aux États-Unis et au Canada. L’agence note également que les opérateurs de Ryuk ne réservent pas d’autres groupes vis-à-vis des établissements de santé: « en octobre 2020, Ryuk serait responsable de 75% des attaques sur le secteur de la santé qu’il attaquerait depuis le premier semestre 2019 ». Des dizaines d’hôpitaux américains ont été victimes d’une campagne de Ryuk au début d’octobre visant les services dans les hôpitaux de l’UHS. Le FBI et le CISA américain ont également mis en garde contre le risque de nouvelles attaques basées sur Ryuk dans un nouveau communiqué d’information publié fin octobre.

Trickbot, Emotet et le bazar
Comme de nombreux ransomwares, Ryuk n’est que la dernière étape d’une chaîne d’infection multi-malware. Les auteurs du rapport indiquent que l’infection Trickbot, au moins jusqu’en septembre 2020, aurait été le point d’entrée privilégié des opérateurs Ryuk pour s’implanter dans les réseaux d’entreprise. Trickbot, avec Emotet et bien d’autres, est un malware de type chargeur qui se propage généralement via des campagnes de courrier électronique malveillantes pour infecter un appareil cible, puis se propager à travers le réseau interne d’une victime et se déplacer jusqu’à ce qu’il compromette un contrôleur de domaine. La dernière étape est la mise en œuvre du ransomware, le cryptage des machines et la demande de rançon. Et si ce type d’attaque prend généralement du temps, certains opérateurs Ryuk se démarquent par leur rapidité: Anssi indique ainsi que dans certains cas le temps de la première infection et du cryptage est réduit de quelques jours. (2 à 5) en trois heures ».

En 2020, cependant, les opérateurs de Ryuk semblent s’être progressivement tournés vers un nouveau chargeur, connu sous le nom de BazarLoader, actif depuis mars 2020. «Comme TrickBot, Bazar serait utilisé comme un accès en tant que service pour faire des compromis ou même qualifier un SI pour le compte d’autres groupes d’attaquants. On ne sait pas si BazarLoader, comme TrickBot, fonctionne également sur un modèle d’affiliation », précise l’agence, qui précise que le logiciel est principalement distribué par le groupe derrière Trickbot. D’autres chargeurs ont également été identifiés dans des attaques impliquant le malware Ryuk: Buer et Le logiciel Silent Night a également été utilisé dans l’attaque qui a implémenté Ryuk.

Raas ou pas Raas, c’est la question
L’un des points qui sépare Ryuk du reste de l’écosystème de la cybercriminalité des groupes de ransomware est la question du modèle commercial de Ryuk. Pour de nombreux ransomwares apparus ces derniers mois, le modèle économique utilisé est généralement celui de RaaS (Ransomware as a service): le groupe à l’origine des ransomwares commercialise ses logiciels sur des forums clandestins auprès d’autres groupes, qui s’assurent ensuite de les diffuser réseaux informatiques de leurs victimes.

Pour Anssi, Ryuk n’est « pas officiellement un RaaS »: l’agence déclare ainsi qu’elle n’a observé aucune promotion des opérateurs Ryuk sur les forums clandestins. Ryuk est néanmoins exploité par plusieurs acteurs malveillants, selon Anssi. S’il n’est pas vendu au public, il pourrait être mis à la disposition de partenaires de confiance par le créateur du code malveillant, ou il pourrait être exploité indépendamment par plusieurs groupes à l’aide d’outils et de formes de propagation communs. .

Il est donc difficile de savoir qui tire exactement les fils de Ryuk: le rapport de l’agence met en évidence le rôle central joué par deux acteurs malveillants, le groupe WizardSpider derrière Trickbot et le groupe identifié comme UNC1878. Selon FireEye, ce dernier groupe est responsable de 83% des attaques impliquant Ryuk. L’agence note également l’implication d’autres groupes tels que FIN6 dans la prolifération du ransomware Ryuk ainsi que du code et des méthodologies entre Ryuk et un autre ransomware connu sous le nom de Conti. Si Ryuk n’est pas «officiellement un RaaS», il n’en est pas moins un acteur profondément enraciné dans la sphère de la cybercriminalité et avec de nombreux liens avec des groupes tiers.