Catégorie : Sécurité

Catégories
Attaque Bitcoins Déchiffrement Etude informatique presse Ransomware revil Sécurité Service informatique Technologie

Kaseya prétend avoir payé aucune rançon

L’éditeur logiciel Kaseya a refusé d’avoir payé une rançon pour un déchiffrement universel après plusieurs jours avec des questions sur la manière dont l’outil est atteint.

Le 21 juillet, la Société a annoncé qu’un outil de déchiffrement universel a été réalisé grâce à une «tierce partie» et a travaillé avec Emsisoft Security Company pour aider les victimes de l’attaque de Ransomware REvil.

Kaseya prétend avoir payé aucune rançon

Lundi, Kaseya a publié une déclaration qui refuse des rumeurs qu’elle aurait payé une rançon sur REvil, le groupe Ransomware, a lancé l’attaque. REvil a demandé à l’origine une rançon de 70 millions de dollars, mais l’aurait réduit de 50 millions de dollars avant que tous ses sites Web ne disparaissent le 13 juillet.

Theresa Payton, ancien directeur des informations de la Maison-Blanche et expert en cybersécurité, a déclaré que les accords non-informations après les attaques sont plus fréquents que vous ne pourriez penser, mais a noté que « demander un accord sur les non-renseignements aux victimes n’est pas une pratique quotidienne pour chaque incident ».

« Lorsqu’un incident affecte davantage de victimes, le conseiller juridique demande à signer un accord sur les non-renseignements pour que la solution du problème ne soit pas publiée », a déclaré Payton.

Payton a ajouté que les causes de la demande de contrat de non-publication ne sont pas toujours mauvaises et invitées à consulter leurs avocats avant de signer quelque chose.

La société et la manière dont l’outil de décryptage universel a été atteint? Selon la presse, la société a chargé un accord de non-publication aux entreprises souhaitant profiter de cet outil.

« Nous certifions clairement que Kaseya n’a pas payé la rançon, que ce soit directement ou indirectement à travers un tiers, pour obtenir du déchiffrement », déclare la déclaration de Kaseya.

« Bien que chaque entreprise devait prendre sa propre décision sur le paiement de RanSom, Kaseya a décidé après avoir consulté des experts, de ne pas négocier avec les criminels qui ont commis cette attaque et que nous n’arrêtions pas de cet engagement. »

Selon la Déclaration, l’équipe d’intervention des incidents d’Emsisoft et de Kaseya a travaillé tous les week-ends pour fournir un déchiffrement avec certaines des 1 500 victimes touchées par l’attaque, y compris une grande chaîne de supermarchés en Suède, de l’Université Virginia Tech et des ordinateurs gouvernementaux locaux à Leonardtown, dans le Maryland.

La société a déclaré qu’elle avait appelé à toutes les victimes de manifester et d’ajouter que l’outil « s’est avéré 100% pour déchiffrer les fichiers complètement cryptés lors de l’attaque ».

Si la nouvelle d’un décendrier universel a été accueillie par des centaines de victimes touchées, certains soulignent qu’il existait un accord de non-information que Kaseya audacieuse les entreprises à signer l’échange d’outils.

CNN a confirmé que Kaseya a exigé un accord de non-information (NDA) d’accéder au déchiffrement. Dana Liedholm, porte-parole de Kaseya et plusieurs sociétés de cyber-sécurité impliquées, ont déclaré à ZDN et qu’ils ne pouvaient pas commenter cet accord.

LIEN

Catégories
Attaque Europe informatique presse Sécurité Service informatique Technologie

L’espace de cybersécurité Européen hacké ?

Cet atlas, disponible sur le site officiel (cybersecurity-atlas.ec.europa.eu), est destiné à réunir des professionnels européens de la sécurité de l’information. houston Bruxelles nous avons un problème!

L’espace de cybersécurité Européen hacké

Un utilisateur est néanmoins de restaurer toutes ces données pour leur suggérer de revendre à la discorde. Les journalistes records ont réussi à mettre la main sur la base de données pour confirmer l’authenticité et confirmer que les données proposées correspondent réellement au site. Parmi les soumissions de données, nous trouvons des adresses électroniques, des adresses de contact, des détails organisationnels ou le nom des personnes à contacter. Données déjà publiées et accessibles à ceux qui ont enregistré un compte sur le site Web de Cybersecurity Atlas.

Mais plus que les données ont la saisie réalisée pour confirmer que la base de données était directement à partir des systèmes informatiques du site Web de Cybersecurity Atlas et ne provenait donc pas d’une simple « raclage » des données d’un utilisateur.

La couverture de données avait été repérée par le site de Zataz: sur un forum spécialisé dans la revente des données volées suggéré un utilisateur qui a été suggéré depuis lundi un lot de fichier du projet CybersSecurity Atlas. Ce projet de la Commission européenne vise à indiquer les adresses de contact de diverses agences et des personnes impliquées dans des questions de cybersécurité européenne. Catalogue de la cybersécurité au niveau européen, lancé en 2018. Ce dossier était disponible publiquement et autorisé des entreprises, des chercheurs et des universitaires à enregistrer et à laisser leurs coordonnées d’accès ouvert.

Catégories
Etude hyères informatique Professionnel Ragnar Locker Sécurité Service informatique Technologie

Accenture et attaque de ransomware? Tout est bon!

Parmi les victimes du groupe Lockbit, Accenture, mais l’entreprise garantit que l’attaque est sous contrôle.

Accenture et attaque de ransomware Tout est bon!

Accenture a été parmi les victimes du groupe Lockbit avec un compte à rebours dont les déclencheurs étaient programmés le 11/08/2021.

Dans une déclaration, un porte-parole a minimisé l’incident et a affirmé qu’il n’avait qu’une petite influence sur les affaires de la société. Accenture a réalisé un chiffre d’affaires de plus de 40 milliards de dollars l’an dernier et compte plus de 550 000 employés dans plusieurs pays.

Accenture, une entreprise de conseil à services et technologies minimise l’importance d’une prétendue attaque de Ransomware, annoncée par Lockbit Group.

De nombreux internautes interrogent le montant des données volées pendant l’attaque et note qu’il n’est pas susceptible que l’attaque vienne du groupe.

Accenture n’a pas répondu aux questions pour déterminer s’il s’agissait d’une attaque effectuée à l’aide d’un employé.

Dans un rapport d’accent publié la semaine dernière, la Société a déclaré que 54% de toutes les victimes de Ransomware ou d’APRESTORT étaient des entreprises dont le chiffre d’affaires annuel était compris entre 1 et 9,9 milliards de dollars.

Accenture propose un certain nombre de services à 91 des 100 meilleures sociétés de classification de la fortune et des centaines d’autres entreprises. Les services informatiques, les technologies de fonctionnement, les services cloudis, la mise en œuvre de la technologie et les conseils ne sont que quelques-uns des services que la société est basée en Irlande offre à ses clients. En juin, la société a acheté Umlaut, une entreprise d’ingénieurs allemands pour élargir sa présence dans le cloud, l’IA et la 5G. Elle a également acquis trois autres entreprises en février.

L’Australian Cyber ​​Security Center a publié un résumé du vendredi indiquant que le groupe Ransomware Lockbit après une petite chute d’opération a été ravivé et intensifié ses attaques.

Selon l’Agence australienne, les membres du Groupe exploitent activement les vulnérabilités existantes dans les produits FORTITITINE FORMIPROXY identifiés par le lancement de la CVE-2018-13379 pour obtenir le premier accès aux réseaux de victimes spécifiques.

« La CCCAA est consciente de nombreux événements impliquant des verrouillements et son successeur » Lockbit 2.0 « en Australie depuis 2020. La majorité des décès connus de la CCAA ont été signalés après juillet 2021, ce qui indique une augmentation nette et significative des victimes nationales par rapport à d’autres variantes de ransomware, « Ajoute le communiqué de presse.

« La CCAA a observé des filiales de lockbit ont mis en œuvre avec succès des ranesomwares sur des systèmes d’entreprise dans divers secteurs, y compris des services professionnels, de la construction, de la fabrication, de la vente au détail et du régime alimentaire. »

En juin, l’équipe de l’intelligence de la menace Poina a publié un rapport qui enquête sur le bit de verrouillage de la structure RAAS et son inclinaison d’acheter un accès au protocole de bureau externe pour les serveurs en tant que vecteur d’attaque initial.

Le groupe exige généralement 85 000 $ en moyenne des victimes et si une tierce partie revient sur les opérateurs de la RAA. Plus de 20% des victimes d’un tableau de bord consulté par les chercheurs d’énergie appartenaient au secteur des logiciels et des services.

« Les services commerciaux et professionnels ainsi que le secteur des transports sont également très ciblés par le groupe Lockbit ».

Catégories
Attaque Etude informatique prix Ransomware Sécurité Service informatique

Cyber ​​attaques d’entreprises, plus chères que prévu!

À l’origine de telles attaques, l’argent est à nouveau et la principale motivation. Qu’il soit réclamé par une demande de rançon ou réalisée par la revente de données, il est toujours au cœur des préoccupations du commerce. Afin d’atteindre leurs objectifs, ce dernier doit donc utiliser une stratégie qui nécessite parfois plusieurs mois de préparation en fonction de la structure ciblée. Dans certains cas, les hackers cherchent à s’infiltrer très tôt et à mettre leurs programmes en dortoir à travers la gravité de l’offuscation. Ils peuvent effacer leurs morceaux et déclencher leurs attaques quelques semaines / mois plus tard.

Cyber ​​attaques d’entreprises, plus chères que prévu!

Il sera nécessaire de s’habituer à ce que la numérisation croissante apporte avec ses nombreux problèmes, et parmi ceux-ci sont des cyberattaques. Leur puissance et leur structure varient selon l’objectif sélectionné, mais la conséquence est identique à toutes les victimes: une immobilisation totale ou partielle de l’appareil productif pour une période indéterminée. Suit une vraie galère pour les structures qui cherchent à se remettre de ces attaques.

Au cœur de la méthode d’une cyberattaque, la première étape consiste à reconnaître, il consiste à récupérer des informations maximales – courriels, téléphones, noms – sur une ou plusieurs de la société. Cette phase d’ingénierie sociale permet de trouver un point d’entrée qui, dans la plupart des cas, c’est l’e-mail. Que vous utilisiez la méthode de phishing, l’installation de logiciels malveillants ou des arnaques d’utilisateurs pour le président, l’objectif, une fois dans les systèmes d’information, effectuez des mouvements. Latérales qui permettent aux pirates d’infiltrer et de toucher d’autres éléments du réseau de la société. L’attaque implémente plus largement et capture ainsi davantage de données et paralysant les serveurs internes.

Le mode survie d’une entreprise

L’un des premiers réflexes pour les entreprises est de couper leurs systèmes d’information pour limiter la pause et empêcher l’attaque de la propagation de l’interne. Un réflexe de survie qui leur permet d’organiser une réponse et d’accélérer le retour à une situation normale. Si les instructions des systèmes d’information, pour les entreprises qui les possèdent sont sur le pied de la guerre, ils ne peuvent que voir les dommages causés.

Dans un processus de retour au processus normal, certaines entreprises peuvent décider de payer immédiatement une rançon en violation des autres essayant de résoudre le cambriolage de leur système d’information. Dans les deux cas, il n’est jamais certain que ce type d’attaque ne se reproduise plus. Il est donc utile de veiller à ce qu’il existe une stratégie de prévention en tant que plans de restauration de l’activité (PRA), qui sont déclenchés à la suite d’une catastrophe. Il investira également dans des solutions de protection des applications ainsi que ceux qui visent à découvrir des attaques et à les bloquer en amont. En bref, il n’est pas question de savoir si le système d’information sera touché, mais plutôt quand ce sera.

Les solutions contre les cyberattaque

Malgré toutes les dispositions technologiques prises, de nouvelles attaques de plus en plus puissantes et pervers seront en mesure de contourner les nombreux systèmes de sécurité créés par des entreprises. L’un des défis des années à venir est donc au niveau de la prévention de l’homme. L’idée d’un pare-feu humain n’est possible que si les employés de la société sont formés pour reconnaître les signes d’une cyberattaque. Cet aspect sera tout important car la transition numérique des entreprises s’est largement accélérée depuis la crise CVIV-19 et le nombre de cyberattaques multiplié par quatre entre 2019 et 2020 en France. Il est donc important et urgent d’introduire un système de responsabilité commune qui ne permettra pas de mieux faire du risque pour mieux préparer les entreprises aux futures attaques.

Et ceux-ci peuvent avoir un impact très important sur la production et conduire à une immobilisation pendant un certain temps. Les récentes cyberattaques ont assisté à un pipeline colonial, un grand réseau de pipelines pétroliers, qui porte près de 45% des combustibles de la côte est aux États-Unis et qui a provoqué un lieu de fourniture pendant plusieurs jours. Cela a généré des mouvements de panique dans la population, entraînant des lacunes dans certaines stations-service. En fin de compte, la société a dû payer près de 4,4 millions de dollars de rançon aux pirates. Des exemples tels que celui-ci montrent qu’une immobilisation de la production, voire de courte durée, peut entraîner des pertes financières importantes pour les entreprises touchées par les cyberattaques ainsi que pour les acteurs de leur écosystème.

Catégories
Attaque Déchiffrement informatique Ransomware revil Sécurité

REvil ; Kaseya prétend avoir la clé de déchiffrement

La société de logiciels américano-cano-kaseya a maintenant accès à la clé de déchiffrement universelle du Ransomware REvil, qui a affecté ses clients qui sont des fournisseurs de services gérés.

La société a annoncé son accès à l’outil de déchiffrement jeudi 22 juillet , environ 20 jours après l’attaque de Ransomware, qui a eu lieu le 2 juillet.

REvil ; Kaseya prétend avoir la clé de déchiffrement

L’attaque a touché directement 60 ses clients et jusqu’à 1 500 de leurs clients en aval. Les caisses de la chaîne Suédoise Coop Supermarket n’ont pas été inaccessibles pendant presque une semaine en raison de l’attaque. Ils avaient été infectés dans tout le pays avec une mise à jour logicielle corrompue du produit de Kaseya, CSR, qui permet de distribuer des mises à jour logicielles pour des périphériques embarqués et sur l’ensemble de la flotte d’ordinateurs gérés. En Nouvelle-Zélande, les écoles utilisant le logiciel Kaseya ont également été touchées.

Kaseya a maintenant une clé de déchiffrement pour les clients concernés par le Ransomware REvil.

Selon Kaseya, la société de sécurité de la Nouvelle-Zélande Emsisoft a confirmé que l’outil de déchiffrement vous permet de déverrouiller des fichiers cryptés avec la révolution.

« Nous pouvons confirmer que Kaseya a obtenu un outil tiers et que son équipe aide activement les clients affectés par Ransomware à restaurer leurs environnements sans aucun rapport sur aucun problème lié au Decrypeter. La société indique dans une déclaration.

« Kaseya travaille avec Emsisoft pour soutenir les efforts de nos clients et Emsisoft confirme que la clé est efficace pour déverrouiller les victimes ».

Les sites Web du groupe Revil ont été clos la semaine dernière après que le président américain Joe Biden a demandé au président russe Vladmir Poutine d’agir contre des cybercriminels basés à la Russie destinée aux entreprises américaines. Joe Biden aurait déclaré au président russe que des infrastructures critiques devraient être hors périmètre en termes de cybercriminalité.

Une autre attaque du Ransomware de Darkside avait pris le distributeur de carburant colonial de retour sur la côte est aux États-Unis en mai. Certains experts en matière de sécurité estiment que l’attaque contre le pipeline colonial a propulsé la question des ranchants au rang de discussion diplomatique et invite les revenus à suspendre ses activités.

Nous ne savons pas si Kaseya a payé la demande de rançon de 70 millions de dollars. La société aurait obtenu la clé de déchiffrement avec un « tiers de confiance » basé sur un porte-parole signalé par le tuteur.

Bien que certains clients kashasia-aval ont corrigé les systèmes attribués, les points d’extrémité de certains clients ont été hors ligne et pouvaient restaurer des systèmes avec la clé de déchiffrement.

Un client anonyme la semaine dernière a déclaré qu’il a payé une rançon pour révéler le groupe. Mais cela n’a pas pu déchiffrer les fichiers cryptés avec la clé de déchiffrement. REvil vendu son ransomware en tant que service à des groupes de cybercriminels.

Catégories
Attaque informatique Professionnel Ransomware revil Sécurité Service informatique

Qui est Kaseya la victime d’un « Nouveau » ransomware?

La cyberattaque qui a frappé la société informatique Kaseya le week-end dernier a contraint la chaîne de supermarchés suédoise Coop à fermer plus de 800 magasins et supérettes. L’attaque ricoche et peut toucher plus de 1 500 entreprises dans le monde. Et les marques françaises ?

Kaseya développe des solutions et des services pour les fournisseurs de services gérés (MSP). Vendredi, alors que la plupart des Américains étaient prêts à fêter le week-end du 4 juillet, l’entreprise a subi une attaque contre l’une de ses solutions, Kaseya USA. Cela permet aux utilisateurs de distribuer des mises à jour et de surveiller à distance les systèmes informatiques de leurs clients.

Cependant, il y avait une vulnérabilité sur le système. Cela avait été découvert par le DIVD, l’Institut néerlandais de détection des vulnérabilités, qui avait prévenu l’entreprise. Kaseya l’a donc corrigé et le correctif a même été validé lorsque REvil ou l’une de ses filiales a frappé et exploité la vulnérabilité zero-day pour mener son attaque. À ce stade, peu de détails ont été publiés sur ce bug, sauf qu’il était assez facile à exploiter.

Grâce à cela, le groupe de hackers a pu diffuser des fichiers malveillants sous couvert d’une mise à jour automatique de Kaseya VSA et diffuser des ransomwares aux MSP utilisant la solution mais aussi à leurs clients. Il n’est pas encore possible de savoir exactement combien d’entreprises ont été touchées par cette attaque, mais il a été estimé vendredi que plus de 1 000 d’entre elles ont vu leurs fichiers cryptés alors que REvil avance le chiffre d’un million sur son site internet.

Caisses inopérantes, magasins fermés… Une cyberattaque sans précédent est devenue sa première victime en Europe, le groupe de supermarchés suédois Coop, qui représente 20% du secteur dans le pays, a été paralysé samedi 3 juillet par la cyberattaque contre l’entreprise américaine Kaseya. , spécialiste de l’infogérance informatique. 800 magasins sont toujours fermés pendant quatre jours, les caisses enregistreuses sont bloquées et hors d’usage.

C’est par l’intermédiaire d’un de leurs sous-traitants informatiques, Visma Escom, lui-même touché par la cyberattaque, que le système informatique interne de l’entreprise suédoise a été piraté. L’attaque a également touché plusieurs pharmacies suédoises et la compagnie ferroviaire du pays. Plus précisément, les pirates ont attaqué le logiciel phare de Kaseya, « VSA », conçu pour gérer de manière centralisée les réseaux de serveurs, contrôler et sécuriser les systèmes informatiques. Ils ont choisi la méthode des ransomwares, qui consiste à installer des logiciels malveillants qui bloquent toutes les machines ou ordinateurs ciblés jusqu’à ce que leurs propriétaires paient une rançon.

Jusqu’à 1 500 entreprises impliquées
Sur ses 40 000 clients, Kaseya estime que moins de 60 clients ont été touchés. Problème, la plupart d’entre eux gardent les clients pour eux-mêmes, ce qui facilite la propagation de l’attaque.

Catégories
Attaque Etude informatique Ransomware Sécurité Service informatique

Négociateurs en recrutement chez les cybercriminels

L’écosystème des Ransomware as a service (RaaS) recrute pour forcer les victimes à payer.

Victoria Kivilevich, analyste du renseignement sur les menaces chez KELA, a publié les résultats d’une étude de tendance RaaS, affirmant que les attaques individuelles ont presque « disparu » en raison de la nature lucrative du système. Commerce de ransomwares criminels.

Les gains financiers potentiels des entreprises cherchant désespérément à déverrouiller leurs systèmes ont donné lieu à des spécialistes du chantage et ont également entraîné une énorme demande d’individus capables de prendre en charge le côté négociation d’une chaîne d’attaque.

Les ransomwares peuvent être dévastateurs non seulement pour les activités d’une entreprise, mais aussi pour sa réputation et ses résultats. Si des attaquants réussissent à toucher un fournisseur de services utilisé par d’autres entreprises, ils peuvent également être en mesure d’étendre rapidement leur surface d’attaque à d’autres appareils.

Dans un cas récent, des vulnérabilités zero-day dans des logiciels américains fournis par Kaseya ont été utilisées pendant le week-end férié américain pour compromettre les terminaux et exposer les organisations à un risque d’infection par ransomware. On estime actuellement que jusqu’à 1 500 entreprises ont été touchées.

Selon KELA, une attaque de ransomware typique comporte quatre phases : acquisition de code/malware, propagation et infection des cibles, extraction de données et/ou persistance de la maintenance sur les systèmes affectés et génération de revenus.

Il y a des acteurs dans chaque « domaine », et récemment, la demande de spécialistes de l’exploitation minière et de la génération de revenus a augmenté parmi les groupes de ransomware.

L’émergence de revendeurs en particulier dans le domaine de la monétisation est désormais une tendance dans l’espace RaaS. Selon les chercheurs du KELA, on assiste à l’émergence d’un grand nombre d’acteurs malveillants contrôlant l’aspect négociation, tout en augmentant la pression via les appels téléphoniques, les attaques par paralysie distribuée (DDoS) ou les menaces de fuite d’informations volées.

KELA suggère que ce rôle est dû à deux facteurs potentiels : le besoin pour les groupes de ransomware de s’en tirer avec une marge bénéficiaire décente et le besoin de personnes parlant anglais pour mener des négociations efficaces.

« Cette partie de l’attaque semble également être une activité externalisée, au moins pour certaines filiales et/ou développeurs », explique Kivilevich. « L’écosystème ransomware ressemble donc de plus en plus à une entreprise avec des rôles différents au sein de l’entreprise et des activités plus externalisées. »

Les courtiers d’accès initial sont également très demandés. Après avoir observé les activités du dark web et des forums pendant plus d’un an, les chercheurs affirment que le prix de l’accès aux réseaux compromis a augmenté. Certaines offres sont désormais 25 à 115% plus élevées que précédemment enregistrées, notamment lorsque le niveau administrateur de domaine a été accédé.

Ces intrus peuvent s’attendre à obtenir entre 10 et 30 % de la rançon. Il convient toutefois de noter que certains de ces courtiers ne fonctionnent pas du tout avec les ransomwares et ne se livreront qu’à des attaques ciblant d’autres cibles, telles que celles qui conduisent à la collecte de données de carte de crédit.

« Au cours des dernières années, les groupes de ransomwares ont évolué pour devenir des sociétés de cybercriminalité avec des membres ou des « employés » spécialisés dans différentes parties des attaques et différents services d’assistance », a commenté KELA. « La récente interdiction des ransomwares sur deux grands forums russophones ne semble pas affecter cet écosystème, car seule la publicité des programmes d’affiliation a été interdite sur les forums. »

LIEN

Catégories
Attaque hyères informatique Mac MacOS Mairie Orange Sécurité Service informatique

Evitez l’attaque qui efface les données d’un WD My Book Live

Ce fut une vilaine surprise pour certains utilisateurs de disques durs réseau Western Digital My Book Live dont le contenu a été automatiquement supprimé à distance dans le cadre d’une réinitialisation de leurs paramètres.

Le 23 juin, de nombreux utilisateurs de WD My Book Live ont eu une très mauvaise surprise lorsqu’ils ont découvert que toutes les données stockées sur leur disque dur réseau (NAS) avaient disparu. Et sans raison apparente, car ils n’avaient effectué aucune opération particulière. En quelques heures, les témoignages se sont multipliés en ligne et sur Twitter, prouvant qu’il ne s’agissait pas d’accidents isolés. Le forum de support de Western Digital, le fabricant de ces systèmes de stockage très populaires, s’est rapidement rempli de messages désespérés appelant à l’aide. « J’ai un WD My Book Live connecté à mon réseau local qui fonctionne bien depuis des années », écrit la personne qui a lancé le fil. « Je viens d’apprendre que toutes les données sont parties là-bas aujourd’hui : les catalogues semblent être là, mais ils sont vides. Auparavant, le volume de 2 To était presque plein : maintenant il est à pleine capacité. » Certains utilisateurs rapportent même que l’accès au NAS est désormais interdit, car l’appareil leur demande un nouveau mot de passe, qu’ils n’ont bien sûr pas. Bref, panique et catastrophe car les données supprimées sont perdues à jamais. Adieu documents, photos, vidéos et autres fichiers personnels collectés au fil des années sur ces appareils conçus uniquement pour effectuer des sauvegardes.

début Juillet WD a identifié l’erreur qui est considérée comme la source du piratage qui a entraîné la suppression de données à distance pour de nombreux utilisateurs de disques durs My Book Live. Ce bug a été introduit en 2011 par une mise à jour du firmware visant à améliorer le processus d’identification des utilisateurs. « Nous avons examiné les journaux que nous avons reçus des clients concernés pour comprendre et caractériser l’attaque. Ils montrent que les pirates sont directement connectés aux appareils My Book Live concernés à partir d’une variété d’adresses IP dans différents pays. » Explique l’entreprise.

Plus important encore, le fabricant annonce qu’une campagne gratuite de récupération de données débutera le mois prochain sans dire si toutes les personnes impliquées seront en mesure de retrouver toutes les données perdues. WD lancera également un programme de mise à niveau avantageux pour ces derniers et les encouragera à acquérir un NAS My Cloud à un prix préférentiel en échange de leur NAS My Book Live.

Pour plus d’informations, visitez la page d’assistance de Western Digital.

Catégories
Attaque hyères informatique presse prix Ransomware Sécurité Service informatique

Un ransomware pourrait correspondre à la description des symptômes de la cyberattaques d’Adrexo

La société Adrexo, chargée de diffuser la propagande électorale, est à la croisée des chemins depuis la semaine dernière suite à des dysfonctionnements. La communication de l’entreprise évoque notamment l’impact d’une cyberattaque, tandis que les syndicats pointent plutôt un manque de moyens. Services informatique Hyères

Un ransomware pourrait correspondre à la description des symptômes de la cyberattaques d’Adrexo

Dans un communiqué, la direction d’Adrexo évoque la cyberattaque que l’entreprise a connue fin avril pour justifier les dysfonctionnements survenus : « la direction opérationnelle de cette mission a connu des perturbations en mai lors d’une cyberattaque dont l’entreprise a été victime. « Une cyberattaque résolue maintenant, mais qui selon Adrexo aurait perturbé l’organisation de la distribution : » Avec la solution à cet incident, Adrexo s’est organisé pour qu’il soit possible à ses équipes de distribuer dans les meilleures conditions malgré la force informatique et les contraintes opérationnelles. ”.

La diffusion de la propagande électorale dans le cadre du 1er tour de l’élection régionale ne s’est pas déroulée comme prévu : de nombreux citoyens se sont plaints de ne pas avoir reçu la profession de foi des différents partis avant le 1er tour de l’élection. Adrexo est désormais dans le coup : cette filiale du groupe Hopps a remporté le marché de la diffusion de la propagande électorale lors d’un appel d’offres en janvier 2021 avec le groupe.

Mais les dysfonctionnements ont poussé plusieurs partis politiques et autorités locales à exprimer leur mécontentement. Le ministère de l’Intérieur a convoqué lundi les dirigeants des deux sociétés chargées de la distribution à venir pour s’expliquer, laissant La Poste et Adrexo communiquer sur les dysfonctionnements rencontrés.

Un communiqué de presse ne donne pas plus de détails sur la nature ou l’étendue de la cyberattaque en question, mais la société a en fait été touchée par une attaque fin avril. Plusieurs notes et messages diffusés en interne et relayés par les différents syndicats du groupe Hopps ont donné un aperçu de l’ampleur de l’attaque : elle aurait été identifiée dans le week-end du 25 avril et aurait provoqué la paralysie d’un parti. Département IT. Le 30 avril, le groupe s’est félicité de la reprise des opérations en moins de dix jours, affirmant que « le temps de régler cet incident est un exploit », tout en reconnaissant qu’il faudra du temps pour récupérer complètement les services informatiques.

L’impact de la cyberattaque est donc encore difficile à évaluer, et le ministère de l’Intérieur ne semble pas trop s’en émouvoir : il rappelle donc que les deux entreprises sont obligées de donner suite et garantir que les dysfonctionnements ne se reproduisent pas à l’autre tour des élections régionales prévu le 27 juin. Parmi les mesures envisagées pour assurer cela, les préfets seront notamment des sous-officiers chargés d’assurer la qualité des opérations postales et le contrôle opérationnel de la diffusion de la propagande électorale au niveau départemental.

Catégories
Attaque informatique Non classé presse Ransomware Sécurité Service informatique Technologie

Ce nouveau groupe de hackers vise les diplomates européens

BackdoorDiplomacy ne coupe pas les cheveux en quatre en matière de cyberespionnage.

Ce nouveau groupe de hackers vise les diplomates européens

Un groupe de cyberattaques récemment découvert cible des diplomates européens, africains et moyen-orientaux. Mis en évidence jeudi par des chercheurs d’ESET, le groupe appelé BackdoorDiplomacy, a été lié à des attaques réussies contre des ministères des Affaires étrangères dans de nombreux pays d’Afrique, du Moyen-Orient, d’Europe et d’Asie ainsi que contre un petit sous-ensemble d’entreprises de télécommunications en Afrique et au moins un organisme de bienfaisance au Moyen-Orient.

Selon les chercheurs d’ESET, ce groupe est opérationnel depuis au moins 2017. Il cible à la fois les systèmes Linux et Windows et semble préférer exploiter les appareils vulnérables face à Internet comme vecteur d’attaque initial.

S’il trouve des serveurs Web ou des interfaces de gestion de réseau présentant des points faibles, tels que Des problèmes logiciels ou une mauvaise sécurité de téléchargement de fichiers affectent le groupe. Dans un cas observé par ESET, un bogue appelé F5 – CVE-2020-5902 – a été utilisé pour déployer une porte dérobée Linux, tandis que BackdoorDiplomacy dans un autre cas a adopté les vulnérabilités du serveur Microsoft Exchange pour déployer China Chopper, un webshell.

Bien que BackdoorDiplomacy ait été enregistré en tant que groupe de hackers à part entière, il semble avoir des connexions ou au moins quelque chose en commun avec d’autres groupes. Le protocole de chiffrement du réseau utilisé par APT est presque identique à celui utilisé par la porte dérobée Whitebird du groupe Calypso, et ce malware a été déployé contre des cibles diplomatiques au Kazakhstan et au Kirghizistan dans les années 2017-2020.

En outre, ESET pense avoir des points communs avec CloudComputating / Platinum, qui a ciblé les organisations diplomatiques, gouvernementales et militaires en Asie au cours des années précédentes. D’autres index de codage et de mécanisme sont similaires à Rehashed Rat et MirageFox – également connus sous le nom d’APT15.

Dans le cadre d’autres recherches menées ce mois-ci, Check Point Research a découvert une nouvelle porte dérobée développée par des acteurs chinois de la menace pour une période de trois ans. Le malware, appelé VictoryDll_x86.dll, a été utilisé pour compromettre un réseau appartenant au département d’État d’un gouvernement d’Asie du Sud-Est.

De temps en temps, les attaquants analysent l’appareil pour un déplacement latéral, installent une porte dérobée personnalisée et mettent en œuvre une variété d’outils pour effectuer la surveillance et le vol de données. La porte dérobée, appelée Turian, serait basée sur la porte dérobée Quarian, un malware associé à des attaques contre des cibles diplomatiques en Syrie et aux États-Unis en 2013. L’implant principal est capable de récolter et d’exfiltrer des systèmes informatiques, de prendre des captures d’écran, mais aussi d’écraser. , déplacer/supprimer ou voler des fichiers.

Certains des outils utilisés incluent EarthWorm Network Tunnel Software, Mimikatz, NetCat et des logiciels développés par la National Security Agency (NSA) des États-Unis et dévoilés par ShadowBrokers, tels que EternalBlue, DoublePulsar et EternalRocks. VMProtect a dans la plupart des cas été utilisé pour essayer de cacher les activités du groupe.

Les diplomates peuvent avoir besoin de gérer des informations sensibles transmises via des disques et des supports de stockage amovibles. Pour étendre la portée de ses activités de cyber-espionnage, BackdoorDiplomacy recherche les clés USB et tente de copier les fichiers qu’elles contiennent dans une archive protégée par mot de passe, qui est ensuite envoyée à un centre de commande et de contrôle (C2) via la porte dérobée.