Dans un communiqué de presse publié cette semaine, le Cigref met en garde contre la montée des cyberattaques et la menace que cette hausse fait peser sur l’économie française. Et ce alors que de plus en plus d’entreprises en France sont concernées par les attaques de ransomwares.
Le Cigref s’inquiète de la reprise des attaques par ransomware
Un risque informatique pour les entreprises Francaises:
Depuis le début de l’année scolaire, les assaillants n’ont pas désarmé et l’épidémie de rançon commence à se manifester. Le Cigref, organisation qui regroupe un réseau de grandes entreprises et administrations françaises sur le thème du numérique, indique avoir adressé une lettre au Premier ministre l’avertissant de «l’augmentation du nombre et de l’intensité des cyberattaques» et de l’impact de cette situation sur l’économie française.
« Les pertes d’exploitation des centaines d’entreprises, grandes et petites, qui ont subi une cyberattaque ne sont plus anecdotiques, comme le montre trop souvent l’actualité », a déclaré Cigref dans son communiqué de presse. L’organisation reconnaît les efforts déjà consentis par l’Etat à travers Anssi, mais note «l’insuffisance des réponses de la communauté internationale et des Etats face à la réalité d’une menace qui se déploie à l’échelle mondiale.» Le Cigref saisit également l’occasion pour pour pointer du doigt les fournisseurs de systèmes numériques dont les pratiques sont jugées inadéquates: le Cigref appelle à une régulation de ces acteurs pour améliorer la sécurité globale des entreprises utilisant ces outils.
Covid + ransomware = pas bon!
Le contexte est en effet délicat pour les entreprises déjà touchées par la crise sanitaire et les mesures d’endiguement mises en place par le gouvernement. Mais la période a également été marquée par une vague d’attaques de ransomwares qui a frappé les entreprises françaises. Nous avions publié des retours de Paris Habitat, mais de nombreuses autres victimes d’attaques de ransomwares ont été touchées ces dernières semaines.
On peut citer le quotidien Paris Normandie, la société de services informatiques Umanis, Scutum ou encore Siplec. Il y en a beaucoup d’autres dont les attaques ont été revendiquées par des groupes de cybercriminalité mais non confirmées par les victimes. Et on ne parle que des victimes qui ont été déclarées depuis début novembre, mais beaucoup passent sous le radar et ne communiquent pas et espèrent que les assaillants ne communiquent pas non plus (ce qui est loin d’être évident).
Outre les entreprises, de nombreuses administrations et collectivités locales sont également touchées: les chambres d’agriculture du Centre-Val de Loire et de la Nouvelle-Aquitaine ont ainsi porté le poids de ces attaques, ainsi que Vincennes ou la ville de Bondy, qui rapporte avoir été touchée deux fois de suite. une attaque informatique en dix jours. Une nouvelle typologie des victimes préoccupe particulièrement Anssi, qui publie désormais un guide de sécurité pour les communes et envisage de profiter du plan de relance pour lancer un plan de sécurisation des systèmes informatiques des collectivités locales.
La tendance à la hausse des cyberattaques est observée depuis plusieurs mois maintenant: leMagIt avait réalisé un premier recensement des cyberattaques en septembre, laissant supposer avoir identifié des dizaines de victimes en France et plus de 700 dans le monde. . Cigref n’est donc pas déplacé pour rien: la facture (ou rançon) de l’économie française peut s’avérer salée.
La firme Paris Habitat confirme avoir été touchée par des ransomwares, ce qui a conduit à la paralysie de ses services pendant plusieurs jours. Cependant, Paris Habitat a refusé de payer la rançon et a reconstruit son système sur la base de sauvegardes.
Après près de trois semaines de silence radio, Paris Habitat fournit des détails sur la cyberattaque qui a paralysé ses services. Comme l’ont mentionné MagIT et plusieurs sources internes, c’est en fait un ransomware qui a affecté les services informatiques du bailleur social parisien. «L’attaque a eu lieu dans la soirée du 27 octobre et a été détectée par nos systèmes informatiques le 28 au matin», explique Marie Godard, directrice adjointe de Paris Habitat. «On pense que le vecteur d’intrusion est une attaque de phishing, mais notre enquête n’est pas encore terminée. Cependant, le groupe derrière l’attaque a été identifié comme étant Sodinokibi. «
Il y a donc eu une demande de rançon, mais Marie Godard explique que « la question ne s’est pas posée. On s’est rendu compte que nous avions des sauvegardes audio remontant au mardi 27 octobre, ce qui nous a évité d’avoir à envisager de payer une rançon. » Paris Habitat garantit qu’il n’y a pas eu de perte ou de vol de données. Quinze jours après la première attaque, Sodinokibi n’a en fait publié aucune donnée sur son site Internet Paris Habitat, suggérant que les données des utilisateurs n’ont pas été effectivement volées.
Pour limiter l’attaque, la direction a choisi d’arrêter tout son système informatique mercredi avant de redémarrer progressivement les systèmes à partir de vendredi. « Nous avons immédiatement alerté nos partenaires directs de la situation », a déclaré le directeur adjoint. Paris Habitat héberge en effet un data center à Paris, qui héberge également AP-HP et Eau de Paris. Mais «la partition entre les différents SI a permis de limiter le risque de reproduction», assure Marie Godard.
En reconstruction
La continuité du service a été assurée en s’appuyant sur le réseau de gardiens d’immeubles de Paris Habitat: le site internet sur place a ainsi référé les locataires à leur concierge ou à un numéro de téléphone unique permettant l’Information. Un site Internet du personnel a également été mis en place pour leur fournir des informations sur le redémarrage des systèmes et les mesures à mettre en œuvre pour le confinement. Lorsque l’attaque a été déclarée quelques jours avant l’annonce du confinement, il valait mieux tuer deux oiseaux d’une pierre. «Le problème maintenant est de récupérer en s’assurant que tout est fiable», a déclaré le directeur adjoint, qui a déclaré que le groupe travaillait avec Frame IP pour remettre les systèmes en marche.
«Nous devons nous assurer que toutes les données sont fiables et que les machines des employés le sont également. Au total, donc, plus de 1 500 ordinateurs portables doivent être ciblés pour s’assurer qu’ils ne sont pas compromis. Selon le directeur adjoint, il y a déjà eu plus de 1 200 unités. Elle explique que les services sont progressivement redémarrés, puisque le site doit être de nouveau en ligne « avant la fin de la semaine ». Le groupe a déposé une plainte et BEFTI et OCLCTIC sont chargés de l’enquête. Un rapport a également été fait à la CNIL. Paris Habitat explique également avoir prévenu Anssi de l’attaque.
Sodinokibi ou Revil fait référence à un groupe de cybercriminalité particulièrement actif, spécialisé dans les attaques de ransomwares. Apparu en avril 2019, ce ransowmare fonctionne sur le modèle de RaaS (Ransomware as a Service), ce qui signifie qu’il loue ses malwares à des groupes tiers, «affiliés», responsables de la réalisation des attaques, alors que les créateurs du malware sont normaux responsable de la négociation et de la récupération de la rançon puis de la redistribution des gains. Revil est un groupe connu pour télécharger et revendre les données qu’il vole à ses victimes via un site dédié. Mais jusqu’à présent, le groupe n’a pas revendiqué la responsabilité de l’attaque ou téléchargé des données appartenant à Paris Habitat.
La cyberattaque contre Capcom était en fait une cyberattaque par ransomware combinée à un vol des données. Les données de centaines de milliers de personnes sont compromises.
Plus tôt ce mois-ci, l’éditeur de jeux vidéo japonais Capcom – surtout connu pour ses franchises Street Fighter et Resident Evil – a déclaré avoir été victime d’une cyberattaque avec un piratage de son système d’information.
Les communications de Capcom étaient censées être assez rassurantes, tandis que des rapports commençaient simultanément à circuler sur une cyberattaque de ransomware (Ragnar Locker) et un filtrage de données à partir de réseaux au Japon, aux États-Unis et au Canada.
Plus tôt cette semaine, Capcom a fait une nouvelle communication. L’éditeur confirme avoir été victime d’une cyberattaque par ransomware et ajoute que des données personnelles ont été compromises.
Capcom a pu vérifier que les informations personnelles de neuf employés (anciens et actuels) étaient compromises, ainsi que les informations financières et les rapports de vente. Dans une section de données potentiellement compromise, Capcom classe les cas pour près de 350 000 personnes.
Dans ce cas, il s’agit de clients, de partenaires commerciaux, d’actionnaires ou même d’anciens salariés. Essentiellement au Japon et en Amérique du Nord, ce sont principalement des noms, des adresses électroniques et postales, des numéros de téléphone, des dates de naissance et même des photos.
Toujours dans le registre des données potentiellement compromises, Capcom ajoute que près de 14 000 personnes sont associées aux ressources humaines ainsi qu’à tout un ensemble de documents internes confidentiels.
Une combinaison de ransomware et de vol des données Rappelons que Capcom avait initialement précisé qu’il n’y avait actuellement aucune indication d’un compromis sur les données clients. Le discours a considérablement changé. En revanche, Capcom – qui s’excuse – évite le risque de compromis avec les données bancaires ou de paiement. Tout simplement parce que Capcom ne stocke pas ces informations en interne.
Capcom travaille avec les forces de l’ordre au Japon et aux États-Unis. Les attaquants derrière le ransomware Ragnar Locker avaient en fait adressé une demande de rançon à Capcom pour le retour de données volées et la fourniture d’un outil de décryptage.
L’enquête sur l’incident de sécurité et les données exfiltrées a été entravée par le cryptage des données sur les serveurs et la suppression des journaux d’accès lors de la cyberattaque. Capcom a visiblement décidé de ne pas céder au chantage des attaquants. Ce n’est pas toujours le cas. En retour, les données exfiltrées sont mises en ligne.
Le fabricant de jouets a été victime d’une attaque de ransomware l’été dernier. L’attaque a été rapidement interrompue et n’a eu aucun impact significatif sur l’entreprise.
Mattel a contenu l’attaque d’un ransomware
Le fabricant de jouets américain Mattel a révélé mercredi qu’il avait subi une attaque de ransomware qui paralysait certaines fonctions commerciales. Néanmoins, la société affirme s’être remise de l’attaque sans pertes financières importantes.
Mattel a contenu l’attaque
L’incident a eu lieu le 28 juillet, selon un formulaire trimestriel 10-Q, que la société a déposé plus tôt dans la journée auprès de la Securities and Exchange Commission des États-Unis.
Mattel a déclaré que l’attaque par ransomware avait initialement réussi et chiffré certains de ses systèmes.
«Après la découverte de l’attaque, Mattel a commencé à mettre en œuvre ses protocoles de réponse et à prendre une série d’actions pour arrêter l’attaque et restaurer les systèmes affectés. Mattel a contenu l’attaque et, bien que certaines fonctions commerciales aient été temporairement affectées, Mattel a rétabli les opérations », explique la société.
Aucun impact sérieux
Depuis plus d’un an, les gangs de ransomwares volent des données et se lancent dans un double stratagème d’extorsion qui menace de publier les données de l’entreprise piratée sur des sites Web publics appelés «sites de fuite» à moins que les victimes ne paient la rançon souhaitée.
Cependant, le fabricant de jouets explique qu’une enquête ultérieure a conclu que le gang de ransomwares derrière le cambriolage de juillet n’avait volé « aucune donnée commerciale sensible ou des données sur les clients, fournisseurs, consommateurs ou employés ». .
Dans l’ensemble, Mattel semble avoir échappé à l’incident avec seulement un bref temps d’arrêt et sans aucune blessure grave, ce qui est rarement suffisant pour être stressé. De nombreux exemples montrent des pertes financières de plusieurs dizaines de milliers de millions de dollars, comme c’est le cas avec Cognizant ou Norsk Hydro. Mattel souligne que l’attaque du ransomware a légèrement « eu aucun impact significatif sur ses opérations ou sa situation financière. »
Le producteur d’alcool Campari a été victime d’une attaque de ransomware début novembre. La veille de la date limite de la rançon, les hackers à l’origine de l’attaque ont payé une campagne publicitaire pour discréditer les communications de leurs victimes.
Les cybercriminels achètent des publicités Facebook pour Campari
C’est un spectacle désastreux: les gangs derrière les ransomwares innovent à un rythme alarmant dans leurs façons de faire pression sur leurs victimes, toujours plus nombreuses. Le dernier en date: le producteur d’alcool italien Campari, créateur de l’alcool éponyme et entre autres du Grand Marnier. L’entreprise a communiqué le 3 novembre 2020 à propos d’une cyberattaque qui a paralysé une partie de ses services. On dit qu’il est sorti le 1er novembre, et le groupe affirme avoir « rapidement identifié le virus » et ainsi empêché sa propagation sur tout son réseau informatique. ZDNet a précisé quelques jours plus tard que Campari était affecté par le ransomware Ragna Locker.
Des organisations criminelles auraient volé 2 téraoctets de données sensibles (fichiers bancaires, informations sur les employés, clauses de confidentialité, etc.) avant de crypter tous les systèmes contaminés. Elle a ensuite demandé une rançon de 15 millions de dollars à sa victime en échange de la clé de décryptage et de la promesse de ne pas transmettre les données volées autrement qu’en supprimant sa propre copie. Ironiquement, le prix comprend également un rapport de pénétration sur les réseaux informatiques, où les criminels décrivent leurs faiblesses ainsi que des recommandations d’amélioration!
Ragnar Locker a donné à sa victime jusqu’au 10 novembre pour organiser le paiement, sinon il publierait progressivement les données gratuitement sur leur site dédié, disponible via le réseau anonyme Tor. La société n’a pas communiqué depuis sur les éventuelles négociations. Mais avant la date limite, les rançons ont porté un coup particulièrement bas qu’aucun autre gang ne s’était jusqu’ici permis: ils ont lancé une campagne publicitaire sur Facebook pour tenter de discréditer les défenses de leurs victimes. .
LES PIRATES UTILISENT UN COMPTE HACKED POUR PROUVER UN AUTRE HACKING
Le journaliste Brian Krebs était très intéressé par la campagne publicitaire, payée par Hodson Even Entertainment, propriété du DJ de Chicago Chris Hodson. Contacté par le journaliste, l’Américain a expliqué que son compte avait été piraté et que les hackers avaient prévu un versement de 500 dollars – avec son argent – pour lancer la campagne.
Dans la campagne publicitaire intitulée « Faille de sécurité dans le réseau du groupe Campari », Ragnar Locker cite l’un des communiqués de presse de ses victimes. La société a expliqué: « Pour le moment, nous ne pouvons pas totalement exclure que certaines informations personnelles et professionnelles aient été volées. » Les criminels écrivent qu’il s’agit d’un « énorme mensonge » et qu’ils « confirment que des données confidentielles ont été volées ». « Nous parlons d’une énorme quantité de données », ajoutent-ils.
LA CAMPAGNE PUBLICITAIRE S’EST ARRÊTÉE
Heureusement pour Hodson et Campari, Facebook a apparemment découvert le caractère malveillant de la campagne. Hodson a donc pu récupérer son compte et accéder à quelques statistiques: 7 150 utilisateurs de Facebook ont vu l’annonce et 10% d’entre eux ont cliqué dessus. Le réseau social a collecté 35 $ pour le lancement de la campagne, mais l’a terminé avant un autre paiement de 159 $.
Brian Krebs dit qu’il n’a pas décidé si le gang a lancé la campagne à partir du seul compte d’Hudson ou à partir de plusieurs comptes piratés. Facebook a ouvert une enquête sur l’affaire.
Les opérateurs de ransomwares utilisent des techniques de plus en plus invasives pour faire pression sur leurs victimes, et on se demande où ils veulent s’arrêter. Ce mois-ci, nous vous avons parlé d’Egregor, qui avait imprimé une rançon imprimée par les imprimantes des victimes, d’autres centres d’appels payants pour contacter les partenaires de leurs victimes par téléphone, menaçant presque tous de publier les données. LIEN
Synchronisation sécurisée, cryptée de bout en bout et respectueuse de la confidentialité de vos contacts, calendriers et tâches (à l’aide de Tasks.org et OpenTasks) et EteSync Notes pour les notes .
EteSync, sortie du protocole version 2
Le protocole vous permet de gérer vos contacts, événements et tâches, qui sont tous cryptés de bout en bout. On pourrait donc comparer l’utilisation de ce protocole avec CalDAV et CardDAV, mais avec l’impossibilité du serveur distant de savoir ce qui est stocké. De plus, ce protocole est journalisé, c’est-à-dire que chaque action effectuée (création, modification et suppression) est enregistrée. Cela donne par exemple Possibilité de revenir facilement en arrière (un contact supprimé, trouver et annuler par exemple la suppression).
Notez que le protocole dans sa version actuelle permet déjà des applications intéressantes comme le partage de calendrier entre différents utilisateurs. LIEN
Le phénomène des ransomwares est passé d’individus à une menace réelle et fréquente qui peut entraîner des dommages catastrophiques aux réseaux d’entreprise, la perte des dossiers clients et la fuite potentielle d’informations confidentielles. Les variantes de ransomware incluent des logiciels comme WannaCry, Petya, Ryuk et Gandcrab, mais il y en a beaucoup, beaucoup plus. Lorsqu’un système informatique est compromis, ce type de malware crypte les disques et les fichiers et exige le paiement d’une rançon en échange d’une clé de décryptage.
Selon Check Point, le nombre d’attaques quotidiennes de ransomwares dans le monde a diminué de moitié au cours des trois derniers mois, les pirates tirant parti des perturbations opérationnelles et du passage rapide au travail depuis leur domicile causés par Covid-19.
Après cette période de reconnaissance, les opérateurs de logiciels malveillants sont désormais plus susceptibles d’aller directement contre les sauvegardes. Si ceux-ci peuvent être chiffrés avant que les administrateurs informatiques ne soient avertis d’une infection, cela supprime le réseau de sécurité et les cyber-attaquants sont plus susceptibles d’être soumis à un chantage.
Le problème est que peu de victimes de ransomwares choisissent d’aller à la police, et certaines organisations paient juste pour couvrir l’incident, selon Europol. Plus les victimes paient, plus l’activité criminelle devient lucrative, et l’industrie des ransomwares continue de gagner du terrain à mesure que de plus en plus de pirates adoptent ce type d’attaques.
Combinez la sous-déclaration d’un incident, l’acceptation de l’extorsion et le nombre croissant de hackers intéressés par cette activité et vous avez un problème. Ce défi a été récemment soulevé par l’Office of Foreign Assets Control (OFAC) du Trésor américain, qui a publié des directives sur le moment où le paiement d’une rançon peut violer les sanctions américaines. «Les entreprises qui facilitent le paiement de rançons aux cyberacteurs au nom des victimes, y compris les institutions financières, les compagnies d’assurance qui proposent une cyberassurance et les entreprises qui pratiquent la réponse aux incidents, encouragent les demandes de paiements de rançon à la victime.
Une solution pourrait être de revenir à l’essentiel et de «mettre tout le monde sur un pied d’égalité», déclare Ezat Dayeh en imposant des audits de sécurité qui modélisent la manière dont le règlement général sur la protection des données (RGPD) de l’UE traite les responsables du traitement.
«Tout doit être contrôlé», ajoute Ezat Dayeh. «Vous devez être audité pour savoir ce que vous pouvez faire. Parce que cela donne au moins à l’entreprise une chance de se battre et lui permet de réfléchir à la manière de s’attaquer aux problèmes. Et s’ils ne le font toujours pas, et qu’on leur a dit «vous êtes vulnérable», cela devrait aller jusqu’au PDG, à mon avis. «
Le RGPD s’efforce de traiter les organisations et les contrôleurs de données sur un pied d’égalité, et avec des lacunes, il y a la possibilité d’amendes basées sur le chiffre d’affaires annuel d’une entreprise.
Si les audits de sécurité étaient traités de la même manière avec des règles que tout le monde peut essayer de suivre, cela pourrait promouvoir un meilleur niveau de cybersécurité ainsi qu’une prise de conscience de la manière dont les organisations devraient se maintenir. une position de sécurité raisonnable – ce qui est particulièrement important à un moment où les attaques potentiellement destructrices, y compris les demandes de rançon, sont en augmentation.
Particulièrement actif ces derniers mois, le ransomware RansomEXX a subi un développement de son code, qui compromet désormais les systèmes Linux.
Un ransomware qui compromet les systèmes Linux
Les systèmes Windows ne sont pas les seules cibles des cyberbackers et de leurs campagnes de phishing. La preuve avec RansomEXX, un ransomware dont on avait parlé ces derniers mois en attaquant de nombreuses entreprises et organismes publics tels que le US Department of Transportation, Konica Minolta, IPG Photonics ou encore les systèmes de transports en commun de Montréal et le tribunal brésilien. Comme nous pouvons le voir dans un récent rapport du fournisseur de solutions de sécurité Kaspersky, RansomExx, un développement de son code offre désormais la possibilité de cibler les systèmes Linux.
«Nous avons récemment découvert un nouveau cheval de Troie de cryptage de fichiers construit comme un exécutable ELF et conçu pour crypter les données sur des machines exécutées par des systèmes d’exploitation basés sur Linux», a déclaré Kaspersky. « Après l’analyse initiale, nous avons remarqué des similitudes dans le code du cheval de Troie, le texte de la rançon et l’approche générale de l’extorsion, suggérant que nous avions effectivement rencontré une version Linux de la famille de ransomwares RansomEXX. »
Selon l’analyse de Kaspersky, ce cheval de Troie implémente son schéma cryptographique en utilisant les fonctionnalités de la bibliothèque open source mbedtls. Une fois lancé, Trojan génère une clé de 256 bits et l’utilise pour crypter tous les fichiers appartenant à l’organisation ciblée auxquels il peut accéder en utilisant le chiffrement par bloc AES en mode ECB. La clé AES est chiffrée par une clé publique RSA-4096 bits intégrée dans le corps du cheval de Troie et ajoutée à chaque fichier chiffré.
De plus, les logiciels malveillants lancent un thread qui régénère et re-crypte la clé AES toutes les 0,18 secondes. Sur la base d’une analyse de l’implémentation, les clés ne diffèrent en réalité qu’à chaque seconde », prévient l’éditeur. Bien que les versions PE précédemment découvertes de RansomEXX utilisent WinAPI (fonctionnalités spécifiques du système d’exploitation Windows), la conception du code de ce cheval de Troie et la méthode d’utilisation des fonctionnalités spécifiques de la bibliothèque mbedtls indiquent que ELF et PE peuvent provenir du même code source. LIEN lemondeinformatique.fr
Les systèmes informatiques des mairies de Vincennes et d’Alfortville ont été cryptés avec des ransomwares. Leurs services administratifs ont été durement touchés par ces incidents. Les Emails de la municipalité d’Alfortville ne fonctionnent toujours pas.
Les mairies de Vincennes et d’Alfortville attaqué par des ransomwares
Les mairies de Vincennes et d’Alfortville ont été victimes d’une cyberattaque, rapporte RTL. Les systèmes informatiques des deux communes du Val-de-Marne ont été touchés à quelques jours d’intervalle, sans qu’aucune connexion n’ait encore été établie entre les deux attentats.
UNE ATTENSION INUTILISÉE À L’INTENSITÉ
La première victime était la mairie de Vincennes, qui a déclaré avoir été agressée dans la nuit du 2 au 3 novembre. L’incident n’a pu être évité « malgré l’intensification des mesures de sécurité appliquées quotidiennement », la ville qui qualifie cette attaque sans précédent indique « de son intensité ».
Quant aux conséquences, la centrale téléphonique de la mairie a été indisponible pendant plus de 24 heures et certaines formalités administratives n’ont pu être accomplies. Ces derniers jours, la situation s’est éclaircie. « Les sauvegardes ont fonctionné. Nous avons encore beaucoup de données à récupérer sur certains logiciels, mais la plupart de nos services de télécommunications sont à nouveau opérationnels. Rien n’a été perdu dans l’affaire sauf du temps pour nous et nos citoyens », explique la municipalité, sollicitée par RTL.
Selon des enquêtes internes toujours en cours, il s’agirait d’une attaque «ransomware» visant à paralyser un système d’information en chiffrant tous les fichiers qu’il contient. En échange d’une rançon à payer en bitcoins, les hackers promettent de remettre une clé qui décryptera ces données.
ALFORTVILLE EST TOUJOURS AFFECTÉ
La mairie d’Alfortville a également été touchée par un ransomware plus tôt dans la semaine. Les services d’urbanisme et de soutien à la population sont les plus touchés, et les boîtes aux lettres ne fonctionnent plus, révèle Le Parisien. La municipalité a déclaré qu’elle ne paierait pas la rançon, comme recommandé par les instructions officielles, et prévoit de redémarrer son système informatique d’ici le milieu de la semaine prochaine.
«Nous sommes en train de tout remettre en ordre dans une entreprise spécialisée. Entre-temps, nous sommes tous revenus à la plume, mais avons pu continuer certaines de nos activités, comme notre cellule de crise ou des réunions via Zoom ou WhatsApp. les candidatures », a déclaré Luc Carvounas, le maire d’Alfortville.
LES ORGANISMES PUBLICS MAL PROTÉGÉ Les organismes publics ne sont pas à l’abri des cyberattaques. On peut citer le conseil de branche d’Eure-et-Loir, l’Agence nationale de la formation professionnelle des adultes (Afpa), les services administratifs du Grand Est, le groupe hospitalier AP-HP … Preuve que le thème de la cybersécurité est encore très mal compris.
Cependant, l’Agence pour la sécurité des systèmes d’information (Anssi) met régulièrement en garde sur ce sujet et donne de précieux conseils. Elle réitère l’importance de sauvegarder régulièrement les données en dehors du système d’information, de surveiller les vulnérabilités des logiciels, de sensibiliser les employés par la formation … Elle ajoute qu’en cas d’incident, les organisations doivent isoler les équipements infectés, porter plainte et ne jamais payer la rançon.
Scutum, Sopra Steria, Mairie de Vincennes, Mairie d’Alfortville, Software AG, le Groupe ENEL … En France, comme partout en Europe, les grandes entreprises et les administrations voient leur activité très perturbée pendant de nombreux jours après des attaques de ransomwares.
Une situation qui inquiète évidemment les pouvoirs publics. La semaine dernière, la commission sénatoriale des affaires étrangères, de la défense et des forces armées a interviewé Guillaume Poupard, directeur de l’ANSSI (Agence nationale pour la sécurité des systèmes d’information).
« Le crime organisé a pris le cyber-outil pour s’occuper des victimes », a expliqué Guillaume Poupard aux sénateurs, notant une explosion de crimes graves et d’attaques de ransomwares. L’ANSSI n’intervient que sur des événements ayant un impact fort sur la sécurité nationale ou la sécurité économique. Mais Guillaume Poupard note que «nous étions à 54 attaques à la fin de 2019, et il y en avait 128 par. 30 septembre cette année. Au cours d’une année, il triple ou quadruple constamment, donc c’est quelque chose de particulièrement inquiétant, et je ne vois aucune raison pour que cela change à court terme. «
Le schéma est toujours le même: une attaque (souvent du phishing) qui conduit à une intrusion informatique suivie d’un cryptage qui bloque les données des victimes et une extorsion pour débloquer la situation. Rançon qui coûte cher: «On parle aujourd’hui de millions ou dizaines de milliers d’euros», assure Guillaume Poupard.
En septembre, une patiente en Allemagne est décédée après qu’une opération vitale qu’elle devait subir n’a pas pu avoir lieu après une paralysie informatique à l’hôpital universitaire de Düsseldorf causée par un ransomware.
Fin septembre, le géant hospitalier UHS (Universal Health Services) a également été victime des effets disruptifs des ransomwares.
Fin octobre, le FBI a émis une alarme prétendant disposer d’informations concrètes sur les préparatifs d’une vague d’attaques de ransomwares contre le système hospitalier et les prestataires de soins de santé américains.
Interrogé sur ces événements en pleine crise sanitaire et les attentats contre les hôpitaux français, Guillaume Poupard a précisé que « les attentats n’ont pas explosé, ils n’ont pas augmenté en volume ou en virulence » avant d’ajouter que « les grands groupes criminels ont publié un communiqué au début de La crise de dire qu’ils ont temporairement suspendu les attaques contre les hôpitaux (…) et s’y sont effectivement collés. « . Grands groupes peut-être, mais à en juger par les événements en Allemagne et aux États-Unis, certains groupes n’ont eu aucune inquiétude.
Il note également que les attentats ne cherchent plus à « jeter un large filet », mais sont de plus en plus ciblés et ciblés principalement sur « les victimes sous pression et qui peuvent se permettre de payer ».
Il a défendu le passage de Sopra Steria et leur a même donné comme exemple des entreprises qui ont su réagir rapidement et ont réussi à limiter l’impact de l’attaque ransomware dont elles ont été victimes: «Ils ont pu pour détecter l’attaque, qui n’a touché très tôt que quelques dizaines d’ordinateurs, et la bloquer. Ils ont pris soin d’arrêter complètement les grands systèmes pour ne pas faciliter son expansion et polluer leurs clients ». Guillaume Poupard note également que parmi certaines victimes fortement touchées par les ransomwares d’ici 2020, «nous arrivons désormais avec des prestataires privés intégrés dans l’équation pour réparer les systèmes en quelques jours, au plus quelques semaines pour un redémarrage complet. a parlé il y a un an pendant des semaines et des mois ».
En revanche, Guillaume Poupard n’a pas caché ses inquiétudes quant aux risques supplémentaires que comporte le télétravail. «Nous sommes encore assez préoccupés par toutes les violations que la pratique rapide du télétravail a ouverte dans les systèmes d’information. Le risque est que nous nous en rendions compte dans quelques mois», souligne Guillaume Poupard. Avant, nous encourageons les entreprises à introduire plus de contrôle et de surveillance autour du libre accès pour permettre la pratique à distance. LIEN
Les attaques par ransomwares sont en hausse. Voici les façons dont l’attaque initiale est susceptible de commencer.
Les façons dont les ransomwares pénètrent dans vos systèmes
L’impact des ransomwares continue de croître. Les ransomwares sont le problème de sécurité le plus courant en 2020. Ces attaques représentaient plus d’un tiers des cas jusqu’en septembre de l’année dernière.
Et c’est ainsi que les attaquants pénètrent dans vos systèmes d’information: dans près de la moitié (47%) des cas de ransomware, les pirates ont utilisé l’outil ouvert RDP (Remote Desktop Protocol). qui a été utilisé par de nombreuses entreprises pour aider le personnel à travailler à domicile, mais qui peut également permettre aux attaquants d’entrer s’ils ne sont pas correctement sécurisés.
Plus d’un quart (26%) des cas ont été attribués à des e-mails de phishing, et un petit nombre a utilisé des vulnérabilités spécifiques (17%), y compris – mais sans s’y limiter – Citrix NetScaler CVE-2019- 19781 et Pulse VPN CVE-2019- 11510.
Trois secteurs ont été particulièrement touchés cette année: les services, la santé et les télécommunications. Cela contraste avec les données récentes d’IBM, qui suggéraient que l’industrie manufacturière, le secteur des services professionnels et le secteur public étaient les plus susceptibles d’être touchés.
Ryuk, Sodinokibi et Maze sont les trois variantes de ransomwares les plus problématiques en 2020 et représentent 35% de toutes les cyberattaques. Les ransomwares ont tendance à passer par des périodes d’activité avant de redevenir silencieux, les développeurs chiffrant pour le mettre à niveau avant de reprendre le piratage.
De nombreuses variantes de ransomwares volent désormais les données d’entreprise et menacent de les publier: en particulier en téléchargeant entre 100 Go et 1 To de données privées ou sensibles pour maximiser la pression pour payer la rançon. 42% des cas portant sur une variante connue de ransomware étaient liés à un groupe de ransomwares qui exfiltre et publie des données sur les victimes.
Ce dernier raconte à ses partenaires qu’il a été victime d’une « cyberattaque par stockage cryptographique dans la nuit de dimanche à lundi 2 novembre ». Pendant plusieurs mois, il a exposé des systèmes affectés par la vulnérabilité dite Shitrix.
SCUTUM est un acteur mondial de la sécurité et de la sûreté en Europe. Cette société fournit des solutions technologiques pour la protection et la prévention des risques pour les infrastructures, les biens, les personnes et les données. Le groupe exploite une plateforme européenne de traitement et d’analyse des informations critiques permettant une gestion précoce des risques et la mise en place de services de secours locaux.
Les pirates du groupe Netwalker commencent à distribuer des données volées à cette société. Les pirates ont donné à la société française 10 jours pour payer le silence des pirates. Ils ont volé des centaines de fichiers.
ROCK HSU Président-RAY CHEN Vice-président et CSO-MARTIN WONG Président et PDG
Compal, une société taïwanaise qui fabrique des ordinateurs portables pour certaines des plus grandes marques d’ordinateurs, a été victime d’une attaque de rançon au cours du week-end. L’attaquant était soupçonné d’être le gang DoppelPaymer, selon une capture d’écran de la rançon partagée par des employés de Compal avec des journalistes de Yahoo Taiwan.
Les usines de Compal fabriquent des ordinateurs portables pour Apple, Acer, Lenovo, Dell, Toshiba, HP et Fujitsu.
Le patron de Compal nie les attaques de ransomware et admet le piratage
Malgré les rapports des médias locaux, Qingxiong Lu, PDG adjoint de Compal, a admis lundi dans un communiqué à United News Network que la société avait subi une faille de sécurité, mais a nié que la récente interruption du service ait été causée par un ransomware. « Compal ne fait pas l’objet de chantage de la part de pirates informatiques, comme le dit la rumeur », a déclaré le directeur de Compal aux journalistes.
En outre, Qingxiong a déclaré que l’incident n’avait affecté que le réseau de bureaux interne de l’entreprise et que les lignes de production de Compal qui fabriquent des ordinateurs portables pour d’autres entreprises n’avaient pas été affectées. Monsieur. Qingxiong pensait que l’état de l’entreprise reviendrait à la normale une fois que le personnel aurait fini de restaurer tous les systèmes affectés par ce qu’il a décrit comme des «anomalies».
Compal est aujourd’hui le deuxième plus grand fabricant d’ordinateurs portables au monde après Quanta Computer, une autre société taïwanaise. Dans le passé, Compal a produit des ordinateurs portables pour des entreprises telles que Apple, Acer, Lenovo, Dell, Toshiba, HP et Fujitsu. Outre les ordinateurs portables, l’entreprise fabrique également des moniteurs, des tablettes, des montres intelligentes, des téléviseurs intelligents et d’autres périphériques pour ordinateurs.
Compal est la troisième grande usine taïwanaise à être touchée par les ransomwares cette année. La société d’énergie publique taïwanaise CPC Corp. a été touchée par le ransomware ColdLocker en mai, tandis que l’usine taïwanaise du fabricant américain de montres intelligentes Garmin a été touchée par le ransomware WastedLocker en juillet.
Un groupe de 18 candidats issus du monde du logiciel libre, d’associations de patients, de médecins et de syndicats et de journalistes a demandé au gouvernement de suspendre le traitement et la centralisation des données de santé de plus de 67 millions de personnes au sein du Health Data Hub, hébergé par Microsoft Azure, le géant américain nuage.
Ce collectif a condamné le choix de Microsoft principalement en raison de l’absence d’appel d’offres et des effets de l’extraterritorialité du droit américain. En fait, la Cour européenne de justice («la Cour européenne de justice») a récemment révélé que le service de renseignement américain (via la FISA et l’ordonnance 12 233) n’a aucune restriction sur l’utilisation des données européennes. .ne.s.
Suite à un mémoire important de la CNIL, et malgré un décret urgent du gouvernement au lendemain de l’audience, le Premier ministre a pris une décision reconnaissant que le Health Data Hub hébergé par Microsoft ne protège pas les données de santé françaises de l’intrusion américaine, et cela contredit tout ce qui a été dit depuis plusieurs mois par le ministère de la Santé.
Cependant, preuve de la gravité des infractions constatées, ce refus de suspension n’est qu’une décision prise «à très court terme», notamment pour éviter une interruption brutale des quelques projets en cours sur le Health Data Hub.
En revanche, le Département d’Etat demande au Health Data Hub et à Microsoft d’apporter de nouvelles modifications à leurs contrats et de prendre des précautions supplémentaires sous la supervision de la CNIL.
Surtout, au-delà du «très court terme», le Département d’Etat déclare attendre une solution qui éliminera tout risque d’accès aux données personnelles des autorités américaines, notamment en référence à un recours. les offres d’un prestataire français ou européen telles qu’annoncées par le secrétaire d’État au numérique et évoquées par la CNIL dans ses commentaires au Conseil.
En d’autres termes, le Health Data Hub tel qu’il existe aujourd’hui ne devrait pas pouvoir être utilisé tel qu’il est au-delà des quelques projets existants, car les nouveaux ne risquent pas d’être violés.
Et comme le demandait la CNIL dans sa mission d’observation, les données de santé françaises ne devraient pas pouvoir héberger Microsoft à l’avenir et devraient se pencher sur l’une des nombreuses alternatives existantes.
Avec l’urgence prise par le gouvernement ainsi que les constats importants de la CNIL, c’est donc une victoire dont le collectif SanteNathon et ses adhérents sont fiers.
Mais compte tenu de l’absence de suspension effective et de la persistance de la mauvaise foi du gouvernement et du ministère de la Santé en la matière, la lutte doit se poursuivre.
C’est pourquoi, face à l’urgence d’empêcher le transfert irréversible des données de santé aux États-Unis, maintenant que le groupe veut saisir le Conseil d’État pour prendre des mesures pouvant dépasser le «très court terme» ainsi que la CNIL en termes d’actuel et de passé délits.
D’autres actions sont également à l’étude, notamment au niveau européen.
Si vous êtes limité à Toulon, La Garde ou Hyères (comme tout le monde) et que vous cherchez une bonne bière à consommer chez vous, j’ai définitivement ce qu’il vous faut.
Il s’agit de « Bières du Monde et d’Ailleurs », un PUB développé à La crau / La Moutonne et installé maintenant sur La Garde, qui aide les travailleurs à exprimer leur bonheur avec une bonne bière bien fraîche pour leur post-travail. La belle vie je vous dit.
Bières du Monde & D’Ailleurs ouvert au format cave à emporter du lundi au samedi de 12H à 20H Ouvert au format cave à emporter du lundi au samedi de 12H à 20H Bières du Monde & D’Ailleurs à emporter du lundi au samedi de 12H à 20H Bières du Monde et D’Ailleurs ouvert à emporter du lundi au samedi de 12H à 20H
Le tristement célèbre gang de ransomwares Maze a annoncé aujourd’hui qu’il avait officiellement fermé son opération de ransomware et ne divulguerait plus les données des nouvelles entreprises sur leur site.
La semaine dernière, BleepingComputer a rapporté que Maze avait cessé de crypter les nouvelles victimes depuis la mi-septembre, effaçant leur site de fuite de données et faisant chanter leurs dernières victimes.
Aujourd’hui, Maze a publié un communiqué de presse intitulé «Le projet est fermé», dans lequel ils disent qu’ils sont fermés et que toute autre opération de ransomware utilisant son nom est une arnaque.
« Maze Team Project annonce qu’il est officiellement fermé.
Tous les liens vers notre projet utilisant notre marque, nos méthodes de travail doivent être considérés comme une arnaque.
Nous n’avons jamais eu de partenaires officiels ni de successeurs. Nos spécialistes ne travaillent avec aucun autre logiciel. Personne et ne pourra jamais accueillir de nouveaux partenaires sur notre site d’actualités. Le cartel du labyrinthe n’a jamais existé et n’existe pas maintenant. On ne le trouve que chez les journalistes qui en ont écrit. «
BleepingComputer a demandé à Maze s’ils seraient prêts à libérer les clés de décryptage principales une fois qu’ils ont fermé leur site de support, comme cela a été fait avec Crysis, TeslaCrypt et Shade. Nous n’avons pas reçu de réponse à cette question.
Maze Ransomware est apparu en novembre 2019 lorsqu’ils ont volé des fichiers non chiffrés, puis les ont rendus publics après qu’une victime n’a pas payé. Peu de temps après, d’autres opérations de ransomware ont commencé à copier cette double stratégie d’extorsion, qui est maintenant devenue courante dans presque toutes les opérations de ransomware.
Labyrinth est connu pour avoir attaqué de grandes organisations bien connues telles que Southwire, City of Pensacola, Canon, LG Electronics et Xerox.
Les acteurs de la menace ont déclaré à BleepingComputer que certaines des filiales de Maze sont passées à une nouvelle opération de ransomware appelée Egregor, qui a récemment attaqué Crytek, Ubisoft et Barnes and Noble.
On pense qu’Egregor, Maze et un autre ransomware appelé Sekhmet ont été créés à partir du même logiciel.
Labyrinth nie avoir formé un cartel En juin 2020, il a été remarqué que Maze Group avait ajouté des informations sur une victime d’une autre opération de ransomware appelée LockBit.
Pour en savoir plus sur cette collaboration entre Maze et LockBit, BleepingComputer a contacté les opérateurs de ransomware et a appris qu’ils travaillaient maintenant avec d’autres groupes pour partager des informations et des expériences.
« Dans quelques jours, un autre groupe apparaîtra sur notre site d’actualités. Nous voyons tous dans cette collaboration le chemin qui mène à des résultats mutuellement avantageux, tant pour les groupes de parties prenantes que pour les entreprises. »
«De plus, ils utilisent non seulement notre plate-forme pour publier les données de l’entreprise, mais aussi notre expérience et notre réputation et bâtir un avenir bénéfique et solide. Nous traitons les autres groupes comme nos partenaires et non comme nos concurrents. Les problèmes d’organisation sont à la base de tout succès. affaires », a déclaré Maze à BleepingComputer.
Après avoir appris cela, BleepingComputer a qualifié leur nouvelle collaboration de cartel de ransomware '', que les opérateurs de Maze ont rapidement adopté, comme le montre une capture d'écran de données divulguées sur le site Maze News Site. »
Dans le post d’aujourd’hui, Maze déclare que tout cela est une fabrication et que « le cartel Maze n’existait que dans l’esprit des journalistes qui en ont écrit. »
La mesure dans laquelle ce « cartel labyrinthe » existait et la coopération entre ses membres est inconnue.
Ransomware de la semaine- octobre 2020 – Des hôpitaux assiégés
Cette semaine, nous avons assisté à une attaque concertée contre le secteur de la santé par des groupes de piratage utilisant le ransomware Ryuk. En outre, nous avons vu certaines grandes entreprises bien connues souffrir d’attaques de ransomwares, qui ont affecté leurs activités commerciales.
La plus grande nouvelle cette semaine est que le gouvernement américain a averti le secteur de la santé qu’il existe « des informations crédibles sur une menace accrue et imminente de cybercriminalité pour les hôpitaux et les prestataires de soins de santé américains ». À la suite de ces attaques, nous avons vu six hôpitaux ciblés cette semaine, dont l’hôpital Wyckoff, l’Université du Vermont Health Systems, le Sky Lakes Medical Center et St. Louis. Lawrence Health System.
Nous avons également été informés d’attaques de ransomwares contre des sociétés bien connues, telles que le fabricant de meubles SteelCase, la société de conseil informatique française Sopra Steria et la société d’électricité italienne Enel Group.
Enfin, un représentant de REvil connu sous le nom de UNKN a déclaré qu’ils avaient gagné 100 millions de dollars en un an et que le tristement célèbre gang de labyrinthe avait commencé à fermer son opération de ransomware.
Maintenant que le week-end approche, il est important que toutes les entreprises surveillent les activités suspectes sur leur réseau Windows et leurs contrôleurs de domaine et réagissent de manière proactive si quelque chose est découvert.
Les contributeurs et ceux qui ont livré de nouvelles nouvelles et histoires sur les ransomwares cette semaine incluent: @PolarToffee, @VK_Intel, @struppigel, @BleepinComputer, @malwrhunterteam, @malwareforme, @ demonslay335, @jorntvdw, @Seifreed, @FourOctets , @, @Ionut_Ilascu, @DanielGallagher, @fwosar, @MarceloRivero, @Malwarebytes, @Amigo_A_, @GrujaRS, @ 0x4143, @ fbgwls245, @siri_urz, @Mandiant et @IntelAdvanced.
Alors que Covid-19 continue de frapper les États-Unis, le groupe hospitalier Universal Health Services est au bord d’une attaque informatique. Le ransomware Ryuk pourrait être au travail. Néanmoins, l’UHS promet que les soins peuvent toujours être fournis et que les données médicales n’ont pas été compromises.
Le groupe hospitalier américain UHS touché par les ransomwares
Le géant hospitalier Universal Health Services (UHS), qui exploite 400 hôpitaux et cliniques aux États-Unis et au Royaume-Uni, est victime d’une attaque de ransomware. Cité par Reuters, il a déclaré que son réseau avait été mis hors ligne suite à un « problème de sécuritéinformatique ».
MALWARE RYUK SERA AU TRAVAIL
L’attaque a frappé les systèmes UHS dimanche matin et a fermé les ordinateurs et les systèmes téléphoniques de plusieurs établissements médicaux, ont déclaré deux sources à Techcrunch. L’un d’eux a déclaré qu’un texte faisant référence à «l’univers de l’ombre» est soudainement apparu sur les écrans d’ordinateur. C’est l’empreinte du ransomware Ryuk, connu pour être le malware le plus rentable, selon le FBI. «On a dit à tout le monde d’éteindre les ordinateurs et de ne plus les rallumer», poursuit-elle.
Ni l’étendue de l’incident ni les conséquences de l’attaque contre les services de santé ne sont encore connues. Dans une brève déclaration, le géant de l’hôpital a déclaré avoir mis en œuvre « des protocoles de sécurité informatique complets » et travaillé avec ses « partenaires de sécurité informatique pour restaurer les opérations informatiques le plus rapidement possible ». «Les soins aux patients continuent d’être dispensés de manière sûre et efficace», promet l’UHS. LIEN
Un virus informatique, Emotet, a été actif dans un grand nombre de grandes entreprises et institutions françaises entre août et fin septembre. La Métropole d’Orléans, mais aussi la ville et au moins 14 des 18 académies de l’éducation nationale ont été ciblées.
Mag IT, un site spécialisé dans la cybersécurité, a révélé le 7 octobre que la Métropole d’Orléans ainsi que plusieurs grandes entreprises avaient été touchées en septembre par l’activité d’un virus cheval de Troie appelé Emotet. Comme Mag IT et France 3 l’ont découvert par la suite, l’attaque a également touché la commune d’Orléans et plusieurs académies, dont Orléans-Tours, mais aussi Nantes, Rennes, Amiens, Nancy-Metz, Strasbourg, Lyon, Grenoble, Montpellier, Toulouse, Aix-Marseille, Versailles. , Paris et Créteil. Inscrit à France 3, Metropolis a pu confirmer qu’un message d’alerte avait été envoyé fin septembre et que l’incident «avait été maîtrisé en 24 heures par la direction informatique». LIEN
Le Trésor américain traite les victimes de ransomwares comme des collaborateurs
Dans une directive émise par le département du Trésor américain, le gouvernement déclare que des sanctions peuvent être envisagées pour les entreprises qui paient une rançon après une attaque de ransomware. L’idée de sanctionner les paiements de rançon gagne du terrain outre-Atlantique.
Tout le monde déconseille fortement de payer la rançon, mais beaucoup le font. Aux États-Unis, un rappel du département du Trésor américain pourrait encore refroidir les entreprises ciblées contre les ransomwares: l’OFAC (Office of Foreign Access Control) a publié une directive sur le paiement d’une rançon, déclarant que les entreprises qui acceptent de céder à l’extorsion de groupes de cybercriminalité, dans certains les cas pourraient également être sanctionnés par les autorités américaines.
Cette nouvelle mesure ne s’applique pas à tous les paiements de rançon: la directive publiée par l’OFAC explique que seuls les paiements aux groupes concernés par des sanctions prononcées par l’OFAC sont concernés par cette mesure. Le document répertorie plusieurs acteurs bien connus du monde du ransomware qui ont été visés par les sanctions de l’OFAC: le créateur du ransomware Cryptolocker Eugene Bogachev, les deux développeurs iraniens du ransomware Samsam, les groupes nord-coréens Lazarus, Bluenoroff et Andariel et enfin Evil Corp groupe, connu pour avoir développé le malware Dridex et plusieurs ransomwares toujours actifs.
Pour l’OFAC, le paiement d’une rançon à ces groupes ou à leurs affiliés peut soumettre les victimes à une enquête pour contourner les sanctions gouvernementales. Les entreprises publiques, mais aussi les partenaires qui ont participé au processus de réaction à l’incident ou qui ont réalisé l’opération, pourraient donc être concernés. L’OFAC demande aux entreprises concernées par ce scénario de contacter ces équipes avant de payer une rançon. «Les paiements de rançon profitent aux acteurs malveillants et peuvent saper les objectifs de sécurité nationale et de politique étrangère des États-Unis. Pour cette raison, les demandes de licence impliquant des rançons requises du fait d’activités malveillantes rendues possibles par le numérique seront examinées par l’OFAC au cas par cas avec présomption de refus », précise l’OFAC dans sa communication.
L’affaire de piratage Garmin, qui aurait accepté le paiement d’une rançon de 10 millions de dollars en crypto-monnaie à des personnes affiliées au groupe Evil Corp, a peut-être demandé à l’OFAC d’émettre le rappel. Comme le rapporte ZDNet.com, plusieurs journalistes ont posé la question au département du Trésor américain au moment de l’annonce du paiement de Garmin.
En fin de compte, la STM a expliqué qu’elle était la cible d’un piratage sous forme de ransomware qui paralysait une partie de son système informatique, « malgré les différentes défenses mises en place pour contrer ce type d’attaque ». ».
Ce type de malware est utilisé pour bloquer l’accès à un système informatique. Les pirates informatiques exigent généralement une rançon pour rendre le contrôle du système à son propriétaire.
La STM a précisé que l’attaque informatique n’a eu aucun impact sur le réseau de bus et de métro. Elle affecte plutôt le site Web et les lignes téléphoniques de la STM, à l’exception de celle dédiée au transport adapté.
«Le réseau de bus et de métro fonctionne normalement. Cependant, le service de transport adapté n’honorera les déplacements que pour des raisons médicales et n’effectuera aucune réservation ou modification de déplacements », a indiqué le transporteur public dans un communiqué mardi matin.
Au lieu de cela, le voyage reprendra pour des raisons médicales et professionnelles à partir du 21 octobre.
Selon les premières analyses du transporteur, les données des clients et des employés n’ont pas été exposées.
La STM encourage les utilisateurs à utiliser des applications mobiles dans une telle situation. «Les équipes de la STM ainsi que les experts du terrain travaillent d’arrache-pied pour rétablir la situation au plus vite», a promis la société.
La STM a également mis en ligne un site Internet spécial pour informer ses clients de l’évolution de la situation: lastm.info
Malgré les circonstances, le service à la clientèle de la STM ne semble pas recevoir un plus grand nombre d’appels que d’habitude. Cela a été clarifié par un employé qui a été contacté via 24 heures à la fin de la journée mardi.
La STM a déclaré avoir mis en garde les «autorités compétentes» après ce piratage, mais souhaite néanmoins fournir des précisions sur la nature de ces autorités. « Nous ne fournirons pas plus de détails à ce sujet pour le moment compte tenu des circonstances », a simplement déclaré l’organisation.
Une rançon pharaonique de 23 millions de dollars a été envoyée par le groupe de cyber-hackers.
L’éditeur de logiciels allemand Software AG a été victime du ransomware Clop.
Aucune entreprise n’est à l’abri des ransomwares. Fini les acteurs du secteur informatique malgré toute la vigilance naturelle dont ils peuvent faire preuve. Éditeur de longue date de middleware et de solutions d’intégration de données, Software AG – qui a également développé son activité vers la gestion et l’analyse des API – vient d’en payer le prix. La société a été ciblée le 3 octobre 2020 par le ransomware Clop, qui s’est répandu dans ses systèmes et réseaux. Une rançon de 23 millions de dollars (2083 0069 BTC selon Bleeping Computer) a été demandée par des cybercriminels qui ont commencé à envoyer des captures d’écran d’informations sensibles sur le dark web. Ceux-ci comprennent: la numérisation des passeports et des cartes d’identité des employés de Software AG, des e-mails, des documents financiers ou même des annuaires téléphoniques dans le réseau interne de l’entreprise.
Cette rançon est l’une des plus importantes jamais demandées au monde.
À titre de comparaison, le FBI estime l’étendue de l’extorsion de la part des cybercriminels à 140 millions de dollars en 6 ans. Selon les équipes de MalwareHunterTeam, cette version de Clop peut contenir un outil pour désinstaller le programme antivirus McAfee, mais à l’heure actuelle, on ne sait pas s’il a été créé et utilisé dans le cadre de cette attaque contre Software AG ou s’il l’a été présent avant. Rien d’étonnant à ce que Software AG soit le deuxième plus grand fournisseur informatique allemand, derrière SAP, avec plus de 10 000 clients professionnels dans 70 pays.
Le cyber gang Russe TA505 privilégié
Software AG a signalé l’incident le lundi 5 octobre 2020, après avoir déclaré avoir subi des perturbations de son réseau informatique interne en raison d’une attaque de malware. « Bien que les services à ses clients, y compris ses services basés sur le cloud, restent inchangés, Software AG a donc fermé les systèmes internes de manière contrôlée conformément aux règles de sécurité interne de l’entreprise », a averti l’éditeur. «L’entreprise est en train de restaurer ses systèmes et ses données pour reprendre des opérations ordonnées. Cependant, les services d’assistance et la communication interne de Software AG sont toujours affectés. «
Clop est un ransomware bien connu utilisé principalement par les cybercriminels russes TA505, ciblant principalement la finance, la distribution, les institutions publiques, les secteurs de l’aérospatiale et de la santé. Récemment, ce ransomware aurait été utilisé dans des cyberattaques visant Go Sport et Courir ainsi qu’au CHU de Rouen.
Mr Bricolage s’ajoute à la longue liste d’entreprises victimes de ransomwares. Depuis une semaine, les sièges sociaux de la grande chaîne de distribution sont paralysés par des malwares. L’entreprise a déposé une plainte et s’assure néanmoins qu’aucune donnée n’a été volée.
Mr Bricolage est affecté par les ransomwares
La chaîne de supermarchés M. Bricolage est victime d’une attaque de ransomware, rapporte L’Express. Ses 850 points de vente n’ont pas été touchés. C’est le siège du groupe situé à Chapelle-Saint-Mesmin, dans le Loiret, qui est paralysé. Les lignes téléphoniques, le système de messagerie électronique et les logiciels de bureau ont tous été bloqués et ont empêché les travailleurs de travailler.
« Les réseaux internes qui hébergeaient le siège ont en fait été exposés à une cyberattaque la semaine dernière », a confirmé un porte-parole de la société française aux médias. « Les équipes se mobilisent pour rétablir au plus vite la situation et redonner à tous les salariés l’accès au réseau sans aucun problème », a promis le groupe de 439 salariés. En outre, il affirme qu’aucune donnée n’a été volée à des cyber-attaquants qui réclament désormais le paiement d’une rançon, dont le montant n’est pas précisé.
La rentrée scolaire a été marquée par un nombre sans précédent de cyberattaques connues impliquant des ransomwares. Le fruit de la connexion entre plusieurs facteurs. Et ceux-ci ne suggèrent aucun règlement réel.
En septembre, nous avons enregistré près de 270 attaques de ransomwares dans le monde, une explosion par rapport aux mois précédents, alors que juin et août ont déjà été marqués par une activité intense des cybercriminels. Mais attention aux trompe-l’œil.
En France, nous avons dénombré 10 cas confirmés, auxquels s’ajoute un cas suspect, mais non confirmé à ce moment, vers le 8 août et à peu près le même en juillet. Les attaques confirmées sont répertoriées sur la chronologie que nous mettons à jour régulièrement. Sur Intrinsec, Cyrille Barthélemy rapporte 13 cas «en crise» en septembre contre 10 en août.
Et de préciser que sa capacité d’intervention n’était évidemment pas la même en plein été qu’en début d’année scolaire. Chez I-Tracing, Laurent Besset a noté 9 interventions sur le mois dernier contre 4 en dessous de la précédente. Chez Advens, Benjamin Leroux fait 3 interventions majeures et moins de 5 interventions plus petites. Mais toujours 150 détections de menaces qui pourraient conduire à une détonation de ransomware, principalement Emotet.
Début septembre, l’Agence nationale de sécurité des systèmes d’information (Anssi) a rapporté avoir traité 104 attaques de ransomwares depuis le début de l’année contre 54 sur l’ensemble de 2019. Et bien sûr, cela ne prend pas en compte les cas hors de son champ d’application.
Concernant la plateforme Cybermalveillance.gouv.fr, le directeur général de GIP Acyma, Jérôme Notin, a encore signalé 1.082 signalements de ransomwares début septembre depuis le lancement de la plateforme le 4 février, avec 44% d’entreprises ou d’associations et 10 % d’administrations ou de communautés. En septembre, Jérôme Notin a enregistré 131 demandes d’assistance, contre 104 en août et 122 en juillet.
En France, à ce stade, il semble difficile de parler d’une explosion. Mais si la tendance à la hausse semble moins prononcée que pour le reste du monde, la menace semble sans doute rester à un niveau élevé.
Il y a au moins deux explications possibles de la situation, qui suggèrent que la menace ne diminuera probablement pas dans un proche avenir. Nous les développons ci-dessous le long de la chronologie.
Selon un rapport récent de Checkpoint, les attaques de ransomwares au troisième trimestre 2020 ont été en moyenne de 50% par an. Aujourd’hui dans le monde et plus que doublé aux États-Unis. Parmi les ransomwares dérangeants, Ryuk arrive.
Dans l’actualité de la sécuritéinformatique, les voyants sont rouges lorsqu’il s’agit de ransomware. Ainsi, presque chaque jour apporte son lot d’entreprises qui ont été victimes de ce type d’attaque, et ce n’est pas le dernier rapport de Checkpoint sur le sujet qui montre le contraire. À l’échelle mondiale, l’éditeur de sécurité a en fait observé une augmentation moyenne par Journée de 50% des attaques de ransomwares au T3 2020 par rapport à l’année dernière. Selon Checkpoint, les États-Unis ont connu une très forte augmentation des attaques de ransomwares (98,1%), surtout plus que la Russie (57,9%).
« Au cours du mois dernier, des attaques de ransomwares ont été signalées contre un géant du transport maritime, une société de courtage basée aux États-Unis et l’un des plus grands horlogers du monde », a déclaré Check Point. Cela signifie respectivement CMA CGM, Gallagher et Swatch. « Obtenir une nouvelle victime toutes les 10 secondes, la rançon s’est avérée être une méthode lucrative pour attaquer les cybercriminels », a déclaré le responsable de la sécurité.
Les établissements de santé sont durement touchés
Parmi les ransomwares à surveiller, Checkpoint pointe du doigt Ryuk, qui, contrairement à d’autres types plus traditionnels de ransomwares, est distribué dans le cadre d’attaques massives de campagnes de spam et les kits d’exploitation sont davantage utilisés lors d’attaques ciblées. « Il y a eu une augmentation significative des activités de Ryuk depuis juillet 2020, et il attaque environ 20 organisations par semaine », souligne Checkpoint. «Il y a eu une augmentation constante du nombre d’organisations de soins de santé ciblant Ryuk et presque doublé le nombre d’établissements de santé touchés par les ransomwares dans le monde, passant de 2,3% au T2 à 4% au T3. ».
Alors que le géant américain UHS a récemment été touché par Ryuk, d’autres ransomwares ont fait rage ailleurs dans le monde en France, notamment dans le secteur de la santé au CHU de Rouen, chez Panpharma, mais aussi en Allemagne dans un hôpital où un patient est malheureusement décédé.
La technologie eResearch basée à Philadelphie a été victime d’une attaque de ransomware. Rédactrice d’une plateforme d’administration d’essais cliniques, elle est fortement impliquée dans la recherche d’un traitement pour Covid-19. Ses clients sont ralentis alors que la course au vaccin s’accélère.
les essais cliniques ralentis par un ransomware
La société américaine eResearch Technology, éditeur de logiciels utilisés dans les essais cliniques, a été frappée par un ransomware, révèle le New York Times. L’incident de sécurité n’a pas affecté les patients impliqués dans les essais cliniques, mais a empêché le bon déroulement des tests.
LE LOGICIEL FAIT LE TEST VACCIN ASTRAZENECA
Le logiciel de la société de biotechnologie est utilisé par de nombreuses entreprises impliquées dans la recherche sur Covid-19. Parmi eux figurent IQVIA, l’organisme de recherche à la tête de l’étude sur le vaccin AstraZeneca, et Bristol Myers Squibb, le fabricant de médicaments, qui dirige un consortium d’entreprises pour développer un test rapide pour le virus.
IQVIA a déclaré dans un communiqué que l’attaque « n’avait eu qu’un impact limité sur la conduite de nos essais cliniques ». La société américaine a ajouté qu’elle n’avait pas « connaissance de données ou d’informations confidentielles sur des patients liées à nos activités d’essais cliniques qui ont été supprimées, compromises ou volées ». Sans donner de nom, elle ajoute que certaines entreprises sont devenues beaucoup plus touchées par ce ransomware.
L’attaque contre la technologie eResearch a commencé il y a deux semaines lorsque les employés ont découvert que les données étaient bloquées par une note de rançon dont la taille n’était pas spécifiée. Pour éviter la propagation de logiciels malveillants, l’entreprise a mis ses systèmes hors ligne et s’est entourée d’experts en cybersécurité. Le FBI a également été informé.
L’attaque a été contenue
«Personne n’est satisfait de ces expériences, mais elles ont été contenues», a déclaré Drew Bustos, vice-président du marketing chez eResearch Technology. Il a déclaré que la société commençait à remettre ses systèmes en ligne et prévoyait de remettre les systèmes restants en ligne dans les prochains jours.
EResearch Technology n’a pas précisé le nombre d’essais cliniques concernés, mais le logiciel est utilisé dans des essais de médicaments en Europe, en Asie et en Amérique du Nord. Il a été utilisé dans les trois quarts des essais qui ont conduit à l’approbation du médicament par la Food and Drug Administration (FDA) en 2019, selon son site Web.
LA RECHERCHE MÉDICALE, UNE MINE D’OR POUR LES HACKERS
Ce n’est pas un hasard si les cybercriminels attaquent les entreprises de biotechnologie. Les données scientifiques liées à la recherche sur les vaccins et les médicaments sont d’une grande valeur, en particulier en période de crise sanitaire.
En juillet dernier, la biotech américaine Moderna – qui a créé le premier vaccin expérimental contre Covid-19 – a été ciblée par des pirates chinois. L’Espagne a également accusé la Chine d’être à l’origine d’une campagne de cyber-attaque visant des laboratoires de recherche. LIEN
La rentrée scolaire a été marquée par un nombre sans précédent de cyberattaques connues impliquant des ransomwares. Le fruit de la connexion entre plusieurs facteurs. Et ceux-ci ne suggèrent aucun règlement réel.
L’été meurtrier 2 (toujours pas le film), un ransomware.
En septembre, nous avons enregistré près de 270 attaques de ransomwares dans le monde, une explosion par rapport aux mois précédents, alors que juin et août étaient déjà marqués par une activité intense des cybercriminels. Mais attention aux trompe-l’œil.
En France, nous avons dénombré 10 cas confirmés, auxquels s’ajoute un cas suspect, mais non confirmé à ce moment, vers le 8 août et à peu près le même en juillet. Les attaques confirmées sont répertoriées sur la chronologie que nous mettons à jour régulièrement. Sur Intrinsec, Cyrille Barthélemy rapporte 13 cas «en crise» en septembre contre 10 en août.
Et de préciser que sa capacité d’intervention n’était évidemment pas la même en plein été qu’en début d’année scolaire. Chez I-Tracing, Laurent Besset a noté 9 interventions sur le mois dernier contre 4 en dessous de la précédente. Chez Advens, Benjamin Leroux fait 3 interventions majeures et moins de 5 interventions plus petites. Mais toujours 150 détections de menaces qui pourraient conduire à une détonation de ransomware, principalement Emotet.
Début septembre, l’Agence nationale de sécurité des systèmes d’information (Anssi) a rapporté avoir traité 104 attaques de ransomwares depuis le début de l’année contre 54 sur l’ensemble de 2019. Et bien sûr, cela ne prend pas en compte les cas hors de son champ d’application.
Concernant la plateforme Cybermalveillance.gouv.fr, Jérôme Notin, PDG de GIP Acyma, a encore signalé début septembre 1.082 signalements de ransomwares à ce jour depuis le lancement de la plateforme le 4 février, avec 44% d’entreprises ou d’associations et 10 % d’administrations ou de communautés. En septembre, Jérôme Notin a enregistré 131 demandes d’assistance, contre 104 en août et 122 en juillet.
En France, à ce stade, il semble difficile de parler d’une explosion. Mais si la tendance à la hausse semble moins prononcée que pour le reste du monde, la menace semble sans doute rester à un niveau élevé.
Il y a au moins deux explications possibles de la situation, qui suggèrent que la menace ne diminuera probablement pas dans un proche avenir. Nous les développons ci-dessous le long de la chronologie.
les groupes de hackers modifient leurs objectifs et les prix
Les groupes de hackers de ransomware améliorent de plus en plus leur stratégie. Ainsi que le profil de leurs victimes potentielles, comme le souligne IBM.
Les attaques de ransomwares continuent de croître, ce qui, selon IBM, suggère que les gangs exigeant une rançon augmentent leurs demandes de rançon et deviennent plus sophistiqués sur la façon dont ils calculent la rançon qu’ils tentent de faire chanter. Le nombre d’attaques de ransomwares auxquelles l’équipe dédiée d’IBM est confrontée a triplé au deuxième trimestre 2020. Il représente désormais un tiers de tous les incidents de sécurité auxquels IBM est confronté entre avril et juin 2020.
Rien qu’en juin, un tiers de toutes les attaques de ransomware traitées par l’équipe IBM jusqu’à présent cette année se sont produites. Le rapport indique que les demandes de rançon augmentent rapidement, certaines atteignant 40 millions de dollars, révélant en outre que les attaques de Sodinokibi représentent un tiers des demandes de rançon auxquelles IBM Security X-Force a répondu au cours de l’année. Pour IBM, l’industrie a radicalement changé au cours des derniers mois.
La rançon frappe le plus durement l’industrie manufacturière, représentant près d’un quart de tous les incidents recensés par IBM aujourd’hui, suivi du secteur des services puis du secteur public. « Les attaques contre ces trois secteurs suggèrent que les acteurs de la menace recherchent des victimes avec une faible tolérance aux temps d’arrêt », a déclaré le personnel du groupe américain. « Les organisations qui nécessitent une disponibilité élevée peuvent perdre des millions de dollars chaque jour en raison de la fermeture de l’entreprise. En conséquence, elles peuvent être plus susceptibles de payer une rançon pour retrouver l’accès aux données et reprendre leurs activités. Des activités », note également. la direction d’IBM. LIEN
Plusieurs entreprises ont été touchées, dont certaines ont décidé de traverser Rubicon en payant une rançon. Dans le même temps, les cybercriminels se structurent et se professionnalisent.
Il est difficile de trouver une semaine sans voir une ou plusieurs entreprises victimes de ce fléau. En juillet, Netwalker était soupçonné d’avoir gravement perturbé l’activité MMA de la compagnie d’assurance, tout comme le groupe de construction Rabot Dutilleul. Une succursale d’Orange Business Services a été attaquée par Nefilim et a volé 350 Mo de données. Comment ne pas mentionner Garmin, dont la production a été arrêtée pendant deux jours, ainsi que ses sites Web, ses applications mobiles, ses appels téléphoniques, son chat en ligne et sa messagerie.
Et le mois d’août n’a pas été plus paisible, au contraire. Les vacances ont été gâchées pour Carlson Wangonlit Travel by Ragnar Locker ransomware. 30 000 PC auraient été bloqués et 2 To de données volées. Autre spécialiste du voyage dans les troubles, l’une des marques sur la compagnie de croisière Carnival a été visée par une attaque. La litanie se poursuit avec le groupe Maze, qui regroupe plusieurs sociétés Canon, LG et Xerox. Récemment, la société coréenne de semi-conducteurs SK Hynix a été touchée par ce gang. Le groupe derrière Sodinokibi, quant à lui, a poursuivi Brown-Forman, la société mère de Jack Daniel. Le fournisseur de services complets Spie a eu du mal à se débarrasser du ransomware Nefilim. 4 sites de production ont été fermés par MOM, propriétaire des compotes Materne et des crèmes MontBlanc. LIEN
Selon la US Insurance Coalition, les attaques de ransomwares représentent 41% des réclamations depuis le début de l’année. Bitdefender rapporte une multiplication par 7 des rapports sur un an. LIEN
Une femme est décédée jeudi en Allemagne après une attaque de ransomware qui visait à tort un hôpital. En raison de la paralysie du système informatique, le patient a dû être transféré dans un autre établissement mais n’a pas survécu.
Une femme meurt des suites d’un ransomware
Ce que les experts en cybersécurité craignaient depuis longtemps est enfin arrivé. Une femme est décédée suite à une attaque de malware. Arrivée aux urgences d’un hôpital de Düsseldorf, en Allemagne, elle n’a pas pu être prise en charge par des médecins car le système informatique était paralysé par un ransomware ou un ransomware.
Au total, 30 serveurs d’hôpitaux de Düsseldorf ont été infectés par un ransomware, qui a crypté les disques durs et laissé des instructions adressées à l’Université Heinrich Heine, à laquelle l’établissement est affilié. L’hôpital n’était pas la cible des pirates et a été accidentellement pris dans l’attaque. Le patient a dû être transféré dans un hôpital de la ville voisine de Wuppertal, à 32 kilomètres. Les médecins n’ont pas pu commencer le traitement pendant une heure et elle n’a pas survécu.
Les auteurs risquent d’être tués
La police a contacté les auteurs de l’attaque pour les informer de la situation. Ils ont alors immédiatement fourni la clé de cryptage pour bloquer les serveurs concernés. L’hôpital rapporte qu’il n’a subi aucune perte de données et que les systèmes sont redémarrés. L’attaque aurait exploité un bogue dans un produit Citrix (CVE-2019-19781).
Ce n’est pas la première attaque de ransomware dans un hôpital, car d’autres ont déjà forcé les médecins à transférer des patients vers d’autres établissements. Cependant, il peut s’agir du premier décès lié aux logiciels malveillants, directement ou indirectement. Une enquête est en cours pour établir le lien de causalité. Dans ce cas, les auteurs pourraient être accusés de meurtre.
Les cybercriminels ont fait près de 700 victimes dans le monde depuis le début de l’année. Nous avons identifié plusieurs dizaines de cas en France. Mais la transparence semble encore très limitée.
Comment déterminer l’importance de la menace? Quelques exemples épars, plus ou moins frappants, suffisent-ils à éveiller la conscience? Rien n’est moins sûr. Mais il n’y a aucun doute: la menace des ransomwares augmente.LIEN
Non seulement les gens méritent d’être protégés en cette année spéciale 2020, mais votre informatique doit également avoir tout à portée pour rester en bonne état de marche. Et pour l’occasion, Informatique-hyeres.fr vous propose des services de dépannage, réseau, sécurité et entretien informatique sur Hyères et alentours.
Equinix, responsable mondial de centre de données, affirme avoir été ciblé par un ransomware. Heureusement, les données client ne sont pas compromises (normalement!)
Les centres de données sont désormais considérés comme des coffres-forts. Le fournisseur mondial de centres de données Equinix affirme avoir été ciblé par une cyberattaque de type ransomware.
La société n’a pas fourni de détails sur l’attaque et a simplement déclaré qu’une enquête avait été ouverte et que les autorités avaient été prévenues. Cependant, le site Web Bleeping Computer affirme avoir reçu une copie de la rançon reçue par Equinix.
Selon la source, la note contenait une capture d’écran de dossiers contenant des fichiers cryptés par des logiciels malveillants. Selon les noms de ces fichiers, ils contiennent des données très sensibles telles que des informations juridiques et financières.
Par cette note, les pirates menaceraient Equinix d’envoyer les fichiers sur Internet si la rançon n’est pas payée dans les trois jours. Cette attaque aurait eu lieu le week-end dernier.
Un lien ajouté à la note a conduit à un site de paiement de rançon. Le montant demandé était de 455 Bitcoins ou l’équivalent de 4,5 millions de dollars. Les criminels ont également menacé de doubler la somme si la rançon n’était pas payée rapidement. On ne sait pas encore si Equinix a choisi de payer ou non.
Quoi qu’il en soit, la société affirme que seules les données de ses propres systèmes ont été compromises. Bien que la plupart des clients exploitent leur propre équipement dans ses centres de données, leurs données et leur fonctionnement n’ont pas été affectés.
Les centres de données ont été pleinement opérationnels ainsi que les services gérés proposés par la société. En d’autres termes, Equinix a frôlé le désastre car une fuite de données de ses clients les aurait sans doute incités à changer de fournisseur.
Pour rappel, Equinix est le leader mondial du marché des data centers en termes de chiffre d’affaires. Basée à Redwood City, en Californie, la société exploite plus de 200 centres de données dans 55 pays à travers le monde. Ses clients comprennent Ford, Netflix et Spotify.
Si même ce colosse peut être paralysé par les ransomwares alors que ses serveurs sont sécurisés par les technologies les plus avancées, c’est la preuve que personne n’est plus à l’abri des cybercriminels. En fait, Equinix n’est pas le premier fournisseur de centres de données à être victime d’une cyberattaque.
Les attaques de ransomwares visent généralement des individus, mais les pirates ciblent désormais les grandes entreprises informatiques et leurs centres de données. Un autre fournisseur, CyrusOne, a également payé le prix. Il en va de même pour le producteur d’aluminium Norsk Hydro, l’Université de Californie à San Francisco et le système juridique du Texas.
Il existe plusieurs mesures préventives pour protéger vos systèmes contre les ransomwares en adoptant les meilleures pratiques de cybersécurité. Assurez-vous de sauvegarder vos données les plus sensibles et de les chiffrer afin qu’elles ne puissent pas être utilisées par des pirates. Même si vous êtes victime d’un ransomware, il existe des remèdes qui peuvent vous permettre de récupérer vos données sans payer la rançon. Consultez notre guide à ce sujet.
Le tribunal de Paris a été victime d’une cyberattaque en envoyant de faux courriels à plusieurs juges et avocats, dont certains sont associés à des affaires très sensibles. Une première enquête remise aux services de renseignement internes a été ouverte pour déterminer les causes de l’incident et ses auteurs.
LA JUSTICE SE MODERNISE ?
Le tribunal de Paris a été victime d’une attaque informatique, révèle le Journal du Dimanche (JDD) le 6 septembre. Une première enquête sur les «attaques contre des systèmes automatisés de traitement de données contenant des données à caractère personnel mis en œuvre par l’État» a été ouverte pour déterminer les causes de l’incident et ses auteurs. Il a été remis à la direction générale de la sécurité intérieure (DGSI), chef du renseignement français, compte tenu de la sensibilité de l’affaire.
Cette institution judiciaire est composée de quatre unités: le siège, le parquet de Paris, le parquet national (PNF) et le parquet national contre le terrorisme. C’est la juridiction qui traite la plupart des affaires en France, dont certaines sont très sensibles comme l’affaire Sarkozy-Kadhafi.
ENVOYER DE FAUX EMAILS Cette cyberattaque consistait à envoyer de faux courriels à plusieurs juges et avocats. Pierre Cornut-Gentille et Jean-Marc Delas, avocats en droit pénal des affaires, ont reçu des messages sous forme d’échanges entre les deux collègues ou entre les cabinets des cabinets. Pierre Cornut-Gentille a été prévenu par « la fausse adresse ». Méfiant, l’avocat a décidé de « ne pas cliquer ». «Du coup je n’ai pas été joint, comme l’a confirmé mon informaticien», raconte-t-il. De son côté, Jean-Marc Delas a vu que son activité avait été fortement perturbée par l’attaque suite à l’ouverture d’un mail contaminé. «En fin de compte, je me suis retrouvé dans une situation où je n’avais plus accès à mon ordinateur», explique-t-il.
Aude Buresi, juge d’instruction à la place financière responsable du financement illégal de l’ancienne affaire ONU et Kerviel, a également été victime de l’attaque. Elle a dû revoir le calendrier de ses examens. Les invocations d’il y a plusieurs semaines ont été reportées. Selon des sources judiciaires, elle n’est pas la seule juge à avoir payé le prix de cet incident. Rémy Heitz, le procureur de la République, a également été visé. Il estime que le piratageinformatique doit être pris très au sérieux en ce qui concerne les personnes concernées et les données potentiellement volées par les cybercriminels.
LE SERVICE POUR L’INTÉRIEUR, AUSSI! Mais selon Le Figaro, cette cyberattaque ne se limite pas au tribunal de Paris. Dimanche après-midi, le ministère de l’Intérieur a déclaré qu’il était « actuellement victime d’une campagne d’attaques de courrier ». Il a bloqué la réception par email des fichiers au format .doc « pour éviter les risques de contamination ». Il est impossible de savoir pour le moment si les deux attaques sont liées.
Le Tribunal de Paris vient s’ajouter à la longue liste des organisations victimes d’une cyberattaque. Côté public on retrouve le conseil de quartier d’Eure-et-Loir, le CHU de Rouen, l’Agence nationale de l’éducation des adultes (Afpa), les services administratifs du Grand Est, le groupe AP-HP … Quant aux entreprises privées, Bouygues Construction victime d’un ransomware ainsi que de la filiale «Transport et logistique» du groupe Bolloré. Et cette tendance est partagée par la plupart des États du monde. Aux États-Unis, pas moins de 50 collectivités locales ont été touchées par un incident de sécurité depuis janvier 2020. LIEN
Dans le contexte d’une augmentation explosive du nombre de cybermenaces en France en cette rentrée 2020 (Léon Grosse, tribunal de Paris …) et après un été meurtrier, la tragique boule des ransomwares semble malheureusement se poursuivre. Zataz et Ransom Leaks ont en fait montré que les opérateurs malveillants derrière le ransomware Nefilim ont de nouveau frappé. Quelques semaines après l’attaque d’une filiale d’Orange ainsi que de Spie, ce groupe a probablement affronté un autre groupe français, à savoir le fabricant breton de médicaments injectables et d’antibiotiques Panpharma. LIEN
Le début d’année a été clairement lucratif pour les ransomwares en France. L’Anssi et la plateforme Cybermalveillance le soulignent. Surtout, ce n’est qu’un début!
L’Agence nationale de sécurité des systèmes d’information (Anssi) et la Direction des affaires criminelles et des grâces (DACG) du ministère de la Justice viennent de publier un guide visant à sensibiliser les entreprises et les collectivités à la menace des ransomwares.
Et il semble qu’il y ait plus qu’une simple urgence: depuis le début de l’année, Anssi dit avoir traité 104 attaques de ransomwares, contre 54 en 2019 dans son ensemble. Et l’agence souligne que « ces chiffres ne donnent pas un aperçu complet des ransomwares actuels affectant le territoire national ». Comme nous le signalait le CERT de Capgemini sur Twitter – «il faut compter toutes [les attaques] gérées par les équipes du CERT en dehors d’Anssi» – mais aussi une confirmation que les cas connus, même dans les médias, ne représentent pas qu’une fraction des cyberattaques avec un ransomware. Et pourtant, ne serait-ce que pour la France, la liste des incidents connus peut déjà paraître très longue.
Concernant la plateforme Cybermalveillance.gouv.fr, Jérôme Notin, PDG de GIP Acyma, rapporte 1.082 signalements de ransomwares à ce jour depuis le lancement de la plateforme le 4 février, auprès de 44% d’entreprises ou d’associations et 10% d’administrations ou de collectivités. Hélas, plusieurs éléments convergent pour suggérer que la vague est loin d’être terminée.
La publication de ce guide par Anssi et DACG constitue un premier indice: il n’y aurait guère de raison de l’être si l’agression des cybercriminels semble être en déclin. Il est évident qu’il s’agit d’une tentative des autorités pour empêcher que la chute ne s’aggrave qu’une source déjà perceptible par rapport à fin 2019.
Trop de systèmes vulnérables
Deuxième indice: certains messages semblent encore avoir du mal à passer, laissant des routes ouvertes aux attaquants. Cela commence par un patch, en particulier pour certains équipements sensibles. Le moteur de recherche spécialisé Onyphe a récemment identifié 15 systèmes Citrix Netscaler Gateway pour les entreprises du Fortune 500 touchées par la vulnérabilité CVE-2019-19871 exposées à Internet, mais aussi 659 Cisco ASA affectés par la CVE-2020- 3452, tous les mêmes 5 serveurs VPN Pulse Secure ou près de soixante systèmes SAP affectés par la vulnérabilité CVE-2020-6287.
Au cours de l’été, nous avons même observé un groupe affecté par une attaque de cyber-ransomware exposant un système affecté par l’une de ces vulnérabilités, malgré des messages et des rappels qui ont duré plusieurs semaines. Et cela sans prendre en compte les services RDP disponibles en ligne sans authentification de la couche réseau (NLA). Autant de points d’entrée sans même parler de phishing.
Les attaques de ransomwares actuelles et la cybercriminalité économique empruntent plus généralement aux APT, a souligné Ivan Kwiatkowski des équipes de recherche et d’analyse de Kaspersky dans nos colonnes début février. Concrètement, cela signifie que l’attaque s’étend très profondément dans le système d’information jusqu’à ce qu’elle obtienne des privilèges dignes d’un administrateur et fournisse un accès très large aux données de l’entreprise compromise.
Passer d’une cible à une autre
Cela donne lieu à un premier risque: le risque de propagation – immédiate ou ultérieure – de l’attaque à des tiers en dehors de la victime d’origine, des clients ou des partenaires. Il existe un soupçon de connexion entre la cyberattaque de Maze contre Xerox et HCL Technologies, sur laquelle aucune des parties ne souhaite commenter. Mais en 2019, la start-up Huntress Labs a détaillé trois incidents dans lesquels des ordinateurs de clients de fournisseurs de services gérés ont été compromis par un ransomware via des outils de gestion à distance. Et ça ne s’arrête pas là.
Les données volées par les cybercriminels avant que leur ransomware ne soit déclenché peuvent être une mine d’or pour les futures campagnes de phishing hautement ciblées … et faciliter l’utilisation d’informations authentiques récupérées lors de l’attaque précédente. Une seule liste de milliers d’adresses e-mail avec quelques éléments personnels supplémentaires peut être un formidable point de départ.
À la mi-juillet, Brett Callow d’Emsisoft a attiré notre attention sur un cas aussi suspect: Nefilim a revendiqué la responsabilité d’une attaque contre Stadler en mai; NetWalker en a revendiqué un sur Triniti Metro début juillet; l’une des captures d’écran de ce dernier était un dossier nommé … «lettres Stadler». Pour l’analyste, «ces composés semblent trop souvent être des coïncidences». Et ce, même si NetWalker fait confiance aux «partenaires», alors que Nefilim opérerait plutôt dans le vide. Car rien ne dit qu’un des partenaires NetWalker n’a pas regardé les données que Nefilim a précédemment publiées pour les utiliser dans le cadre de l’attaque sur Triniti Metro …
Un espoir: la limitation des ressources disponibles Récemment, de nouveaux groupes de cybercriminalité sont apparus qui combinent le cryptage et le vol de données avec la menace de divulgation pour soutenir leurs efforts d’extorsion. Mais la capacité des cybercriminels à exploiter toutes les pistes qu’ils obtiennent n’est pas illimitée. Des appels aux «partenaires» ont lieu régulièrement sur les forums qu’ils visitent. Et les profils recherchés ont un haut niveau de compétence: bien que les outils disponibles gratuitement ne manquent pas, la phase de reconnaissance manuelle avant la mise en œuvre et la détonation du ransomware nécessite une certaine expertise. Cependant, rien ne garantit que certains spécialistes des étapes intermédiaires des attaques n’interviendront pas pour différents groupes.
De toute évidence, toutes ces voies ne doivent pas être exploitées en même temps: la lenteur de nombreuses organisations à fermer les portes d’entrée qu’elles laissent ouvertes sur Internet n’aide que les cybercriminels. Attention donc: un répit peut donner l’impression de se retirer de la menace, du moment qu’il ne s’agit que d’une illusion. Et une chose semble certaine: il n’est pas temps de se détendre.
Le groupe de construction Leon Grosse a été impacté par le ransomware Maze, qui avait déjà été illustré pour avoir également fait rage sur Bouygues Construction. L’entreprise indique un retour progressif à la normale de ses équipements et services informatiques.
L’été meurtrier des ransomwares n’est pas terminé. Après Bouygues Construction et Rabot Dutilleul, c’est au tour d’un autre groupe de construction d’être touché par les ransomwares. Dans ce cas, c’est la société Léon Grosse qui est touchée par le labyrinthe, selon Ransom Leaks. Ce malware est illustré avec précision pour affecter Bouygues Construction, tandis que du côté de Rabot Dutilleul, c’est le ransomware Netwalker qui l’a envahi.
« Le groupe Léon Grosse a fait l’objet d’une cyberattaque le 26 août 2020. Les systèmes d’information ont donc été interrompus pour stopper la propagation de l’attaque », a expliqué la société. Les équipes, accompagnées d’experts externes, travaillent actuellement pour analyser et rétablir la situation dans les meilleurs délais. Les équipements et services informatiques sont ainsi progressivement restaurés. En coopération avec les autorités compétentes, tout est mis en œuvre pour limiter l’impact de cet incident sur nos clients et partenaires ». Contacté pour plus de détails, Léon Grosse n’a pas encore répondu à notre demande.
Les sites Web ne sont toujours pas disponibles Si Léon Grosse indique que son activité commerciale ainsi que ses sites Internet fonctionnent, ce n’est pas encore le cas de son informatique, en tout cas qu’il supporte ses sites Internet: «Pour des raisons techniques, les sites Internet du Groupe Léon Grosse et de ses filiales sont temporairement indisponibles . Nous travaillons au redémarrage de toutes nos pages, et nous nous en excusons », peut-on relire cet après-midi sur le site principal de l’entreprise. Léon Grosse a été fondée en 1954 et compte près de 2 300 employés et un chiffre d’affaires de près de 725 millions d’euros l’an dernier. LIEN
Un employé de Tesla a refusé 1 million de dollars à un espion russe pour pirater l’usine Tesla au Nevada.
Tout commence comme un mauvais roman d’espionnage. Un citoyen russe, Egor Igorevich Kriuchkov, a été arrêté le 22 août à Los Angeles alors qu’il tentait de quitter le pays. Suite à une enquête du FBI, il a été accusé de complot. Il est arrivé aux États-Unis sous le couvert d’un visa de touriste et a affirmé avoir attaqué un pot-de-vin d’un employé d’une entreprise du Nevada. Il lui aurait offert un million de dollars pour infecter le réseau de produits en vrac de l’entreprise.
Ladite société n’est autre que Tesla, comme l’a tweeté son fondateur Elon Musk. « C’était une attaque sérieuse », a déclaré le chef. Moi M. Le plan de Kriuchkov était que l’implantation de ransomwares soit en fait couverte par une attaque DDoS contre l’usine Gigafactory. Et ainsi tromper les équipes informatiques de Tesla.
Combinez sécuritéinformatique et sécurité
Pour s’adresser à l’employé de Tesla, Kriuchkov l’aurait contacté à l’avance via WhatsApp avant de le rencontrer physiquement à plusieurs reprises du 1er au 3 août, notamment lors d’un voyage au lac Tahos avec d’autres employés de l’entreprise. Après avoir révélé son plan, le Russe aurait donné à l’employé un appel téléphonique unique et lui aurait demandé de le laisser en mode avion jusqu’à ce que les fonds soient transférés. En contrepartie de cette compensation, l’employé devait soit introduire un ransomware via une clé USB ou en cliquant sur une pièce jointe dans un e-mail, mais aussi fournir des informations en amont sur le réseau de Tesla pour améliorer la charge.
L’acte d’accusation a enregistré une discussion entre Egor Igorevich Kriuchkov et le collaborateur de Tesla, dans laquelle le citoyen russe se vantait d’avoir été impliqué dans deux projets similaires. Les entreprises ont généralement négocié une rançon et donnent l’exemple d’une entreprise qui a finalement payé 4 millions de dollars au lieu de 6. Il peut évoquer le cas de Carlson Wagonlit Travel, soupçonné d’avoir payé 4,5 millions de dollars. dollars. L’homme peut être lié au gang derrière le ransomware Ragnar Locker. Dans tous les cas, pour avoir tenté de soudoyer un employé de Tesla, il encourt jusqu’à 5 ans de prison et une amende de 250000 $.
Cette affaire montre que les opérateurs de ransomwares tentent par tous les moyens de pénétrer les réseaux des grandes entreprises. Dans ce contexte, la sécurité informatique ne suffit pas et il est important que les services travaillent également avec la sécurité physique.
L’absence de protocole rend les entreprises vulnérables aux cyberrisques
Les experts en sécuritéinformatique de Proofpoint ont publié les résultats de l’analyse DMARC (Domain-Based Message Verification Reporting and Compliance) montrant dans quelle mesure les compagnies aériennes sont exposées aux cyberattaques.
Réalisée sur 296 compagnies aériennes membres de l’Association du transport aérien international (IATA), qui représente 82% du trafic mondial, l’étude montre que 61% des compagnies aériennes n’ont pas de registre DMARC publié, ce qui les rend plus vulnérables aux cybercriminels, il s’agit de voler leur identité et ainsi d’augmenter le risque de fraude par e-mail. LIEN
L’Agence du revenu du Canada (ARC) a dû suspendre ses services en ligne dimanche après avoir été la cible de deux cyberattaques au cours desquelles des pirates ont utilisé des milliers d’identités et de mots de passe frauduleux pour obtenir des avantages et accéder aux renseignements personnels des Canadiens.
Environ 5 500 comptes de l’ARC ont également été la cible d’une cyberattaque «bloquant la légitimité». Ce type de cyberattaque utilise des noms d’utilisateur et des mots de passe collectés lors de piratages de comptes précédents et tire parti du fait que de nombreux internautes utilisent les mêmes mots de passe pour plusieurs de leurs comptes.
L’accès à tous les comptes concernés a été suspendu afin de protéger les informations des contribuables canadiens. Le service en ligne «Mon dossier» de l’Agence du revenu du Canada n’était pas disponible dimanche matin.
Cette décision intervient à un moment où de nombreuses entreprises et citoyens canadiens utilisent le site Web de l’agence pour s’inscrire à divers programmes financiers mis en place pour les aider pendant la pandémie du COVID-19.
Selon un haut fonctionnaire fédéral, le gouvernement espère rétablir le service en ligne aux entreprises d’ici lundi. C’est à partir de cette date qu’ils ont pu souscrire aux derniers services d’assistance qui leur étaient destinés. On ne sait pas si la suspension des services aura un autre impact sur les programmes fédéraux tels que l’Allocation canadienne pour enfants et l’Allocation canadienne d’urgence.
L’ARC reste vague sur ce que les victimes de ces cyberattaques doivent faire pour restaurer leurs comptes. Elle dit simplement qu’une lettre leur sera envoyée.
Au moins une victime dit qu’elle attend toujours les nouvelles du gouvernement après que quelqu’un a déjà piraté son compte de l’ARC pour s’inscrire avec succès à la prestation d’urgence mensuelle du Canada de 2 000 $.
Leah Baverstock de Kitchener, en Ontario, dit qu’elle a découvert que son compte avait été piraté lorsqu’elle a reçu plusieurs courriels de l’ARC le 7 août annonçant que sa demande de PKU avait été acceptée. Cependant, elle n’a pas perdu son emploi pendant la pandémie et n’a jamais fait une telle demande. Elle a également appelé l’agence.
«La dame à qui je parlais a pensé que c’était bizarre», dit-elle. Elle m’a alors dit qu’un de ses supérieurs devait m’appeler dans les 24 heures car mon compte n’était pas disponible. Et je n’en ai pas entendu plus. «
Mme Baverstock a exprimé sa frustration face à ce manque de suivi. Elle dit toujours qu’elle ne sait pas comment les pirates ont pu accéder à son compte. Elle a contacté sa banque et d’autres institutions financières pour leur demander d’empêcher les pirates d’utiliser ses informations personnelles pour commettre d’autres fraudes. «Je suis très inquiet. Tout le monde peut utiliser mon nom. Qui sait ? «
Les services en ligne du gouvernement fédéral qui utilisent GCKey pour y accéder ont été la cible de cyberattaques affectant 14 541 comptes, a déclaré samedi le Secrétariat du Conseil du Trésor du Canada dans un communiqué.
Utilisé par près de 30 ministères fédéraux, GCKey donne aux Canadiens accès à des services comme mon compte ou leurs comptes d’immigration, de réfugiés et de citoyenneté au Canada. Les mots de passe et noms d’utilisateur de 9 041 Canadiens ont été acquis frauduleusement et utilisés pour tenter d’accéder aux services publics.
«Tous les comptes GCKey concernés ont été annulés dès que la menace a été détectée», selon le gouvernement fédéral, qui garantit que les ministères concernés communiqueront avec les Canadiens touchés par cette cyberattaque.
La Gendarmerie royale du Canada (GRC) et le Commissariat du Canada à la protection de la vie privée ont été informés de ces cyberattaques visant les renseignements personnels des Canadiens. LIEN
Le gendarme européen de la cybersécurité a été alerté en début d’année sur la sécurité informatique dans les hôpitaux. Liste des recommandations à suivre pour assurer la sécurité de leur réseau informatique.
L’UE fournit dix conseils pour protéger les hôpitaux contre les cyberattaques
Les hôpitaux deviennent une cible de plus en plus tentante pour les cybercriminels. D’autant moins depuis la crise sanitaire, qui place le réseau hospitalier et le marché de la santé au premier plan des risques croissants de cyberattaques.
La taille des réseaux hospitaliers, l’importance vitale du parc de PC dans les réseaux qui restent opérationnels, car la manière dont une grande partie des systèmes informatiques liés à la santé fonctionnent sur des systèmes d’exploitation non pris en charge signifie que la protection des hôpitaux contre les cyberattaques devient de plus en plus compliquée tâche aujourd’hui.
Les pirates informatiques en profitent, soit pour distribuer des ransomwares, soit pour tenter de voler des informations personnelles sensibles aux patients. Pour lutter contre ces menaces croissantes, l’ENISA, l’agence européenne de cybersécurité, a publié en début d’année une liste de recommandations destinées aux responsables informatiques des hôpitaux. Bien que cette liste s’adresse principalement au secteur de la santé, la plupart des recommandations émises par Bruxelles ont une portée plus large.
« Protéger les patients et assurer la résilience de nos hôpitaux est une partie essentielle du travail de l’Agence pour rendre le secteur européen de la santé cyber-sûr », a déclaré Juhan Lepassaa, PDG de l’ENISA, entre autres. Le document intitulé «Directives pour la passation de marchés pour la cybersécurité dans les hôpitaux» recommande dix bonnes pratiques pour rendre le secteur de la santé plus résilient aux cyberattaques.
Impliquer le service informatique dans les achats
Cela semble évident, mais impliquer l’informatique dans l’approvisionnement dès le départ garantit que la cybersécurité est prise en compte dans toutes les phases du processus d’approvisionnement technologique. Ce faisant, des recommandations peuvent être faites sur la manière dont les nouvelles technologies s’intègrent dans le réseau existant et quelles mesures de sécurité supplémentaires peuvent être nécessaires.
Mettre en place un processus d’identification et de gestion des vulnérabilités
Nous vivons dans un monde imparfait, et il existe des produits qui contiennent des vulnérabilités, connues ou non encore découvertes. Avoir une stratégie en place pour faire face aux vulnérabilités tout au long du cycle de vie d’un appareil peut aider l’équipe de sécurité à se tenir au courant des problèmes de sécurité potentiels.
Développer une politique de mise à jour matérielle et logicielle
Les chercheurs en sécurité découvrent souvent de nouvelles vulnérabilités dans les appareils et les systèmes d’exploitation. Cependant, le réseau informatique de l’hôpital a toujours été incapable de garantir l’utilisation des correctifs – et c’est l’une des raisons pour lesquelles le ransomware WannaCry a eu un tel impact sur le NHS, le service public de la santé à travers le canal.
Le document, publié par Bruxelles, recommande donc aux services informatiques de déterminer le moment le plus approprié pour appliquer les correctifs dans chaque segment du réseau, ainsi que de déterminer des solutions pour les machines qui ne peuvent pas être réparées, par ex. Segmentation.
Renforcez les contrôles de sécurité pour la communication sans fil
L’accès aux réseaux hospitaliers doit être limité par des contrôles stricts, ce qui signifie que le nombre d’appareils connectés doit être surveillé et connu afin que tout appareil inattendu ou indésirable essayant d’y accéder soit identifié. Le document publié par les autorités européennes recommande que le personnel non autorisé n’ait pas accès au Wi-Fi et que les mots de passe réseau soient conçus pour être forts et difficiles à déchiffrer.
Création de politiques de test plus strictes
Les hôpitaux qui acquièrent de nouveaux produits informatiques devraient établir un ensemble minimum de tests de sécurité à effectuer sur les nouveaux appareils ajoutés aux réseaux – y compris des tests de pénétration, une fois ajoutés au réseau, pour prendre en compte les tentatives des pirates. abuser.
Créez des plans d’affaires pour la continuité
Des plans de continuité des activités doivent être élaborés chaque fois qu’une défaillance du système menace de perturber les services hospitaliers de base – qui dans ce cas sont les soins aux patients – et le rôle du prestataire dans ces cas. doit être bien défini.
Prendre en compte les problèmes d’interopérabilité
La capacité des machines à transmettre des informations et des données est essentielle au bon fonctionnement des hôpitaux, mais elle peut être compromise en cas de cyberattaque ou de temps d’arrêt. L’hôpital doit avoir des plans de sauvegarde au cas où cette opération serait compromise.
Autoriser le test de tous les composants
Les systèmes doivent être testés régulièrement pour s’assurer qu’ils offrent une bonne sécurité en combinant convivialité et sécurité – par exemple, le service informatique doit s’assurer que les utilisateurs n’ont pas changé des mots de passe complexes pour des mots de passe plus simples. Tout cela doit être pris en compte lors des tests, explique le document fourni par l’ENISA.
Autoriser l’audit des réseaux informatiques La conservation des journaux des tests et de l’activité du réseau permet de suivre plus facilement ce qui s’est passé et comment les attaquants ont accédé au système en cas de compromission, ainsi que d’évaluer quelles informations ont été compromises. «La sécurisation des journaux est l’une des tâches de sécurité les plus importantes», explique le document.
Avec un ransomware, le group Nefilim ont attaqué le groupe SPIE en juillet. Si le groupe a réussi à récupérer ses systèmes, des données volées sont diffusées depuis hier par des attaquants.
Le groupe SPIE ciblé par les ransomwares en juillet
Le groupe SPIE n’a pas échappé à la vague de ransomwares qui a touché les entreprises françaises en juillet. Comme le rapporte leMagIT, le groupe SPIE, spécialisé dans les réseaux d’énergie et de télécommunications, a été pris pour cible par les opérateurs de rançongiciels Nefilim début juillet. Le ransomware a été activé dans la nuit du 13 au 14. Juillet et a bloqué plusieurs serveursWindows du groupe, provoquant un «temps d’arrêt des applications métier», selon un porte-parole de Spie. L’entreprise précise néanmoins que l’impact opérationnel est resté très limité et que les équipes se sont immédiatement activées pour remettre en service les systèmes concernés.
Comme c’est maintenant le cas avec les attaques de ransomwares, cela a également entraîné le vol de données. Hier, les opérateurs de ransomware nefiliim ont commencé à placer sur leur blog des archives sur des fichiers qu’ils prétendent volés sur les serveurs du groupe. Une archive 10go est proposée et le blog montre que cette archive n’est que la première partie des données publiées. Le groupe SPIE, pour sa part, confirme que « des données internes et des données d’un nombre très limité de clients peuvent avoir été volés » et assure avoir pris contact avec les clients concernés.
La distribution en ligne de données volées n’est pas une bonne nouvelle pour SPIE, mais cela indique que l’entreprise a choisi de ne pas payer la rançon exigée par les cybercriminels et a réussi à remettre ses systèmes en marche sans récupérer la clé de décryptage utilisée par les ransomwares.
Le groupe Nefilim avait déjà été à l’origine de l’attaque d’Orange Business Services début juillet.
Coveware collecte des données mondiales sur les ransomwares et la cyber-extraction pour minimiser les coûts et les temps d’arrêt associés.
Une réponse professionnelle et transparente aux incidents de ransomware. Lorsque le ransomware arrive et que les sauvegardes échouent.
Coveware vous aide à vous concentrer sur votre récupération en interne, tandis que les équipes de professionnels de Coveware gèrent le processus de négociation de cyber-chantage et de récupération de données cryptées par le ransomware. Laissez les experts ransomware guider votre entreprise pour une récupération sûre, compatible et rapide des ransomwares.
Il y a quelques jours, Garmin a été victime d’une cyberattaque de type ransomware. En raison de ce dernier, les utilisateurs de nombreux services Garmin ne pouvaient pas accéder aux services des appareils. Il semble que l’entreprise ait payé une partie de la rançon demandée par les pirates en échange des données volées.
Canon a été victime d’une attaque de pirates. Grâce aux ransomwares, les pirates auraient détourné 10 To de données sur les serveurs de l’entreprise. Le lot concerne à la fois les données internes et les données clients.
Un mémo interne envoyé par Canon à ses employés révèle qu’une attaque de ransomware Maze a ciblé plusieurs sites Web et services Internet du groupe.
Sécurité: les attaques de ransomwares ciblant Garmin et CarlsonWagonLit ont apparemment porté leurs fruits pour les cybercriminels. Dans les deux cas, les preuves suggèrent que les entreprises ont effectivement payé les rançons requis.
Officiellement personne ne paie de rançon
La société Garmin a été prise pour cible le 23 juillet par des attaquants utilisant le ransomware WastedLocker, un correctif apparu en mai 2020 et apparemment lié au groupe Evil Corp. L’attaque a complètement incarné les systèmes de l’entreprise, qui offrent des services GPS utilisés à la fois dans plusieurs appareils connectés et dans des applications utilisées dans l’aviation. La semaine dernière, Garmin a annoncé un « retour progressif aux opérations » après une longue semaine de silence radio.
Comme le rapporte Bleeping Computer, cela n’est pas dû au retour à la normale, notamment à la compétence et à la prévoyance des équipes informatiques de l’entreprise: le magazine britannique explique qu’il a pu accéder au logiciel de décryptage utilisé par les équipes Garmin pour récupérer ‘accès aux business units.
«Une fois que ce package de récupération a été déballé, il contient divers installateurs de logiciels de sécurité, une clé de déchiffrement, un déchiffreur WastedLocker et un script pour les exécuter», explique Bleeping Computer, notant que la clé de déchiffrement et le déchiffreur ont probablement été obtenus grâce au paiement d’une rançon.
Bleeping Computer rapporte également que le package comprend des références à Emsisoft et Coveware, deux sociétés américaines de cybersécurité spécialisées dans les ransomwares. Coveware fait une offre de soutien aux victimes de ransomwares, et une étude de Propublica l’année dernière a révélé que l’entreprise se positionnait souvent comme un médiateur dans les négociations entre victimes et attaquants. Emsisoft propose de développer un logiciel de décryptage pour les victimes qui ont réussi à récupérer la clé de cryptage de l’attaquant mais qui préfèrent éviter d’utiliser le logiciel de décryptage fourni par l’attaquant. Les deux sociétés ont donc probablement aidé Garmin à récupérer la clé de cryptage et à récupérer les machines affectées par les ransomwares.
Le montant exact de la rançon versée par Garmin n’est pas connu, mais selon des sources internes de l’entreprise citées par la presse américaine, les attaquants ont initialement demandé 10 millions de dollars.
Garmin a mis la main dans le pot de confiture, mais ils peuvent se réconforter en pensant qu’ils ne sont pas les seuls cette semaine. En fait, la société Carlson Wagonlit Travel (CWT) a également été ciblée sur les ransomwares: cette fois, il s’agit d’un groupe utilisant le ransomware RagnarLocker. Vendredi dernier, le groupe CWT s’est contenté d’évoquer « une attaque informatique » et a refusé de commenter le sujet tel que rapporté par LeMagIT.
Mais les chercheurs en sécurité ont découvert, jeudi 30 juillet, sur le service VirusTotal, un échantillon de produits de rançon RagnarLocker contenant une rançon spécifiquement adressée à CWT. Cela a été téléchargé sur le service de découverte le 27 juillet. Le chercheur de MalwareHunterTeam, JamesWT, qui a découvert l’échantillon, retrace également les transactions qui ont eu lieu à l’adresse bitcoin fournie par l’attaquant en rançon. Et cela indique avoir reçu un paiement de 414 bitcoins, soit 4,5 millions de dollars par. 28 juillet: sur la blockchain Bitcoin, toutes les transactions sont enregistrées et sont accessibles au public.
Alors que le distributeur du ransomware GrandCrab vient d’être arrêté en Biélorussie, les auteurs de ce ransomware sont toujours en cours d’exécution.
Un distributeur de ransomware GandCrab arrêté en Biélorussie
Les autorités biélorusses viennent d’annoncer l’arrestation d’un homme de 31 ans accusé de distribution de ransomware depuis GandCrab. L’homme, dont l’identité n’a pas été révélée, a été arrêté à Gomel, une petite ville du sud-est de la Biélorussie, à la frontière avec la Russie et l’Ukraine. Les autorités ont déclaré que l’homme n’avait pas été condamné avant son arrestation, mais s’était inscrit à un forum de piratage pour devenir un affilié au ransomware GandCrab.
Ce dernier aurait loué l’accès à un panel web avec des paramètres modifiés pour obtenir une version personnalisée de GandCrab, qu’il enverrait ensuite sous forme de fichiers capturés à d’autres internautes via des techniques de spam. Les victimes qui ont ouvert les fichiers ont été infectées et ont vu leurs fichiers chiffrés, les forçant à payer une rançon pour obtenir une application de déchiffrement et récupérer leurs fichiers.
Les autorités biélorusses ont déclaré que le suspect avait infecté plus de 1 000 ordinateurs alors qu’il était affilié à GandCrab. Pour chaque victime, le suspect a exigé environ 1200 dollars payés en bitcoins, sans préciser combien. Le directeur adjoint de la division criminelle de haute technologie du ministère biélorusse de l’Intérieur, Vladimir Zaitsev, a déclaré que le suspect avait infecté des victimes dans plus de 100 pays, dont la plupart sont situés en Inde, aux États-Unis, en Ukraine, en Angleterre, en Allemagne, en France, en Italie et en Russie.LIEN
La société CWT, spécialisée dans les voyages d’affaires, a été victime du ransomware Ragnar Locker et aurait payé 4,5 millions de dollars pour reprendre ses activités normales.
Carlson Wagonlit Travel a choisi la voie des négociations depuis Ragnar Locker.
Constatons-nous un pic de l’activité des ransomwares cet été? C’est la question que l’on peut se poser à la lumière des différents cas. Le dernier après Garmin, Carlson Wagonlit Travel (CWT), spécialiste des voyages d’affaires, a également été attaqué par un ransomware. Selon Reuters, la société a payé 4,5 millions de dollars pour redémarrer les 30 000 PC recroquevillés par l’attaque. De plus, les hackers auraient téléchargé 2 To de données, dont certaines sont considérées comme sensibles (informations de facturation, souscriptions d’assurance, comptes, etc.).
Si CWT a confirmé avoir subi un «cyber incident», la société nie le vol de données. Un moyen de rassurer les clients qui comprend de nombreuses grandes entreprises comme Axa Equitable, Abbot Laboratories, AIG, Amazon, Facebook ou Estée Lauder. Le groupe a ouvert une enquête sur les attaques et les évasions, mais la reprise aurait été particulièrement rapide.
Ragnar Locker et une négociation de rançon publique
Selon JameWT de l’équipe Malware Hunter, le ransowmare impliqué est Ragnar Locker. Ce dernier n’est pas étranger et utilise les vulnérabilités RDP dans Microsoft Windows. Dernièrement, il a même réussi à se camoufler comme une machine virtuelle. Le poids lourd de l’énergie portugais EDP (Energias de Portugal) en avait fait les frais: des cyber-hackers parvenaient à accéder à 10 To de données sensibles, et une rançon de près de 11 millions de dollars (1580 bitcoins) avait alors été demandée.
Dans le cas de CWT, les pirates ont initialement exigé le paiement de 10 millions de dollars en bitcoin. Nos collègues de Reuters ont pu observer l’échange entre les pirates et le responsable de la société (dans ce cas le CFO) dans un groupe de discussion public en ligne. DAF a expliqué que la société avait été durement touchée par la pandémie de Covid-19 et avait donc accepté de payer 4,5 millions de dollars soit 414 bitcoins. Le paiement a été réglé le 28 juillet. Avec humour, les hackers ont même donné à CWT quelques conseils de sécurité « fermer RDP et autres services, mettre en place une liste blanche IP (rdp / ftp), installer un EDR, avoir au moins 3 administrateurs fonctionnant 24h / 24… ». Après Garmin, l’affaire CWT montre que de plus en plus d’entreprises n’hésitent pas à payer une rançon pour reprendre rapidement leurs activités. Les effets de la pandémie de Covid-19 ont affaibli les entreprises et elles ne peuvent pas se permettre une longue procédure.
Sécurisé par un ransomware dans la nuit du 16 au 17. En juillet, la compagnie d’assurance met volontairement en service ses infrastructures. Les employés sont encouragés à rapporter leur équipement sur le site. Quelques points d’entrée possibles ont émergé.
MMA: la mise en veille par les ransomwares se poursuit!
Après une dizaine de jours de fermeture, le site MMA est de nouveau en ligne. La compagnie d’assurance a fermé ses systèmes d’information après l’explosion d’un ransomware dans la nuit du 16 au 17 juillet. La rumeur veut que NetWalker ait récemment frappé Rabot Dutilleul après avoir notamment attaqué Bolloré Transport & Logistics. Mais diverses sources, c’est plus du côté de Revil / Sodinokibi qu’il vaut la peine de se pencher, précisément celle qui a attaqué Faro Technologies en mai.
Selon les informations du collectif CGT Covéa, les équipes informatiques sont fortement mobilisées, notamment pour restaurer au plus vite les applications métiers afin que les clients de la compagnie d’assurance puissent bénéficier de ses services. Et cela ne doit pas être une tâche facile.
Les éléments d’infrastructure exposés sur Internet suggèrent qu’il existe quelques ressources entre les entités du groupe Covéa – MMA, Maaf, GMF ou encore Fidélia Assistance. Mais pas tout, loin de là. De plus, Maaf et GMF n’ont été que beaucoup moins touchés – « les outils fonctionnent malgré une grande lenteur », a déclaré CGT le 23 juillet – et Fidélia « n’a subi que quelques retards et a donc pu assurer la continuité de service pour les appels MMA ».
Cependant, la réintroduction du site MMA ne signale pas la fin des opérations de récupération. La CGT précise ainsi que « ce week-end, tous les salariés (hors jours fériés) doivent apporter tout leur matériel pour analyse. A partir du lundi [3 août] nous serons à nouveau sur place et travaillerons conformément aux applications disponibles ». Sur Facebook du syndicat page certains commentaires indiquent également la nécessité de réinitialiser leur mot de passe: assez pour trahir le travail pour sécuriser l’annuaire.
La CGT précise également que « le télétravail n’est plus possible jusqu’à nouvel ordre, sauf pour les personnes vulnérables disposant d’un certificat d’isolement médical ». Et nos confrères d’Actu.fr s’interrogent: « est-ce à travers [le télétravail] qu’un bug a été exploité par des hackers »? Une question qui résonne en écho aux propos du président du conseil départemental d’E-et-Loir, Claude Térouinard, qui a récemment rappelé dans les colonnes de L’Echo Républicain que des malwares qui affectaient le département auraient pu « pénétrer dans le système informatique via le réseau de télétravail ». En particulier, nos recherches nous ont conduit à identifier un serveur VPN Pulse Secure qui aurait été le moins touché par la vulnérabilité CVE-2019-11510 jusqu’à fin novembre dernier.Une solution était disponible depuis plusieurs mois et les autorités. avait demandé son application urgente à l’été 2019.
En ce qui concerne le MMA et le télétravail, il y a une explication très simple pour le moment: les serveurs VPN SSL Cisco ASA de la compagnie d’assurance ne sont toujours pas disponibles au moment de la rédaction de cet article, – ceux de Maaf et GMF sont à l’inverse bons en ligne (dans l’espoir qu’ils soient à jour avec corrections). Ces serveurs VPN ne sont peut-être pas étrangers à l’attaque.
Mais les attaquants auraient également pu explorer une passerelle Citrix Netscaler affectée par la tristement célèbre vulnérabilité CVE-2019-19781. Deux de ces systèmes étaient récemment présents sur l’infrastructure MMA. Pour les deux, il apparaît que les corrections nécessaires ont été appliquées fin janvier, selon les données de Shodan.
Quatre ans après son lancement, l’initiative No More Ransom a permis à plus de 4 millions de victimes d’attaques de ransomwares de récupérer leurs fichiers gratuitement.
650 millions d’euros économisés grâce à l’initiative No More Ransom
Au cours des quatre premières années de l’initiative No More Ransom d’Europol, plus de 4 millions de victimes d’attaques de ransomwares ont évité de payer plus de 650 millions d’euros en réponse aux demandes d’extorsion de groupes de cybercriminels.
Lancé pour la première fois en 2016 avec quatre membres de base, No More Ransom fournit des outils de décryptage gratuits pour les ransomwares et n’a cessé de croître depuis. Aujourd’hui, il compte 163 partenaires dans les domaines de la cybersécurité, de la police, des services financiers et autres. Ensemble, ils ont mis des outils de décryptage gratuits à la disposition de plus de 140 familles de ransomwares, téléchargés plus de 4,2 millions de fois.
Les principaux contributeurs au projet incluent Emisoft, fournisseur de 54 outils de décryptage pour 45 familles de ransomwares; membre fondateur de Kaspersky, qui a fourni 5 outils à 32 familles de ransomwares; et Trend Micro, qui a fourni 2 outils de décryptage à 27 familles de ransongware. Parmi les autres sociétés de cybersécurité qui ont participé à No More Ransom, figurent également Avast, Bitdefender, Check Point, ESET et le membre fondateur McAfee.
Un outil populaire
No More Ransom est désormais disponible en 36 langues et accueille des invités de 188 pays à travers le monde. Les visiteurs sont principalement situés en Corée du Sud, aux États-Unis, au Brésil, en Russie et en Inde.
«No More Ransom est l’association entre tous les partenaires clés et les forces de l’ordre du monde entier, et tout le monde évolue dans la même direction. Comme tout le monde contribue à cette menace, nous trouvons des mesures concrètes pour lutter contre les ransomwares en tant que mesure préventive », explique Edvardas Šileris, directeur du Centre européen de cybercriminalité d’Europol, dans un entretien avec ZDNet.
«En fin de compte, ce n’est pas combien d’argent ils économisent qui compte, mais plutôt combien de personnes récupèrent leurs fichiers gratuitement. Il est tout aussi important pour un parent de restaurer les photos de ses proches que pour une entreprise de restaurer son réseau », ajoute-t-il.
La menace grandit
Bien que No More Ransom se soit avéré utile aux victimes de ransomwares, Europol lui-même ajoute que la prévention reste le meilleur moyen de se protéger contre les attaques. D’autant plus aujourd’hui que la nature en constante évolution des ransomwares signifie qu’il existe de nombreuses formes de logiciels malveillants qui ne disposent pas d’outils de décryptage gratuits … et peut-être pas. jamais.
Europol recommande plusieurs mesures de précaution, telles que la sauvegarde hors ligne de fichiers importants. Ainsi, en cas d’attaque, ils peuvent être récupérés immédiatement, qu’un outil de décryptage soit disponible ou non. L’organisation recommande également aux utilisateurs de ne pas télécharger de programmes à partir de sources suspectes ou d’ouvrir des pièces jointes provenant d’expéditeurs inconnus pour éviter d’être victimes d’une attaque de phishing.
Malgré les efforts de No More Ransom et d’autres initiatives de cybersécurité, les ransomwares restent très efficaces pour les cybercriminels, qui parviennent souvent à gagner des centaines de milliers, voire des millions, de dollars en une seule attaque. Cependant, l’application de mises à jour et de correctifs de sécurité aux PC et aux réseaux peut contribuer grandement à arrêter ces types d’attaques. LIEN
De nombreuses entreprises sont ciblées. Après Orange, MMA, CPM, c’est au tour de Misterfly dans l’industrie du tourisme d’être victime d’une cyberattaque dite «ransomware» le 13 juillet. L’entreprise a envoyé un mail à tous ses partenaires pour expliquer la situation.
Misterfly victime d’une cyberattaque par ransomware
dans une lettre adressée à ses agences de voyages partenaires, Misterfly déclare avoir été victime d’une cyberattaque dite «ransomware».
« La conséquence de cette cyberattaque a été de rendre inaccessible une partie du réseau informatique de MisterFly », ajoute le communiqué.
Personne de contact pour nous Frédéric Pilloud, directeur du e-commerce, précise: «Nous savons que les pirates ont réussi à copier un certain nombre de fichiers, et tout notre travail d’analyse est de savoir de quels fichiers il s’agit. Une chose est sûre, que ce ne soit pas ce ne sont pas des informations bancaires car elles ne passent pas par nous « .
Le site de réservation de billets utilise la norme PCI DSS (imposée par Iata), qui garantit le non-stockage des informations de paiement. Ces données sont diffusées directement aux organismes de paiement.
« Le risque maximum serait que les données sur les réservations de nos clients et leurs coordonnées soient disponibles en ligne, mais nous ne sommes pas sûrs. Et avec ces données, il ne serait pas possible de modifier ou d’annuler une réservation, mais je répète pour le moment que nous ne le faisons pas. savoir exactement quels fichiers sont ciblés », explique le directeur e-commerce.
Plusieurs entreprises ont été la cible du même type d’attaque. Les dernières concernent notamment la compagnie d’assurance MMA, Orange et la société multiservices CPM International France, selon le site spécialisé Zataz.com.
Les ransomwares sont des logiciels malveillants qui prennent en otage des données personnelles. «Le contexte général de la mise en œuvre du télétravail et des connexions entre salariés via les VPN favorise ce type d’attaque», souligne Frédéric Pilloud, «Dans notre cas, quelqu’un a ouvert un dossier qu’il ne devait pas ouvrir».
Misterfly s’excuse donc pour l’impact «que cela peut avoir sur la durée du traitement». Et ajoute: « Dans tous les cas, nous vous recommandons de rester vigilant, surtout si vous recevez des communications non sollicitées. Nous vous rappelons d’être particulièrement prudent avec les communications qui prétendent provenir de MisterFly et qui doivent être faites régulièrement, nous vous recommandons change votre mot de passe sur notre site MFPro. «
Une équipe dédiée dans l’entreprise est sur le pont et travaille pour mesurer l’étendue de l’attaque.
Des clubs de football de Premier League ont été la cible de cyberattaques par ransomwares.
Les clubs de football anglais sous les projecteurs des cybercriminels
Les cybercriminels et les pirates informatiques échangent activement des équipes sportives, des organisations et des ligues par le biais de phishing, d’attaques de ransomwares et d’autres moyens dans le but de collecter des sommes énormes. Le gendarme britannique de la cybersécurité a détaillé les cybermenaces auxquelles sont confrontés les clubs de football professionnels, révélant que plus de 70% de ces institutions sportives britanniques ont été victimes d’une tentative de piratage au cours des 12 derniers mois.
Près d’un tiers des clubs de la « Premier League », l’élite du football anglais, ont enregistré au moins cinq attaques, principalement menées pour des raisons économiques. Le rapport avertit que ces attaques ne sont pas menées par des États, mais par des groupes malveillants.
Les principales cyberattaques contre lesquelles les organisations sportives sont mises en garde sont les campagnes de phishing, de courrier électronique, de fraude et de ransomware utilisées pour verrouiller les systèmes et les stades lors d’événements critiques. Un quart des attaques de logiciels malveillants ciblant des organisations sportives auraient impliqué des ransomwares.
Le transfert se transforme en drame
L’un des incidents les plus critiques signalés par le gendarme britannique de la cybersécurité concernait le piratage du compte de messagerie d’un directeur général d’un club de football. Elle avait eu lieu avant qu’un transfert ne soit négocié et avait presque conduit au vol de la somme de 1 million de livres sterling. Par les cybercriminels via des messages commerciaux compromis.
Le responsable du club, dont l’identité n’a pas été révélée, a fourni par inadvertance ses informations d’identification sur une page de connexion Office 365 falsifiée. Il a ainsi donné aux attaquants ses coordonnées et la possibilité de surveiller ses courriels – dont un concernant le transfert imminent d’un joueur. Les attaquants ont utilisé les informations volées pour entamer un dialogue entre les deux clubs, et l’accord a même été approuvé – mais le paiement n’a pas été effectué car la banque a identifié le compte des cybercriminels comme frauduleux.
Un stade piraté
Un autre exemple des autorités britanniques a été une attaque de rançon contre un club de football anglais qui a brisé les systèmes de sécurité et d’entreprise et a empêché les tourniquets de fonctionner et les supporters d’entrer ou de sortir du stade. L’attaque a failli entraîner l’annulation du match de championnat, ce qui aurait coûté au club des centaines de milliers de livres, soit l’équivalent des revenus qui auraient été perdus.
Des pirates auraient pénétré sur le réseau via un e-mail de phishing ou un accès à distance au système de vidéosurveillance connecté. Une fois que les pirates sont arrivés, ils ont pu se propager sur le réseau car il n’était pas segmenté. Les attaquants ont exigé 400 bitcoins pour ne pas avoir exécuté leurs menaces. Mais le club n’a pas payé et a fini par restaurer le réseau lui-même.
Renforcer la sécurité
L’avertissement aux clubs sportifs et aux organisations de ligue de rester vigilants contre les cyberattaques intervient à un moment où beaucoup d’entre eux ont déjà des difficultés financières en raison de l’impact de la pandémie de coronavirus sur les événements sportifs, dont beaucoup ont été annulés ou contraints de se dérouler à huis clos. La perspective de perdre plus d’argent à une cyberattaque peut donc être très dommageable.
Pour aider à se protéger contre les cyberattaques, les autorités britanniques recommandent aux organisations sportives d’introduire des contrôles de sécurité des e-mails, une mesure qui, selon le rapport, n’est « pas appliquée de manière cohérente » partout. secteur. Les organisations doivent également veiller à ce que leur personnel reçoive une formation en cybersécurité et à ce que la gestion des risques informatiques soit prise au sérieux à tous les niveaux.
Et pour se protéger contre les ransomwares et autres cyberattaques d’infrastructure, les entreprises doivent s’assurer que tous les systèmes sont à jour avec les dernières mises à jour de sécurité pour empêcher les criminels de les exploiter. vulnérabilités connues. L’accès à distance doit également être restreint là où il n’est pas nécessaire.
L’agence de santé numérique a publié la semaine dernière son rapport 2019 sur l’évolution des incidents de sécuritéinformatique affectant les centres de santé. Le rapport note que les ransomwares, comme le secteur privé, ne sont pas sortis dans les établissements de santé en 2019.
Les centres de santé des plus ciblés par les ransomware en 2019
Une attaque virale de type rançongiciel a été détectée par notre réseau informatique le 22 juillet 2020
La victime d’une attaque de ransomware NetWalker dans la nuit du mardi 21 juillet au mercredi 22 juillet a contraint le groupe Rabot Dutilleul à verser la somme de huit millions d’euros à des hackers, faute de quoi des informations sensibles pourraient être révélées.
Huit millions d’euros. C’est le montant que les hackers réclament au groupe de construction Rabot Dutilleul, dont le siège est à Lille, rapporte La Voix du Nord. La compagnie du nord a été victime dans la soirée du mardi 21 juillet au mercredi 22 juillet d’une cyberattaque à grande échelle. Les centres de données informatiques de Tourcoing et Anzin ont été affectés par le ransomware NetWalker.
Des hackers ont également attaqué les serveurs de l’agence à travers la France, selon les informations recueillies par le quotidien régional. Ils réclament une rançon de 973 bitcoins soit près de huit millions d’euros. Si l’équipe de construction ne répond pas à ses exigences, les pirates menacent de publier des informations sensibles sur l’entreprise.
LE GROUPE RABOT DUTILLEUL VICTIME D’UNE CYBERATTAQUE
L’incident n’est pas encore sous contrôle
« Le département informatique a immédiatement pris des mesures de protection pour arrêter la propagation des ransomwares », a déclaré Rabot Dutilleul dans un communiqué publié jeudi 23 juillet. Cependant, l’incident n’est pas encore sous contrôle. « Les équipes techniques sont pleinement mobilisées pour revenir à la normale le plus rapidement possible avec le soutien d’experts externes en cybercriminalité », a ajouté le groupe.
Cette attaque n’est pas anodine en termes de fonctionnement de la société. Cette dernière activité est actuellement « plus lente ». Une plainte a été déposée. Compte tenu de l’ampleur de cette affaire, la Direction centrale de la police judiciaire et la SDLC, la sous-direction de la lutte contre la cybercriminalité mènent conjointement une enquête, a déclaré La Voix du Nord.
Garmin a dû fermer plusieurs de ses services, entravé par une attaque massive de ransomware. L’entreprise annonce plusieurs jours de disruption, le temps de reprendre les choses en main. Le service Garmin Connect en particulier est en panne. En conséquence, de nombreux utilisateurs des montres connectées de la marque ont du mal à synchroniser leurs données de suivi.
Garmin a subi une attaque de ransomware dévastatrice le 22 juillet. Si vous possédez une montre intelligente de marque et que vous rencontrez des difficultés pour synchroniser vos données avec Garmin Connect, vous n’êtes pas seul. Le service fait partie de ceux affectés par la cyberattaque. Sur les réseaux sociaux, de nombreux utilisateurs se disent accueillis par un message d’erreur indiquant que le service est temporairement en panne, ce que la marque confirme dans un communiqué. À partir de ce moment, le problème n’est toujours pas résolu. Les conséquences pour l’entreprise et ses clients devraient durer plusieurs jours.
Toutes les smartwatches Garmin sont concernées
«Nos serveurs sont actuellement hors service pour maintenance, ce qui affecte Garmin Connect Mobile, notre site Web et Garmin Express. Nous faisons de notre mieux pour résoudre le problème le plus rapidement possible ». L’attaque concernant les serveurs de la marque, toutes les montres connectées à Garmin sont potentiellement affectées. L’arrêt affecte également les centres d’appels de la marque, qui ne peuvent pas recevoir d’appels, d’e-mails ou de messages via leur chat en ligne.
Garmin se tait sur les causes de cette énorme panne de courant, cachée sous couvert de maintenance. Mais selon les indiscrétions des salariés de la marque, il est actuellement en cours de fonctionnement de produits en vrac appelés WastedLocker, information confirmée par Phil Stokes, un chercheur en sécurité au sein de la société SentinelOne.
On pense que le ransomware WastedLocker était à l’origine de l’incident
Ce n’est pas la première fois qu’un ransomware détruit une entreprise ou une institution. En août 2019, de tels malwares ont attaqué plus d’une centaine d’hôpitaux français. En décembre de cette année-là, une cyberattaque s’est écrasée en raison du réseau de ransomware New Orleans. Mais récemment, c’est WastedLocker qui est l’essentiel de la conversation. Ce correctif relativement nouveau a été créé par Evil Corp, un formidable groupe de cybercriminels russes. Ce malware est répandu depuis mai 2020 et a déjà affecté des entreprises de plusieurs secteurs, y compris de grandes entreprises du Fortune 500 aux États-Unis. Garmin également connu pour son GPS et ses Dashcams ont été ajoutés à la liste. Nous ne connaissons pas encore l’ampleur des dégâts que cette cyberattaque a causés à l’entreprise.
Selon le site Web ZDnet, la «maintenance» annoncée par la marque devrait se poursuivre jusqu’à ce week-end, selon une note interne de Garmin qui aurait été divulguée après avoir été partagée avec ses partenaires à Taiwan.
Depuis des semaines, je mets en garde contre le danger des ransomwares. Parce que les voyous opposés sont organisés, très organisés. Le nombre de cas «confirmés» a été multiplié par sept entre le 18 juin 2020 et le 18 juillet 2020. Parmi les blessés récents figurent la compagnie d’assurance MMA et la société multiservices CPM International France.
Un autre correctif! le slogan devient fatigant car les cas se multiplient trop. Selon mes conclusions, les cyberattaques (connues) ont été multipliées par sept entre le 18 juin 2020 et le 18 juillet 2020. Parmi les victimes francophones les plus récentes figurait une filiale de l’opérateur Orange et de la compagnie d’assurance MMA.
Des centaines de clients touchés! Le deuxième objectif est CPM International. Selon les informations que j’ai pu recueillir, c’est le groupe NetWalker qui s’est infiltré dans la filiale France Omniservices / Omnicom. Cette société agit comme un centre de services partagés pour les fonctions de support (ressources humaines, finance et informatique). Netwalker a donné à l’entreprise neuf jours pour payer le double de la rançon: déchiffrer et / ou ne pas diffuser les documents volés lors de l’infiltration de l’entreprise.
Et le problème est énorme. Netwalker cache les fichiers volés, même avant le paiement de la rançon. Comme leur système est automatisé, le mot de passe pour accéder aux fichiers s’affiche à la fin du compte à rebours. Cela signifie que les informations sont déjà disponibles en ligne pour ceux qui ont le lien et le mot de passe pour accéder aux fichiers!
Dans ce dernier cas, le siège social du Mans ainsi que des agences ont été touchés.LIEN
20 sociétés sont concernées, dont l’avionneur français ATR.
Malgré sa réputation d’entreprise de cybersécurité solide, Orange a subi une cyberattaque majeure dans la division Orange Business Services. Selon les allégations de pirates appartenant au groupe Nefilim, plusieurs clients commerciaux auraient été touchés lors d’une attaque subie le week-end du 4 juillet.
Orange Business Services victime d’un ransomware
350 Mo de données volées à Orange Business Services Après le fameux WannaCry et la récente attaque contre l’Université de Rouen, c’est au tour d’Orange Business Services d’être victime d’une rançon. Plus de 350 Mo de données ont été volés lors de cette cyberattaque qui a eu lieu au début du mois. Il s’agit du département dédié aux entreprises directement ciblées par les hackers. Le groupe de hackers connu sous le nom de Nefilim a dévoilé son butin sur son site Web pour revendiquer l’attaque et prouver qu’Orange n’est pas invincible. La division Orange Business Services a reconnu les faits. Un ransomware de type cryptovirus a effectivement eu lieu.
Selon la société française, l’impact de cette cyberattaque serait encore limité. Les pirates ont pu voler « uniquement » les données hébergées sur une plate-forme appelée Neocles, qui est en cours de fermeture. Tous les clients concernés par ce vol de données ont apparemment été prévenus par Orange dans le processus. Les pirates ont réussi à voler des e-mails et des cartes de vol. Une vingtaine d’entreprises ont été touchées par l’attaque. L’avionneur français ATR, filiale d’Airbus, aurait été touché. Les cartes de vol volées proviennent de son domicile.
Une cyberattaque difficile à contrer
En mars dernier, une étude a montré que la majorité des ransomwares ont lieu en dehors des heures de travail, les soirs ou les week-ends. Cette cyberattaque confirme pleinement l’enquête FireEye. Pour être précis, 76% du ciblage des ransomwares se fait en dehors des heures d’ouverture. Quand ils sont les plus vulnérables. L’attaque dont Orange Business Services a été victime a eu lieu un samedi soir … Pendant ces fenêtres horaires, personne ne peut réagir immédiatement et fermer le réseau. Le processus de rançongiciel sera donc plus susceptible de réussir.
Nefilim est un collectif de jeunes hackers. Le groupe est apparu il y a seulement quelques mois et a déclaré qu’il n’attaquerait pas les hôpitaux, les écoles ou les gouvernements. Le Centre d’attaque et de réponse informatique de Nouvelle-Zélande a déjà révélé les méthodes que ce groupe a utilisées pour atteindre ses objectifs.
Il semble que toute l’infrastructure du département qui bénéficie des services de connectivité d’Adista a été coupée après la cyberattaque du premier week-end de juillet. Il comprenait des serveurs de messagerie et un VPN Pulse Secure.
Un ransomware s’est attaquer au département d’Eure-et-Loir!
Le département d’Eure-et-Loir s’est déclaré victime d’une cyberattaque de ransomwares qui a eu lieu au cours du week-end du 4 juillet. Sur son site Internet et son compte Twitter, il déclare depuis le 7 juillet que « tous les systèmes d’information du conseil de section sont en panne ». Et pour garantir qu ‘«aucun vol de données n’a été signalé jusqu’à présent».
Le département déclare avoir déposé une plainte pour dommages aux systèmes automatisés de traitement des données et fait appel à un tiers spécialisé dans les « problèmes de cybercriminalité » tout en travaillant « en étroite collaboration avec l’Agence nationale pour la sécurité des systèmes d’information (Anssi) ».
La Communauté s’assure également qu’elle dispose de «sauvegardes hors réseau régulières» qui peuvent être «réinjectées après vérification de leur état» et une fois prouvées «identifiées et traitées». En pratique, cela peut prendre un certain temps.LIEN
Orange regrette le potentiel d’accès indésirable aux données d’une vingtaine de clients professionnels. Il s’agit du ransomware Nefilim. Orange a donc décidé de se déclarer victime de ransomware.
Selon toute vraisemblance, ce correctif est Nefilim. Ses premières traces remontent à fin février. C’est un dérivé de JSWorm, lancé début 2019 et renommé depuis Nemty.
Le groupe télécom indique que l’attaque a affecté son département Orange Business Services dans la nuit du 4 au 5 juillet. Il aurait révélé les données d’une vingtaine de clients de l’offre « pack informatique ». Composé de « postes de travail virtualisés pour PME » basés sur les technologies Microsoft.
En chiffres absolus, la communication ne mentionne pas Nefilim – juste un « cryptovirus ». Mais il ne fait aucun doute que l’on considère la liste officielle des victimes (disponible sur un site du réseau Tor). Les opérateurs de ransomware ont ajouté Orange le 15 juillet. Et en parallèle avec une archive de 339 Mo, qui contient entre autres des fichiers du constructeur aéronautique ATR Aircraft.
Nefilim, vraisemblablement distribué sur des connexions RDP mal sécurisées, utilise le chiffrement d’enveloppe. Il crypte les fichiers avec une clé AES-128, même cryptée avec une clé RSA-2048 intégrée au code du ransomware. Deux éléments principaux le distinguent de Nemty. D’une part, le paiement s’effectue par e-mail et non via un portail Tor. En revanche, il n’a jamais été commercialisé selon le modèle « as a service » (c’est-à-dire ouvert au public).LIEN
Les victimes du rançongiciel ThiefQuest (anciennement appelé EvilQuest) peuvent désormais récupérer gratuitement leurs fichiers cryptés sans avoir à payer la rançon.
Une solution gratuit pour les victimes du rançongiciel Thief Quest
La société de cybersécurité SentinelOne a publié aujourd’hui une application de décryptage gratuite qui peut aider les victimes du rançongiciel ThiefQuest à récupérer leurs fichiers verrouillés. Le rançongiciel ThiefQuest – initialement nommé EvilQuest – ne cible que les utilisateurs Mac.
La classification de ThiefQuest en tant que souche de ransomware n’est pas évidente. Il s’agit en fait d’un ensemble de code malveillant, y compris des modules de frappe, l’installation d’un shell inversé pour accéder aux hôtes infectés via une porte dérobée, le vol de données monétaires et enfin le cryptage des fichiers (la partie « ransomware » elle-même).
Les chercheurs en sécurité ont vu ce malware apparaître dans la nature pendant plus d’un mois. Ils sont généralement cachés dans des logiciels piratés partagés par des torrents ou sur des forums en ligne.LIEN
Malgré l’augmentation du nombre d’attaques pendant l’enceinte de confinement, un sur cinq admet qu’il n’a pas pu accéder à une sauvegarde de ses données en cas de besoin
Ontrack, leader mondial des services de récupération de données, dévoile les résultats d’une enquête européenne sur les ransomwares. Quatre entreprises sur dix (39%) n’ont pas de plan d’urgence contre les ransomwares ou ne savent pas s’il en existe un. Et cela malgré un nombre sans précédent de ransomwares enregistrés au cours des 12 derniers mois1.
Les cyberattaques et les violations de données peuvent avoir de graves conséquences pour les entreprises en termes de temps d’arrêt, de dommages financiers et de réputation de l’entreprise. Les attaques de ransomwares visant à chiffrer les données d’une victime et à réclamer des frais pour les récupérer continuent d’être fréquentes. Malheureusement, les blessures peuvent être graves et généralisées. La plus grande attaque à ce jour – WannaCry – aurait touché plus de 200 000 ordinateurs dans 150 pays différents. Les ransomwares sont courants aujourd’hui et ont été exacerbés par la tendance actuelle du travail à domicile.
Un sur cinq (21%) a déclaré avoir été victime d’une attaque de ransomware et plus d’un quart (26%) a reconnu ne pas avoir pu accéder à une sauvegarde de son ordinateur après l’attaque. . Même lorsque les entreprises pouvaient accéder à une sauvegarde fonctionnelle, 22% d’entre elles ne pouvaient récupérer qu’une partie ou la totalité des données.
Dans la plupart des pays, les employés ont travaillé pendant quelques mois avec des paramètres complètement différents, où les nouveaux risques de sécurité sont élevés et où les cybercriminels trouvent de nouvelles façons d’exploiter les faiblesses qu’ils peuvent trouver.
« Nous avons constaté une augmentation significative du nombre de cas de ransomwares depuis le début du confinement », a déclaré Philip Bridge, président d’Ontrack, LLC. «Malheureusement, nous sommes à un moment où l’augmentation des distractions à la maison a conduit à une plus grande complaisance du personnel. Par exemple, en cliquant sur des liens infectés par des ransomwares, ils ne cliqueraient pas s’ils étaient au bureau. «
Bien que les avantages soient nombreux, le travail à distance observé pendant le confinement peut rendre le réseau et les systèmes informatiques d’une entreprise vulnérables. Il ajoute un grand nombre de points de terminaison aux entreprises où il n’y en avait pas auparavant. De plus, nombre d’entre eux sont considérés comme des « Shadow IT » (systèmes / solutions informatiques utilisés par un (des) employé (s), non autorisés ou pris en charge par l’organisation informatique de l’entreprise) et ne sont pas validés par l’employeur.
« La menace des ransomwares n’a jamais été aussi grande. Le fait que 39% des répondants à notre enquête disposent d’un plan d’urgence pour les attaques de ransomwares est inquiétant. Ils jouent avec leurs données et leurs clients. Il est impératif de s’assurer que les entreprises a mis en place des processus et des procédures pour atténuer l’impact de toute cyberattaque et protéger les données sensibles « , a ajouté M. Bridge.
Dans le cadre de cette étude, Ontrack a interrogé 484 entreprises en France, en Allemagne, en Italie, en Espagne, au Royaume-Uni et aux États-Unis.
Une nouvelle solution appelée Try2Cry a été récemment découverte par un chercheur en sécuritéinformatique. Il distingue la propagation à d’autres PC en infectant les clés USB et en utilisant des raccourcis Windows (fichiers LNK).
Windows 10, 7 et 8.1: méfiez-vous de ce ransomware qui se propage dans les raccourcis et les clés USB!
Une nouvelle solution appelée Try2Cry a récemment été mise en lumière par le chercheur en sécurité informatique Karsten Hahn, analyste de l’éditeur d’antivirus G Data Software. Selon ses informations, ce ransomware tente de se frayer un chemin vers d’autres PC en infectant les clés USB connectées à l’appareil actuellement attaqué.
Après avoir infecté un périphérique, Try2Cry s’assure de crypter les fichiers .doc, .jpg, .xls, .pdf, .docx, .pptx, .xls et .xlsx, puis ajoute une extension .Try2cry à tous les fichiers concernés. Les données sont cryptées à l’aide de Rijndael, un algorithme de cryptage symétrique utilisé par la norme AES. Mais comme mentionné ci-dessus, la caractéristique la plus étonnante de ce ransomware est sa capacité à se propager via des clés USB.LIEN
Les logiciels malveillants sont cachés dans les logiciels piratés disponibles sur les forums ou les sites Torrent, tels que le pare-feu Little Snitch ou le logiciel DJ Mixed In Key.
Un ransomware cible les Mac, faites attention aux logiciels piratés!
L’installation de logiciels piratés est toujours une mauvaise idée car c’est souvent un moyen d’attraper les logiciels malveillants. Le dernier exemple est « EvilQuest » alias « ThiefQuest ». Ce nouveau ransomware cible les systèmes macOS et est caché dans de vrais logiciels comme le pare-feu Little Snitch ou le logiciel DJ Mixed In Key. Ces chevaux de Troie sont situés dans des forums de piratage et des sites Torrent.
Les logiciels malveillants sont assez bien faits. Bien sûr, macOS avertira immédiatement l’utilisateur que le progiciel n’est pas signé, mais qu’il ne découragera pas nécessairement les pirates. Lors de l’installation, il demande des privilèges d’administrateur, ce qui est déjà plus inhabituel et devrait mettre l’oreille à l’oreille. Une fois le code malveillant exécuté, détectez la présence d’antivirus et terminez leur processus. Dépannage informatique Hyères. Il crée un lancement automatique au niveau du système pour la persistance. Ensuite, il commence à crypter les fichiers.
D’autres fonctionnalités ont également été découvertes par les chercheurs en sécurité, telles que l’enregistrement des frappes, l’enregistrement des portefeuilles Bitcoin ou la création d’une porte dérobée. Un menu, dans l’ensemble assez complet, qui fait regretter à la victime d’avoir voulu économiser quelques euros. À cette occasion, les chercheurs se souviennent que vous devez toujours sauvegarder vos données et même deux de préférence.LIEN
Une étude décrit l’anatomie d’une attaque d’un ransomware, de l’infection à la demande de rançon. Un exemple à retenir pour les DSI.
Les chercheurs en sécurité ont révélé l’anatomie d’une attaque de rançongiciel pour illustrer comment les cybercriminels ont accédé à un réseau pour installer un rançongiciel, le tout en seulement deux mois. Des chercheurs de la firme de sécurité technologique Sentinel One ont enquêté sur un serveur utilisé par des cybercriminels en octobre 2019 pour transformer un petit trou de sécurité dans un réseau d’entreprise en une attaque basée sur le ransomware Ryuk.
Selon cette précieuse étude, le réseau a été initialement infecté par le malware Trickbot. Après que des logiciels malveillants aient traversé le réseau, les pirates ont commencé à analyser la zone pour savoir à quoi ils avaient accès et comment en tirer parti. « Au fil du temps, ils creusent le réseau et essaient de le cartographier et de comprendre à quoi il ressemble. Ils ont un but et leur but est de monétiser les données, le réseau pour leur gain illégal », a déclaré Joshua Platt, un Sentinel Un chercheur, interviewé par ZDNet.
« Ils comprennent déjà qu’il existe un potentiel pour gagner de l’argent et cherchent à étendre cet effet de levier », explique le chercheur en détaillant leurs motivations. Une fois que les pirates ont décidé d’exploiter la brèche dans le réseau, ils utilisent des outils tels que PowerTrick et Cobalt Strike pour sécuriser leur emprise sur le réseau et l’explorer davantage, à la recherche de ports ouverts et d’autres appareils auxquels ils pourraient accéder.
Un ransomware particulièrement virulent
Ce n’est qu’à ce moment-là qu’ils décident de passer à la phase des besoins de solution. Selon Sentinel One, il a fallu environ deux semaines pour passer de la première infection TrickBot au profilage réseau, puis aux attaques de logiciels malveillants Ryuk. « Sur la base de l’horodatage, nous pouvons deviner l’attente de deux semaines », explique la société. Pour rappel, Ryuk a été vu pour la première fois en août 2018 et était responsable de plusieurs attaques dans le monde, selon le communiqué du National Cybersecurity Center au Royaume-Uni l’année dernière.
Il s’agit d’un logiciel de rançon ciblé: la rançon est fixée en fonction de la capacité de paiement de la victime, et il peut s’écouler plusieurs jours voire plusieurs mois entre la première infection et l’activation de la rançon. ransomware car les pirates ont besoin de temps pour identifier les systèmes réseau les plus critiques. Mais le NCSC a déclaré que le retard donne également aux défenseurs une fenêtre d’opportunité pour empêcher les ransomwares de lancer l’attaque s’ils peuvent détecter la première infection.
Selon le FBI, Ryuk est un projet extrêmement lucratif pour ses promoteurs criminels, générant environ 61 millions de dollars de rançon entre février 2018 et octobre 2019. Le fait que Ryuk ait réussi à forcer les entreprises à payer une rançon signifie que les escrocs ont un coffre de guerre arrondi qu’ils peuvent affiner leurs attaques. « Bien sûr, cela va augmenter; ils ont maintenant plus d’argent et plus de capacité pour embaucher encore plus de talents », prévient Joshua Platt.LIEN
Les ransomwares peuvent filtrer une personne pour l’endettement ou faire couler une entreprise. Se protéger d’eux est un gros problème, d’autant plus que les cybercriminels développent des versions toujours plus virulentes et convaincantes de leurs outils.
«Les ransomwares représentent actuellement la menaceinformatique la plus grave pour les entreprises et les institutions. Cet avertissement vient de l’ANSSI, l’agence française à la pointe de la cybersécurité. Il faut dire que si les ransomwares (ou ransomwares en anglais) sont utilisés depuis plusieurs décennies pour extorquer quelques centaines d’euros aux particuliers, ils attaquent de plus en plus les grandes entreprises. En conséquence, les cinq principaux gangs concentrent l’attention des médias sur leurs principales opérations, mais le ransomware d’identification du site de référence présente plus de 800 ransomwares différents, dont la majorité sont des individus ciblés.
Lorsqu’ils contaminent avec succès un système, les cybercriminels ont besoin d’une rançon pour être restaurés. Il s’élève à plusieurs centaines d’euros pour les particuliers et peut dépasser dix millions d’euros pour les grands groupes.
Ces opérations sont rentables avec un bénéfice annuel estimé à 2 milliards de dollars. Sur la base de ce succès, les principaux gangs contrôlant les ransomwares sont désormais en mesure de « lancer des attaques avec un niveau de sophistication équivalent aux opérations d’espionnage informatique gérées par l’État », a expliqué l’ANSSI.LIEN
Le courrier électronique était autrefois la principale méthode de distribution des ransomwares. Maintenant, de nouvelles formes de ransomware l’utilisent à nouveau.
Les attaques de ransomwares par e-mail sont à nouveau en hausse, avec plusieurs nouvelles familles de ransomwares récemment distribuées via des messages de phishing.
Le courrier électronique a été le moyen le plus productif d’infecter les victimes avec des rançongiciels pendant un certain temps, mais ces dernières années, les attaquants ont réussi à utiliser des ports RDP externes, des serveurs publics non sécurisés et d’autres vulnérabilités de réseau d’entreprise pour crypter des réseaux entiers – ce qui nécessite souvent des centaines de milliers de dollars pour accéder à nouveau aux données.
Ces dernières semaines, cependant, les chercheurs de Proofpoint ont constaté une augmentation du nombre d’attaques de ransomwares distribuées par e-mail. Certains escrocs ont envoyé des centaines de milliers de messages chaque jour. Les attaques par e-mail utilisent une variété de leurres pour inciter les gens à les ouvrir, y compris les lignes d’objet liées au coronavirus.
L’une des plus grandes campagnes de messagerie électronique est celle d’un nouveau ransomware appelé Avaddon: en une semaine en juin, ce ransomware a été distribué dans plus d’un million de messages, ciblant principalement des organisations aux États-Unis. Avaddon utilise une technique assez basique comme leurre, avec des lignes de sujet prétendant se rapporter à une photo de la victime, attaquant la vanité ou l’insécurité potentielle de la victime. Si la pièce jointe est ouverte, elle télécharge Avaddon à l’aide de PowerShell.
Les ordinateurs infectés mettent une rançon qui nécessite 800 $ en bitcoins en échange d’un « logiciel spécial » pour décrypter le disque dur.
Les gens à la croisée des chemins
L’attaquant derrière Avaddon offre une assistance 24h / 24 et 7j / 7 pour garantir que les victimes disposent des outils nécessaires pour payer la rançon et avertit que si les utilisateurs tentent de récupérer leurs fichiers sans payer, ils risquent de les perdre pour toujours.
Une autre campagne de ransomware par e-mail, détaillée par des chercheurs, a été baptisée « Mr. Robot ». Il cible les entreprises de divertissement, de fabrication et de construction à travers les États-Unis. Les messages prétendument émanant du ministère de la Santé ou des Services de santé utilisent des sujets liés aux résultats du test Covid-19 dans le but d’encourager les victimes à cliquer sur un lien pour afficher un document.
Si la victime clique dessus, un ransomware est installé et les attaquants ont besoin de 100 $ pour récupérer les fichiers. C’est une petite quantité par rapport à de nombreuses campagnes de rançongiciels, ce qui suggère que ce malware cible les utilisateurs à domicile plutôt que les entreprises.
Mais non seulement les organisations en Amérique du Nord sont confrontées à un nombre croissant d’attaques par ransomware de messagerie: elles visent également l’Europe.
Les chercheurs notent que le ransomware de Philadelphie – qui revient après une aberration de trois ans – est destiné aux entreprises alimentaires et de fabrication allemandes avec des leurres de langue allemande qui prétendent provenir du gouvernement allemand.
Les e-mails prétendent contenir des informations sur la fermeture éventuelle de l’entreprise en raison de la pandémie de Covid-19 et exhortent la victime à cliquer sur un lien: s’ils le font, le rançongiciel Philadelphie est installé, avec une note en anglais exigeant le paiement de 200 $.
Alors que le nombre d’attaques par ransomware par courrier électronique est encore faible par rapport à 2016 et 2017, lorsque Locky, Cerber et GlobeImposter étaient massivement distribués, le récent pic des attaques par courrier électronique montre à quel point les cybercriminels peuvent être flexibles.
«Il est raisonnable de dire que les attaques de ransomwares basées sur les e-mails sont laissées dans l’esprit des acteurs malveillants. Ils ont tendance à être flexibles et agiles dans leur travail », a déclaré Sherrod DeGrippo, directeur principal de la recherche et de l’enregistrement des menaces chez Proofpoint.
«Ils veulent se concentrer sur ce qui donne le plus de gain financier et changer de tactique pour obtenir les meilleurs résultats. Cela peut être un simple test d’eau pour voir quels taux de réussite sont disponibles avec cette méthode », a-t-elle ajouté.
L’une des raisons pour lesquelles certains attaquants ont pu revenir au courrier électronique est le nombre de personnes travaillant à distance et la dépendance à l’égard du courrier électronique qu’il implique. « Le courrier électronique permet aux acteurs malveillants de s’appuyer sur le comportement humain pour réussir en un seul clic », a déclaré DeGrippo.
Dans de nombreux cas, il est possible de se défendre contre les ransomwares – et autres attaques de logiciels malveillants – en s’assurant que les réseaux sont corrigés avec les dernières mises à jour de sécurité, empêchant les attaquants d’exploiter les vulnérabilités logicielles connues.
Cependant, les entreprises doivent également prévoir de tenir compte du fait qu’à un moment donné, quelqu’un cliquera par erreur sur un lien malveillant dans un e-mail de phishing.
« Les entreprises doivent supposer que quelqu’un de leur organisation cliquera et développera toujours une stratégie de sécurité qui protège d’abord les gens », a déclaré DeGrippo.
« Les entreprises doivent veiller à évaluer la vulnérabilité des utilisateurs finaux et à tirer des enseignements des menaces actuelles en leur fournissant des compétences utiles pour se protéger au travail et dans leur vie personnelle. »
Les auteurs du rançongiciel Shade mettent fin aux opérations
Des pirates informatiques derrière des ransomwares connus sous le nom de Shade, Troldesh ou Encoder.858 annoncent la fin de leurs activités. Dans un message étonnant sur Github, ils s’excusent auprès de leurs victimes et publient 750 000 clés de décryptage ainsi que des logiciels de cybercriminels pour décrypter les données sur les machines infectées.
Shade Ransomware est opérationnel depuis environ 2014. Contrairement à d’autres familles de ransomwares qui évitent de chiffrer les stations tierces en Russie et dans d’autres pays de l’ex-Union soviétique, Shade les a ciblées depuis la Russie et l’Ukraine.
Michael Gillespie, créateur de l’ID Ransomware du site d’identification des ransomwares, rapporte que les demandes d’informations s’y rapportant étaient régulières dans les années précédant la fin de l’année précédente, date à laquelle elles ont commencé à décliner. La création récente d’une archive GitHub révèle la raison de ce déclin. En résumé, les auteurs du ransomware ont déclaré avoir cessé de mener des attaques fin 2019.
« Nous sommes l’équipe qui a créé un cheval de Troie, principalement connu sous le nom de Shade, Troldesh ou Encoder.858. En fait, nous avons cessé de le distribuer fin 2019. Nous avons maintenant décidé de mettre fin à cette histoire et de publier tous Nous avons également des clés de déchiffrement en notre possession (plus de 750 000 au total), nous publions également notre logiciel de déchiffrement et espérons également que lorsque les fournisseurs d’antivirus, lorsqu’ils auront les clés de déchiffrement, pourront publier des outils de déchiffrement plus conviviaux. l’activité (y compris le code source du cheval de Troie) est irrémédiablement corrompue. Nous nous excusons auprès de toutes les victimes du cheval de Troie et espérons que les clés que nous avons libérées les aideront à récupérer leurs données « , ont-ils déclaré.
Fondamentalement, l’archive GitHub contient 5 clés de déchiffrement principales, plus de 750 000 clés de déchiffrement individuelles, des instructions sur la façon de les utiliser et un lien vers leur logiciel de déchiffrement.
Kaspersky a confirmé la validité de ces clés. L’éditeur met à jour son outil RakhniDecryptor pour faciliter la tâche aux victimes souhaitant récupérer leurs données. Contrairement à d’autres groupes de hackers spécialisés dans les ransomwares, l’équipe derrière Shade était principalement active en Ukraine et en Russie.
LG et Xerox, toutes nouvelles victimes pour Maze? Le groupe de cybercriminalité derrière le ransomware vient d’ajouter les deux multinationales à son emplacement vitrine. C’est sur la liste des entreprises qui « refusent de coopérer » et « tentent de camoufler l’attaque ». Quant à LG
LG et Xerox attaqués par Maze?
Le groupe de cybercriminalité derrière le ransomware vient d’ajouter les deux multinationales à son emplacement vitrine. C’est sur la liste des entreprises qui « refusent de coopérer » et « tentent de camoufler l’attaque ».
Concernant LG, une première archive (.rar) est publiée. Il contiendra env. 1% des données volées au groupe coréen. Le mot de passe le protégeant « sera livré ultérieurement ».
Le butin total comprendra, entre autres, 40 Go de code source pour les produits livrés à « une entreprise mondiale de télécommunications ».
Une capture d’écran suggère qu’il s’agit d’AT & T. Il existe un fichier KDZ qui correspond au format de firmware LG. Un autre écran affiche une liste de fichiers Python. La propriété du code est associée au domaine lgepartner.com, enregistré au nom de LG Electronics.
Les cas LG et Xerox l’illustrent: les créateurs de Maze se sont fait connaître pour leurs communications « offensives ».
Un de leurs sites Internet a actuellement une note datée du 22 juin 2020. Il prépare le rapport du « suicide » qui engage les entreprises qui tentent de récupérer elles-mêmes leurs données.
« Certains ont entamé le processus fin 2019 et sont toujours à la recherche d’une solution », peut-on lire. En moyenne, les deux fois et demi ont payé plus que la taille de notre première offre. «
Et vivez quelques chiffres où que vous soyez:
Coût de récupération moyen: 60 millions de dollars
Amendes et poursuites coûtent de 18 à 37 millions de dollars
Après la divulgation des données, une perte moyenne de 50 à 60 millions de dollars pour les grandes entreprises. Certaines très grandes entreprises ont perdu entre 250 et 350 millions de dollars.
Une nouvelle famille de ransomwares, que ESET a nommée CryCryptor, a ciblé les utilisateurs d’Android au Canada sous la forme d’une application de suivi COVID-19 officielle. ESET a mis fin à l’attaque.
Avec un tweet annonçant la découverte de ce qui semblait être un malware de banque Android, les chercheurs d’ESET ont découvert une campagne de ransomware ciblant les utilisateurs d’Android au Canada. En utilisant deux sites sur le thème de COVID-19, les militants ont encouragé leurs victimes à télécharger des ransomwares déguisés en un outil de suivi COVID-19 officiel. Les deux sites ont depuis été déconnectés. Les chercheurs d’ESET ont développé un outil de décryptage pour les victimes de CryCryptor grâce à une erreur d’application malveillante.LIEN
Après que la rançon NetWalker a verrouillé plusieurs serveurs de sa faculté de médecine, l’UCSF a payé la rançon pour décrypter les données et restaurer le fonctionnement des systèmes affectés.
29 juin 2020 – L’Université de Californie à San Francisco a récemment payé une demande de rançon de 1,14 million de dollars après que les acteurs de la menace NetWalker aient infecté plusieurs serveurs de sa School of Medicine avec une rançon, rapporté pour la première fois par Bloomberg.
Les acteurs de la menace NetWalker ont suivi la voie du tristement célèbre groupe de piratage de rançongiciels Maze. Les pirates prennent d’abord pied sur le réseau des victimes, se déplacent latéralement sur le réseau à travers des appareils vulnérables, puis volent des informations précieuses avant de lancer la charge utile du ransomware.
Les chercheurs ont récemment averti que NetWalker avait depuis étendu ses opérations à un modèle RaS (Ransomware-as-a-Service) pour s’associer à d’autres cybercriminels expérimentés et cibler le domaine des soins de santé dans le cadre de la pandémie de COVID-19. Le district de santé publique de Champaign-Urbana de l’Illinois a été victime du rançongiciel NetWalker en mars.LIEN
Les ransomwares restent la cyber-menace la plus courante pour les PME, selon une étude Datto auprès de plus de 1 400 décideurs politiques gérant des systèmes informatiques dans les PME.
Les PME, une cible majeure pour les pirates
Généralement, les grandes entreprises ont des systèmes de sécurité plus avancés, tandis que les petites entreprises n’ont pas les ressources et les ressources pour sécuriser sérieusement leur infrastructure informatique. Et les pirates l’ont compris.
Le nombre d’attaques de rançongiciels contre les PME est en augmentation. Quatre-vingt-cinq pour cent des MSP ont signalé des attaques contre les PME en 2019, contre 79% des MSP qui en ont fait état en 2018.
De plus, il y a une réelle rupture de l’importance des ransomwares en tant que menace. 89% des MSP déclarent que les PME devraient être très préoccupées par la menace des ransomwares. Cependant, seulement 28% des MSP disent que les PME sont très préoccupées par la menace
Comment vous en protégez-vous?
Il existe de nombreuses recommandations pour réduire le risque d’attaques, telles que la formation des employés à risque de cybersécurité, la mise à jour des systèmes, le renforcement des politiques de mot de passe, etc. Cependant, et surtout en matière de sécurité informatique, il n’y a pas de risque nul.
Il existe trois scénarios de défense pour ce type d’attaque:
Atténuation des risques: cela implique la mise en œuvre de solutions pour réduire le risque d’attaques. L’un des contrôles les plus efficaces pour se protéger contre les accès non autorisés est l’authentification multifactorielle. Préparation pour un processus de récupération: Il s’agit ici de préparer une attaque et de répondre après l’attaque. Surtout, ne payez pas la rançon car vous n’êtes pas sûr de récupérer vos données. Votre meilleure arme est de faire une sauvegarde régulière de vos données pour vous assurer de restaurer toutes vos données. Détection et approche proactive: cette procédure consiste à détecter et à stopper l’attaque avant que les dégâts ne se produisent. Si vous disposez d’un système de détection des attaques de ransomwares, vous pouvez l’arrêter avant que vos données ne soient cryptées.LIEN
Les primes proposées par la société japonaise concernent la PlayStation 4 et PlayStation Network. Comparés à Microsoft et Nintendo, ils sont assez généreux.
Comme vous le savez, Sony et sa PlayStation sont constamment la cible de pirates informatiques qui ont déjà réussi à pirater plusieurs fois leur compte de console ou de siphon sur le PlayStation Network. Pour réduire ce risque, la société a maintenant lancé un « bug bounty » sur la plateforme HackerOne, c’est-à-dire. un programme de récompense pour détecter les failles de sécurité. L’entreprise souligne que la sécurité est « un élément fondamental pour créer des expériences incroyables pour notre communauté ».
Ce programme couvre la PlayStation 4 et ses accessoires ainsi que les services en ligne fournis par PlayStation Network. Le montant des récompenses dépend du système analysé et des critiques. Cela commence à 100 $ pour une petite erreur dans les services en ligne. Pour une panne de console critique, vous pouvez obtenir plus de 50 000 $. Pour l’instant, les chercheurs participant à ce programme ont déjà trouvé 88 erreurs d’une valeur moyenne de 400 $.
En réalité, Sony est le dernier des grands joueurs de jeux vidéo à avoir créé un bug bounty, mais c’est le plus généreux. Microsoft en a lancé un pour la Xbox en janvier 2020, et Nintendo récompense les lacunes depuis quatre ans. Dans les deux cas, les récompenses peuvent aller jusqu’à 20 000 $ (sauf en cas de constat inhabituel).LIEN
Une campagne de rançongiciels, appelée Hakbit, cible les employés de niveau intermédiaire en Autriche, en Suisse et en Allemagne avec des pièces jointes Excel malveillantes fournies par le célèbre fournisseur de messagerie GMX.
La campagne de spear-phishing est de faible volume et a jusqu’à présent ciblé les secteurs pharmaceutique, juridique, financier, des services aux entreprises, du commerce de détail et des soins de santé. Les campagnes à faible volume, parfois appelées attaques de spam en raquettes, utilisent plusieurs domaines pour envoyer des rafales relativement petites de faux e-mails pour contourner la réputation ou le filtrage du spam en fonction du volume.
« La plus grande quantité de messages que nous avons observés a été envoyée aux secteurs de la technologie de l’information, de la fabrication, de l’assurance et de la technologie », ont écrit les chercheurs de Proofpoint dans une analyse lundi. Ils ont noté que << la majorité des rôles ciblés dans les campagnes Hakbit concernent les clients, les coordonnées des individus étant divulguées publiquement sur les sites Web et / ou les publicités du cabinet. Ces rôles comprennent les avocats, les conseillers à la clientèle, les directeurs, les conseillers en assurance, les PDG. et chefs de projet. «
Les e-mails de spear phishing originaux utilisent un leurre financier avec des lignes d’objet telles que « Fwd: Steuerrückzahlung » (Traduit: Tax Payment) et « Ihre Rechnung (Translated: Your Bill) ». Les e-mails sont fournis par un fournisseur de services de messagerie gratuit (GMX) qui dessert principalement une clientèle européenne.
«C’était une campagne à faible volume. GMX est largement utilisé et bien connu en Europe germanophone, il a donc confiance dans la reconnaissance des noms », a déclaré à Threatpost Sherrod DeGrippo, directeur principal de la recherche sur les menaces chez Proofpoint. « Il s’agit d’un service de messagerie gratuit, il est donc difficile de suivre et de menacer les joueurs susceptibles de générer plusieurs comptes. »
Les pièces jointes aux e-mails sont supposées être de fausses factures et remboursements de taxes. Une adresse e-mail prédit 1 & 1, une entreprise allemande de télécommunications et d’hébergement Web, indiquant à la victime que la pièce jointe à un e-mail, par exemple, est une facture.
Lorsque les pièces jointes Microsoft Excel sont ouvertes, elles demandent ensuite aux victimes d’activer les macros. Il télécharge et exécute à nouveau GuLoader. GuLoader est un compte-gouttes largement utilisé qui compromet les cibles et fournit des logiciels malveillants de deuxième étape. Il est constamment mis à jour tout au long de 2020 avec de nouvelles techniques d’évitement de sandbox sportif binaire, des fonctionnalités de randomisation de code, un cryptage URL de commande et de contrôle (C2) et un cryptage supplémentaire de la charge utile.
sous les projecteurs plus tôt en juin, après que les enquêteurs ont affirmé qu’une entreprise italienne avait vendu ce qu’elle décrit comme un outil de cryptage légitime – mais qu’il a en fait été utilisé comme package de malware pour GuLoader.
Dans cette campagne, lorsque GuLoader est en cours d’exécution, il télécharge puis exécute Hakbit, un utilitaire bien connu qui chiffre les fichiers à l’aide du chiffrement AES-256. Hakbit existe depuis au moins 2019 et a fait plusieurs victimes confirmées, y compris des utilisateurs à domicile et des entreprises aux États-Unis et en Europe, selon Emsisoft. On pense que Hakbit est lié au ransomware Thanos – Dans une analyse récente du ransomware Thanos, les chercheurs de Record Future ont évalué « en toute confiance » que les exemples de ransomware suivis pendant que Hakbit étaient construits à l’aide du constructeur de ransomware Thanos développé par Nosophoros (basé sur la codabilité, la réutilisation rigoureuse, l’extension du rançongiciel et le format des notes de rançon).
Lorsque Hakbit crypte les fichiers des victimes, il publie une note exigeant un paiement de 250 euros en bitcoin pour déverrouiller les fichiers cryptés et donne des instructions sur la façon de payer la rançon.
Ransomware HackBit. Au 16 juin 2020, les chercheurs ont déclaré n’avoir trouvé aucune transaction montrant le paiement d’une rançon pour le portefeuille Bitcoin. Threatpost a atteint Proofpoint sur le nombre d’entreprises ciblées par Hakbit – et sur le nombre de ces cibles qui ont été compromises.
Quoi qu’il en soit, les chercheurs affirment que la campagne provient uniquement de plusieurs campagnes de « ransomware » à faible volume et souvent « boutique » qui ont frappé les victimes depuis janvier 2020.
« Les chercheurs de Proofpoint ont récemment identifié un changement dans le paysage des menaces avec une campagne de rançongiciels Avaddon à grande échelle qui était conforme aux récents rapports des fournisseurs open source », ont-ils déclaré. « Hakbit illustre une campagne de ransomware centrée sur les personnes, adaptée à un public, un rôle, une organisation et une langue maternelle spécifiques à l’utilisateur. » LIEN
Beazley a observé une explosion de cyber-attaques de ransomwares l’année dernière. Hiscox estime que le nombre d’entreprises touchées par un incident de cybersécurité a diminué. Mais que les pertes induites ont considérablement augmenté.
Publié au début d’avril de l’année dernière, Beazley Breach Briefing 2020 a signalé une augmentation de 131% des attaques signalées contre les clients des assureurs l’année dernière. Le rapport s’appuie sur les données de 775 incidents de cybersécurité liés aux ransomwares. Et pour Beazley, c’est une véritable explosion: en 2018 et 2017, il n’avait enregistré qu’une augmentation de 20% et 9% respectivement pour ce type de cyberattaque. Et pour aggraver les choses, « les montants exigés par les cybercriminels ont également augmenté de façon exponentielle avec des demandes à sept ou huit chiffres, ce qui n’est pas inhabituel ».
Mais cette tendance à la hausse de la rançon n’est pas spécifique à l’année écoulée. Pour Katherine Keefe, chef des Services d’intervention en cas de violation de Beazley (BBR), «les opérations de ces délinquants sont couronnées de succès et elles ont été détournées». Et pour souligner qu’ils « sont également intéressés par des choses comme la taille de l’organisation et la façon dont ils se présentent sur leur propre site Web. En général, plus l’organisation est grande, plus la demande est grande ». rançon partagée: de l’ordre de dizaines de milliers de dollars pour les petites structures, jusqu’à plus de dix millions de dollars pour les grandes organisations.
Le rapport de Beazley ne dit pas combien de clients ont choisi de faire du chantage car l’éditeur ne divulgue pas ces informations. Mais lorsqu’un client choisit de payer, Beazley travaille avec Coveware. Début mai, ce dernier a déclaré un montant moyen par Incident de 111605 $ au premier trimestre 2020, 33% de plus qu’au dernier trimestre 2019.
Dans un article de blog, le consultant a attribué cette augmentation au fait que « les distributeurs de ransomware ont de plus en plus ciblé les grandes entreprises et ont réussi à les forcer à payer une rançon pour récupérer leurs données ». Si le constat apporte peu d’indicateurs rassurants sur les garanties de ces grandes entreprises, Coveware a assuré que « les gros versements de rançons constituent une minorité en volume ». Mais ils ont donc remonté la moyenne.
Sur la base du nombre d’échantillons soumis sur le service d’identification des rançongiciels ID Ransomware, Emsisoft a estimé début février que ce malware avait coûté un peu plus de 485 millions de dollars en France en 2019 – pour la rançon uniquement. Depuis Hexagon l’an dernier, plus de 8 700 échantillons ont été déposés à des fins d’identification. Compte tenu de l’interruption d’activité, Emsisoft a estimé le coût de ces attaques pour les organisations françaises à environ 3,3 milliards de dollars.
Hiscox, dans son récent rapport annuel sur la gestion des cyberrisques, montre que 18% des entreprises françaises qui ont été agressées tant paient une rançon. Ainsi, sur l’ensemble de l’échantillon, outre la France uniquement, « les pertes ont été presque trois fois plus importantes pour les entreprises victimes d’une attaque par rançongiciel que pour celles qui ont subi un [simple] malware » soit 821 000 € contre 436 000 € … et que la rançon ait été payée ou non. Mais en France, 19% des victimes de ransomwares affirment avoir pu récupérer leurs données « sans avoir à payer la rançon ». Cependant, cela suggère la possibilité que les autres se soient repliés devant leurs assaillants.
En fait, lorsque Hiscox parle de logiciels malveillants, il couvre également ceux qui peuvent être utilisés pour insérer des ransomwares. Pour l’assureur, « les chiffres montrent l’importance de la détection avant qu’un malware ne devienne un ransomware ». Et souligner que les attaques se déroulent souvent en plusieurs étapes, ce qui laisse du temps pour la détection. SentinelOne a ainsi observé une attaque impliquant TrickBot avant d’installer le rançongiciel Ryuk: entre les deux, deux semaines se sont écoulées. Pour Hiscox, c’est très simple: « Les entreprises disposant de bonnes capacités de détection peuvent arrêter une attaque pendant ce temps et ainsi subir des désagréments moins durables, avec un coût global moindre et moins d’impact sur les affaires ».LIEN
Le ransomware est un malware qui crypte les données sur les machines qu’il infecte. Les personnes ou entités à l’origine de l’attaque demandent alors le paiement d’une rançon en échange de la clé de déchiffrement des systèmes concernés. La conférence organisée par le Cyber Club par EGE le mardi 20 mai 2020 avait pour objectif de jeter les bases d’une gestion de crise pour une entreprise victime d’un tel processus. Béatrice Ghorra, ingénieure avant-vente spécialisée dans les produits de sécurité des centres de données et de l’environnement cloud au CISCO et enseignante à la School of Economic Warfare, était la modératrice de cette conférence.
ransomware
En juin 2017, Wannacry a fait la une des ransomwares pour tous les médias. Ce fut l’attaque informatique la plus massive de l’histoire du domaine. La publicité sur l’incident est un tournant pour le monde de la cybersécurité et les problèmes qui en découlent car ils sont mis en avant. Le discours des professionnels de la discipline est alors légitimé là où ils avaient déjà eu du mal à entendre. Le ransomware, pour le désigner avec le terme français, représente toujours une menace de premier ordre. Selon le CERT France, il s’agit même du risque le plus grave pour les entreprises. La crise actuelle associée à COVID-19 et le succès des campagnes malveillantes liées à l’essor du télétravail en témoignent: particuliers, professionnels, PME ainsi que multinationales, personne n’est à l’abri.
Il est nécessaire de bien comprendre comment ces attaques fonctionnent et les mentors des attaquants pour mieux gérer le risque et la crise si nécessaire. Depuis l’avènement de ce mode de fonctionnement dans les années 80, les attaquants ont affiné leurs techniques et méthodes d’accès aux systèmes d’information. On voit que l’attaquant cherche toujours des portes dérobées. Ils ne veulent pas attaquer le système de front, mais contourner autant que possible les couches de sécurité. En particulier, parmi les vecteurs qui permettent l’infection figurent:
Campagnes de phishing, désormais précédées d’opérations d’ingénierie sociale pour personnaliser les e-mails et optimiser la pénétration.
L’annonce erronée ou « téléchargement en voiture » qui vous permet de démarrer des téléchargements instantanés via des fenêtres contextuelles qui redirigent vers d’autres pages.
Ils ont oublié ou dépassé des machines dans un système d’information. Il existe de nombreuses plates-formes que vous pouvez acheter des informations d’identification pour vous connecter à l’équipement d’une multitude d’entreprises à des prix élevés.
Les fameux périphériques USB, mais non moins efficaces, ont été perdus.
À titre d’exemple, voici le mode de fonctionnement de Loki, une solution qui est apparue pour la première fois en 2013:
Un fichier PDF est capturé et envoyé en pièce jointe à un e-mail soigneusement conçu afin que le destinataire ne se méfie pas d’eux et n’ouvre pas le fichier. Cette action exécute un extrait de code trouvé dans la pièce jointe qui ouvre un canal de communication vers un serveur de commande et de contrôle (C2) sous le contrôle de l’attaquant. Ce serveur télécharge instantanément un ransomware et une clé de cryptage. Le logiciel analyse ensuite méthodiquement le disque dur de l’utilisateur et crypte tous ses fichiers. Ensuite, l’ordinateur est crypté. Un message et un compte à rebours apparaissent sur l’écran montrant les instructions de paiement, souvent associées à la crypto-monnaie, ce qui rend le suivi difficile, permettant aux données de la machine cryptée d’être restaurées.
Certains ransomwares tentent également de se propager latéralement, c’est-à-dire vers toutes les stations voisines pour paralyser complètement un maximum d’équipements. Il a fallu environ sept minutes à NotPetya pour chiffrer l’intégralité du système d’information de Maersk, la plus grande société de transport de conteneurs au monde.
Cependant, les entreprises sont de moins en moins susceptibles de payer la rançon, ce qui équivaut à des montants vertigineux, nous parlons de dizaines de millions de dollars pour les plus importantes. Sophos estime qu’il est toujours plus rentable pour l’entreprise de ne pas payer car les dommages sont déjà présents et qu’il n’y a aucune garantie que l’attaquant tiendra sa parole et fournira la clé de déchiffrement. Ces derniers se sont donc adaptés et procèdent désormais à l’extraction des données par l’entreprise pour obtenir un effet de levier supplémentaire en menaçant leurs victimes de la diffusion des informations ainsi collectées en public.
Les attaquants à l’origine de la campagne de rançongiciels Maze, qui a vu le jour en novembre 2019, maintiennent ainsi un site Web sur lequel ils publient des informations d’entreprises qui refusent de payer la rançon. Maze a également la particularité d’être au cœur d’une attaque dite à long cycle. Une fois qu’une machine a été infectée, une semaine est consacrée à la reconnaissance et à la collecte d’informations utiles sur l’architecture réseau de l’entreprise, les employés et leurs informations d’identification, les comptes d’utilisateurs, etc. La semaine suivante est consacrée aux mouvements latéraux et au filtrage des données à installer dans autant de machines que possible et à maximiser les chances de paiement. Enfin, au cours de la troisième semaine de la campagne, les attaquants tentent de transiger avec Active Directory (serveur central et critique qui donne à la personne en contrôle ce qu’elle veut au sein du système d’information) et implémentent le labyrinthe sur toutes les machines infectées.
Il est important de réaliser que chaque ransomware observé est spécialisé dans ses modes d’attaque. Les canaux d’entrée et de sortie sont très différents. Certains profitent d’erreurs logicielles non corrigées, d’autres préfèrent les vulnérabilités liées aux navigateurs Web ou à certains protocoles de communication. Cette gamme d’opportunités est très bien représentée dans le marché des ransomwares en tant que service (RaaS) qui s’est développé à un rythme rapide ces dernières années. Les développeurs de ce logiciel ont en fait eu la brillante idée de vendre leur logiciel en échange d’une partie du correctif qui a été soulevé. Par conséquent, l’expertise en développement n’est plus nécessaire pour la création d’une campagne de ransomware ciblée! Il s’agit d’un changement très important car il élargit la portée des attaquants potentiels.
gestion de crise
L’impact d’une attaque de ransomware réussie est énorme pour une entreprise. Cela n’endommage pas seulement le système d’information d’une entreprise. Tout son écosystème est affecté. La confiance que nous lui accordons s’évapore, ses parts de marché chutent, ses partenaires, parties prenantes et fournisseurs en souffrent également, l’impact économique qui en résulte étant parfois fatal à la victime qui pourrait tomber sous le coup du RGPD dont les données personnelles sont filtrées. C’est pourquoi il est important de bien gérer une telle crise si elle survient pour permettre à l’entreprise de se remettre sur pied, de contrôler et d’atténuer les dommages causés.
Avant la crise, l’entreprise doit anticiper au maximum les difficultés. Définir une feuille de route ainsi qu’un Business Continuity Plan (BCP), l’adapter au contexte et au développement des attaquants, ce qui implique de surveiller la menace. Déterminer qui fait partie de la cellule de crise, quelle est la responsabilité de chaque membre ou même définir où cette cellule doit être créée? Autant de questions auxquelles il est possible et souhaitable de répondre avant la crise.
De plus, l’utilisation de certaines meilleures pratiques peut limiter l’exposition ou l’impact de l’attaque si nécessaire. Parmi ces bonnes pratiques, citons l’utilisation et les tests réguliers des sauvegardes pour éviter de perdre toutes les données chiffrées. Cela a sauvé Maersk lors de l’attaque de NotPetya, une combinaison de circonstances qui leur a permis de garder une sauvegarde intacte. Cette sauvegarde a complètement empêché la perte de tout le contenu de leur système d’information. D’un autre côté, une analyse régulière des risques vous donne une bonne idée des produits importants que l’entreprise souhaite protéger à tout prix. Il s’agit du point de départ d’actions qui rendront l’accès des tiers à ces ressources beaucoup plus difficile. La surveillance des canaux d’information tels que le courrier électronique et Internet, en particulier via le filtrage DNS et l’utilisation de solutions comme SIEM, vous permet de contrôler les flux qui transitent par l’entreprise. Désactivez les services obsolètes ou inutiles, mettez à jour les systèmes régulièrement, effectuez des tests de pénétration, toutes ces pratiques contribuent à assurer la résilience des entreprises résilientes en cas d’attaque réelle. Le plus élémentaire de tous, cependant, continue de placer les utilisateurs au cœur du processus de sécurité car ils sont le premier matériel de défense de l’entreprise. Les bons réflexes des employés font souvent la différence entre une crise maîtrisée qui cause des dommages tangibles et une catastrophe qui menace la vie d’une entreprise.
Cependant, si cette attaque se produit, la priorité est de déclencher l’alarme et de contenir l’attaque pour empêcher sa propagation en isolant la partie infectée du reste du système d’information. Un bon réflexe à avoir est de documenter l’ensemble du processus pour faciliter les étapes suivantes. Prenez des photos d’écrans, de messages reçus, d’adresses spécifiées, tout ce qui peut constituer un chemin vers l’attaquant doit être enregistré et notifié. Notez qu’il n’est pas recommandé de désactiver les ordinateurs infectés pour les mêmes raisons pour une enquête plus approfondie. Préférez simplement les déconnecter du réseau et assurez-vous qu’ils ne communiquent pas avec le reste du système d’information.
À ce stade, et si l’entreprise n’a pas les compétences, il est impératif qu’elle obtienne l’aide et l’assistance d’entreprises spécialisées dans l’atténuation de l’attaque. Une fois de plus, l’expérience de Maersk sert d’exemple dans ce domaine. Leur communication de crise a permis à leurs partenaires et autorités compétentes de les aider à se remettre le plus rapidement possible. Les experts contactés par l’entreprise pourront appliquer les corrections nécessaires aux systèmes qui en ont besoin, s’assurer que le reste de l’infrastructure ne risque pas d’être réinfecté et pourra assurer la transition vers l’analyse médico-légale.
Cette dernière partie de la gestion de crise vise à déterminer l’origine de l’attaque, à documenter son mode de fonctionnement et tous les aspects techniques s’y rapportant pour établir un post-mortem de la situation et un retour d’expérience. Cette documentation est d’autant plus précieuse qu’elle peut servir de guide à d’autres entreprises et éventuellement les aider à se remettre de la crise qui pourrait les affecter. De plus, cette analyse ainsi que l’expérience de l’entreprise doivent être utilisées. Il est impératif d’apprendre de ce qui s’est passé et de mettre en œuvre les mesures qui serviront à vous protéger à l’avenir.
En conclusion, il existe de nombreuses façons de le gérer, bien qu’il soit impossible d’être insensible aux risques associés aux ransomwares. La préparation joue un rôle important comme nous l’avons vu. Il est donc conseillé de se donner les moyens techniques, organisationnels et humains pour rester au courant et pouvoir réagir rapidement et efficacement si nécessaire. Une bonne préparation vous permet de vous concentrer sur l’essentiel au cœur de la crise. Cependant, communiquer correctement sur le test est important car il vous permet de rechercher une aide extérieure pour obtenir des ressources et des compétences que l’entreprise peut ne pas avoir en interne. Enfin, une victime de ransomware devrait être en mesure de tirer des leçons de ce qui lui est arrivé pour prévenir plus efficacement ce risque à l’avenir.LIEN
Rançongiciel en français, est un logiciel malveillant qui prend en otage des données. Le ransomware crypte et bloque les fichiers sur votre ordinateur et demande une rançon en échange d’une clé qui leur permet de les décrypter. Le ransomware, qui est apparu pour la première fois en Russie, s’est répandu dans le monde entier, principalement aux États-Unis, en Australie et en Allemagne. Souvent, le ransomware s’infiltre sous la forme d’un ver informatique, via un fichier téléchargé ou reçu par e-mail, et crypte les données et les fichiers de la victime. Le but est d’extorquer une somme d’argent qui est le plus souvent payée en monnaie virtuelle pour éviter les traces.LIEN
Plusieurs utilisateurs de MacBook Air ou MacBook Pro 13 pouces lancés cette année signalent une erreur liée à la gestion ou plutôt à la gestion incorrecte des périphériques USB 2.0 connectés à leur machine via un concentrateur USB-C. L’accessoire cesse de fonctionner de manière aléatoire et ne peut pas être reproduit. Par exemple, lorsqu’il s’agit d’une souris USB-A, d’une interface audio USB-A et d’un moniteur HDMI externe connecté au Mac avec un concentrateur USB-C, les deux premières cabines, tandis que HDMI l’alimentation continue d’être distribuée entre l’ordinateur et le moniteur secondaire.
Certains utilisateurs ont essayé de réinitialiser SMC, de redémarrer en mode sans échec, de réparer le volume avec l’utilitaire de disque, de réinstaller macOS Catalina, certains ont même fait remplacer leur MacBook dans l’Apple Store… Mais rien n’y fait. Y compris les tests de plusieurs hubs différents. Seul le modèle CalDigit Thunderbolt 3, très complet mais non fourni, semble offrir un peu de répit.
Apple, qui est remis en question par de nombreux propriétaires de ces Mac, en est certainement conscient. Il faut espérer qu’une solution est en cours d’élaboration et qu’elle sera proposée rapidement.LIEN
Le ransomware de « Big game hunt » diffère de ses prédécesseurs qui ont combattu sans distinction. L’activité la plus courante dans les ransomwares reste l’arnaque non sophistiquée qui cible une très grande échelle. Mais de plus en plus de cybercriminels ont les ressources pour développer des campagnes beaucoup plus sophistiquées et du temps pour pénétrer profondément dans les systèmes d’information, planifier et identifier les ressources les plus précieuses, puis tout détruire uniquement après avoir rentabilisé leur investissement.
Ces attaques de rançongiciels de «gros gibier» peuvent représenter un danger moins fréquent mais beaucoup plus grave pour la victime. Pour cette raison, la détection préventive est devenue extrêmement importante pour les entreprises. Cet article explique pourquoi:
Les vagues précédentes étaient différentes
Les anciennes campagnes de rançongiciels comme Locky étaient critiques et n’avaient pas la sophistication des attaques modernes. Leurs auteurs ont ciblé le plus grand nombre, souvent dans le cadre de vastes campagnes de phishing. Les destinataires non acceptants ont cliqué sur un lien malveillant. Les ransomwares pourraient alors gagner de l’espace jusqu’à ce que les fichiers chiffrés soient stockés sur leur machine ou dans le cas des entreprises de leur centre de données. C’était généralement suffisant pour collecter des sommes importantes en très peu d’efforts.
L’attaque bien documentée de WannaCry a marqué le début d’une nouvelle vague de ransomwares. Cependant, la propagation sans discrimination s’est avérée plus dangereuse car elle exploitait les vulnérabilités de manière plus sophistiquée. WannaCry et NotPetya se sont propagés de pair à pair et hors des frontières de l’entreprise, infiltrant des systèmes non corrigés et prenant à la fois des données et des otages de données. Bien que les cybercriminels n’aient pas nécessairement obtenu des fortunes en échange de leurs efforts, ces attaques ont été dévastatrices et ont offert un avenir troublant.
Que pouvez-vous attendre d’un ransomware de gros gibier?
Les ransomwares manquent toujours de subtilité. Loin de saper de petites quantités régulières ou d’espionnage discret des communications d’entreprise, ils s’apparentent davantage à des vols à main armée. Le but est d’être vu, effrayé et payé. Les ransomwares ne sont pas non plus très furtifs, surtout lorsqu’ils ont commencé à chiffrer des fichiers ou à désactiver des systèmes.
Inversement, le ransomware «chasse au gros gibier» infecte discrètement de nombreux systèmes sur le réseau de la victime avant de faire du bruit et de rester silencieux jusqu’au stade de la destruction.
L’énorme télétravail introduit pendant la crise du COVID-19 a permis à de nombreux attaquants d’infiltrer plus facilement les réseaux et de prendre le temps de se préparer à des attaques plus sophistiquées … comme nous le verrons peut-être dans les mois à venir.
Active Directory, l’épine dorsale des nouvelles attaques de ransomwares
Nous avons récemment étudié un nouveau type de ransomware appelé Save the Queen, qui se propage à partir des serveurs Active Directory de la victime (contrôleurs de domaine).
Les contrôleurs de domaine ont les clés du monde numérique. Presque tout autre système s’y connecte, ce qui le rend très important et en fait une cible principale pour la distribution de ransomwares. En raison de leur importance, la manipulation des serveurs Active Directory nécessite des droits d’accès étendus, exactement ce dont les cybercriminels bénéficient dans ce cas. L’ANSSI s’intéresse – et est au courant – depuis longtemps sur ce sujet et vient de publier une collection sur AD Security: https://www.cert.ssi.gouv.fr/uploads/guide -ad.html
L’accès est l’une des raisons pour lesquelles les ransomwares de gros gibier sont si troublants. Pour les cybercriminels, infiltrer un réseau est un jeu d’enfant. Ils peuvent facilement accéder à des applications de niveau supérieur ou à des comptes administratifs. Ils peuvent également utiliser leur propre infrastructure contre leur victime. Les auteurs de Save the Queen l’ont fait.
Avec tous ces accès, l’attaquant peut accéder à des données extrêmement sensibles: informations financières, propriété intellectuelle, monétiser ces informations confidentielles, copier des fichiers importants avant de les chiffrer pour menacer de les publier. Il faudrait être naïf pour penser qu’ils n’ont pas réussi à s’en éloigner et le phénomène est suffisamment grave pour mériter d’être inversé. Certains cybercriminels peuvent ne pas vouloir s’embêter à chercher quand ils peuvent se contenter d’une entrée et d’une introduction rapide, efficace et facile. Mais plus ces groupes sont organisés et efficaces pour gagner de l’argent sur la propriété de quelqu’un d’autre, plus ils sont susceptibles de ne laisser aucune miette à leurs victimes.
Quatre étapes pour protéger votre entreprise * Sachez où les données de propriété intellectuelle, les informations financières, les données personnelles et les e-mails sensibles sont stockés avant que les cybercriminels ne tentent de les voler, de les transmettre ou de les chiffrer. Limitez l’accès à ceux qui en ont absolument besoin pour réduire la surface de l’attaque. * Identifiez la période pendant laquelle l’indisponibilité d’un système ou de données aura les pires conséquences, par exemple, les jours précédant la semaine la plus occupée de l’année. Les cybercriminels sont intéressés par ce type d’informations sur leurs victimes. Mieux vaut avoir élaboré un plan d’affaires pour la continuité / reprise plutôt que d’avoir à improviser sous pression. * Une grande partie de la prévention des ransomwares repose sur les sauvegardes. Bien qu’évidemment important, le défi consiste à décider lesquels restaurer, en particulier en ce qui concerne les fichiers. Sans suivi de l’activité du système de fichiers, de nombreuses entreprises doivent saisir une rançon pour savoir ce qui a été chiffré et quand. Si le registre d’activité de fichier n’existe pas, il doit être créé. Cela fournit ensuite des informations sur les activités des utilisateurs infectés. * Profitez de l’automatisation. Des journaux d’activité et d’analyse adéquats permettent de détecter et d’arrêter les attaques potentielles avant qu’elles ne se propagent. Hiérarchisez et analysez les activités des ensembles de données et les systèmes critiques tels que les grands entrepôts de données, Active Directory et d’autres données télémétriques qui peuvent alerter lorsqu’un cybercriminel est entré sur le réseau.
Actuellement, les fournisseurs de télécommunications offrent un moyen simple d’accéder aux ressources, notamment en raison des capacités de recherche et de filtrage offertes par les outils de collaboration utilisés. Dans le même temps, la plupart des entreprises ne sont pas prêtes à détecter une activité inhabituelle générée par ces utilisateurs externes. Le but principal de toute entreprise est de détecter les cybercriminels qui tentent d’en profiter pour neutraliser leurs activités le plus rapidement possible.LIEN
Paralyser les systèmes informatiques les plus importants des grandes industries: tel est l’objectif d’Ekans, une rançon. Très sophistiqué, ce serait l’œuvre de pirates indépendants, pas d’un État.
Ekans /Abo Il peut se déboîter la mâchoire pour avaler tout rond des proies plus grosses que lui. Il se replie ensuite sur lui-même pour digérer.
Les cyberattaques contre les systèmes industriels sont assez rares et sont attribuées à presque tous les États, compte tenu de leur niveau sophistiqué. C’est notamment ce qui s’est passé en Ukraine avec la division de la distribution électrique lors du piratage de la centrale d’Ivano Frankivsk fin 2015 ou même avec la destruction de centrifugeuses d’enrichissement nucléaire en Iran en 2010.
Cette fois, les chercheurs des sociétés de cybersécurité Sentinel One et Dragos ont découvert le ciblage de code pour les installations industrielles. Il peut être attribué à des pirates indépendants selon eux. Le code appelé Ekans, ou Snake, est spécifiquement destiné aux raffineries, aux réseaux de distribution d’électricité et aux lignes de production des usines. Au lieu d’essayer de détruire ou de prendre le contrôle des installations, c’est la technique simple du ransomware. Tout d’abord, le code arrête 64 processus liés aux logiciels spécifiques aux commandes industrielles. C’est à partir de ceux-ci que les pirates peuvent accéder et chiffrer les données qui interagissent avec des systèmes importants. Les auteurs demandent le paiement d’une rançon pour les libérer.
Ne payez pas pour perdre gros
Comme toujours, l’attribution de l’attaque est compliquée et, au cours de ses enquêtes, Dragos a retiré une attribution potentielle à une équipe d’État iranienne. Le mode de fonctionnement semble beaucoup plus proche de celui utilisé par les criminels venant dans les hôpitaux de rançon. Ils savent que ces institutions feront tout leur possible pour payer une rançon afin d’assurer la continuité de leur mission. Et pour les industriels, c’est une véritable bénédiction car la plus petite paralysie peut coûter très cher.
Ce n’est pas la première fois qu’un ransomware conçu par des pirates indépendants attaque les processus des systèmes de contrôle industriels. Selon Dragos, une autre souche de code connue sous le nom de Megacortex a été identifiée au printemps 2019. Elle comprenait les mêmes fonctionnalités et pourrait bien avoir été développée par la même équipe.
Ransomware: Les opérateurs de Revil / Sodinokibi ont brièvement revendiqué le vol d’une très grande quantité de données de ce spécialiste de l’imagerie 3D. Avant de supprimer les traces. Une intrusion aurait pu se produire via un système Citrix NetScaler vulnérable ou un service RDP disponible sur Internet, entre autres.
FARO Technologies est un spécialiste reconnu de la mesure et de l’imagerie 3D. L’année dernière, l’entreprise s’est distinguée notamment par sa collaboration avec AGP (Arts Graphiques et Patrimoine) pour réaliser une opération de numérisation 3D de Notre-Dame de Paris en cas d’urgence.
L’objectif: « en une journée, procéder à un examen 3D précis du bâtiment après incendie pour établir un diagnostic des dégâts ». Auparavant, les outils FARO avaient déjà été utilisés pour numériser de nombreux bâtiments historiques, dont le monastère du Mont-Saint-Michel. Mais la portée de sa technologie va bien au-delà, par exemple, de l’inspection de grandes structures complexes, y compris même pendant la construction, ou de la modélisation de scènes de crime, entre autres.
FARO Technologies est apparu pour la première fois sur le site, les opérateurs du ransomware Revil / Sodinokibi annonçant leurs victimes de la résistance à l’extorsion le 20 mai. Avec une menace: révéler une partie de leur vol, ce qui représente 1,5 To de données. Ce qui a été fait deux jours plus tard.
Dans leur publication originale, les cybercrapules ont revendiqué le vol de « plusieurs téraoctets de données » qui concernaient l’entreprise et ses clients, mais aussi des graphiques et du code source. Surtout, ils ont affirmé qu’ils étaient déjà en pourparlers pour « vendre les données les plus intéressantes » tout en accusant leur victime « d’essayer de cacher le piratage et la fuite de données ».
Le 25 mai, les cybercriminels ont mis à jour leur annonce: « Il n’y aura pas d’autre publication. FARO Technologies a trouvé un acheteur pour vos données. Pas le montant que nous espérions, mais toujours valable. » Très rapidement, toute mention de cette victime disparaîtrait. du site Revil / Sodinokibi Operators, récemment contacté par les rédacteurs, a déclaré n’avoir aucune information à partager sur ce sujet.
De son côté, il ne semble pas que FARO Technologies ait communiqué l’incident, ni à la presse ni à ses investisseurs: au moment de la publication de ces lignes, son site Internet est muet sur le sujet, de même que ses déclarations au policier boursier SEC.
Nous avons contacté le spécialiste de l’imagerie 3D à deux reprises le 27 mai avant d’obtenir un premier contact de son attaché de presse externe. Ce n’est qu’après un échange téléphonique que la réponse officielle de FARO Technologies est tombée le 4 juin: « Nous connaissons cette publication et nous l’étudions ». Cinq jours plus tard, après un premier rappel, rien de plus.
Cette annonce de FARO Technologies s’avère d’autant plus surprenante que les opérateurs Revil / Sodinokibi ne se lancent pas immédiatement sur l’affichage de leurs victimes: ils commencent par laisser la place à des négociations. Ainsi, les cibles des ransomwares ont initialement au moins sept jours pour céder aux demandes de leurs extorqueurs avant de doubler leur prix. Dans certains cas, cette première phase peut même durer deux semaines, selon plusieurs observations.
Ce n’est qu’après avoir considéré que les négociations ont échoué que les cyber-vagues ont commencé à menacer de transmettre les données volées dans le système d’information de leurs victimes – et même récemment de les vendre au plus offrant, par le biais d’enchères tenues à leur propre site Web. Par conséquent, il ne serait pas surprenant que le lancement du rançongiciel chez FARO Technologies ait eu lieu dans la première moitié de mai, ou même plus tôt.
Pendant ce temps, nous avons découvert un service RDP exposé directement sur Internet par une machine qui semble appartenir à FARO Technologies, selon les données de BinaryEdge. Dans de mauvais rapports sur les packages, Troy a déclaré à Mursch que pendant un certain temps, la société avait exposé un système Citrix Netscaler affecté par la célèbre vulnérabilité CVE-2019-19781, connue sous le nom de Shitrix. Il a été découvert le 11 janvier.
Onyphe a également constaté que le système avait été identifié comme vulnérable lors d’un incident survenu le 15 janvier. Et pour préciser que ce système est resté en ligne au moins entre le 8 décembre et le 8 février. Cependant, il n’existe aucun lien établi entre ces observations et les exigences des opérateurs Revil / Sodinokibi. Jusqu’à présent, après une nouvelle augmentation, FARO n’a rien dit de plus sur l’incident.LIEN
Le réseau informatique interne de la ville, son site Internet et le réseau judiciaire ont été paralysés pendant des heures. « Les systèmes d’information suivent actuellement les protocoles recommandés. Cela comprend la fermeture des serveurs, de nos connexions Internet et des PC. Veuillez ne pas vous connecter au réseau ni utiliser des applications informatiques pour le moment », ont averti des courriers électroniques reçus par des autorités locales.
Plus de 50 autorités locales ont été affectées par des ransomwares depuis janvier.
Les réseaux informatiques de la ville américaine de Knoxville, dans le Tennessee, ont été attaqués par des ransomwares, rapporte les médias locaux WVLT dans un article publié le 11 juin 2020. Knoxville est la 134e ville des États-Unis par la taille de sa population, avec 188 000 habitants. C’est également le 51e État ou municipalité des États-Unis à être touché par les ransomwares cette année, selon les déclarations de Brett Callow, chercheur au sein du cabinet de sécurité Emsisoft, à Ars Technica.
La ville de Knoxville, dans le Tennessee, a été victime d’une rançon qui a paralysé son réseau informatique, son site Internet et le réseau judiciaire. C’est la 51ème autorité locale des États-Unis à être victime de ransomware depuis le début de l’année.
Ils ont depuis été récupérés, bien que l’attaque puisse encore occasionner des inconvénients mineurs. Les services d’urgence tels que la police, les pompiers et la ligne d’assistance 911 n’ont pas été affectés lorsqu’ils fonctionnaient sur des systèmes distincts. De plus, aucun serveur de sauvegarde n’a été atteint, grâce auquel les services de la ville pouvaient rapidement revenir à la normale.
David Brace, directeur exécutif et maire adjoint, a déclaré que le Bureau des enquêtes du Tennessee et le Bureau fédéral des enquêtes (FBI) soutiennent la ville dans la résolution de cet incident. Alors que les enquêteurs n’ont pas encore trouvé l’étendue des rançongiciels, David Brace dit qu’aucune donnée sur la cybercriminalité n’a été volée.
Ces pièces jointes sont incluses en millions de dollars
Ces attaques informatiques sont parfois très coûteuses. Deux des incidents les plus connus se sont produits en 2018 à Atlanta et à Baltimore, entraînant des coûts de 12,2 millions de dollars et 18 millions de dollars, respectivement. Il est donc temps pour les villes de réaliser que le coût de leurs réseaux coûtera toujours moins cher qu’une attaque informatique. LIEN
Selon une enquête réalisée par Veritas, la responsabilité personnelle des dirigeants d’entreprise a été remise en cause en cas d’attaque de ransomware, selon 40% des 12 000 consommateurs interrogés dans le monde. Les Français, cependant, lancent d’abord des pierres sur les cybercriminels devant les dirigeants.
La responsabilité personnelle des dirigeants d’entreprise remise en cause.
Très souvent, lorsque des cyberattaques ont lieu, RSSI est en première ligne. A la fois pour éteindre le feu et prendre les précautions nécessaires pour éviter le pire, mais parfois même lorsqu’il s’agit de se trouver «responsable». S’ils s’avèrent plus ou moins exposés, les RSSI ne sont pas les seuls désignés, c’est également le cas des dirigeants de l’entreprise elle-même, à savoir leur PDG. Selon une enquête réalisée par Veritas, pour laquelle 12 000 consommateurs dans 6 pays (États-Unis, Royaume-Uni, Allemagne, France, Japon et Chine) ont été interrogés en avril 2020, 40% pensent même qu’ils sont personnellement responsables lorsque les entreprises sont compromises par attaques de rançongiciels.
Les administrateurs ne sont pas épargnés par les dommages subis et les jugements attendus sont aussi divers que surprenants. 42% exigent que les PDG s’excusent publiquement pour les ransomwares, tandis que 35% veulent qu’ils paient une amende. 30% des répondants vont jusqu’à déclarer que les PDG en question ne devraient plus pouvoir diriger une entreprise à l’avenir, tandis que 27% demandent leur démission, 25% une baisse de salaire et 23% demandent même sur la prison.
Les consommateurs français plus indulgents envers les PDG «En tant que consommateurs, nous acquérons de plus en plus de connaissances sur les ransomwares, nous ne pardonnons donc pas aux entreprises qui ne le prennent pas aussi au sérieux que nous», a déclaré Simon Jelley, vice-président des produits chez Veritas. . Cependant, il semble que les Français soient les répondants les plus indulgents des pays interrogés, avec moins d’un quart (24%) voulant blâmer les chefs d’entreprise, un peu plus de la moitié (55%) dans la conviction que seuls les criminels peuvent être accusés. pour les attaques de ransomwares, et seulement un tiers (36%) prévoient de se passer des services d’une entreprise attaquée. LIEN
Questions sur les attaquants chez Honda et Enel (alerte spoiler) Le télétravail!
Les deux groupes ciblés par le ransomware d’Ekan, également appelé Snake, ont exposé d’anciens services RDP directement sur Internet. Mais ils avaient également des systèmes Citrix NetScaler affectés par la vulnérabilité CVE-2019-19871.
Honda et Enel ont récemment reconnu avoir été la cible de cybercriminels. Très rapidement, deux échantillons du ransomware d’Ekan, également connu sous le nom de Snake, sont apparus, suggérant que ses opérateurs avaient en fait tenté d’attraper le constructeur automobile d’un côté et la société énergétique italienne. , d’autre part. Mais où les attaquants ont-ils réussi à s’inviter, ne serait-ce que de manière relativement limitée, aux systèmes d’information de ces deux cibles?
Le chercheur Germán Fernández a très rapidement rapporté qu’un service RDP était exposé sur Internet par un système lié au nom de domaine honda.com, ainsi qu’un de ces services … mais faisant référence à Enel. Et de s’interroger naturellement sur la possibilité d’un lien entre ces services exposés directement en ligne et les attaques menées contre les deux groupes.
Mais une passerelle potentielle a été identifiée par Troy Mursch du rapport Bad Packets: systèmes Citrix affectés par la vulnérabilité CVE-2019-19781, également connue sous le nom de Shitrix. Sur Twitter, il a déclaré qu’un « serveur Citrix VPN (NetScaler) utilisé par Honda » avait été identifié comme vulnérable lors de sa première campagne de recherche de systèmes affectés. Et ajoutez que cela s’applique également à Enel. Pour ces derniers, les systèmes affectés n’ont également tué l’utilisation des correctifs « que quelque part entre le 31 janvier et le 14 février 2020 ».
Vitali Kremez souligne que « les cybercriminels continuent de rechercher des passerelles VPN d’entreprise exploitables comme premier vecteur de violation », et en particulier les systèmes Citrix / Netscaler affectés par la vulnérabilité CVE-2019-19781. En réponse, Troy Mursch se souvient avoir identifié plusieurs victimes de ransomware qui exposaient de tels systèmes: Chubb, Conduent et Pitney Bowes, par Maze, mais aussi ISS World, par Ryuk ou encore Brittany Telecom, par DoppelPaymer.
Selon les chercheurs en sécurité, les réseaux de contrôle industriels sont exposés à un certain nombre d’attaques de rançongiciels. Cet avertissement fait suite à une expérience qui a révélé la vitesse à laquelle les pirates détectent les vulnérabilités des infrastructures critiques.
Des chercheurs en sécurité avaient mis en place un leurre pour surveiller la progression de l’attaque … qui ne tarda pas à venir.
Mise en place du leurre
L’entreprise de sécurité Cybereason a construit un leurre conçu pour ressembler à une entreprise d’électricité opérant en Europe et en Amérique du Nord. Le réseau a été conçu pour paraître authentique afin d’attirer des attaquants potentiels en incluant des environnements informatiques technologiques et opérationnels ainsi que des systèmes d’interface humaine.
Toutes les infrastructures sont construites en tenant compte des problèmes de sécurité communs aux infrastructures critiques, en particulier les ports des stations distantes connectées à Internet, les mots de passe de complexité moyenne et certains contrôles de sécurité habituels, y compris la segmentation du réseau.
Le leurre a commencé plus tôt cette année et il n’a fallu que trois jours aux attaquants pour découvrir le réseau et trouver des moyens de le compromettre – y compris une campagne de ransomware qui a infiltré des parties du réseau et qui a réussi à récupérer les informations de connexion.
Le cours de l’attaque
« Très peu de temps après le lancement du » pot de miel « , la capacité du ransomware a été placée sur chaque machine compromise », explique Israel Barak, chef de la sécurité informatique de la cyber-raison chez ZDNet.
Les pirates ont placé des ransomwares sur le réseau à l’aide d’outils de gestion à distance pour accéder au réseau et déchiffrer le mot de passe administrateur pour se connecter et contrôler le bureau à distance.
À partir de là, ils ont créé une porte dérobée pour un serveur compromis et utilisé des outils PowerShell supplémentaires, y compris Mimikatz, qui ont permis aux attaquants de voler des informations de connexion, permettant un mouvement latéral sur le réseau – et la possibilité de compromettre encore plus de machines. L’attaquant a effectué des analyses pour trouver autant de points d’accès qu’ils le souhaitaient et collecté des identifiants au fur et à mesure.
Double peine
En fin de compte, cela signifie qu’en plus de déployer un rançongiciel, les attaquants ont également la possibilité de voler des noms d’utilisateur et des mots de passe qu’ils pourraient exploiter comme un levier supplémentaire en menaçant de révéler des données sensibles si la rançon n’était pas payée.
« Ce n’est qu’après la fin des autres étapes de l’attaque que le ransomware se propage simultanément à tous les terminaux compromis. C’est une caractéristique commune des campagnes de ransomware à plusieurs étapes visant à amplifier l’impact de l’attaque sur la victime », explique Israël Barak.
Réseau compromis
Les attaques de ransomwares provenant de diverses sources ont souvent révélé le piège, et beaucoup ont essayé d’autres attaques, tandis que d’autres pirates informatiques étaient plus intéressés par la reconnaissance du réseau – comme c’était le cas dans une précédente expérience d’oiseau de leurre.
Même si cela ne semble pas aussi dangereux, à première vue qu’une rançon, les attaquants qui tentent d’exploiter le réseau de ce qu’ils croient être un fournisseur d’électricité peuvent finalement avoir des conséquences très dangereuses.
Néanmoins, il semble que les ransomwares soient devenus l’une des principales méthodes par lesquelles les attaquants tentent d’exploiter une infrastructure qu’ils peuvent facilement compromettre, que le rapport décrit comme un «barrage constant» d’attaques contre le secteur. Et le risque devrait s’intensifier.
Renforcer la sécurité de la prévention
Heureusement, ces attaques contre un leurre ne feront aucun mal.
L’expérience montre cependant que les réseaux qui prennent en charge les infrastructures critiques doivent être suffisamment résilients pour résister aux intrusions indésirables en concevant et en exploitant des réseaux pour la résilience – en particulier lorsqu’il s’agit de séparer les réseaux informatiques de la technologie opérationnelle.
Même des améliorations relativement simples, telles que la protection des réseaux avec des mots de passe complexes et difficiles à deviner, peuvent aider, tandis que des initiatives de sécurité plus complexes peuvent aider à renforcer la protection. LIEN
Le rançongiciel Thanos, découvert en janvier 2020, est développé par le cyber gang de Nosophoro et possède des propriétés de protection exceptionnelles. En utilisant la technique RIPlace, les logiciels malveillants peuvent contourner les actions système et réseau utilisées pour le désactiver.
Thanos, pas de solution anti-ransomware!
Entre pirates informatiques et responsables de la sécurité, c’est un jeu perpétuel de chat et de souris. Mais parfois, la souris peut être particulièrement difficile à neutraliser. C’est le cas du ransomware de Thano, découvert en janvier 2020 par Inskit Group, qui a publié un rapport pour mieux comprendre sa fonction. C’est le groupe de cyber hackers opérant sous le nom de famille Nosophoros, qui se trouve être derrière Thanos, et proposant à la vente sur le dark web une version personnalisable dans 43 configurations possibles de ce malware pour s’adapter au plus près aux besoins du cyber coke . Le mode de distribution, type de rançongiciel en tant que service, combiné avec des mises à jour et de nouvelles fonctionnalités, montre à quel point l’opérateur derrière Thanos professionnalise son activité.
«Le client Thanos est simple dans sa structure et ses fonctionnalités générales. Il est écrit en C # et est facile à comprendre malgré son obscurité [consistant à rendre un exécutable ou un code source illisible et difficile à comprendre par un humain ou un décompilateur, la note de l’éditeur], et bien qu’il contienne des fonctionnalités plus avancées telles que la technique RIPlace », Explique Inskit Group. Ce malware intègre 12 à 17 classes, dont un programme de base commun et Crypto, puis d’autres tels que NetworkSpreading, Wake on LAN, selon les « options » choisies par les acheteurs de ce ransomware. La technique RIPlace, embarquée dans Thanos, consiste à augmenter la capacité de ce malware à contourner la défense introduite par l’équipe de sécurité de l’entreprise (antivirus, pare-feu …) pour le désactiver. «Avec les meilleures pratiques en matière de sécurité, telles que l’interdiction des connexions FTP externes et la mise sur liste noire des outils de sécurité offensifs connus, les risques associés aux deux composants clés de Thanos – le voleur de données et le mouvement latéral (via l’outil SharpExec) – peuvent être évités», explique Inskit Group.
Kaspersky et Carbon Black s’arrêtent pour corriger la vulnérabilité RIPlace
«Le client Thanos utilise AES-256 en mode CBC pour crypter les fichiers utilisateur. La clé utilisée pour le chiffrement AES provient d’un mot de passe et d’un sel créés via l’appel de fonction Windows rfc2898DeriveBytes. Une fois que le client Thanos a utilisé cette clé pour crypter tous les fichiers qu’il découvre, il utilise une clé publique RSA 2048 intégrée pour crypter le mot de passe AES utilisé. La chaîne Bas64 de ce mot de passe chiffré est ajoutée au message de rançon demandant à la victime d’envoyer la chaîne de mot de passe chiffrée aux acteurs de la menace pour déchiffrer leurs fichiers. La clé privée associée à la clé publique utilisée pour chiffrer le mot de passe est requise pour déchiffrer le mot de passe AES. Seul l’opérateur qui a créé le client Thanos doit avoir accès à la clé privée », a déclaré Inskit Group.
La technique RIPlace utilisée par Thanos a d’abord fait l’objet d’un POC par Nyotron en novembre 2019. Ce dernier a mis en garde les fournisseurs de solutions de sécurité, dont Microsoft. Mais à l’époque, cette technique n’était pas considérée comme une vulnérabilité par la plupart d’entre eux, à l’exception de Kaspersky et Carbon Black (acquis par VMware), qui ont modifié leur logiciel en conséquence. Début 2020, Inskit Group a pu observer sur le dark web et sur les forums de cyber pirate que la technique RIPlace commençait à être mise en œuvre.
Une chance de récupérer des données sans payer
Cependant, tout n’est pas perdu: « Si une clé dynamique est sélectionnée avant le démarrage du processus de chiffrement, le client Thanos utilise Windows RNGCryptoServiceProvider pour générer une chaîne base64 de 32 octets aléatoire qui sera utilisée comme mot de passe AES. Si le client Thanos est configuré pour utiliser un mot de passe statique, il est stocké dans le binaire lui-même. Cela signifie que si un client Thanos est restauré après le chiffrement, les victimes de Thanos ont toujours la possibilité de récupérer leurs fichiers sans payer de rançon « , explique Inskit. Cependant, selon les dernières analyses de la société, Nosophoros a reçu des signaux positifs de la communauté des pirates, affirmant que l’outil « fonctionne parfaitement » et encourage les cyber gangs à « garder les mises à jour à venir ». Pour Nosoporos, c’est comme d’habitude.
Une application masquée comme un décryptage de ransomware DJVU / STOP a été identifiée par un chercheur en sécurité. Cela crypte les données des victimes qui pensaient avoir trouvé une solution à leur problème.
Face à une attaque de ransomware, le remède peut parfois s’avérer pire que la maladie. Ainsi, un chercheur en sécurité a rapporté la semaine dernière un nouveau programme malveillant se faisant passer pour un décrypteur de ransomware DJVU / STOP, un ransomware très actif, et destiné aux particuliers. Michael Gillespie, chercheur indépendant en sécurité spécialisé dans la lutte contre les ransomwares, a attiré l’attention sur les malwares dans un tweet à la fin de la semaine dernière. Ce programme malveillant, appelé Zorab, se présente sous la forme d’un décrypteur: un type de programme qui exploite les erreurs logicielles dans la conception d’un ransomware pour décrypter les fichiers de la victime sans que la victime ait besoin de récupérer la clé de cryptage pour les attaquants.
Zorab ne vous sortira pas de l’affaire, au contraire: le chercheur explique qu’il crypte les données de la victime une seconde fois, et met sur l’ordinateur une note demandant à l’utilisateur de payer une rançon pour décrypter les fichiers en question. Pour la victime, il s’agit donc d’une double peine: il a dû payer une première fois pour décrypter les données rendues indisponibles par le ransomware Zorab, puis une deuxième fois pour décrypter le cryptage DJVU / STOP. Le groupe derrière DJVU / STOP attire moins d’attention que des acteurs malveillants comme Maze ou Dopplepaymer, mais ce ransomware est l’un des plus actifs aujourd’hui. Selon Emisoft, fin 2019, Stop / DJVU représentait plus de 56% des fichiers téléchargés sur la plateforme ID Ransomware, se plaçant en tête du classement. Comme l’explique Bleeping Computer, les opérateurs de ce ransomware sont plus susceptibles d’attaquer des individus et de demander des montants entre 500 $ et 1000 $ pour obtenir la clé de déchiffrement.
Double peine
Les cybercriminels derrière Zorab ont soigneusement choisi leurs cibles: plusieurs déchiffreurs sont en fait proposés par des sociétés de sécurité pour déchiffrer les fichiers chiffrés par les anciennes versions du rançongiciel DJVU / STOP. En mars, Emsisoft a publié plusieurs décrypteurs pour aider les victimes de cette rançon. Mais le jeu du chat et de la souris dure depuis des mois: lorsque les éditeurs publient un décryptage, les auteurs du ransomware distribuent une nouvelle version de leur ransomware. Dans cette jungle, il est donc facile pour un tiers de profiter de la multiplication des décrypteurs pour distribuer son propre ransomware en le transmettant comme un outil de déverrouillage de fichier.
Pour obtenir des outils de décryptage, il vaut mieux être prudent: nous pouvons recommander l’initiative NoMoreRansom mise en œuvre par Europol et plusieurs sociétés antivirus pour centraliser les outils de décryptage et anti-ransomware. Vous pouvez également accéder directement aux sites Web officiels d’éditeurs antivirus connus, tels que Kaspersky ou Emsisoft. Des décrypteurs pour les anciennes versions de DJVU / STOP sont disponibles, mais des analyses sont toujours en cours pour développer des outils similaires pour Zorab. Bien sûr, la meilleure solution est d’avoir des sauvegardes mises à jour, mais c’est souvent plus facile à dire qu’à faire.
Son nom bien choisi provoque la terreur et son comportement en fait un ransomware discutable. Thanos prospère sous Windows 7, 8.1 et 10 depuis octobre 2019 sous différents noms, mais ce n’est qu’en janvier 2020 qu’il a fait l’objet d’un rapport détaillé publié par la société Inskit Group. Il s’agit d’une famille de ransomware qui possède à son ancêtre un seul outil développé par un hacker nommé Nosophoros.
Cet outil est capable de générer un ransomware personnalisé basé sur 43 paramètres de configuration différents. La solution est disponible sur le Dark Web et en particulier sur les forums de piratage russes comme les logiciels de type « ransomware as a service ». En d’autres termes, Nosophorus recrute d’autres pirates pour diffuser des logiciels malveillants. Ce dernier obtient une part de revenu d’environ 60 à 70% pour tout paiement de rançon.
Thanos: premier ransomware à tirer parti de l’erreur RIPlace qui la rend indétectable
RIPlace est une technologie de camouflage qui a été dévoilée comme preuve de concept fin 2019 par des scientifiques de Nyotron. Il est utilisé pour modifier des fichiers indétectables par Windows et par un antivirus. Par conséquent, les attaquants peuvent contourner diverses protections contre les ransomwares pour crypter les fichiers sur les machines ciblées.
Lire aussi – Ransomware: les pirates s’excusent pour les dégâts qu’ils ont causés à leurs victimes!
Nyotron a partagé sa découverte avec les fournisseurs d’antivirus et Microsoft. À l’époque, la plupart d’entre eux estimaient que cette technique ne devait pas être traitée comme une vulnérabilité, d’autant plus que son utilisation réelle n’a pas été prouvée. Seuls Kaspersky et Carbon Black (appartenant à VMware) avaient modifié leur logiciel pour empêcher cette technique d’être appliquée.
Dans un nouveau rapport publié le 10 juin 2020, Inskit Group décrit comment la vulnérabilité RIPlace est utilisée par Thanos, le premier ransomware à l’utiliser. Les chercheurs pensent que les logiciels malveillants continueront d’être exploités, individuellement ou collectivement, dans le cadre du programme d’affiliation de son créateur. La nouvelle version devrait inciter Microsoft et d’autres fournisseurs de protection à intervenir.
Le constructeur japonais de véhicules et de moteurs Honda enquête sur un dysfonctionnement de son réseau informatique. Cet incident sera lié aux conséquences de la diffusion du rançongiciel SNAKE dans ses infrastructures.
Un vent de panique chez Honda. Le constructeur japonais de véhicules et de moteurs traverse actuellement une cyber-crise suite à l’intrusion et se répand dans ses réseaux informatiques de malware. «Le dimanche 7 juin, Honda a subi une interruption de son réseau informatique, entraînant une perte de connectivité, ce qui a eu un impact sur nos opérations commerciales. Nous avons annulé une partie de la production aujourd’hui et évaluons actuellement la situation », a déclaré un porte-parole. Chez Honda, une enquête est en cours sur cet incident de sécurité qui a affecté ses infrastructures informatiques au Japon, mais aussi en Europe.
Le groupe a été contacté par BleepingComputer, confirmant que son réseau informatique était affecté sans préciser clairement l’événement, quelle que soit la diversité des indications, même des preuves de cette cyberattaque. Les chercheurs en cybersécurité pensent que l’entreprise a été ciblée par un ransomware personnalisé après avoir analysé la situation. Ce dernier serait une variante du rançongiciel SNAKE (également connu sous le nom d’EKANS) conçu pour cibler le nom de domaine mds.honda.com.
Des détails provenant du cyber gang derrière SNAKE? Le chercheur en sécurité Vitali Kremez a également déclaré qu’en plus de cibler mds.honda.com, ce ransomware comprend également une référence à l’adresse IP 170.108.71.15, citant le nom d’hôte – plus que suspecté – unspec170108.amerhonda. com. La référence à cette adresse IP et la vérification interne du nom d’hôte sont des indicateurs très forts que les fermetures actuelles du réseau ont été causées par une attaque par le rançongiciel SNAKE. « Pour le moment, nous ne partagerons pas les détails de l’attaque pour permettre à la cible de la nier pendant un certain temps. Cela va changer avec le temps », a déclaré le gang derrière le malware à notre collègue.LIEN
MAJ:
Le ransomware EKANS destiné aux systèmes de contrôle industriels semble avoir lié Honda à son tableau de chasse. Quelles conséquences?
Vous voulez créer un site? Trouvez des thèmes et plugins WordPress gratuits.
Honda, victime d’un ransomware? Le groupe automobile refuse actuellement de confirmer les informations.
Son annonce officielle fait état d’un « incident » sur le réseau informatique qui a été observé dimanche 7 juin. En conséquence, une « perte de connexion » et la suspension d’une partie de la production.
Selon les dernières nouvelles, l’activité a repris dans la plupart des usines.
En plus du discours de façade, il y en a un qui circule en interne. Et le contenu n’est pas le même.
Illustration avec un message d’un membre du service informatique de la filiale américaine. Il parle clairement d’un ransomware qui a affecté « le moins » les SI dans cette région géographique. Résultat signalé: accès indésirable aux données critiques et incapacité à poursuivre les opérations sur la plupart des lignes de production.
Un rançongiciel ICS spécial …
Quel ransomware a touché? Plusieurs éléments suggèrent qu’il s’agit d’une variante de SNAKE.
Il est également appelé EKANS, notamment en référence à une étiquette affectée aux fichiers qu’il crypte. Son premier morceau remonte à fin 2019.
Le but initial du créateur du virus « I Love You » n’était pas de créer des logiciels malveillants dangereux mais de surfer gratuitement sur Internet.
L’écrivain de code informatique, qui a causé des milliards de dollars de pertes au début des années 2000, vit maintenant une vie modeste et à faible kilométrage à Manille, selon la BBC.
Le 4 mai 2000, le virus « I Love You » s’est propagé à travers le monde de manière fulgurante. En quelques jours, il a frappé les systèmes informatiques du Pentagone, de la CIA et de grandes entreprises comme L’Oréal, Siemens et Nestlé. Ce petit morceau de code a infecté des dizaines de milliers d’ordinateurs, ce qui en fait l’un des virus les plus virulents de l’histoire.
L’auteur a été identifié quelques jours plus tard: un Philippin de 24 ans nommé Onel de Guzman. Il ne sera pas inquiet, car à cette époque, la législation de son pays ne contient pas ce type d’infraction. Vingt ans après l’incident, un journaliste britannique l’a trouvé à Manille, la capitale, et l’a interrogé sur ses motivations dans un reportage publié le 4 mai sur le site Internet de la BBC.
Selon l’auteur du virus « I Love You », son objectif initial n’était pas de créer des logiciels malveillants dangereux, mais simplement de surfer gratuitement sur Internet. À ce moment-là, vous pouviez vous connecter au réseau à partir de différentes lignes téléphoniques avec le mot de passe et l’ID de quelqu’un d’autre. On dit que De Guzman a envoyé une version initiale de son virus à quelques cibles pour récupérer leurs codes, des personnes avec lesquelles il avait l’habitude de socialiser dans les salles de chat en ligne.
Recherche dans le carnet d’adresses
C’est plus tard que le jeune homme arme son virus pour qu’il se propage automatiquement et fouille dans les ordinateurs infectés à la recherche du carnet d’adresses du logiciel de messagerie Outlook et s’envoie ensuite à des dizaines de correspondants. De Guzman a l’idée de nommer son virus LOVE-LETTER-FOR-YOU.TXT.VBS. « Je pensais que beaucoup de gens veulent une petite amie, ils veulent de l’amour », a-t-il déclaré à la BBC aujourd’hui.
Beaucoup de gens cliquent sur ce message qui, si vous regardez trop vite, regarde un fichier texte « TXT » mais se révèle être un morceau de code informatique « VBS » si vous intervenez pour lire son nom jusqu’au bout. Agressif infecte la mémoire de l’ordinateur en remplaçant les photos ou les morceaux de musique qu’il détruit au cours du processus. « I Love You » est responsable de dommages estimés à 10 milliards de dollars.
Onel de Guzman a aujourd’hui 44 ans. Interrogé par la BBC, il a regretté les dégâts causés. «Je n’aurais jamais imaginé que le virus irait aux États-Unis et en Europe. Cela m’a surpris », dit-il maintenant. Il va même jusqu’à confesser … souffrant de sa renommée. «Parfois, ma photo apparaît sur Internet. Mes amis me disent: « Mais c’est toi! » Je suis une personne timide, je ne veux pas. «
Un petit atelier
Un discours qui contraste avec celui qu’il a prononcé quand il était plus jeune. En 2000, quelques mois à peine après la création du virus, le jeune homme a déclaré au New York Times: « Je pense que je fais partie de l’histoire des Philippines. Il ne peut pas être supprimé. À l’époque, la blessure ne lui causait pas autant d’émotion. De Guzman souligne la responsabilité de Microsoft de commercialiser des «produits vulnérables».
Le jeune homme imagine même un avenir en tant que concepteur de logiciels inviolables. Selon lui, de nombreuses sociétés informatiques ont tenté de le pousser dans les semaines qui ont suivi la publication du virus, mais Onel de Guzman ne trouve pas de travail lorsque son avenir juridique se précise quelques mois plus tard.
Il n’obtient pas non plus son diplôme universitaire après avoir rejeté sa thèse finale. Cette thèse a été reproduite avant la date fatidique du 4 mai, décrivant un programme informatique proche du virus « I Love You ». Son professeur l’a ensuite rejeté avec la déclaration « C’est illégal. Nous ne formons pas de voleurs ».
Onel de Guzman gère maintenant un petit atelier pour téléphones portables avec un comptoir étroit et désordonné. C’est là que la BBC l’a trouvé après une longue enquête à travers des forums obscurs dédiés à l’internet souterrain philippin, puis des dizaines d’ateliers à Manille. LIEN1 LIEN2
Charles Delingpole, PDG et fondateur de ComplyAdvantage
Ces derniers mois, les attaques lancées par le crime économique se sont multipliées. Mais au-delà des ennemis habituels, les ransomwares soulagés par COVID-19 restent une activité criminelle insuffisamment combattue.
Les ransomwares ou ransomwares offrent aux criminels un environnement particulièrement favorable pour lancer des attaques contre des systèmes médicaux qui sont plus importants que jamais et qui sont généralement des proies faciles pour les malwares.
Il est envisagé qu’en 2021, une attaque contre rançon contre une nouvelle entreprise soit lancée toutes les 11 secondes, sachant que nombre de ces attaques seront menées à grande échelle par des criminels cherchant à exploiter des vulnérabilités logicielles connues.
Des attaques de rançongiciels ont été imposées sur la scène internationale en mai 2017 lors de la tristement célèbre attaque appelée WannaCry. L’incident, qui a exploité un bogue dans le système d’exploitation Windows, a empêché les utilisateurs d’accéder aux systèmes médicaux et a pris la date en otage.
L’une des principales raisons de l’attaque de WannaCry était que les ordinateurs ciblés n’avaient pas été mis à jour depuis plusieurs années. Et bien que de nombreuses entreprises soient bien protégées de ces exploits, elles sont loin d’être le seul vecteur d’attaque qui nécessite une rançon. Combinées à d’autres techniques d’ingénierie sociale, les attaques de phishing et de spear phishing sont en fait des moyens très efficaces qui permettent aux criminels de violer la sécurité et d’accéder aux données.
Les ransomwares sont au mieux un fléau pour la communauté. Et lors d’une pandémie, elles pourraient avoir un effet catastrophique. Les hôpitaux et les sociétés médicales ont été avertis par Interpol qu’ils pourraient être la cible d’attaques de rançon pendant cette période de panique et de communication accrue. Ajoutez à cela le système d’information qui est connu pour être obsolète, et aujourd’hui les établissements de santé sont susceptibles d’utiliser des logiciels qui contiennent des vulnérabilités qui ne demandent qu’à être exploitées.
Mais pourquoi est-il si important pour les institutions financières et autres entités qui traitent l’argent? Parce que ces attaques empêchent souvent les utilisateurs d’accéder aux données jusqu’à ce qu’une rançon ait été payée sous la forme d’un paiement numérique pour restaurer l’accès aux données. Cependant, les rançonneurs disposent désormais d’une grande quantité d’argent numérique, souvent en bitcoins, qu’ils doivent convertir en espèces avant de les transférer sur leurs comptes. Et pour ce faire, ils doivent recourir au système financier.
Par conséquent, les institutions financières et les entreprises du secteur doivent veiller à ne pas faciliter le paiement de la rançon. Dans certains cas, il s’agit de lutter contre une certaine forme de blanchiment d’argent, mais aussi d’éviter la violation des sanctions.
Ransomware et violations des sanctions Le ransomware est un outil traditionnellement utilisé par certains pays sanctionnés pour obtenir des fonds. Il s’agit d’une pratique particulièrement utile pour les nations sanctionnées sur plusieurs fronts et effectivement coupées de l’économie mondiale. La Corée du Nord a été accusée à plusieurs reprises de l’utiliser, en particulier lors de l’attaque de WannaCry.
Il s’agit d’une activité très lucrative, surtout lorsqu’elle est réalisée au niveau national. Les cyberattaques lancées depuis Pyongyang sont innovantes, efficaces et représentent 2 milliards de dollars. En prenant du recul, il n’est guère surprenant qu’une entité sanctionnée utilise des cyberattaques pour lever des capitaux lorsqu’elle est exclue du marché mondial.
Depuis le début de la pandémie, les attaques de logiciels malveillants et les rançons ont demandé peu de couverture dans la presse spécialisée. Mais comme le paiement d’une rançon peut désormais être interprété comme une violation des sanctions dans un contexte bien précis, les institutions financières doivent désormais être plus vigilantes à cet égard.
Les institutions financières doivent toujours préparer un rapport d’activité suspecte lorsqu’elles pensent avoir affaire à un paiement de rançon ou faire face à une demande de rançon. Ils doivent également coopérer avec l’unité d’intelligence économique ou de conformité financière appropriée. Une application généralisée de cette pratique éviterait d’atténuer ces informations et faciliterait l’identification des criminels. Mais autoriser cette transaction en premier lieu est rarement une question simple.
Faciliter le paiement d’une rançon en soi peut rendre une institution financière responsable de la violation des sanctions. Deux personnes basées en Iran et sanctionnées sur la liste des ressortissants spécialement désignés créée par l’OFAC ont facilité la conversion des fonds d’une attaque par rançongiciel en 2016. Les auteurs de cette attaque ayant été sanctionnés et les adresses des portefeuilles numériques en question correspondaient bien aux sanctions imposées. les institutions financières concernées étaient exposées au risque de sanctions secondaires. Quant à ces individus basés en Iran et qui ont converti des bitcoins en rial iranien, l’OFAC avait à l’époque publié une déclaration rappelant que «peu importe si une transaction est libellée en monnaie numérique ou en fiduciaire traditionnel monnaie, les obligations de conformité de l’OFAC restent les mêmes ».
Comprendre la rançon
L’OFAC a précédemment déclaré que les entreprises américaines doivent savoir qui reçoit les transferts d’argent, même lorsqu’ils sont transformés en portefeuille numérique, une position soutenue par la règle de voyage du GAFI. Par conséquent, toute infraction à cette règle pourrait entraîner des sanctions sévères.
Les régulateurs n’ont pas encore abordé les paiements liés aux attaquants de ransomware. Il est généralement admis que ces paiements ne sont pas effectués volontairement, que les entreprises sont victimes d’extorsion et que les institutions financières participant au paiement ne sont qu’une partie d’une chaîne destinée à restaurer le fonctionnement d’une entreprise. une partie de leur clientèle. Nous ne savons pas si cette vision est susceptible de changer, mais une réflexion semble avoir commencé selon que les fonds sont destinés ou non à des entités non sanctionnées.
Cependant, si les futures institutions financières sont obligées d’identifier les entités auxquelles elles envoient de l’argent, les attaques de ransomwares nécessiteront une collecte accrue de renseignements. Il faudra également s’assurer que les équipes chargées de la conformité pourront consacrer le temps nécessaire à la conduite des recherches.
Une fois l’attaque du ransomware lancée, la rançon payée et l’argent converti, ce dernier intègre le système financier, ce qui ne doit cependant pas faire passer cette opération inaperçue.
Grâce à la surveillance automatique et puissante des transactions, les responsables de la conformité peuvent passer plus de temps à enquêter sur les activités suspectes et à identifier les bons destinataires de l’argent.
La surveillance des transactions est un goulot d’étranglement traditionnel pour les entités de conformité. En fait, enquêter sur les transactions peut être un processus lourd, tandis que trouver des sujets pertinents peut être fastidieux. Ce n’est un secret pour personne que les criminels utilisent constamment de nouvelles méthodes pour déplacer de l’argent et essaient de se fondre dans les flux de trésorerie fous associés à la panique économique mondiale en cours. Cependant, l’utilisation d’une solution automatisée vous permet de définir des règles personnalisées pour détecter les comportements suspects et anormaux et identifier les transactions qui portent de l’argent sale.
Pendant la crise du COVID-19, les rançongiciels ont été repris par des criminels pour de l’argent. Vous devez en être conscient et vous y préparer. Sinon, les conséquences pourraient être désastreuses pour toute institution financière impliquée de quelque manière dans ces stratagèmes frauduleux. LIEN
Ransomware ou rançongiciel en français est un logiciel malveillant qui prend en otage des données. Le ransomware crypte et bloque les fichiers sur votre ordinateur et nécessite une rançon en échange d’une clé qui leur permet de les décrypter. Le ransomware, qui est apparu pour la première fois en Russie, s’est répandu dans le monde entier, principalement aux États-Unis, en Australie et en Allemagne. Souvent, le ransomware s’infiltre sous la forme d’un ver informatique, via un fichier téléchargé ou reçu par e-mail, et crypte les données et les fichiers de la victime. Le but est d’extorquer une somme d’argent qui est le plus souvent payée par monnaie virtuelle pour éviter les traces. LIEN
Depuis plusieurs années, je vous parle du double effet RGPD chez les pirates. Le double effet d’une cyber-attaque de ransomware. Voici le troisième effet, la vente aux enchères de données volées.
Je dois admettre que je n’ai pas vu venir ce troisième effet RGPD provenant de pirates informatiques et d’opérateurs de transomware. Le double effet du règlement général sur la protection des données étant annoncé depuis plusieurs années, ce troisième effet est encore plus « inquiétant ».
Le premier effet est d’héberger des machines et des fichiers en les chiffrant. Vous payez pour le décryptage des documents pris en otage. Un « classique » du chantage numérique. Des groupes comme Rex Mundi en sont devenus les maîtres en 2015.
Le deuxième effet, la menace de pirates informatiques révélant vos informations pour « alerter » les autorités.
Le troisième effet, les ventes de données volées aux enchères.
Si depuis des années je rencontre des magasins sur les marchés noirs qui se spécialisent dans ce type d’entreprise d’achat et de vente d’informations sensibles et en interne pour une entreprise, la promotion de ce marché est nouvelle.
Enchères
Les premiers à l’annoncer, les opérateurs pirates de Sodinokibi. D’abord, de manière « astucieuse », en menaçant un cabinet d’avocats new-yorkais de divulguer les informations de leurs célèbres clients: Lady Gaga, Madonna, Trump … Dans ce dernier cas, les informations et la demande de rançon ont disparu comme par magie.
Selon Lady Gaga, selon les pirates, quelqu’un aurait payé (le label? L’artiste? Un fan?). Pour Madonna, Sodinokibi réclame comme prix de départ, 1 million de dollars. Ils viennent d’annoncer les diffusions du 3 juin prochain sur les stars américaines.
Deux semaines plus tard, arrive le marché des pirates. Ils ont créé une section de leur entreprise qu’ils ont appelée «Vente aux enchères». Conclusion, nous sommes confrontés à une salle d’enchères pour les données volées à des entreprises qui n’ont pas payé les deux premiers chantage.
Dépôt de garantie de 5 000 $
Le système de hacker est très professionnel. Nous constatons qu’ils ne sont pas à leur première tentative. J’avouerais même, sans trop en dire, que leur système a déjà été vu sur deux marchés noirs, comme la gestion et la création d’un compte participant.
Le site pirate génère automatiquement un mot de passe unique pour participer aux enchères! – Source: zataz.com
Pour participer à l’enchère, il vous suffit de vous inscrire. Après avoir passé un captcha anti-bot, un identifiant de connexion de type 92829, un mot de passe et une adresse de transaction dans la crypto-monnaie Monero (XMR) sont générés automatiquement et de manière aléatoire. Une monnaie qui est devenue depuis quelques semaines la référence des voyous 2.0 abandonnant le Bitcoin. Vous remarquez dans ma capture d’écran ci-dessous que le système pirate peut changer de devise.
Une adresse de paiement dans Monero est générée par. Acheteur. Les Pirates exigent une caution de 5 000 $.
Concernant une vente notariée légitime, un acompte est demandé. C’est 5 000 dollars américains. « Avant de pouvoir enchérir, vous devez envoyer une caution », ont expliqué les pirates. Si quelqu’un d’autre gagne ce prix, votre dépôt sera remboursé. Ne t’inquiète pas. Vous verrez votre dépôt et toutes vos transactions. Si vous gagnez un prix mais ne payez pas votre mise, vous perdrez votre dépôt. »
Ransomware: Le groupe reconnaît une cyberattaque sur ses serveurs Congo le 14 mai. Il rend toujours compte des enquêtes en cours sans fournir plus de détails. L’attaquant menace bientôt de divulguer des données volées.
Le groupe Bolloré est apparu sur le blog des opérateurs de ransomware NetWalker ce week-end. L’incident remonte en fait à la mi-mai, mais il ne semble pas toucher autant le groupe que l’une de ses différentes filiales. LIEN
Lady Gaga, Madonna, Mariah Carey, Bruce Springsteen ou même les membres de U2 pourraient payer le prix d’une attaque de ransomware majeure contre un célèbre cabinet américain.
Le groupe de cybercriminels derrière le rançongiciel REvil / Sodinokibi a une nouvelle cible. Il s’agirait d’un célèbre cabinet d’avocats basé à New York. Il s’appelait Grubman Shire Meiselas & Sacks (GSMS) et il a été victime d’une tentative de chantage la semaine dernière après avoir été infecté par cette rançon.
Le 7 mai, les opérateurs REvil ont envoyé un message au personnel du GSMS sur un portail Web sombre menaçant l’entreprise de divulguer des fichiers sur ses clients, des fichiers que le gang REvil a volés du réseau interne de l’entreprise. avocats avant de crypter.
Les captures d’écran publiées sur le site suggéraient que des pirates avaient volé des documents relatifs à la clientèle de célébrités qui représente GSMS, parmi lesquels des célébrités telles que Lady Gaga, Madonna, Mariah Carey, Nicki Minaj, Bruce Springsteen, U2 ou le duo Outkast .
GSMS a confirmé l’incident et tenté d’extorsion lundi dans une déclaration au site Web de nouvelles de divertissement Variety. Les pirates ont donné à l’entreprise une semaine pour négocier et payer la rançon qui a expiré la nuit dernière lorsque les pirates ont publié un autre message sur leur site Web. Les cybercriminels ont déclaré que GSMS n’avait proposé de payer que 365 000 $ sur les 21 millions de dollars demandés. Conséquence: ce dernier a désormais doublé le besoin de solution à 42 millions de dollars.
Le spécialiste français du revêtement a été surpris par la sortie du ransomware à la mi-mars, juste après le lancement du confinement. Il semble déterminé à résister à la pression des opérateurs DoppelPaymer. LIEN
Sodinokibi rejoint la liste des ransomwares qui utilise le gestionnaire de redémarrage de Windows pour faciliter le chiffrement des fichiers.
Gestionnaire de redémarrage Windows, meilleur allié des ransomwares?
Nous avons vu des références comme SamSam et LockerGoga en faire usage.
Sodinokibi – également connu sous le nom de REvil – vient de rejoindre la liste.
En règle générale, l’administrateur du redémarrage supprime la nécessité de redémarrer Windows après l’installation ou la mise à jour d’une application.
Les installateurs peuvent l’utiliser pour signaler les fichiers qu’ils souhaitent remplacer. Windows peut alors s’assurer que ces fichiers sont «gratuits» en fermant temporairement toutes les applications ou services qui pourraient les avoir verrouillés.
Déverrouillez pour un meilleur cryptage
Sodinokibi utilise cet outil pour assurer un accès maximal aux fichiers à chiffrer.
Il met en œuvre une routine qui tente systématiquement de réserver ledit accès. Laisse appeler l’administrateur de redémarrage en cas de conflit avec la fonction RmStartSession.
Un autre appel, cette fois à la fonction RmRegisterResources, vous permet d’attacher des ressources (ici les noms des fichiers à déverrouiller) à la session en cours.
RmGetList récupère ensuite la liste des applications et / ou services qui utilisent ces fichiers.
Sodinokibi n’a alors plus qu’à terminer la session (RmEndSession) puis fermer ces éléments. Pour les processus, cela se fait avec TerminateProcess; pour les services avec ControlService puis DeleteService.
Étant donné que l’administrateur de redémarrage ne peut pas agir sur les processus critiques, ce statut est extrait à l’avance avec ZwSetInformationProcess.
LockerGaga a été découvert il y a environ un an et a la particularité d’accélérer le processus en démarrant un processus pour chaque fichier à chiffrer. SamSam, dont la première piste a été trouvée il y a quatre ans, a initialement exploité des vulnérabilités sur les serveurs JBoss. LIEN
Le ransomware reste la plus grande menaceinformatique pour les entreprises en 2020. Une étude de Sophos révèle que les victimes ne devraient jamais payer la rançon requise par les pirates, car cela doublerait presque le coût total de la rançon. La clé de chiffrement promise par les auteurs n’est jamais suffisante pour récupérer toutes les données chiffrées. LIEN
La société de services numériques s’est déclarée victime du rançongiciel Maze à la mi-avril. Aujourd’hui, elle déclare que cette cyberattaque a particulièrement affecté son organisation de devoirs en pleine pandémie. Et prédisez un impact financier entre 50 et 70 millions de dollars. LIEN
Les équipes de FireEyes Mandiant Division ont identifié trois profils d’attaque différents pour implémenter ce ransomware. Cela met en évidence l’importance de la prévention sur deux vecteurs d’attaque importants.
Pitney Bowes vient d’être ajouté à la liste des victimes du rançongiciel Maze. Ou au moins partiellement. Le transporteur assure que les cybercriminels n’ont pas chiffré les systèmes ou les données: « notre équipe et nos outils de sécurité ont identifié et arrêté les attaquants avant de pouvoir chiffrer les données ou les services ». Cependant, l’attaquant a eu le temps d’accéder à « un éventail limité de partages d’entreprises ». Pitney Bowes avait déjà été touché par Ryuk l’automne dernier. Certaines leçons semblent avoir été tirées de l’incident, mais probablement pas encore assez. LIEN
Cliquez pour accéder à l'application.
Cliquez pour accéder à l'application.
