La chaîne de magasins canadienne "London Drugs" est victime d'une cyberattaque majeure ! Plusieurs magasins sont actuellement fermés à cause de cet incident de sécurité ! Faisons le point.
London Drugs est une grande chaîne de magasins canadiens qui vend des produits divers et variés : des produits de beauté, des outils de jardinage ou encore des ordinateurs. Le site officiel mentionne 80 magasins pour un total de 8 000 employés.
Le 28 avril 2024, les équipes techniques de London Drugs ont fait la découverte d'une intrusion sur leur système informatique. L'information a été révélée dimanche soir dans un e-mail envoyé à CBC/Radio-Canada.
Suite à cette cyberattaque, qualifiée de problème opérationnel, des mesures ont été prises : "London Drugs a immédiatement pris des contre-mesures pour protéger son réseau et ses données", notamment en sollicitant l'aide d'experts externes. De plus, la direction a pris la décision de fermer temporairement tous ses magasins présents dans l'ouest du Canada, pour une durée indéterminée. Il s'agit d'une mesure de précaution et une conséquence de l'indisponibilité éventuelle d'une partie du système informatique. Rien qu'en Colombie-Britannique, London Drugs compte plus de 50 magasins.
Pour le moment, aucune information n'a été publiée quant à l'origine de cette attaque. Nous ignorons s'il s'agit d'un ransomware et s'il y a eu un vol de données.
Environ 1 000 serveurs exposés sur Internet sont vulnérables à une faille de sécurité critique présente dans l'application CrushFTP ! Elle a déjà été exploitée par les cybercriminels en tant que zero-day ! Voici ce qu'il faut savoir.
La faille de sécurité CVE-2024-4040 dans CrushFTP
Il y a quelques jours, une faille de sécurité critique a été découverte dans l'application CrushFTP, qui, comme son nom l'indique, permet de mettre en place un serveur FTP.
Associée à la référence CVE-2024-4040, elle permet à un attaquant distant et non authentifié de lire des fichiers présents sur le serveur, d'outrepasser l'authentification pour obtenir les droits admins et d'exécuter du code arbitraire sur le serveur. Autrement dit, si un serveur est vulnérable, il peut être totalement compromis par cette faille de sécurité et un attaquant peut en prendre le contrôle.
Un rapport publié par Rapid7 met en avant le fait que cette vulnérabilité est facilement exploitable : "L'équipe de recherche sur les vulnérabilités de Rapid7 a analysée la CVE-2024-4040 et a déterminé qu'elle ne nécessite aucune authentification et exploitable de manière triviale."
Par ailleurs, d'après CrowdStrike, cette vulnérabilité a déjà été exploitée en tant que faille de sécurité zero-day dans le cadre d'attaques, notamment pour compromettre les serveurs CrushFTP de plusieurs organisations aux États-Unis.
Quelles sont les versions vulnérables ? Comment se protéger ?
La vulnérabilité CVE-2024-4040 affecte toutes les versions de CrushFTP antérieures à 10.7.1 et 11.1.0, sur toutes les plateformes sur lesquelles l'application est prise en charge. Autrement dit, pour vous protéger, vous devez passer sur l'une des deux nouvelles versions publiées par CrushFTP : 10.7.1 ou 11.1.0.
"Les versions de CrushFTP v11 inférieures à 11.1 présentent une vulnérabilité qui permet aux utilisateurs d'échapper à leur VFS et de télécharger des fichiers système. Cette vulnérabilité a été corrigée dans la version 11.1.0.", peut-on lire sur le site officiel.
Environ 1 000 serveurs vulnérables
D'après le moteur Shodan.io, il y a 5 215 serveurs CrushFTP accessibles sur Internet, aux quatre coins du globe. Néanmoins, ceci ne donne pas le nombre de serveurs vulnérables.
Pour obtenir des informations plus précises, il faut se référer la carte publiée par The Shadowserver accessible à cette adresse. La carte a été actualisée le 27 avril 2024 et elle permet de connaître le nombre de serveurs CrushFTP vulnérables par pays.
Voici quelques chiffres clés :
États-Unis : 569
Allemagne : 110
Canada : 85
Royaume-Uni : 56
France : 24
Australie : 20
Belgique : 19
Suisse : 13
Tous les administrateurs de serveurs CrushFTP sont invités à faire le nécessaire dès que possible ! Cette vulnérabilité représente un risque élevé.
Depuis novembre 2023, un groupe de pirates exploite 2 failles de sécurité zero-day présentes dans les firewalls Cisco pour compromettre des infrastructures gouvernementales dans le monde entier. Faisons le point sur cette menace.
Si vous utilisez un firewall Cisco ASA (Adaptive Security Appliance ou Cisco FTD (Firepower Threat Defense), vous devriez lire cette alerte de sécurité avec une attention particulière. Un groupe de pirates, traqués sous le nom UAT4356 par Cisco Talos, et STORM-1849 par Microsoft, a compromis des firewalls vulnérables au début du mois de novembre 2023, dans le cadre d'une campagne de cyberespionnage baptisée "ArcaneDoor".
Dans le cadre de ces attaques, le groupe de pirates a exploité deux vulnérabilités en tant que failles de sécurité zero-day :
CVE-2024-20353 : un attaquant distant non authentifié peut provoquer un déni de service sur l'appareil.
CVE-2024-20359: un attaquant local authentifié peut exécuter un code arbitraire avec les privilèges "root", ce qui implique de compromettre l'appareil au préalable.
Ce n'est qu'en janvier 2024 que Cisco a pris connaissance de la campagne ArcaneDoor. Mais, d'après les chercheurs en sécurité de chez Cisco, les attaquants ont développé et testé des exploits pour ces deux failles zero-day en juillet 2023. Le vecteur d'attaque initial reste inconnu à ce jour.
Sur les appareils Cisco compromis et sur lesquels ils avaient la main, les pirates ont déployé des logiciels malveillants inconnus jusqu'ici. Le premier implant se nomme "Line Dancer" et il permet d'exécuter du code en mémoire pour désactiver la journalisation, activer l'accès distant ou encore exfiltrer les paquets capturés.
Le second implant se nomme "Line Runner" et il s'agit d'une porte dérobée persistante permettant l'exécution de code Lua sur les équipements, tout en étant discret et difficilement détectable.
Dans le rapport de Cisco Talos, nous pouvons lire : "UAT4356 a déployé deux portes dérobées dans le cadre de cette campagne, "Line Runner" et "Line Dancer", qui ont été utilisées collectivement pour mener des actions malveillantes sur la cible, notamment la modification de la configuration, la reconnaissance, la capture/exfiltration du trafic réseau et, éventuellement, le déplacement latéral."
Cisco a publié des correctifs de sécurité
Cisco a mis en ligne des correctifs de sécurité pour permettre aux entreprises de se protéger de ces failles de sécurité importantes, déjà exploitées dans le cadre de la campagne de cyberespionnage menée par le groupe UAT4356.
"Cisco recommande vivement à tous ses clients d'effectuer une mise à niveau vers les versions logicielles patchées.", peut-on lire sur le site de Cisco.
En complément de l'installation du correctif de sécurité, Cisco vous recommande de surveiller les journaux de système à la recherche d'une activité suspecte. Il peut s'agir d'un redémarrage non programmé de l'appareil, d'un changement de configuration ou encore de connexions suspectes.
Pendant 5 ans, des pirates sponsorisés par l'État chinois ont espionné le groupe automobile Volkswagen ! Pendant cette période, ils ont dérobé des milliers de documents confidentiels au sujet des futurs véhicules électriques de la marque, mais pas seulement...
19 000, c'est le nombre de documents qu'est parvenu à dérober un groupe de pirates, entre 2010 et 2015. Cette information a été révélée il y a quelques jours grâce à des journalistes allemands parvenus à obtenir des documents internes évoquant cet espionnage important. Pour être plus précis, le 20 avril 2024, les médias allemands ZDF et Der Spiegel ont publié des articles à ce sujet.
Un groupe de pirates lié à la Chine ?
Même si la Chine n'est pas directement accusée de cet acte de cyberespionnage, tout porte à croire qu'elle en est à l'origine. En effet, il y a plusieurs indices qui vont dans ce sens, notamment la méthodologie employée par les pirates et le fait que les adresses IP utilisées par les pirates soient associées à la Chine. Bien qu'il n'y ait pas de preuve réelle, voici ce que l'on peut lire dans l'article du média ZDF : "Nous avons pu remonter l'adresse IP jusqu'à Pékin, et même jusqu'à l'Armée populaire de libération (APL)."
Par ailleurs, les pirates ont utilisé deux logiciels espions habituellement utilisés par les acteurs étatiques chinois : "China Chopper" et "PlugX". Par exemple, China Chopper est un web shell découvert pour la première fois en 2012 et utilisé pour obtenir la persistance sur un système compromis.
À quoi correspondent les documents volés ?
Au total, les pirates auraient volé environ 19 000 documents. Mais, alors, à quoi correspondent-ils ? Au-delà des informations au sujet des véhicules électriques de Volkswagen, les pirates ont mis la main sur d'autres documents, car ce n'était pas leur cible initiale. Parmi les objectifs identifiés des pirates, il y avait :
Le développement de moteurs à allumage commandé
Le développement de boîtes de vitesses
Les boîtes de vitesses à double embrayage
Par ailleurs, des documents relatifs aux boites de vitesses automatiques, aux travaux effectués sur les piles à combustibles ou encore l'e-Mobilité, ont été dérobés par les cybercriminels.
Cette affaire est clairement de l'espionnage industriel et les documents volés ont pu participer à donner un avantage concurrentiel à la Chine, si elle est bien à l'origine de cette attaque. Ceci est d'autant plus vrai que le groupe Volkswagen comprend également d'autres marques comme Audi, Lamborghini, MAN, Porsche, Skoda et Bentley.
Tarn: la Ville d'Albi est actuellement victime d'une cyberattaque qui est déroulée dans la nuit de dimanche à lundi ! Certains services sont inaccessibles suite à cet incident de sécurité. Voici ce que l'on sait !
La Ville d'Albi a été ciblée par une cyberattaque qui s'est déroulée dans la nuit du dimanche 21 avril au lundi 22 avril 2024. Sur ses réseaux sociaux, notamment sur Facebook, la Ville d'Albi précise : "La Ville d’Albi est victime depuis ce lundi 22 avril 2024 à 6h du matin d’une attaque informatique."
Sans surprise, cette cyberattaque perturbe les activités des services publics de la Ville d'Albi (Mairie, Police municipale, État civil, Urbanisme, etc.), et directement, les Albigeoises et les Albigeois. Le communiqué officiel donne quelques précisions à ce sujet : "Les numéros de téléphone habituels, les mails et les services informatiques du quotidien sont inaccessibles pour une durée indéterminée." - Ce qui n'est pas étonnant, car l'accès à Internet a probablement été désactivé volontairement suite à cette intrusion.
D'après des propos relayés par le site La Dépêche, un agent a évoqué un retour au papier et au stylo, en indiquant que "Tout a été crypté" pour reprendre les termes exacts qu'il a utilisés. S'il y a réellement eu un chiffrement des données, cela signifierait que la Ville d'Albi serait victime d'une attaque par ransomware. Il s'agit là que d'une hypothèse, car aucune information officielle n'a été publiée quant à l'origine de cette attaque.
De son côté, un syndicat a évoqué la paie des agents : s'il y a une perte de données, la paie sera identique au mois dernier et une régularisation sera effectuée plus tard. Un représentant du personnel a indiqué que cette décision avait été prise en accord avec le Trésor public.
En attendant, les équipes techniques doivent identifier l'origine de cette cyberattaque et restaurer les services afin qu'ils soient de nouveau en ligne. D'ailleurs, en réponse à cet incident de sécurité, la Ville d'Albi a sollicité l'aide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), habituée à gérer ce type d'événement.
En novembre 2023, la société Derichebourg a subi une cyberattaque ayant entrainé une paralysie totale et temporaire de son logiciel d'exploitation. Cet incident de sécurité aurait fait perdre entre 15 et 20 millions d'euros à l'entreprise.
Dans la nuit du 9 au 10 novembre 2023, le groupe français Derichebourg, spécialisé dans le recyclage de métaux, avait été victime d'une cyberattaque ayant eu un impact important sur une partie de son activité : "Le groupe Derichebourg a subi une cyberattaque qui n’a pas interrompu ses activités opérationnelles mais en a cependant perturbé le déroulement.", peut-on lire dans le communiqué de presse publié mardi 16 avril 2024.
La cyberattaque a impactée directement le logiciel d'exploitation principal utilisé par les équipes du groupe Derichebourg et Derichebourg Multiservices. Cette indisponibilité, bien que temporaire, a été relativement longue à en croire les informations fournies dans le communiqué de presse : "Cette cyberattaque a cependant perturbé le déroulement des activités du fait de l'indisponibilité temporaire du principal logiciel d'exploitation, en particulier au cours des mois de novembre 2023, décembre 2023 et dans une moindre mesure janvier 2024."
Cette indisponibilité du logiciel d'exploitation causée par la cyberattaque a perturbé le pilotage de l'activité de l'entreprise, et il a été à l'origine de pertes de volumes d'achats et de retard dans la saisie informatique. Résultat, Derichebourg estime que cette cyberattaque a un impact financier compris entre 15 et 20 millions d'euros. À cela s'ajoute des difficultés liées à la conjoncture actuelle et à la difficulté du marché.
Pour ces différentes raisons, le groupe Derichebourg estime qu'il est peu probable d'atteindre son objectif initial pour l'année 2024 : 350 millions d'euros d'excédent. Enfin, sachez que suite à la publication de ce communiqué de presse, le titre Derichebourg a fortement reculé à la Bourse de Paris.
Depuis quelques jours, la faille de sécurité critique découverte dans le système PAN-OS utilisé par les firewalls de Palo Alto Networks fait beaucoup parler d'elle. Désormais, un code d'exploitation est disponible et pourrait être utilisé pour compromettre les firewalls exposés sur Internet. Faisons le point.
Rappel sur la vulnérabilité CVE-2024-3400
Voici un résumé de la situation actuelle, avec quelques dates et points clés :
Depuis le 26 mars 2024, une nouvelle faille de sécurité zero-day est exploitée par les cybercriminels dans le cadre d'attaque. Elle a été utilisée pour déployer une porte dérobée nommée Upstyle et pivoter vers l'infrastructure interne de l'entreprise. Lors d'une attaque, les pirates sont parvenus à voler des données sensibles telles que la base de données Active Directory.
Vendredi 12 avril 2024, Palo Alto Networks a publié un bulletin de sécurité pour évoquer cette vulnérabilité (CVE-2024-3400) et les risques associés.
Dimanche 14 avril 2024, l'éditeur a publié de premiers correctifs de sécurité à destination de ses firewalls sous PAN-OS : PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1 et PAN-OS 11.1.2-h3. Depuis, de nouveaux correctifs ont été publiés, car Palo Alto Networks va publier des patchs pour une dizaine de versions différentes de PAN-OS.
Voici nos précédents articles pour approfondir le sujet :
Un code d'exploit et des dizaines de milliers de firewalls vulnérables
Le mardi 16 avril 2024, watchTowr Labs a publié un rapport au sujet de cette vulnérabilité, ainsi qu'un PoC d'exploitation permettant d'exécuter des commandes à distance sur un firewall vulnérable. Dans le même temps, Justin Elze, directeur technique de TrustedSec, a également évoqué sur X (Twitter) un exploit utilisé par les cybercriminels pour exporter la configuration du pare-feu Palo Alto pris pour cible.
D'après une carte partagée par The Shadowserver Foundation, il y a environ 156 000 firewalls Palo Alto exposé sur Internet et potentiellement vulnérables. Ce chiffre est à prendre avec des pincettes, car il ne tient pas compte de la version de PAN-OS, ni de la configuration.
Vendredi dernier, le chercheur en sécurité Yutaka Sejiyama, a partagé sur X (Twitter) des statistiques au sujet des firewalls vulnérables à cette faille de sécurité. Il en a identifié un peu plus de 82 000 firewalls. Ce chiffre a certainement diminué désormais, mais le nombre de cibles potentielles doit rester élevé.
Voici quelques chiffres clés (nombre de firewalls vulnérables par pays) :
États-Unis : 32 916
Allemagne : 3 268
Royaume-Uni : 3 213
Canada : 2 239
France : 1 794 (sur un total de 3 162, si l'on s'appuie sur la carte de The Shadowserver Foundation)
Belgique : 772
Suisse : 561
Le correctif de sécurité comme seule et unique solution pour se protéger
La seule solution pour vous protéger, c'est d'installer le correctif de sécurité sur votre firewall. La mesure d'atténuation partagée initialement par Palo Alto consistait à désactiver la télémétrie, mais elle n'est pas efficace et ne permet pas de se protéger.
Voici ce que l'on peut lire dans le bulletin de sécurité de Palo Alto : "La désactivation de la télémétrie sur l'équipement n'est plus une mesure d'atténuation efficace. Il n'est pas nécessaire que la télémétrie soit activée pour que les pare-feux PAN-OS soient exposés aux attaques liées à cette vulnérabilité."
Malgré tout, si vous avez un abonnement à la fonction "Threat Prevention", vous pouvez bloquer cette attaque en activant la protection contre la menace avec l'ID 95187. De plus, assurez-vous que cette protection soit activée sur l'interface GlobalProtect, en suivant cette page de la documentation. Cette méthode est toujours efficace.
Alpes-Maritime : l'Hôpital Simone Veil de Cannes est actuellement victime d'une cyberattaque ! Certaines activités clés sont paralysées suite à cet incident de sécurité. Voici ce que l'on sait !
Malheureusement, l'Hôpital Simone Veil de Cannes vient s'ajouter à la longue liste d'hôpitaux victimes d'une cyberattaque, malgré tous les efforts effectués par les équipes techniques. Cette cyberattaque s'est visiblement déroulée dans la nuit du 15 au 16 avril, puisque les activités de l'Hôpital sont perturbées depuis mardi 16 avril. Plusieurs systèmes informatiques sont paralysés suite à cet incident.
En réponse à cet incident de sécurité, une cellule de crise a été activée "en lien avec l’Agence Régionale de santé PACA et le Groupement Hospitalier de territoire des Alpes Maritimes, le directeur et le président de la commission médicale d’établissement.", peut-on lire sur le compte X (Twitter) du centre. L'ANSSI est également sur le coup pour l'accompagnement technique.
Cette cyberattaque impact l'hôpital et ce dernier ne peut pas fonctionner normalement. Justement, en attendant un retour à la normale, les opérations non urgentes ont été reportées, tout comme les consultations. "Dans ce cadre, le CH est contraint de reporter l’activité programmée non urgente n’entraînant pas de perte de chance. Les consultations non urgentes sont également reportées jusqu’à retour à la normale.", a indiqué l'Hôpital Simone Veil sur X.
Pour le moment, aucune information n'a été publiée quant à l'origine de cette attaque. Nous ignorons s'il s'agit d'un ransomware. Si vous disposez d'informations supplémentaires, n'hésitez pas à commenter cet article ou à me contacter.
Nexperia, un important fabricant de semi-conducteurs néerlandais, a été victime d'une cyberattaque par ransomware lors de laquelle les pirates sont parvenus à exfiltrer des données de l'entreprise. Voici ce que l'on sait sur cet incident de sécurité !
Établie aux Pays-Bas, l'entreprise Nexperia est un fabricant de semi-conducteurs présents dans le monde avec 15 000 employés répartis en Europe, aux États-Unis et en Asie. L'entreprise Nexperia fabrique et expédie plus de 100 milliards de produits par an, et elle réalise un chiffre d'affaires annuel de plus de 2,1 milliards de dollars.
Vendredi 12 avril 2024, un communiqué de presse a été publié par Nexperia afin de confirmer publiquement qu'un groupe de cybercriminels était parvenu à s'introduire sur certains serveurs. Cette intrusion a eu lieu en mars 2024 et dès qu'elle a été détectée, les équipes de Nexperia sont intervenues : "Nous avons rapidement pris des mesures et déconnecté les systèmes concernés de l'internet afin de contenir l'incident et de mettre en œuvre des mesures d'atténuation importantes."
En parallèle, Nexperia a ouvert une enquête dans le but d'identifier la nature et les conséquences exactes de l'incident. Les investigations sont menées en collaboration avec une équipe de spécialistes de chez FoxIT, sollicités en réponse à cet incident.
1 To de données dans la nature ?
Le 10 avril 2024, le site d'extorsion "Dunghill Leak" a annoncé le vol de 1 To de données confidentielles sur les serveurs de Nexperia. Si la rançon n'est pas payée par le fabricant néerlandais, Dunghill menace de publier les données (ou de les revendre à un tiers malveillant) suivantes :
371 Go de données sur la conception et les produits, y compris le contrôle de qualité, les accords de confidentialité, les secrets commerciaux, les spécifications techniques, les schémas confidentiels et les instructions de production.
246 Go de données d'ingénierie, dont des documents correspondants à des études internes et des technologies de fabrication.
96 Go de données commerciales et de marketing, y compris des analyses de prix.
41,5 Go de données liées aux ressources humaines, aux données personnelles des employés, avec notamment des copies de passeports de salariés.
109 Go de données de clients et d'utilisateurs, parmi lesquelles des marques comme SpaceX, IBM, Apple et Huawei.
121,1 Go de fichiers et de données diverses, dont des fichiers relatifs aux e-mails.
En guise de preuves, une partie des données a été divulguée par Dunghill : des images de composants électroniques scannés au microscope, des passeports d'employés et des accords de non-divulgation. Pour le moment, Nexperia ne s'est pas exprimé au sujet de ces documents.
Loire-Atlantique : la ville de Saint-Nazaire et son agglomération sont actuellement victimes d'une cyberattaque qui s'est déroulée dans la nuit du 9 au 10 avril 2024. Voici ce que l'on sait.
À cause d'une cyberattaque qui s'est déroulée dans la nuit du 9 au 10 avril 2024, les services de la Ville de Saint-Nazaire et de son agglomération sont paralysés : les agents sont injoignables, que ce soit par e-mail, ou par téléphone, depuis ce mercredi matin. De plus, les serveurs sont inaccessibles, tous les partages de fichiers et les applications métiers. Le site Internet de la ville, probablement hébergé ailleurs, reste accessible et un communiqué de presse a été publié.
Cette cyberattaque qualifiée d'attaque de "grande ampleur" impacte Saint-Nazaire, mais aussi les communes de Montoir-de-Bretagne, Donges, La Chapelle-des-Marais et Pornichet, puisqu'elles partagent les mêmes serveurs informatiques. De plus, la Sonadev et l’ADDRN (Agence pour le développement durable de la région nazairienne) sont également touchées par cette cyberattaque.
Depuis ce matin, les services informatiques sont sur le pont pour analyser l'ampleur de cette cyberattaque et rétablir les services impactés : "Les agents de la direction des systèmes d’information sont toutes et tous mobilisés pour rétablir au plus vite les outils de travail et le réseau sécurisé", peut-on lire.
Pour le moment, aucune information n'a été publiée quant à l'origine de cette attaque et nous ne savons pas non plus s'il s'agit d'un ransomware. Si vous disposez d'informations supplémentaires, n'hésitez pas à commenter cet article ou à me contacter.
Une faille de sécurité critique présente dans la solution FortiClient Enterprise Management Server (EMS) de chez Fortinet est activement exploitée par les cybercriminels ! Voici ce qu'il faut savoir sur cette menace !
Le 12 mars 2024, Fortinet a mis en ligne un bulletin de sécurité pour informer ses utilisateurs de la présence d'une vulnérabilité critique (score CVSSv3 de 9.3 sur 10) présente dans la solution FortiClient EMS.
Associée à la référence CVE-2023-48788, il s'agit d'une faiblesse de type "injection SQL" permettant à un attaquant non authentifié d'exécuter du code ou des commandes à distance sur la machine vulnérable. Autrement dit, un attaquant en mesure de communiquer avec un serveur vulnérable peut exécuter du code avec les privilèges SYSTEM dans le but de compromettre la machine.
Dans ce même bulletin de sécurité, nous pouvons lire ceci : "Cette vulnérabilité est exploitée dans la nature". De plus, mercredi 20 mars 2024, les chercheurs en sécurité de chez Horizon3.ai ont mis en ligneun rapport et un exploit PoC au sujet de cette faille de sécurité. Cet exploit se présente sous la forme d'un script Python et il est disponible sur GitHub.
"Pour transformer cette vulnérabilité d'injection SQL en exécution de code à distance, nous avons utilisé la fonctionnalité xp_cmdshell intégrée de Microsoft SQL Server.", peut-on lire dans le rapport d'Horizon3.ai. Cette fonction n'est pas activée par défaut sur SQL Server, ce qui explique de jouer certaines commandes en amont par l'intermédiaire de l'injection SQL.
Une recherche sur Shodan montre qu'il y a actuellement 446 serveurs FortiClient EMS exposés sur Internet, dont 13 en France et au Canada, 8 en Suisse et 4 en Belgique.
Comment se protéger ?
Voici un tableau récapitulatif avec la liste des versions affectées et la liste des versions qui intègrent un correctif de sécurité pour la CVE-2023-48788.
Dimanche dernier, les forces de l'ordre françaises ont procédé à l'arrestation de 3 personnes qui seraient impliquées dans la cyberattaque contre France Travail (ex-Pôle Emploi). Voici ce que l'on sait !
Rappel des faits : le 13 mars 2024, France Travail a révélé avoir subi une cyberattaque sur ses systèmes. Grâce à cette intrusion, les pirates sont parvenus à voler une base de données contenant les données personnelles de "potentiellement" 43 millions de personnes. Cette base de données ne contient pas d'informations bancaires, ni même les mots de passe des comptes, mais elle contient de précieuses informations sur les personnes concernées : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresse e-mail, adresse postale, et numéro de téléphone.
Trois jeunes mis en détention provisoire
Suite à cet incident de sécurité, une enquête a été ouverte et le travail de recherche a rapidement payé puisque ce dimanche 17 mars 2024, trois personnes ont été interpellées. Puis, ce mardi 19 mars 2024, elles ont été mises en examen et placées en détention provisoire pour accès et maintien frauduleux dans un système de traitement automatisé de données, extraction de ces données, escroquerie et blanchiment, le tout en bande organisée.
Comme le révèle le site Ouest France, la procureure de Paris, Laure Beccuau, a indiqué à l'AFP qu'il s'agissait de trois jeunes d'une vingtaine d'années, nés en novembre 2001 dans l’Yonne, et en septembre 2000 et septembre 2002 dans l’Ardèche.
Les enquêteurs ont pu mener des perquisitions aux domiciles des suspects et ils ont pu analyser le matériel informatique de ces derniers. Ils sont parvenus à identifier des preuves de participation à des activités d'escroquerie basée sur l'utilisation de campagnes de phishing. Pour le moment, des investigations sont en cours pour déterminer s'ils sont bien à l'origine de cette cyberattaque et identifier d'éventuels autres suspects.
Quoi qu'il en soit, la méfiance est de mise, car nous ne savons pas réellement qui a cette base de données en sa possession, et elle peut être utilisée pour mettre en place des campagnes d'hameçonnage.
France Travail, anciennement Pôle Emploi, est victime d'une nouvelle cyberattaque associée à une fuite de données ! Les pirates seraient parvenus à voler les données personnelles de, potentiellement, 43 millions de personnes. Faisons le point sur cet incident de sécurité.
En août 2023, il y a donc moins d'un an, Pôle Emploi (son nom de l'époque), avait déjà subi une cyberattaque et les pirates étaient parvenus à voler des informations au sujet de 10 millions de personnes inscrites à Pôle Emploi.
L'histoire se répète, et cette fois-ci, cela semble encore plus grave. Le 13 mars 2024, France Travail a publié un nouveau communique de presse pour révéler officiellement cet incident de sécurité qui aurait eu lieu entre le 6 février et le 5 mars 2024. Pour le moment, l'organisme français n'a donné aucune précision sur la nature de cette cyberattaque.
France Travail explique que les pirates sont parvenus à voler une base de données contenant les données personnelles de "potentiellement" 43 millions de personnes (pour reprendre le terme employé dans le communiqué).
Pour bien comprendre qui est impacté, France Travail précise que cette base de données contient les données "des personnes actuellement inscrites et des personnes précédemment inscrites au cours des 20 dernières années ainsi que des personnes non inscrites sur la liste des demandeurs d'emploi mais ayant un espace candidat sur francetravail.fr." - Ah oui, un historique sur 20 ans : étonnant, non ?
À quoi correspondent ces informations personnelles ?
Cette base de données contient de nombreuses informations sur les personnes concernées : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresse e-mail, adresse postale, et numéro de téléphone.
D'après France Travail, il n'y a pas de risque de compromission de votre espace utilisateur, ni même de fuite de vos coordonnées bancaires : "Les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cybermalveillance. Il n’existe donc aucun risque sur l’indemnisation."
Désormais, cet ensemble de données devrait se retrouver en vente sur le Dark Web et il sera probablement exploité par les cybercriminels pour mener des campagnes de phishing dans le but de vous arnaquer. Bien qu'il n'y ait aucune certitude, le risque est élevé. Avec autant d'informations personnelles disponibles, les pirates peuvent facilement usurper l'identité de France Travail en vous contactant (voire même de l'Assurance Maladie).
Par ailleurs, FranceConnect ne permet plus de s'authentifier à partir de son compte Ameli. Il s'agit probablement d'une mesure préventive prise par le gouvernement, puisque l'identifiant du compte Ameli est le numéro de sécurité sociale et que ce dernier est présent dans la fuite de données associée à cet incident de sécurité.
À quelques mois des Jeux Olympiques de Paris 2024, la pression continue de monter. Dimanche soir, plusieurs services de l'État ont été ciblés par des attaques informatiques d'une intensité inédite. À l'heure actuelle, certains sites restent inaccessibles. Voici ce que l'on sait.
Dimanche 10 mars 2024, dans la soirée, une vague d'attaques par déni de service distribué s'est abattu sur la France. Les pirates ont pris pour cible les sites de certaines entreprises, mais également plusieurs services de l'État : ministère de la Justice, ministère de la Culture, le site du Service à la personne, Géoportail, etc... Par exemple, les pirates ont attaqué une trentaine de sous-domaines de "gouv.fr". Au total, il y a eu au moins 200 sites visés simultanément, d'après le site Ouest France.
Dans le cas présent, l'objectif des pirates n'est pas de gagner de l'argent, mais plutôt de perturber et déstabiliser la cible, en l'occurrence, la France : ses services publics, ses entreprises. À l'heure actuelle, certains sites sont toujours indisponibles. Lundi 11 mars 2024, le gouvernement français a indiqué que ces attaques étaient d'une intensité inédite.
Pour parvenir à frapper fort, plusieurs groupes de pirates peuvent unir leurs forces pour mettre en œuvre des attaques par déni de service distribué (DDoS) dont l'objectif est de saturer une cible (ici, les sites web) jusqu'à la rendre indisponible et créer une interruption de service. Parmi les groupes qui participent à ces attaques, il y aurait les hacktivistes d'Anonymous Sudan qui ont pour habitude de s'en prendre "aux ennemis de la Russie". Même si ce groupe de hackers a revendiqué certaines de ces attaques sur Telegram, il convient de rester prudent quant à la crédibilité de cette information.
Il y a quelques jours, l'Union européenne a annoncé le lancement de son "Bouclier Cyber", un dispositif d'alerte qui vise à améliorer la détection des attaques informatiques et qui permettra aux pays européens d'unir leur force. Pour cela, l'Europe va s'appuyer sur un réseau de 6 ou 7 "cyber hubs" en charge de la détection des menaces et des attaques.
Fait très surprenant : l'agence américaine CISA, spécialisée dans la cybersécurité, a été victime d'une cyberattaque lors de laquelle les pirates ont exploité des failles de sécurité présentes dans les solutions Ivanti. Faisons le point sur cet incident de sécurité.
Pour ceux qui l'ignorent, aux États-Unis, la CISA c'est l'équivalent de l'ANSSI en France. À l'instar de l'ANSSI, cette agence américaine propose de nombreux guides de bonnes pratiques, de recommandations, parfois rédigés en collaboration avec la NSA. Elle est aussi garante d'un catalogue qui recense toutes les vulnérabilités connues et exploitées dans le cadre d'attaques.
Pourtant, des pirates sont parvenues à compromettre une partie de l'infrastructure de la CISA en exploitant des failles de sécurité présentes dans les systèmes Ivanti, et très largement exploitées depuis plusieurs semaines. D'ailleurs, le 29 février 2024, la CISA a mis en ligne un nouveau bulletin d'alerte pour indiquer que les cybercriminels exploitaient massivement les vulnérabilités présentes dans Ivanti Connect Secure et Policy Secure Gateways. L'agence américaine insiste bien sur le fait que les agences fédérales et les organisations privées doivent faire le nécessaire au plus vite pour se protéger (à croire que l'information n'a pas bien circulée en interne).
D'après des propos obtenus par les journalistes du site CNN, il y a eu deux systèmes impactés par cette cyberattaque. Le premier correspond à un programme permettant aux responsables fédéraux, étatiques et locaux de partager des outils d'évaluation de la cybersécurité et de la sécurité physique. Le second système, quant à lui, stocke des informations sur l'évaluation de la sécurité des installations chimiques, ce qui correspond à des informations sensibles.
Suite à cette cyberattaque, un porte-parole de la CISA a précisé qu'« il n'y a aucun impact opérationnel pour le moment ». Il a également précisé que l'agence américaine travaille sur son infrastructure afin de « mettre à niveau et de moderniser nos [ses] systèmes ».
Finalement, dans cette situation, l'expression "Les cordonniers sont souvent les plus mal chaussés" prend tout son sens... Et c'est surprenant, car la CISA était très bien informée sur le sujet...
Le spécialiste français du matériel informatique, LDLC, serait victime d'une importante fuite de données touchant 1,5 million de ses clients. Voici ce que l'on sait sur ce potentiel incident de sécurité !
Je suis à peu près certain que vous connaissez tous l'enseigne LDLC, quasi incontournable en France lorsque l'on souhaite acheter du matériel informatique, que ce soit en magasin ou en ligne. Malheureusement, LDLC serait victime d'un piratage qui aurait permis aux cybercriminels de mettre la main sur les données personnelles de 1,5 million de personnes. Il est important de préciser que la fuite de données concerne "LDLC.com" (car le groupe LDLC détient d'autres sites).
Ce jeudi 29 février 2024, l'information s'est rapidement répandue sur les réseaux sociaux, notamment par l'intermédiaire d'un tweet de Clément Domingo sur X (Twitter). Pour le moment, l'information est à prendre avec des pincettes puisque LDLC ne s'est pas exprimé officiellement. La seule chose que l'on sait, grâce à Clubic, c'est que LDLC a « enclenché une investigation » en s'appuyant sur ses « partenaires spécialisés en cybersécurité ». L'enquête est en cours pour voir si la fuite de données est avérée ou non.
Que contient cette fuite de données ?
D'après les pirates à l'origine de cette fuite de données, celle-ci contiendrait, à minima, les informations personnelles suivantes : nom, prénom, adresse e-mail, adresse postale complète, et numéros de téléphone fixe et portable. Il y aurait des informations sur les clients professionnels (ou les fournisseurs de LDLC) : raison sociale, TVA, e-mail du service comptable, délai de paiement, etc... Cette base de données est en vente sur le Dark Web.
Source : Twitter - Clément Domingo
Si vous êtes client et que vous disposez d'un compte, par précaution, et parce que 2 minutes suffiront, changez votre mot de passe sur le site LDLC.com.
Rappelons que ce n'est pas la première fois que LDLC subit une cyberattaque. En 2021, LDLC a été victime du groupe de pirates Ragnar Locker, ce qui s'est traduit par la mise en vente sur le Dark Web de données internes de LDLC.com (29 Go de données).
Une faille de sécurité critique découverte dans l'application ScreenConnect Server est très appréciée par les cybercriminels. Elle est exploitée par plusieurs gangs, dont Black Basta et Bl00dy. Faisons le point.
ScreenConnect et la faille de sécurité CVE-2024-1709
Lundi 19 février 2024, ConnectWise, éditeur de la solution ScreenConnect, a mis en ligne un bulletin de sécurité pour évoquer une faille de sécurité critique présente dans la partie "Serveur" de son application : CVE-2024-1709. ScreenConnect est une solution de prise en main à distance, et vous avez la possibilité d'héberger votre propre serveur, ou d'utiliser l'infrastructure de ConnectWise.
En exploitant cette vulnérabilité, un attaquant peut contourner l'authentification et exécuter du code à distance, sans aucune interaction de la part d'un utilisateur. La vulnérabilité est facile à exploiter et implique que l'attaquant soit en mesure de communiquer avec le serveur ScreenConnect. Résultat, elle peut être utilisée pour compromettre le serveur grâce à la création d'un compte administrateur.
Le problème, c'est qu'il y a énormément de serveurs ScreenConnect exposés sur Internet : on parle de plus de 10 000 serveurs, si l'on effectue une recherche via Shodan. Seuls environ 15% de ces serveurs utilisent la version 23.9.8 permettant de se protéger.
ConnectWise invite ses utilisateurs à patcher leur serveur dès que possible : "ConnectWise recommande aux partenaires de procéder immédiatement à une mise à jour vers la version 23.9.8 ou une version plus récente afin de remédier aux vulnérabilités signalées." - D'ailleurs, vous devez suivre l'upgrade path suivant : 2.1 → 2.5 → 3.1 → 4.4 → 5.4 → 19.2 → 22.8 → 23.3 → 23.9.
Remarque : ConnectWise a également corrigé la vulnérabilité CVE-2024-1708, de type Path-traversal.
Une vulnérabilité exploitée par plusieurs groupes de cybercriminels
Depuis une semaine, et un jour après la mise en ligne du correctif de sécurité, cette vulnérabilité est exploitée massivement par les cybercriminels. D'après Shadowserver, il y a plusieurs dizaines d'adresses IP à l'origine d'attaques à destination de serveurs ScreenConnect, dans le but de les compromettre en exploitant la faille de sécurité CVE-2024-1709.
Désormais, nous savons que les gangs de ransomware Black Basta et Bl00dy sont sur le coup ! Les chercheurs de Trend Micro ont fait cette découverte lors de l'analyse de plusieurs incidents de sécurité. Après avoir compromis le serveur ScreenConnect, les pirates ont pu accéder au réseau de l'entreprise ciblée pour déployer un web shell.
Trend Micro évoque également des notes de rançon, ainsi que d'autres malwares tel que XWorm, un logiciel malveillant assez polyvalent (remote access trojan avec des fonctions de ransomware).
Si vous utilisez ScreenConnect, patchez dès que possible ! Cette faille de sécurité critique est massivement exploitée par les gangs de ransomware !
Connexion
