En novembre 2023, la société Derichebourg a subi une cyberattaque ayant entrainé une paralysie totale et temporaire de son logiciel d'exploitation. Cet incident de sécurité aurait fait perdre entre 15 et 20 millions d'euros à l'entreprise.

Dans la nuit du 9 au 10 novembre 2023, le groupe français Derichebourg, spécialisé dans le recyclage de métaux, avait été victime d'une cyberattaque ayant eu un impact important sur une partie de son activité : "Le groupe Derichebourg a subi une cyberattaque qui n’a pas interrompu ses activités opérationnelles mais en a cependant perturbé le déroulement.", peut-on lire dans le communiqué de presse publié mardi 16 avril 2024.

La cyberattaque a impactée directement le logiciel d'exploitation principal utilisé par les équipes du groupe Derichebourg et Derichebourg Multiservices. Cette indisponibilité, bien que temporaire, a été relativement longue à en croire les informations fournies dans le communiqué de presse : "Cette cyberattaque a cependant perturbé le déroulement des activités du fait de l'indisponibilité temporaire du principal logiciel d'exploitation, en particulier au cours des mois de novembre 2023, décembre 2023 et dans une moindre mesure janvier 2024."

Cette indisponibilité du logiciel d'exploitation causée par la cyberattaque a perturbé le pilotage de l'activité de l'entreprise, et il a été à l'origine de pertes de volumes d'achats et de retard dans la saisie informatique. Résultat, Derichebourg estime que cette cyberattaque a un impact financier compris entre 15 et 20 millions d'euros. À cela s'ajoute des difficultés liées à la conjoncture actuelle et à la difficulté du marché.

Pour ces différentes raisons, le groupe Derichebourg estime qu'il est peu probable d'atteindre son objectif initial pour l'année 2024 : 350 millions d'euros d'excédent. Enfin, sachez que suite à la publication de ce communiqué de presse, le titre Derichebourg a fortement reculé à la Bourse de Paris.

Source

The post Derichebourg : 15 à 20 millions d’euros de perte, suite à une cyberattaque first appeared on IT-Connect.

Depuis quelques jours, la faille de sécurité critique découverte dans le système PAN-OS utilisé par les firewalls de Palo Alto Networks fait beaucoup parler d'elle. Désormais, un code d'exploitation est disponible et pourrait être utilisé pour compromettre les firewalls exposés sur Internet. Faisons le point.

Rappel sur la vulnérabilité CVE-2024-3400

Voici un résumé de la situation actuelle, avec quelques dates et points clés :

Depuis le 26 mars 2024, une nouvelle faille de sécurité zero-day est exploitée par les cybercriminels dans le cadre d'attaque. Elle a été utilisée pour déployer une porte dérobée nommée Upstyle et pivoter vers l'infrastructure interne de l'entreprise. Lors d'une attaque, les pirates sont parvenus à voler des données sensibles telles que la base de données Active Directory.

Vendredi 12 avril 2024, Palo Alto Networks a publié un bulletin de sécurité pour évoquer cette vulnérabilité (CVE-2024-3400) et les risques associés.

Dimanche 14 avril 2024, l'éditeur a publié de premiers correctifs de sécurité à destination de ses firewalls sous PAN-OS : PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1 et PAN-OS 11.1.2-h3. Depuis, de nouveaux correctifs ont été publiés, car Palo Alto Networks va publier des patchs pour une dizaine de versions différentes de PAN-OS.

Voici nos précédents articles pour approfondir le sujet :

• Firewalls Palo Alto : cette faille de sécurité zero-day non corrigée est déjà exploitée dans des attaques !
• Firewalls Palo Alto : la faille de sécurité CVE-2024-3400 exploitée depuis mars 2024 pour déployer une porte dérobée !
• Firewalls Palo Alto – CVE-2024-3400 : les premiers correctifs de sécurité sont disponibles !

Un code d'exploit et des dizaines de milliers de firewalls vulnérables

Le mardi 16 avril 2024, watchTowr Labs a publié un rapport au sujet de cette vulnérabilité, ainsi qu'un PoC d'exploitation permettant d'exécuter des commandes à distance sur un firewall vulnérable. Dans le même temps, Justin Elze, directeur technique de TrustedSec, a également évoqué sur X (Twitter) un exploit utilisé par les cybercriminels pour exporter la configuration du pare-feu Palo Alto pris pour cible.

D'après une carte partagée par The Shadowserver Foundation, il y a environ 156 000 firewalls Palo Alto exposé sur Internet et potentiellement vulnérables. Ce chiffre est à prendre avec des pincettes, car il ne tient pas compte de la version de PAN-OS, ni de la configuration.

Vendredi dernier, le chercheur en sécurité  Yutaka Sejiyama, a partagé sur X (Twitter) des statistiques au sujet des firewalls vulnérables à cette faille de sécurité. Il en a identifié un peu plus de 82 000 firewalls. Ce chiffre a certainement diminué désormais, mais le nombre de cibles potentielles doit rester élevé.

Voici quelques chiffres clés (nombre de firewalls vulnérables par pays) :

• États-Unis : 32 916
• Allemagne : 3 268
• Royaume-Uni : 3 213
• Canada : 2 239
• France : 1 794 (sur un total de 3 162, si l'on s'appuie sur la carte de The Shadowserver Foundation)
• Belgique : 772
• Suisse : 561

Le correctif de sécurité comme seule et unique solution pour se protéger

La seule solution pour vous protéger, c'est d'installer le correctif de sécurité sur votre firewall. La mesure d'atténuation partagée initialement par Palo Alto consistait à désactiver la télémétrie, mais elle n'est pas efficace et ne permet pas de se protéger.

Voici ce que l'on peut lire dans le bulletin de sécurité de Palo Alto : "La désactivation de la télémétrie sur l'équipement n'est plus une mesure d'atténuation efficace. Il n'est pas nécessaire que la télémétrie soit activée pour que les pare-feux PAN-OS soient exposés aux attaques liées à cette vulnérabilité."

Malgré tout, si vous avez un abonnement à la fonction "Threat Prevention", vous pouvez bloquer cette attaque en activant la protection contre la menace avec l'ID 95187. De plus, assurez-vous que cette protection soit activée sur l'interface GlobalProtect, en suivant cette page de la documentation. Cette méthode est toujours efficace.

Source

The post Patchez votre firewall Palo Alto : un exploit est disponible pour la CVE-2024-3400 first appeared on IT-Connect.

Alpes-Maritime : l'Hôpital Simone Veil de Cannes est actuellement victime d'une cyberattaque ! Certaines activités clés sont paralysées suite à cet incident de sécurité. Voici ce que l'on sait !

Malheureusement, l'Hôpital Simone Veil de Cannes vient s'ajouter à la longue liste d'hôpitaux victimes d'une cyberattaque, malgré tous les efforts effectués par les équipes techniques. Cette cyberattaque s'est visiblement déroulée dans la nuit du 15 au 16 avril, puisque les activités de l'Hôpital sont perturbées depuis mardi 16 avril. Plusieurs systèmes informatiques sont paralysés suite à cet incident.

En réponse à cet incident de sécurité, une cellule de crise a été activée "en lien avec l’Agence Régionale de santé PACA et le Groupement Hospitalier de territoire des Alpes Maritimes, le directeur et le président de la commission médicale d’établissement.", peut-on lire sur le compte X (Twitter) du centre. L'ANSSI est également sur le coup pour l'accompagnement technique.

Cette cyberattaque impact l'hôpital et ce dernier ne peut pas fonctionner normalement. Justement, en attendant un retour à la normale, les opérations non urgentes ont été reportées, tout comme les consultations. "Dans ce cadre, le CH est contraint de reporter l’activité programmée non urgente n’entraînant pas de perte de chance. Les consultations non urgentes sont également reportées jusqu’à retour à la normale.", a indiqué l'Hôpital Simone Veil sur X.

Pour le moment, aucune information n'a été publiée quant à l'origine de cette attaque. Nous ignorons s'il s'agit d'un ransomware. Si vous disposez d'informations supplémentaires, n'hésitez pas à commenter cet article ou à me contacter.

La semaine dernière, c'est la ville de Saint-Nazaire et son agglomération qui ont subi une cyberattaque.

Source

The post L’Hôpital de Cannes victime d’une cyberattaque ! first appeared on IT-Connect.

Nexperia, un important fabricant de semi-conducteurs néerlandais, a été victime d'une cyberattaque par ransomware lors de laquelle les pirates sont parvenus à exfiltrer des données de l'entreprise. Voici ce que l'on sait sur cet incident de sécurité !

Établie aux Pays-Bas, l'entreprise Nexperia est un fabricant de semi-conducteurs présents dans le monde avec 15 000 employés répartis en Europe, aux États-Unis et en Asie. L'entreprise Nexperia fabrique et expédie plus de 100 milliards de produits par an, et elle réalise un chiffre d'affaires annuel de plus de 2,1 milliards de dollars.

Vendredi 12 avril 2024, un communiqué de presse a été publié par Nexperia afin de confirmer publiquement qu'un groupe de cybercriminels était parvenu à s'introduire sur certains serveurs. Cette intrusion a eu lieu en mars 2024 et dès qu'elle a été détectée, les équipes de Nexperia sont intervenues : "Nous avons rapidement pris des mesures et déconnecté les systèmes concernés de l'internet afin de contenir l'incident et de mettre en œuvre des mesures d'atténuation importantes."

En parallèle, Nexperia a ouvert une enquête dans le but d'identifier la nature et les conséquences exactes de l'incident. Les investigations sont menées en collaboration avec une équipe de spécialistes de chez FoxIT, sollicités en réponse à cet incident.

1 To de données dans la nature ?

Le 10 avril 2024, le site d'extorsion "Dunghill Leak" a annoncé le vol de 1 To de données confidentielles sur les serveurs de Nexperia. Si la rançon n'est pas payée par le fabricant néerlandais, Dunghill menace de publier les données (ou de les revendre à un tiers malveillant) suivantes :

• 371 Go de données sur la conception et les produits, y compris le contrôle de qualité, les accords de confidentialité, les secrets commerciaux, les spécifications techniques, les schémas confidentiels et les instructions de production.
• 246 Go de données d'ingénierie, dont des documents correspondants à des études internes et des technologies de fabrication.
• 96 Go de données commerciales et de marketing, y compris des analyses de prix.
• 41,5 Go de données liées aux ressources humaines, aux données personnelles des employés, avec notamment des copies de passeports de salariés.
• 109 Go de données de clients et d'utilisateurs, parmi lesquelles des marques comme SpaceX, IBM, Apple et Huawei.
• 121,1 Go de fichiers et de données diverses, dont des fichiers relatifs aux e-mails.

En guise de preuves, une partie des données a été divulguée par Dunghill : des images de composants électroniques scannés au microscope, des passeports d'employés et des accords de non-divulgation. Pour le moment, Nexperia ne s'est pas exprimé au sujet de ces documents.

Source

The post Le fabricant de semi-conducteurs Nexperia victime d’une cyberattaque par ransomware ! first appeared on IT-Connect.

Loire-Atlantique : la ville de Saint-Nazaire et son agglomération sont actuellement victimes d'une cyberattaque qui s'est déroulée dans la nuit du 9 au 10 avril 2024. Voici ce que l'on sait.

À cause d'une cyberattaque qui s'est déroulée dans la nuit du 9 au 10 avril 2024, les services de la Ville de Saint-Nazaire et de son agglomération sont paralysés : les agents sont injoignables, que ce soit par e-mail, ou par téléphone, depuis ce mercredi matin. De plus, les serveurs sont inaccessibles, tous les partages de fichiers et les applications métiers. Le site Internet de la ville, probablement hébergé ailleurs, reste accessible et un communiqué de presse a été publié.

Cette cyberattaque qualifiée d'attaque de "grande ampleur" impacte Saint-Nazaire, mais aussi les communes de Montoir-de-Bretagne, Donges, La Chapelle-des-Marais et Pornichet, puisqu'elles partagent les mêmes serveurs informatiques. De plus, la Sonadev et l’ADDRN (Agence pour le développement durable de la région nazairienne) sont également touchées par cette cyberattaque.

Depuis ce matin, les services informatiques sont sur le pont pour analyser l'ampleur de cette cyberattaque et rétablir les services impactés : "Les agents de la direction des systèmes d’information sont toutes et tous mobilisés pour rétablir au plus vite les outils de travail et le réseau sécurisé", peut-on lire.

Pour le moment, aucune information n'a été publiée quant à l'origine de cette attaque et nous ne savons pas non plus s'il s'agit d'un ransomware. Si vous disposez d'informations supplémentaires, n'hésitez pas à commenter cet article ou à me contacter.

Bon courage aux équipes sur cet incident !

Source

The post La ville de Saint-Nazaire et son agglomération victimes d’une cyberattaque ! first appeared on IT-Connect.

Le club de football Paris Saint-Germain a informé par mail les personnes détenant un compte sur la billetterie en ligne, d’un possible acte malveillant survenu le 3 avril, et plus spécifiquement de “tentatives d’accès inhabituelles” sur la billetterie en ligne. Une vulnérabilité qui aurait été identifiée, puis bloquée dans les 24 heures suivant l’incident. Pour […]

The post Cyberattaque contre la billetterie du PSG first appeared on UnderNews.

Numerama a assisté à un exercice de l'armée française durant lequel un militaire a mis en panne un Griffon, un véhicule blindé multi-rôles, avec un appareil électronique.

Numerama a assisté à un exercice de l'armée française durant lequel un militaire a mis en panne un Griffon, un véhicule blindé multi-rôles, avec un appareil électronique.

La cyberattaque contre la Fédération française de football (FFF) est la troisième fuite de données massive depuis le début de l'année avec potentiellement 1,5 million de Français concernés. Le directeur général de Cybermalveillance.gouv.fr recommande de porter plainte pour aider les enquêteurs.

La cyberattaque contre la Fédération française de football (FFF) est la troisième fuite de données massive depuis le début de l'année avec potentiellement 1,5 million de Français concernés. Le directeur général de Cybermalveillance.gouv.fr recommande de porter plainte pour aider les enquêteurs.

Une faille de sécurité critique présente dans la solution FortiClient Enterprise Management Server (EMS) de chez Fortinet est activement exploitée par les cybercriminels ! Voici ce qu'il faut savoir sur cette menace !

Le 12 mars 2024, Fortinet a mis en ligne un bulletin de sécurité pour informer ses utilisateurs de la présence d'une vulnérabilité critique (score CVSSv3 de 9.3 sur 10) présente dans la solution FortiClient EMS.

Associée à la référence CVE-2023-48788, il s'agit d'une faiblesse de type "injection SQL" permettant à un attaquant non authentifié d'exécuter du code ou des commandes à distance sur la machine vulnérable. Autrement dit, un attaquant en mesure de communiquer avec un serveur vulnérable peut exécuter du code avec les privilèges SYSTEM dans le but de compromettre la machine.

Dans ce même bulletin de sécurité, nous pouvons lire ceci : "Cette vulnérabilité est exploitée dans la nature". De plus, mercredi 20 mars 2024, les chercheurs en sécurité de chez Horizon3.ai ont mis en ligne un rapport et un exploit PoC au sujet de cette faille de sécurité. Cet exploit se présente sous la forme d'un script Python et il est disponible sur GitHub.

"Pour transformer cette vulnérabilité d'injection SQL en exécution de code à distance, nous avons utilisé la fonctionnalité xp_cmdshell intégrée de Microsoft SQL Server.", peut-on lire dans le rapport d'Horizon3.ai. Cette fonction n'est pas activée par défaut sur SQL Server, ce qui explique de jouer certaines commandes en amont par l'intermédiaire de l'injection SQL.

Une recherche sur Shodan montre qu'il y a actuellement 446 serveurs FortiClient EMS exposés sur Internet, dont 13 en France et au Canada, 8 en Suisse et 4 en Belgique.

Comment se protéger ?

Voici un tableau récapitulatif avec la liste des versions affectées et la liste des versions qui intègrent un correctif de sécurité pour la CVE-2023-48788.

Version (branche)	Versions vulnérables	Solution
FortiClientEMS 7.2	7.2.0 à 7.2.2	Mettre à niveau vers 7.2.3 ou supérieur
FortiClientEMS 7.0	7.0.1 à 7.0.10	Mettre à niveau vers 7.0.11 ou supérieur

Source

The post Cette faille critique dans FortiClient EMS permet d’exécuter du code à distance en tant que SYSTEM first appeared on IT-Connect.

Dimanche dernier, les forces de l'ordre françaises ont procédé à l'arrestation de 3 personnes qui seraient impliquées dans la cyberattaque contre France Travail (ex-Pôle Emploi). Voici ce que l'on sait !

Rappel des faits : le 13 mars 2024, France Travail a révélé avoir subi une cyberattaque sur ses systèmes. Grâce à cette intrusion, les pirates sont parvenus à voler une base de données contenant les données personnelles de "potentiellement" 43 millions de personnes. Cette base de données ne contient pas d'informations bancaires, ni même les mots de passe des comptes, mais elle contient de précieuses informations sur les personnes concernées : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresse e-mail, adresse postale, et numéro de téléphone.

Trois jeunes mis en détention provisoire

Suite à cet incident de sécurité, une enquête a été ouverte et le travail de recherche a rapidement payé puisque ce dimanche 17 mars 2024, trois personnes ont été interpellées. Puis, ce mardi 19 mars 2024, elles ont été mises en examen et placées en détention provisoire pour accès et maintien frauduleux dans un système de traitement automatisé de données, extraction de ces données, escroquerie et blanchiment, le tout en bande organisée.

Comme le révèle le site Ouest France, la procureure de Paris, Laure Beccuau, a indiqué à l'AFP qu'il s'agissait de trois jeunes d'une vingtaine d'années, nés en novembre 2001 dans l’Yonne, et en septembre 2000 et septembre 2002 dans l’Ardèche.

Les enquêteurs ont pu mener des perquisitions aux domiciles des suspects et ils ont pu analyser le matériel informatique de ces derniers. Ils sont parvenus à identifier des preuves de participation à des activités d'escroquerie basée sur l'utilisation de campagnes de phishing. Pour le moment, des investigations sont en cours pour déterminer s'ils sont bien à l'origine de cette cyberattaque et identifier d'éventuels autres suspects.

Quoi qu'il en soit, la méfiance est de mise, car nous ne savons pas réellement qui a cette base de données en sa possession, et elle peut être utilisée pour mettre en place des campagnes d'hameçonnage.

The post Cyberattaque France Travail : 3 personnes interpellées et mises en détention provisoire ! first appeared on IT-Connect.

Des hackers ont compromis le compte de deux joueurs en pleine finale du jeu Apex Legends. Les pirates ont simplement cherché à ruiner la partie.

Des hackers ont compromis le compte de deux joueurs en pleine finale du jeu Apex Legends. Les pirates ont simplement cherché à ruiner la partie.

L'hacktivisme ultranationaliste russe s'est organisé autour de groupes pirates, financés pour harceler des sites gouvernementaux à travers l'Europe et les États-Unis.

L'hacktivisme ultranationaliste russe s'est organisé autour de groupes pirates, financés pour harceler des sites gouvernementaux à travers l'Europe et les États-Unis.

Comme vous le savez, plusieurs services de l’État français ont récemment fait l’objet d’une série d’attaques par déni de service distribué (DDoS). Selon les services du Premier ministre, il s’agit d’attaques d’une « intensité sans précédent ».  Le groupe hacktiviste Anonymous Sudan, très prolifique, a depuis revendiqué la responsabilité de ces attaques. Tribune Netscout – Richard Hummel, […]

The post Attaques DDoS contre le gouvernement français – qui est Anonymous Sudan ? first appeared on UnderNews.

France Travail, anciennement Pôle Emploi, est victime d'une nouvelle cyberattaque associée à une fuite de données ! Les pirates seraient parvenus à voler les données personnelles de, potentiellement, 43 millions de personnes. Faisons le point sur cet incident de sécurité.

En août 2023, il y a donc moins d'un an, Pôle Emploi (son nom de l'époque), avait déjà subi une cyberattaque et les pirates étaient parvenus à voler des informations au sujet de 10 millions de personnes inscrites à Pôle Emploi.

L'histoire se répète, et cette fois-ci, cela semble encore plus grave. Le 13 mars 2024, France Travail a publié un nouveau communique de presse pour révéler officiellement cet incident de sécurité qui aurait eu lieu entre le 6 février et le 5 mars 2024. Pour le moment, l'organisme français n'a donné aucune précision sur la nature de cette cyberattaque.

France Travail explique que les pirates sont parvenus à voler une base de données contenant les données personnelles de "potentiellement" 43 millions de personnes (pour reprendre le terme employé dans le communiqué).

Pour bien comprendre qui est impacté, France Travail précise que cette base de données contient les données "des personnes actuellement inscrites et des personnes précédemment inscrites au cours des 20 dernières années ainsi que des personnes non inscrites sur la liste des demandeurs d'emploi mais ayant un espace candidat sur francetravail.fr." - Ah oui, un historique sur 20 ans : étonnant, non ?

À quoi correspondent ces informations personnelles ?

Cette base de données contient de nombreuses informations sur les personnes concernées : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresse e-mail, adresse postale, et numéro de téléphone.

D'après France Travail, il n'y a pas de risque de compromission de votre espace utilisateur, ni même de fuite de vos coordonnées bancaires : "Les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cybermalveillance. Il n’existe donc aucun risque sur l’indemnisation."

Désormais, cet ensemble de données devrait se retrouver en vente sur le Dark Web et il sera probablement exploité par les cybercriminels pour mener des campagnes de phishing dans le but de vous arnaquer. Bien qu'il n'y ait aucune certitude, le risque est élevé. Avec autant d'informations personnelles disponibles, les pirates peuvent facilement usurper l'identité de France Travail en vous contactant (voire même de l'Assurance Maladie).

Par ailleurs, FranceConnect ne permet plus de s'authentifier à partir de son compte Ameli. Il s'agit probablement d'une mesure préventive prise par le gouvernement, puisque l'identifiant du compte Ameli est le numéro de sécurité sociale et que ce dernier est présent dans la fuite de données associée à cet incident de sécurité.

Source

The post Cyberattaque France Travail : 43 millions de personnes menacées par une fuite de données ! first appeared on IT-Connect.

Une cyberattaque contre France Travail, anciennement Pôle emploi, aurait permis à des pirates de dérober les données personnelles de près de 43 millions de personnes. Des informations qui peuvent servir à des fins malveillantes.