🇫🇷 L'inédite cyberattaque contre les ministères français

Salut 👋, j’espère que tu as passé une bonne semaine. C’est l’heure de se plonger dans l’actu cyber et digitale, et ça secoue toujours autant !

Au programme :

• À la une : 🇫🇷 Cyberattaque contre les ministères français, “intensité inédite” ou emballement médiatique ?

• 🇷🇺 Du code source de Microsoft a fuité,

• 🤦 Microsoft a laissé consciemment une vulnérabilité zero-day non corrigée pendant 6 mois ,

• 👹 Le marché du darkweb “Ingognito” n’a aucune limite,

• 🇪🇺 Commission Européenne et RGPD : faites ce que je dis, pas ce que je fais,

• 🇺🇸 La CISA victime des vulnérabilités Ivanti dont elle a elle même alerté,

• En Image : 💣 Qu’est-ce qu’une attaque DDoS ?

• Rapport : 🎯 Les PME et les ETI sont les principales victimes de cyberattaques.

🇫🇷 Cyberattaque contre la France, “intensité inédite” ou emballement médiatique ?

Que s’est-il passé ?

Depuis dimanche dernier, plusieurs ministère français, ont été la cible d’une cyberattaque par déni de service distribué (DDoS) d'une “intensité inédite”, selon le bureau du Premier ministre Gabriel Attal. Plusieurs sites web officiels ont cessé de fonctionner durant quelques heures.

Les services du Premier ministre, plusieurs ministères dont l’Économie, la Transition écologique, la Santé ou la Culture, ainsi qu’une longue série de sites Internet, du Conseil d’Etat jusqu’aux journées du Patrimoine, ont été visés

Une cellule de crise a été activée pour évaluer les risques et déployer des contre-mesures, réduisant ainsi l'impact pour la plupart des services et restaurant l'accès aux sites internet de l'État.

Qui est derrière l’attaque ?

Le groupe Anonymous Sudan, apparu pour la première fois en janvier 2023, a revendiqué la responsabilité de ces attaques ciblant des secteurs numériques gouvernementaux.

Ce groupe, qui n’est pas nécessairement basé au Soudan, s'est déjà attaqué à la France, à d'autres pays et serait motivé par des positions prétendument anti-islam, et anti-russe de la part de ses victimes.

Le ministre de la Défense, Sébastien Lecornu, a récemment souligné la nécessité de renforcer la protection contre les cyberattaques, en anticipation des événements majeurs tels que les Jeux Olympiques de Paris et les élections du Parlement européen.

L’avis de Sylvan Ravinet, fondateur de Shakerz

💣 Qu’est-ce qu’une attaque DDoS ?

🇷🇺 Du code source de Microsoft a fuité

En janvier, Microsoft révélait avoir été espionné depuis fin novembre 2023, par Midnight Blizzard. Un groupe de pirates soutenu par service de renseignement extérieur (SVR) de la fédération de Russie, aussi sous les noms APT29, Nobelium ou Cozy Bear. Le groupe était parvenu à infiltrer les messageries électroniques de la direction de l'entreprise, y compris ceux de l'équipe de cybersécurité et d'autres fonctions essentielles.

👉 Voir le Shake du 27 janvier pour plus de détails.

Aujourd’hui, nous apprenons dans un billet de blog publié le 8 mars, que Microsoft est confrontée depuis plusieurs semaines à de nouvelles attaques émanant de ce même groupe. Midnight Blizzard utiliserait les informations volées lors de son précédent piratage pour tenter d’obtenir des accès non autorisés à des référentiels de code source et des systèmes internes de l’entreprise. La formulation de Microsoft laisse à penser que certaines tentatives ont été fructueuses…

⚠️ L’exposition de code source est particulièrement dangereuse puisqu’elle peut permettre aux attaquants d’identifier plus facilement de nouvelles vulnérabilités dans les outils de Microsoft, utilisés dans le monde entier. Affaire à suivre.

🤦 Microsoft a laissé consciemment une vulnérabilité zero-day non corrigée pendant 6 mois

Une faille de sécurité majeure dans le noyau de Windows est restée sans correctif pendant six mois, malgré la connaissance par Microsoft de son exploitation active par des cybercriminels. Identifiée sous le nom CVE-2024-21338, cette vulnérabilité permettait aux attaquants de passer outre les barrières administrateur-noyau grâce à Windows AppLocker, et de réaliser une élévation de privilège afin d’obtenir les privilèges SYSTEM, soit des droits très élevés, mais toutefois moins que des droits d’administrateur.

Cette non-réactivité de la part de Microsoft a permis au groupe Lazarus, déjà connu pour ses cyberattaques sophistiquées, de développer et déployer une version particulièrement insidieuse de son malware FudModule, capable d'injecter un rootkit directement dans les systèmes ciblés.

L’entreprise Avast a mis en évidence cette faille et son exploitation par le groupe Lazarus dès août 2023, en soumettant à Microsoft une preuve de concept (PoC) détaillée. Toutefois, ce n'est qu'en février 2024 que Microsoft a publié un correctif. Mieux vaut tard que jamais…

👹 Le marché du darkweb “Ingognito market” n’a aucune limite

Cette affaire est folle. “Incognito Market”, un important marché noir de stupéfiants a commencé à extorquer tous ses fournisseurs et acheteurs, en menaçant de publier des transactions en cryptomonnaies et des archives de discussions des utilisateurs refusant de payer des frais variant de 100 à 20 000 dollars.

La page d'accueil d'Incognito Market a été mise à jour pour inclure un message de chantage de ses propriétaires, annonçant qu'ils vont bientôt divulguer les dossiers d'achat des vendeurs refusant de payer pour garder ces informations confidentielles. Le marché Incognito prévoit de publier l'intégralité des données, comprenant 557 000 commandes et 862 000 identifiants de transactions en cryptomonnaies d'ici fin mai.

Cette tentative d’extorsion survient peu après que les administrateurs du marché ont apparemment réalisé un “exit scam” (escroquerie de sortie en français), qui consiste grossièrement à partir avec la caisse. Les administrateurs on en effet empêcher les utilisateurs de retirer des millions de dollars de fonds de la plateforme.

Ce double coup dur pour les utilisateurs du marché Incognito est quelque peu semblable aux techniques de double extorsion employées par de nombreux groupes modernes de rançongiciels et rappelle qu’il ne faut faire confiance à personne, encore moins entre criminels.

Les “utilisateurs” criminels ou apprentis criminels d’Incognito l’ont-il bien cherché ?

🇪🇺 Commission Européenne et RGPD : faites ce que je dis, pas ce que je fais

Le Contrôleur européen de la protection des données (CEPD), l’équivalent de la CNIL à l’échelle Européenne, vient d'épingler ce lundi 11 mars, la Commission Européenne pour son utilisation non conforme de Microsoft 365. Cela comprend notamment des services comme Word, Excel, PowerPoint, Outlook, OneDrive, Teams, ou encore SharePoint.

Le CEPD reproche à la Commission Européenne de ne pas avoir traité les données personnelles des citoyens européens avec les garanties nécessaires, particulièrement lors des transferts hors Union Européenne (arrêt Schrems II), et de ne pas avoir été assez explicite concernant le types de données à caractère personnel collectés et pour quelles finalités.

Par ailleurs, ceci introduit un doute dans la robustesse des mesures prises par les services informatiques de la Commission pour protéger les données sensibles, quelles qu’elles soient (comme les informations clés des négociations internationales !).

Cette mise en cause survient dans un contexte où l'exécutif européen est habituellement à l'avant-garde de la régulation sur la confidentialité des données personnelles. La Commission Européenne a désormais jusqu’au 9 décembre 2024, date butoir fixée par le CEPD, pour suspendre les flux de données Microsoft 365 et se mettre en conformité avec le règlement.

🇺🇸 La CISA victime des vulnérabilités Ivanti dont elle a elle même alerté

En février, des acteurs malveillants ont exploité plusieurs vulnérabilités affectant les solutions d’Ivanti, une entreprise reconnue pour ses produits de gestion et de sécurité des systèmes informatiques. Consciente du danger représenté par ces failles de sécurité, la CISA (agence nationale de cybersécurité des USA) avait alors publié un avis de sécurité.

L’information n’a pas du bien circuler en interne, puisque nous apprenons cette semaine que des pirates ont tiré partie des vulnérabilités d’Ivanti pour pirater l’agence de cybersécurité américaine. L'agence a confirmé que deux de ses systèmes avaient été affectés et qu'ils avaient été rapidement déconnectés pour prévenir toute propagation.

Le premier système concernerait l'outil d'évaluation de la Sécurité Chimique, essentiels pour la sécurité des infrastructures et du secteur chimique américains et le second, permettrait aux responsables fédéraux, étatiques et locaux de partager des outils d'évaluation de la cybersécurité et de la sécurité physique.

Malgré l’attaque, la CISA se veut rassurante et précise qu'“il n'y a aucun impact opérationnel pour le moment”. Cet événement nous rappelle que dans le cyberespace, personne n’est épargné, pas même les plus avertis ni même les mieux pourvus en ressources humaines et financières.

🎯 PME et ETI : principales victimes de cyberattaques

Stoïk, le premier assureur spécialisé sur le risque cyber en Europe à destination des PME & ETI vient de publier la toute première édition de son rapport annuel sur la sinistralité cyber chez ses assurés.

À retenir :

👉 Les principales vulnérabilités exploitées par les attaquants chez les PME et ETI en 2023 sont :

1. L’absence d’authentification multifactorielle

2. Les mots de passe faibles

3. Le retard de mises à jour

👉 3,87% de sinistres (incident ayant déclenché l’activation d’au moins l’une des garanties du contrat d’assurance) ont été observé sur l’ensemble du portefeuille d’assurés (le nombre d’assurés est toutefois non dévoilé).

• Les compromissions de boîtes mails représentent plus de 42,1% des sinistres en volume.

• Mais ce sont bien les rançongiciels (19,4%) qui ont l’impact financier le plus important.

👉 La sauvegarde des données en première ligne des cyberdéfenses contre les rançongiciels

• Dans 75% des cas de rançongiciels rencontrés, les équipes de Stoïk ont réussi à relancer l’activité de l’entreprise en moins d’une semaine grâce à une gestion des sauvegardes opérationnelles chez l’assuré.

👉 La négociation a aussi son rôle à jouer

• En moyenne, le montant des rançons demandées aux assurés de Stoïk s’est élevé autour de 700 000 euros en 2023.

• La négociation avec les groupes de rançongiciel permet d’une part, de faire gagner du temps à l’équipe de sécurité pour intervenir et d’autre part, d’aboutir à une baisse du montant de la rançon (53% du montant initial).

• Ce qui suggère malgré tout qu’un certain nombre de sinistres se sont “soldés” par le versement d’une rançon…

Pour davantage d’informations sur l’état de la menace chez les assurés de Stoïk, voir le rapport complet.

🎵 Interdiction - Ce mercredi 13 mars, la Chambre américaine des représentants (soit l’équivalent de l’Assemblée Nationale) a adopté une proposition de loi obligeant ByteDance, la maison mère de TikTok, à vendre l'application, faute de quoi elle serait interdite aux États-Unis.

Selon le Wall Street Journal, Bobby Kotick, ex-patron d’Activision Blizzard, serait intéressé par le rachat de filiale américaine de TikTok qui comptabilise 170 millions d’utilisateurs.

Dans le même temps, Donald Trump qui avait signé en 2020 un décret, jamais appliqué, pour interdire le réseau social, s’est opposé à cette proposition de loi pourtant similaire. Dernière étape avant la promulgation définitive de la loi : le Sénat.

💾 Chaîne d’approvisionnement - Après avoir ciblé récemment les développeurs avec des paquets npm malveillants, les pirates nord-coréens mènent désormais une attaque de la chaîne d'approvisionnement visant le dépôt de logiciels open source PyPI pour les applications Python.

🧠 IA - Daniela Klette, l’une des fugitives les plus recherchées d’Allemagne depuis 30 ans, a été retrouvée en moins de 30 minutes par des journalistes grâce au logiciel d’intelligence artificielle et de reconnaissance faciale en ligne, PimEyes.

🛡Cyberrésilience - Le mardi 12 mars, le Parlement européen a adopté la loi renforçant la sécurité des produits numériques. Cette nouvelle réglementation “vise à garantir que les produits dotés de fonctionnalités numériques soient sécurisés à l'usage, résilients face aux cybermenaces et fournissent suffisamment d'informations sur leurs propriétés de sécurité”. Cette législation devra maintenant être formellement adoptée par le Conseil pour entrer en vigueur.

🇫🇷 Cyberattaque - France Travail (ex-Pôle emploi) a annoncé dans un communiqué ce mercredi 13 mars, un “risque de divulgation” de données personnelles touchant "potentiellement" 43 millions de personnes. Toutes les données personnelles, excepté les mots de passe et coordonnée bancaires, des personnes actuellement inscrites ou ayant été inscrites au cours des 20 derniers années auraient été volées. D'après Cybermalveillance.gouv.fr, le service d'assistance aux victimes de cybermalveillance, l'attaque a eu lieu entre le 6 février et le 5 mars 2024. Une fourchette peu rassurante quant aux capacités de détection et d’investigation en vigueur chez France Travail…

🧘 Ne cédons pas à la panique

Comme toujours, merci de nous avoir lu. Si tu souhaites nous soutenir, partage le shake autour de toi 👐

Passe un bon week-end et à la semaine prochaine ! ✌️