🌊 Une vague de cyberattaques touche plusieurs pays dont la France

Salut les Shakerz 👋

C’est samedi, voici le Shake. Pour toi, voici ce qu’on a retenu du digital et de la cyber cette semaine. À la une : la plus grande cyberattaque de ransomware non Windows jamais enregistrée.

On te décode l’actu :

👮🏻 L’un des pirates les plus recherchés de Finlande arrêté par hasard par la police française,

🇳🇱 Le service de cryptocommunication Exclu démantelé par la police néerlandaise,

⌚️ L’Apple Watch permet désormais aux parents de garder un oeil sur leurs enfants,

🤖 ChatGPT : la réponse de Google arrive et ca va barder !

🇮🇷 Des pirates iraniens à l’origine de la cyberattaque contre Charlie Hebdo

On t’explique tout ça plus bas.

Retrouve le mag :

🐞 Notre infographie pour tout comprendre sur les vulnérabilités, ⚡ le rapport Cyber Threat Index 2023 de Coalition, des ingrédients à la carte pour remixer tes propres cocktails cyber à la maison ou au bureau, et, roulement de tambour… la question de la semaine !

Bonne lecture !

Signé - Aurélien, Sylvan et toute la Shakerz core team

〰️ La reco du barman 〰️

🌊 Une vague massive de cyberattaques touche plusieurs pays dont la France

Depuis le vendredi 3 février, des milliers de serveurs dans le monde sont la cible d’une cyberattaque par ransomware exploitant une vulnérabilité vielle de 2 ans dans l’hyperviseur ESXi de VMware.

Qu’est-ce que VMware ESXi ?

VMware ESXi est un hyperviseur, ou un moniteur de machine virtuelle très populaire chez les administrateurs de services informatiques. Il permet de rationaliser les serveurs en améliorant l’exploitation des ressources disponibles d’un système. Autrement dit, cette interface permet à un ordinateur hôte de partager ses ressources (mémoire, capacité de traitement, etc.) en plusieurs ordinateurs virtuels (machines virtuelles, ou VM). La virtualisation est l’une des clés du Cloud et de la revente d’espace par les hébergeurs de services web. Mais il arrive aussi que des clients d’hébergeurs choisissent d’installer et de gérer eux-mêmes leur hyperviseur. Avec donc la responsabilité de sa mainteance, et donc des mises à jour.

La France et l’Italie, les premiers sur le coup

Vendredi 3 février, le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) de l’ANSSI est le premier organisme de cybersécurité a donner l’alerte. Le CERT y indique avoir “pris connaissance de campagnes d'attaque ciblant les hyperviseurs VMware ESXi dans le but d'y déployer un rançongiciel ”.

2 jours plus tard, c’est au tour de l’agence nationale de cybersécurité italienne (ACN) de mettre en garde les organisations du monde entier contre une attaque par ransomware visant des milliers de serveurs VMware ESXI.

Selon les premières investigations, cette attaque a été rendue possible à cause d’une vulnérabilité connue, pour laquelle un correctif existe depuis plus de 2 ans…

Pourquoi c’est inquiétant ? Les serveurs VMware ESXi fournissent des services à des milliers d'autres serveurs dans le monde. L’attaque est donc d’envergure mondiale, touchant des organisations en France, en Finlande, en Italie, au Canada et aux États-Unis. Selon les premières informations, l’Italie serait le pays le plus touché avec des dizaines d’organisations impactées. À l’heure actuelle, les dommages causés par cette attaque à l’échelle mondiale sont probablement encore sous-évalués.

Le non-respect de l'hygiène numérique en cause

La vulnérabilité exploitée dans cette cyberattaque avait été découverte il y a plus de 2 ans, en février 2021 par son éditeur VMware. Celui-ci avait alors mis à disposition de ses clients un correctif de sécurité le 23 février 2021.

Selon l’avis de sécurité publié par VMware à l’époque, la vulnérabilité permettrait à un “acteur malveillant résidant dans le même segment de réseau que ESXi et ayant accès au port 427” d’exécuter du code à distance. La vulnérabilité est évaluée au niveau 9,8 sur 10 selon l’éditeur.

Les systèmes actuellement visés seraient les hyperviseurs ESXi en version 6.x et antérieures à 6.7.

À ce stade, l’application du correctif fourni par VMware n’est plus suffisant pour garantir la sécurité des systèmes. Il est probable qu’un attaquant ait déjà exploité la vulnérabilité pour déposer un code malveillant. Le CERT recommande fortement “d’isoler le serveur affecté”, “d’effectuer une analyse des systèmes afin de détecter tout signe de compromission”, “de privilégier "une réinstallation de l’hyperviseur dans une version supportée par l’éditeur”, “de désactiver les services inutiles de l’hyperviseur”, et de "bloquer l’accès aux différents services d’administration”, par un pare-feu dédié ou intégré à l’hyperviseur.

Documentation

• Bulletin de sécurité VMware du 23 février 2021

• Avis du CERT-FR sur les multiples vulnérabilités dans les produits VMWare du 24 février 2021

• Référence CVE CVE-2021-21974

• Bulletin d’alerte du CERT-FR du 03 février 2023

• Procédure de désactivation du service SLP sur VMware ESXi

🐞 Qu’est ce qu’une vulnérabilité ?

Cette affaire des attaques de l’hyperviseur de VMWare n’est qu’un des multiples exemples d’attaques reposant sur la présence de vulnérabilités. Parfois anciennes (ici 2 ans). Alors, qu’est-ce qu’une vulnérabilité ?

Tu souhaites en savoir plus ? Alors “reply” et pose la question ;-)

〰️ Vos shots 〰️

👮🏻 L’un des pirates les plus recherché de Finlande arrêté par hasard par la police française

Quand une affaire peut en cacher une autre. Le vendredi 3 février, suite à un signalement de violence conjugale, les policiers de la brigade anticriminalité (BAC) frappent à la porte d’un appartement de Courbevoie en banlieue Parisienne. Les policiers interpellent alors l’individu qui, selon ses papiers d’identité, serait de nationalité roumaine. Les policiers décident tout de même de vérifier son identité dans le registre des personnes recherchées. À leur grande surprise, ils viennent en réalité d’interpeler Julius Kivimäki, le cybercriminel le plus recherché de Finlande par Europol. Aussi connu sous le pseudo de “Zeekill”, Julius Kivimäki est recherché depuis plus de 2 ans en Finlande pour avoir piraté les données de milliers de patients de plusieurs centres de psychothérapie nommé Vastaamo. À l’époque, Julius réclamait 452 000 euros de rançon pour restaurer les données. Malheureusement pour lui, cette affaire est très vite devenue publique en Finlande et les enquêteurs ont pu remonter jusqu’à lui. Suite à son arrestation par la police française, Julius Kivimäki devrait très probablement être extradé en Finlande dans les prochaines semaines.

🇳🇱 Le service de cryptocommunication Exclu démantelé par la police néerlandaise

La police et le ministère public néerlandais sont une nouvelle fois parvenus à accéder aux données d'un service de cryptocommunication géré par des criminels et à lire leurs messages pendant les 5 derniers mois. Ce coup de maître a permis à la police de mener 79 perquisitions et 42 arrestations d’utilisateurs d’Exclu aux Pays-Bas, en Allemagne et en Belgique. Les perquisitions ont notamment permis aux autorités de mettre la main sur “deux laboratoires de drogue […] plusieurs kilos de stupéfiants, plus de 4 millions d'euros en espèces, divers articles de luxe et plusieurs armes à feu”. Le service de communication chiffrée Exclu, qui se présentait sous la forme d’une application à installer sur le téléphone, a été démantelé. L’application permettait à “environ 3000 utilisateurs, dont 750 sont néerlandophones”, de s’envoyer secrètement des messages chiffrés. Le service était facturé 800 euros pour 6 mois d’utilisation.

⌚️ L’Apple Watch permet désormais aux parents de garder un oeil sur leurs enfants

Très attendue par les parents inquiets, et redoutée par les adolescents rebelles, Apple vient d’introduire dans son Apple Watch, l’application Find My Kids. Cette application de suivi GPS qui a déjà conquis 3 millions d’utilisateurs sur d’autres smartwatch va aider les parents à surveiller leurs enfants en temps réel. Pour l’utiliser, il suffit de télécharger l’application sur l’iPhone et de la synchroniser avec la montre de l’enfant. Une fois cette étape effectuée, il suffira alors, pour les parents les plus méfiants, de se rendre dans l’application mobile pour consulter l’historique des données de localisation qui seront conservées pendant 1 mois. En situation d’urgence, plusieurs fonctionnalités sont proposées : l’application permet aux parents d'écouter ce qu’il se passe autour de leurs enfants lorsqu'ils ne répondent pas aux appels et les enfants peuvent également envoyer un signal SOS avec leur position à leurs parents. Concernant l’application Find My Kids, il s’agit de la première application développée par un tiers, donc en dehors de l’écosystème d’Apple, à être approuvée par la marque à la pomme.

🤖 ChatGPT : la réponse de Google arrive et ca va barder !

Ce lundi 6 février, Sundar Pichai, le PDG de Google, a présenté dans un billet de blog plusieurs projets liés à l’intelligence artificielle. Parmi eux, un robot conversationnel nommé Bard, ayant pour “pour ambition de combiner l’étendue des connaissances du monde avec l’intelligence artificielle”. En plus de répondre à des questions, Bard sera également capable de prendre en compte des faits d’actualité. "Il s’appuie sur les informations du Web pour fournir des réponses actualisées et de haute qualité", précise le PDG de Google. Un pic à peine dissimulée à son concurrent chatGPT, dont les connaissances s’arrêtent en 2021. Avant d’être disponible pour le grand public, Bard va être mis à disposition pendant plusieurs semaines à des “testeurs de confiance”. Si les tests s’avèrent concluant, Bard devrait être déployé et intégré prochainement au moteur de recherche de Google. Car selon son patron, "les internautes se tournent généralement vers Google pour obtenir des réponses factuelles rapides”, mais "de plus en plus aspirent à des informations et une compréhension plus approfondies".

🇮🇷 Des pirates iraniens à l’origine de la cyberattaque contre Charlie Hebdo

Vendredi 3 février, Microsoft a annoncé qu'un groupe de pirates lié au régime de Téhéran était à l'origine du piratage contre Charlie Hebdo en janvier dernier. Le groupe de pirates nommé “Holy Souls” avait alors pu mettre la main sur les données personnelles de quelque 200 000 abonnés de Charlie Hebdo. Des données étaient proposées à la vente contre 20 bitcoins, soit environ environ 340 000 dollars au cours de l’époque. Pour mémoire, un mois avant l’attaque, Charlie Hebdo avait organisé un concours international de caricatures visant le guide suprême iranien Ali Khamenei. Les caricatures ont été publiées à l'occasion du numéro du tristement célèbre anniversaire de l'attentat contre Charlie Hebdo. Comme on pouvait s’y attendre, ces dessins ont provoqué une crise diplomatique entre Paris et Téhéran, mais pas seulement. Selon Clin Watts, le General Manager du Digital Threat Analysis Center (DTAC) de la firme américaine “cette attaque est une réponse du gouvernement iranien à un concours de caricatures organisé par Charlie Hebdo”.

〰️ Dégustation 〰️

⚡ 1900 vulnérabilités attendues chaque mois en 2023 selon Coalition

Pour aider les décideurs des secteurs de l'assurance et de la sécurité à comprendre, gérer et atténuer les risques numériques, la société d'assurance et de services en cybersécurité Coalition a publié Cyber Threat Index 2023, un rapport basé sur les données recueillies lors des 10 dernières années.

À retenir :

• En moyenne, 1 900 vulnérabilités et CVE (Common Vulnerabilities and Exposures) mensuelles sont attendues 2023. Soit une augmentation de 13 % par rapport à 2022. Pour mémoire, en 2000, environ 1000 vulnérabilités ont été répertoriées sur l’année entière.

• Parmi ces 1900 vulnérabilités, l’assureur prévoit en moyenne 270 vulnérabilités de haute gravité et 155 critiques (selon le score CVSS)

• Pour la plupart des CVE, Coalition prédit une exploitation autour des 90 jours suivant la divulgation publique, tandis que la majorité des exploitations ont lieu dans les 30 premiers jours selon le rapport.

• Environ 94% des organisations scannées en 2022 avaient au moins un service non chiffré exposé à Internet

• Selon Coalition, les bases de données ElasticSearch et MongoDB sont largement exposées à des compromissions, avec de nombreux signes indiquant qu'elles ont été ciblées par des attaques de ransomware.

• Coalition recommande aux entreprises et à leur personnel en charge de la sécurité et de l'informatique d'appliquer les mises à jour pour les infrastructures publiques et les logiciels internet dans les 30 jours suivant leur publication, et de maintenir des cycles réguliers de mise à jour pour réduire les vulnérabilités des logiciels obsolètes, en vue de se prémunir contre les risques de 2023.

〰️ Cul sec - La question 〰️

📲 Parmi la liste suivante, quelles sont les réglementations relatives à la protection des données personnelles ?

A. CCPA

B. RGPD

C. PIPL

D. PPDA

—> Réponse à la sortie du bar.

〰️ À La carte 〰️

👨🏻 Portrait - Nate Fick est le premier ambassadeur américain en poste pour le cyberespace et la politique numérique … qui vient de se faire hacker son compte twitter et Il ne manque pas d’humour 😅

🔄 Rewind - La très populaire plateforme de communication collaborative Slack est officiellement lancée en février 2014. Que le temps passe vite .. 👴🏻

⚖️ Événement - …

〰️ Cul sec - Réponse 〰️

Et non, le célèbre présentateur de télévision Patrick Poivre d'Arvor (PPDA) n’est pas une réglementation RGPD

Les bonnes réponses étaient CCPA, RGPD et PIPL.

Le California Consumer Privacy Act (CCPA) est une loi californienne sur la confidentialité des données entrée en vigueur le 1er janvier 2020. Elle réglemente la façon dont les organisations du monde entier peuvent traiter les informations personnelles des résidents de Californie. Une mise à jour visant à donner aux consommateurs un contrôle sans précédent sur leurs données privées sera opérationnelle à partir d’Avril 2023.

Le Règlement Général sur la Protection des Données (RGPD) est le texte réglementaire européen qui encadre le traitement des données de manière égalitaire sur tout le territoire de l’Union Européenne. Il est entré en application le 25 mai 2018.

Le Personal Information Protection Law (PIPL) est une loi de protection des données adoptées par la Chine, similaire au RGPD de l’Union européenne. Alors que le RGPD se concentre davantage sur le lieu d’établissement de l’entreprise, le PIPL se distingue en se concentrant plutôt sur le lieu ou l’activité de traitement des informations personnelles a lieu.

Merci d’être passé ! Rendez-vous samedi prochain pour ton nouveau Shake de l’actu cyber et digitale ! 👋

👉 On a besoin de ton soutien pour diffuser au plus grand nombre la culture de sécurité digitale.

Rejoins les Shakerz, abonne-toi pour recevoir la newsletter hebdo. Tu aimes les Shake et tu veux en faire profiter tes potos ? Alors… 👇👇👇

Des questions ou un avis à partager ? C’est simple, il suffit de répondre à cet email et d’envoyer tes quelques lignes.

“Shake it, don’t fake it“