Si la sempiternelle recommandation des autorités est de ne surtout pas payer de rançons, certaines victimes de ransomwares, parfois conseillées par leurs partenaires, finissent par accéder aux demandes de leurs attaquants. Ce sont ces partenaires qui s’exposent désormais à des sanctions du Trésor américain, qui n’apprécie guère que ces rançons versées servent à des acteurs menaçant la sécurité des États-unis. 

Il ne faut jamais payer les rançons demandées par les opérateurs de ransomware. D’une part car la victime n’est en rien assurée de récupérer ses fichiers, de l’autre parce que céder au chantage conforte les criminels quant à la rentabilité de leur activité. Tels sont les conseils dispensés par l’ANSSI et tant d’autres autorités étatiques sur les ransomwares. Toutefois, les cas de versement d’une rançon ont été plus amplement médiatisés ces dernier mois, au point que le Trésor américain ne décide de mettre les points sur les i. 

Dans une note, l’Office of Foreign Assets Control, ou OFAC, sort les crocs. En effet, en vertu de plusieurs lois, les ressortissants américains ne sont pas autorisés à marchander avec une longue liste de personnes et de pays, soit qu’ils représentent une menace à la sécurité nationale, soit qu’ils font l’objet de sanctions, à l’instar de la Crimée, de la Syrie, de l’Iran ou encore de Cuba. 

Sanctionner le versement de rançons

“L'OFAC peut imposer des sanctions civiles pour les violations de sanctions fondées sur la responsabilité stricte, ce qui signifie qu'une personne soumise à la juridiction américaine peut être tenue civilement responsable même si elle ne savait pas ou avait des raisons de savoir qu'elle s'engageait dans une transaction avec une personne interdite” écrit cette branche du Trésor.

Ce qui nous amène aux ransomwares. Voici quelques temps que nous rapportons que telles victimes, conseillées par son prestataire en cybersécurité ou son assureur, a cédé aux demandes des attaquants, s’acquittant du paiement d’une rançon. Or, selon l’OFAC, “les paiements de ransomware profitent aux acteurs illicites et peuvent saper les objectifs de sécurité nationale et de politique étrangère des États-Unis”. Et sont donc susceptibles de faire l’objet d’enquêtes quant au contournement desdites sanctions. 

Evidemment, il ne s’agit pas pour le Trésor américain d’inquiéter les entreprises victimes, qui double le coût de rétablissement de leur SI lorsqu’elles paient une rançon. Le texte vise les entreprises “qui s'engagent avec des victimes d'attaques de ransomwares, telles que celles impliquées dans la fourniture de cyberassurance, de criminalistique numérique et de réponse aux incidents, et les services financiers pouvant impliquer le traitement de paiements de rançon”. 

Le groupe hospitalier UHS est la cible d’une attaque informatique qui l’oblige à recourir à des outils hors ligne. Le coupable serait Ryuk, un ransomware désormais bien connu. 

Universal Health Services, UHS pour les intimes, est l’un des plus grands groupes hospitaliers aux États-Unis, avec plus de 400 établissements de santé répartis sur le territoire. Depuis le matin du 27 septembre, ses employés sont revenus au papier et au crayon... ou du moins à des outils hors-ligne prévus en back-up. En cause, un “incident de sécurité informatique” contraignant le groupe à bloquer les accès à ses applications. 

Le communiqué d’UHS est particulièrement lapidaire, se contentant d’indiquer que “cette affaire peut entraîner des perturbations temporaires de certains aspects de nos opérations cliniques et financières” et n’avoir pour l’heure aucune preuve de l’accès aux données de ses patients et employés. Le ton des messages envoyés auxdits employés est tout autre. 

Les machines paralysées

Dans des SMS consultés par Reuters, le groupe recommande à ses salariés de n’accéder en aucun cas au réseau de l’entreprise avec leurs terminaux, professionnels ou personnels. Une attitude révélatrice d’une infection par un malware se propageant sur le réseau de l’entreprise, tandis que plusieurs sources pointent le ransomware Ryuk comme derrière la paralysie du SI d’UHS. 

Sur Reddit plusieurs utilisateurs indiquent que les fichiers des hôpitaux du groupe ont été chiffrés et portent l’extension .ryk, marque de fabrique de Ryuk. Ils signalent en outre que l’attaque aurait débuté dans la nuit de samedi à dimanche et que les ordinateurs ne sont pas les seuls affectés : ECG, appareils de radiologie ou encore ERM seraient eux aussi paralysés. Des informations qui ne sont néanmoins pas vérifiables pour le moment, et donc à prendre avec des pincettes, à l’instar de celle selon laquelle plusieurs patients seraient décédés faute d’une prise en charge adaptée consécutive à cette cyberattaque. 

Le secteur de la santé particulièrement visé

La crise sanitaire a vu une multiplication des attaques dirigées contre les établissements de santé.  L'AP-HP, le Health and Human Services Department américain ou encore l'hôpital de Brno, en République Tchèque, ont tous été victimes ici de DDoS, là de ransomwares ou encore de vol de données. L’Accompagnement Cybersécurité des Structures de Santé avait émis en mars en France plusieurs recommandations suivant celles précédemment formulées par l’OMS. Pour Pierre-Louis Lussan, de Netwrix, "nos récentes recherches sur les cybermenaces indique que ce secteur a subi le plus d'attaque de ransomware depuis le début de la crise sanitaire - avec une organisation de santé sur trois qui admet avoir été visée. Concernant l’attaque d’UHS, nous ne savons pas encore si les données des patients ont été seulement chiffrées, ou si elles ont également quitté le réseau de l’organisation. Plusieurs installations d’UHS sont affectées dans au moins quatre États et dans la ville de Washington, ce qui montre un déplacement latéral rapide du malware".

Nouveau patron

L’éditeur de logiciels renforce sa branche cybersécurité en rachetant coup sur coup deux étoiles montantes du secteur, MobileIron et Pulse Secure. A l’aide des solutions de sécurisation de parcs mobiles du premier et de celles Zero Trust du second, Ivanti compte bien profiter du boom du télétravail pour devenir le champion de la gestion du poste de travail. 

Ivanti est quelque peu touche-à-tout : ITSM, supply chain, sécurité, gestion du poste de travail... L’entreprise de Salt Lake City, née du rachat par le fonds Clearlake de Landesk en janvier 2017, a récemment reçu le soutien financier d’un autre investisseur, TA Capital. Et c’est fort de ce nouvel investissement qu’Ivanti s’en est allé faire ses emplettes. Et c’est sur le secteur de la cybersécurité qu’il a jeté son dévolu.

D’abord en mettant la main pour 872 millions de dollars sur MobileIron. Cette jeune pousse est spécialisée dans la protection des parcs mobiles des entreprises, qu’il s’agisse de l’intégration des nouveaux appareils, des accès en mode conditionnel, de l’application de règles de sécurité à l’ensemble d’une flotte ou encore de la détection et élimination des menaces. En bref, un portefeuille de services complet qui faisait encore défaut à Ivanti. 

Des rachats très Zero Trust

Vient ensuite Pulse Secure, dont l’éditeur fait l’acquisition pour un montant non dévoilé. Lui oeuvre plutôt dans la sécurisation des accès aux applications, dans la droite lignée de l’approche Zero Trust. Il vend certes du VPN, mais aussi et surtout de l’Application Delivery Controller, du Network Access Control et même un soupçon de gestion unifiée des endpoints, domaine qui est loin d’être inconnu à Ivanti. 

L’entreprise explique qu'avec ces rachats, il "renforce la position de leader d'Ivanti en matière de gestion unifiée du poste client, de sécurité Zero Trust et de gestion des services d'entreprise, fonctions critiques dans l'environnement de télétravail actuel". Il n'évoque guère comment les solutions de Pulse Secure et de MobileIron seront intégrées à ses propres offres, sinon qu'il permettra à ses clients de "découvrir, gérer, sécuriser, offrir des services et automatiser tous les types de devices, via la plateforme d'hyper-automatisation Ivanti Neurons".

150 millions de dollars dérobés

Quelques jours après Gefco, c’est au tour du géant français du fret maritime de subir une cyberattaque. Les systèmes de réservation de CMA CGM sont paralysées par un ransomware, Ragnar Locker, dont les opérateurs demandent une rançon. 

Gefco, géant français de la logistique industrielle, subissait la semaine dernière une cyberattaque impactant son activité, probablement un ransomware. Voici désormais que son compatriote sur mer, CMA CGM, rapporte être lui aussi attaqué. Dans un communiqué publié plus tôt dans la journée sur son site, le groupe de fret maritime a annoncé faire l’objet “d’une cyberattaque sur des serveurs périphériques”. Il semble que le système de réservation soit le principal service impacté, bien que l’entreprise explique avoir interrompu l’accès externe à ses applications pour éviter la propagation du virus. 

“Les équipes informatiques s'efforcent de résoudre l'incident pour assurer la continuité des activités” indique CMA CGM dans son communiqué, précisant que l’accès à ses SI reprend “progressivement”. Si la société ne précise pas la nature de l’attaque, les opérateurs du ransomware Ragnar Locker se sont manifestés, exigeant le paiement d’une rançon en échange de la clé de déchiffrement. 

Ragnar dans le SI

Le groupe CMA CGM est l’un des géants dans le secteur du fret maritime, avec 750 entrepôts et plus de 500 navires sur 285 lignes desservant 420 ports commerciaux dans le monde. Christophe Lambert, Directeur Technique Grands Comptes EMEA chez Cohesity commente l’attaque en soulignant que “au-delà des données subtilisées et rendues inaccessibles, c’est la mise en arrêt total des processus métiers essentiels à la conduite des affaires qui peut s’avérer préjudiciable. Le secteur de la logistique repose sur une chorégraphie complexe de systèmes et de services, il faut donc être en mesure de restaurer rapidement les infrastructures et les données sous peine de pénaliser l’entreprise et l’ensemble de ses clients”.

CMA CGM mentionne une enquête lancée en interne et avec l’aide d’experts externes et promet de plus amples informations en fin de journée.  

La métropole, la ville et le Centre Communal d’Action Sociale de Besançon ont été victimes début septembre d’une cyberattaque. Ici, pas de ransomware, du moins pour l’instant car le spectre d’Emotet plane sur cette attaque qui exploite des techniques de phishing pour se répandre dans les réseaux de la collectivités. 

Ces derniers mois, de nombreuses collectivités ont été la cible d'attaques, bien souvent des ransomwares. On a appris ce week-end, par voie de communiqué, que la métropole du Grand Besançon, la ville de Besançon ainsi que son Centre communal d'action sociale sont victimes d'une cyberattaque, qui dure depuis le 4 septembre. Ici, pas de cryptolocker ni de DDoS, mais l'infection du SI de la collectivité par "des logiciels malveillants inclus dans des mails, qui se propagent au sein du réseau informatique et dont l’un des objectifs est d’exfiltrer des données de la collectivité" indique le communiqué.

On ignore pourquoi la collectivité a décidé de communiquer aussi tardivement, près de trois semaines après l'attaque. La Cnil ainsi que l'Anssi ont été notifiées tandis que l'attaque aurait été contenue. Selon la métropole, "la mobilisation immédiate et soutenue des équipes informatiques [...] a permis d’éviter le blocage du système d’information, de freiner la diffusion interne du virus pour progressivement l’éradiquer et de stopper aussi rapidement que possible les fuites de données".

Le mode opératoire d'Emotet

Néanmoins, des données ont été dérobées dans les comptes mails compromis, notamment "le contenu et les pièces jointes de courriels ainsi que des carnets d’adresses électroniques des agents".  Données qui sont désormais utilisées dans le cadre de campagnes d'hameçonnage des contacts de la collectivité, qui déplore ne rien pouvoir faire à ce sujet mais recommande à ses administrés et partenaires la plus grande prudence.

Un modus operandi qui n’est pas sans rappeler un certain Emotet. Le trojan bancaire, découvert en 2014, a fait l’objet récemment d’un avertissement de l’Anssi. Qui justement signalait que, après cinq mois d’absence, le malware avait refait surface en juillet dernier et, "depuis, nombre de ses campagnes d’hameçonnage exploitent une technique de détournement des fils de discussion des courriels (email thread hijacking technique)."

L'attaque visant Besançon n'est pas sans rappeler une autre, récente, qui visait le Tribunal de Paris, ses juges et avocats. "La France représente une cible des campagnes récentes d’Emotet" signalait justement l'Anssi dans son bulletin d'alerte. Si la forme de l'attaque peut sembler relativement bénigne comparée à un cryptolocker, il ne faut pourtant surtout pas sous-estimer Emotet. Le malware a en effet abandonné son rôle de Trojan bancaire depuis 2017, pour lui préférer la distribution de payloads malveillants sur les systèmes qu'il infecte, tels TrickBot, Qbot ou encore Dridex. Dans les faits, les opérateurs d'Emotet commercialisent les réseaux infectés à d'autres attaquants qui exploitent le malware pour injecter dans le SI visé leurs propres programmes malveillants.