L’ESN, frappée par une cyberattaque le 21 octobre, communique un peu plus sur le sujet. Elle confirme être victime de Ryuk, et plus exactement d’une version encore inconnue du ransomware, mais être parvenue à circonscrire l’infection de ses systèmes et attendre un retour à la normale dans les prochaines semaines.
La semaine dernière, Sopra Steria révélait dans un court communiqué être victime d’une cyberattaque. Faute de détails fournis par l’ESN, il était nécessaire dans un premier temps de se rabattre sur des informations de seconde main selon lesquelles l’entreprise était infectée par Ryuk, un ransomware bien connu. On ignorait notamment l’impact de l’attaque sur les clients et les partenaires de Sopra Steria.
L’ESN sort aujourd’hui de son mutisme : elle explique dans un nouveau communiqué que le malware a été identifié, “il s’agit d’une nouvelle version du ransomware Ryuk jusque-là inconnue des éditeurs d’antivirus et des agences de sécurité”. Sopra Steria s’est ainsi empressée de fournir les informations aux autorités de sorte à ce que la signature de cette mouture inédite de Ryuk soit intégrée aux bases antivirales.
Surtout, l’entreprise précise avoir détecté la cyberattaque “seulement” quelques jours après son lancement et que les mesures prises ont “permis de contenir la propagation du virus à une partie limitée des installations du Groupe et de préserver ses clients et ses partenaires”. Ainsi, selon l’ESN, il n’y a eu aucune fuite de données ni “dommages causés aux systèmes d’information de ses clients”. Sopra Steria assure que le retour à la normale se fera dans les prochaines semaines.
Une faille non comblée ?
Une inconnue subsiste : comment les attaquants ont-ils pu avoir accès au SI de Sopra Steria ? Certaines sources rapportent que cette version de Ryuk exploite la faille Zerologon, une vulnérabilité critique détectée en août dernier. Celle-ci affecte Windows Server lorsque le rôle ADDS (Active Directory Domain Services) est installé, que les ports TCP sont ouverts et que le serveur joue le rôle de contrôleur de domaine. La faille est nichée dans le protocole Netlogon, utilisé pour s'authentifier sur un serveur Windows.
“L'exploitation de cette vulnérabilité peut entraîner une élévation de privilèges sur les contrôleurs de domaine ayant pour conséquence l'accès à l'ensemble des ressources gérées par les domaines Active Directory” explique l’avis émis par l’ANSSI. Simple d’exploitation, Zerologon pourrait bien avoir été la porte d’entrée dans le SI de Sopra Steria... Quand bien même cette vulnérabilité a été corrigée par Microsoft le 11 août.