Article à la une...
Comme le site ZATAZ l’a expliqué, l’infrastructure informatique du groupe de hackers malveillants Lockbit est tombée entre les mains des autorités. La police a créé un faux site Lockbit et dévoile tout sur les pirates. Nous vous faisons visiter !
-
Contrôle par la NCA : La National Crime Agency (NCA) a pris le contrôle de l’environnement d’administration principal de LockBit et de son site de fuite sur le dark web.
- Obtention du code source : La NCA a acquis le code source de LockBit et une grande quantité de renseignements sur leurs activités et affiliés.
- Données de victimes ayant payé une rançon : Certaines données chez LockBit provenaient de victimes ayant payé une rançon, montrant que le paiement ne garantit pas la suppression des données.
- Coopération internationale : L’opération Cronos contre LockBit a impliqué le FBI et des partenaires de neuf autres pays.
- Saisie d’infrastructures : Dans les dernières 12 heures, la taskforce Op Cronos a saisi des infrastructures dans trois pays et mis hors service 28 serveurs appartenant à des affiliés de LockBit.
- Arrestations et gels de comptes : Deux acteurs de LockBit ont été arrêtés en Pologne et en Ukraine, et plus de 200 comptes de cryptomonnaie liés au groupe ont été gelés.
- Inculpations aux États-Unis : Deux individus responsables d’attaques LockBit ont été inculpés et détenus aux États-Unis, avec des actes d’accusation révélés contre deux autres personnes de nationalité russe.
-
Assistance aux victimes : La NCA dispose de plus de 1 000 clés de décryptage et contactera les victimes au Royaume-Uni pour les aider à récupérer leurs données chiffrées.
Voilà un coup magistral que nous attendions depuis des mois. Les nombreuses arrestations de la constellation malveillante Lockbit viennent de connaître un éclat solaire qui vaut son pesant de sourires.
Plusieurs arrestations (en Ukraine et en Pologne), sites hors service, stockage saisi, service après-vente exposé. La cerise sur le gâteau, les autorités ont créé un faux site Lockbit [via une adresse officielle, comme le montre la vidéo] sur lequel les polices britannique et américaine se sont exprimées de manière remarquable. Un pur troll. Le design, les compteurs à rebours, tout y est. Mais cette fois, les informations révélées ne concernent plus les entreprises victimes, mais uniquement Lockbit et sa bande. [Visiter en vidéo].
La NCA a pris le contrôle de l’environnement d’administration principal de LockBit, qui permettait aux filiales de créer et de mener des attaques, ainsi que du site de fuite public du groupe sur le dark web, sur lequel ils hébergeaient auparavant et menaçaient de publier les données volées aux victimes.
Au lieu de cela, ce site héberge désormais une série d’informations exposant les capacités et les opérations de LockBit, que la NCA publiera quotidiennement tout au long de la semaine.
L’Agence a également obtenu le code source de la plateforme LockBit et une grande quantité de renseignements de leurs systèmes sur leurs activités et ceux qui ont travaillé avec eux.
Certaines données présentes dans les systèmes de LockBit appartenaient à des victimes qui avaient payé une rançon, ce qui montre que même lorsqu’une rançon est payée, elle ne garantit pas que les données seront supprimées, malgré ce que les criminels ont promis. ZATAZ vous l’a toujours dit : faire confiance au diable, ce n'est pas malin !
Stealbit
LockBit disposait d’un outil d’exfiltration de données sur mesure, connu sous le nom de Stealbit, qui était utilisé par les affiliés pour voler les données des victimes. Au cours des dernières 12 heures, cette infrastructure, basée dans trois pays, a été saisie par les membres de la taskforce Op Cronos, et 28 serveurs appartenant aux filiales de LockBit ont également été mis hors service.
L’infiltration et les perturbations techniques ne sont que le début d’une série d’actions contre LockBit et ses filiales. Dans le cadre d’une action plus large coordonnée par Europol, deux acteurs de LockBit ont été arrêtés en Pologne et en Ukraine, et plus de 200 comptes de cryptomonnaie liés au groupe ont été gelés.
Le ministère américain de la Justice a annoncé que deux accusés responsables de l’utilisation de LockBit pour mener des attaques de ransomware ont été inculpés au pénal, sont en détention et seront jugés aux États-Unis [ZATAZ vous en parlait cette nuit, NDR].
Les États-Unis ont également dévoilé les actes d’accusation contre deux autres personnes, de nationalité russe, pour avoir conspiré en vue de commettre des attaques LockBit.
Suspect arrêté en Ukraine
Les autorités ukrainiennes ont persévéré malgré les défis d’un environnement déchiré par la guerre. Leur effort collaboratif a conduit à l’arrestation réussie de suspects. Avec l’aide de la Gendarmerie Nationale, de la Pologne et d’Europol, des perquisitions et à l’interrogatoire d’un pirate géolocalisé à Ternopil. Une enquête lancée par les autorités judiciaires françaises.
Suspect arrêté en Pologne
Dans un effort coordonné, les autorités polonaises ont exécuté, à la demande des autorités judiciaires françaises, des actions ciblées pour appréhender un acteur présumé de LockBit. La collecte de renseignements collaborative à travers les frontières a facilité l’identification précise de l’individu soupçonné d’avoir blanchi une grande partie des profits générés par le groupe LockBit. Avec une planification stratégique et un échange d’informations en temps réel entre les agences via le Poste de Commandement Virtuel (VCP) d’Europol et un soutien sur place, les autorités se sont rapidement déplacées pour intercepter le suspect.
Pendant ce temps…
La Police japonaise, avec le soutien d’Europol, a développé un outil de récupération conçu pour restaurer les fichiers chiffrés par le Ransomware LockBit 3.0 Black.
Pour que cette solution de récupération fonctionne, vous devez exécuter ce fichier binaire sur votre machine infectée. Cela lancera une première évaluation de votre machine.
Pour produire cet outil, la Police japonaise a concentré une grande expertise technique pour révéler la structure du chiffrement basée sur l’ingénierie inverse en matière de criminalistique pendant plus de trois mois. Cette solution a été testée en interne et des efforts importants ont été faits pour la rendre disponible lors de l’opération conjointe CRONOS.
Update : Le ministère de la Justice annonce la perturbation du groupe de ransomwares LockBit, l’un des groupes de ransomwares les plus actifs au monde, qui a ciblé plus de 2 000 victimes et a reçu plus de 120 millions de dollars de rançon. paiements et demandé des rançons totalisant des centaines de millions de dollars.
Source : ZATAZ
À la suite d’un incident majeur, la remédiation modifie durant plusieurs semaines voire plusieurs mois le cycle de vie du système d’information, et touche durant cette période de nombreux métiers. Si la remédiation est bien pilotée, l’incident devient une opportunité d’amélioration significative de la résilience de l’organisme qui le subit.
Cyberattaques et Remédiation, les clés de décision – Guide de l’ANSSI.
La remédiation : un enjeu clé pour les organisations
Les dégâts financiers et matériels que peuvent occasionner une attaque informatique sont considérables. Si un incident majeur est partiellement ou mal remédié, ses effets peuvent s’étendre dans la durée. Ce fort potentiel de déstabilisation exige, à la fois des organisations cibles et des prestataires de cybersécurité, un savoir-faire dans l’endiguement de ces cyber-attaques, dans la reprise de contrôle du système d’information compromis et dans le rétablissement d’un état de fonctionnement suffisant. La remédiation est l'étape clé pour y parvenir. Elle constitue l’une des dimensions majeures de la réponse à incident cyber, avec l’investigation et la gestion de crise.
Des guides pour accompagner les organisations à chaque étape
L’ANSSI est engagée, avec l’écosystème de la sécurité informatique, à l’élaboration et la diffusion des piliers doctrinaux concernant la mise en œuvre et du pilotage de la remédiation. Elle publie ainsi un corpus doctrinal qui s’articule en trois volets (stratégique, opérationnel, technique).
Le corpus intègre les retours de la communauté cyber suite à un appel à commentaires public. Il a vocation à s’enrichir progressivement de nouveaux contenus.
Article à la une...
Les attaques par déni de service (DoS) sont une préoccupation constante des organisations en matière de sécurité. Toutefois, au cours des dernières années, ces attaques sont devenues plus faciles, moins coûteuses et plus agressives que jamais. L'émergence de nouveaux conflits armés dans le monde a alimenté de nouvelles vagues d'attaques par déni de service, les groupes de menace nouvellement constitués choisissant diverses cibles.
Le présent rapport vise à apporter un éclairage nouveau sur le paysage des menaces DoS. Grâce à une analyse minutieuse des motivations et de l'impact des attaques DoS, ce rapport aide les organisations à comprendre cette menace et à mieux se protéger si elles en sont la cible.
Source : ENISA (Texte traduit de l'anglais)
Article à la une...
Le FBI a annoncé, le 19 décembre 2023, avoir infiltré le groupe cybercriminel russe BlackCat / ALPHV, numéro 2 mondial des attaques par rançongiciels. L’agence fédérale a saisi le site du gang sur le darknet, et mis la main sur des clés de déchiffrement, qui ont permis à plus de 500 organisations de récupérer leurs données.
« Grâce à l’outil de déchiffrement fourni par le FBI à des centaines de victimes du ransomware dans le monde entier, des entreprises et des écoles ont pu rouvrir leurs portes, et des services de santé et d’urgence ont pu être rétablis. Nous continuerons […] à placer les victimes au centre de notre stratégie visant à démanteler l’écosystème qui alimente la cybercriminalité », a commenté Lisa O. Monaco, procureure générale adjointe des États-Unis.
BlackCat a vivement réagi à cette opération. Le Ransomware-as-a-Service (RaaS) a d’abord repris temporairement le contrôle de son site sur le darkweb, puis a affirmé que le FBI n’avait atteint qu’une partie de son infrastructure. Selon le groupe cybercriminel, l’action des autorités aurait par ailleurs rendu impossible le futur déchiffrement des données de 3 000 autres victimes.
Pour inciter ses affiliés à continuer de lancer des attaques, le groupe a également baissé drastiquement ses commissions à 10 % du butin, contre 20 % à 40 % précédemment. BlackCat a surtout levé toutes les interdictions qu’il imposait à ses membres, notamment celles d’attaquer les hôpitaux ou les infrastructures critiques.
« Nous introduisons de nouvelles règles, ou plutôt, nous supprimons TOUTES les règles, à l’exception d’une seule : vous ne pouvez pas toucher la CEI [l’organisation intergouvernementale regroupant neuf ex-républiques soviétiques, menée par la Russie, NDLR]. Vous pouvez désormais bloquer des hôpitaux, des centrales nucléaires, n’importe quoi, n’importe où », indiquent ainsi les cybercriminels.
Loin d’être abattu, le gang de rançongiciel a incité ses affiliés à attaquer davantage, sans limitations.
Source : INCyber
Article à la une...
Le parquet de Paris a révélé à ZDNET.fr, le 19 décembre 2023, que sa section cyber avait ouvert 512 enquêtes pénales à la suite d’attaques par rançongiciel en 2023. Cela représente une hausse de 20% par rapport à 2022 (420 nouvelles enquêtes), où cet indicateur avait, pour la première fois, baissé. Il était de 496 enquêtes en 2021, 263 en 2020 et 17 en 2019.
Le recul de 2022 semble donc n’avoir été que conjoncturel. En revanche, le nombre total d’enquêtes lancées pour des faits de cybercriminalité reste stable à 612, le même chiffre qu’en 2022 – 603 en 2021. Les enquêtes pour des cyberattaques n’impliquant pas de rançongiciel ont donc presque été divisées par deux entre 2022 et 2023 (de 192 à 100).
La tendance est donc clairement, en France, à une réorientation de la cybercriminalité vers les ransomwares, avec un retour à des chiffres proches de ceux de 2021.
L’accalmie n’aura duré qu’un an.
Source : INCyber News