Ransomware : Un Canadien inculpé pour avoir lancé des attaques

Sécurité : Les autorités américaines enquêtaient depuis 2018 sur le citoyen canadien Matthew Philbert, âgé de 31 ans.

Par Jonathan Greig | Mercredi 08 Décembre 2021

Le FBI et le département de la Justice américain ont levé hier les scellés des actes d'accusation contre le Canadien Matthew Philbert, 31 ans, pour son implication présumée dans plusieurs attaques de ransomware.

Des représentants de la police canadienne ont tenu une conférence de presse ce mardi pour annoncer les accusations et l'arrestation du prévenu à Ottawa.

Le suspect serait affilié à un groupe de ransomware

Dans un communiqué, le procureur américain Bryan Wilson, du district de l'Alaska, indique que Matthew Philbert « a conspiré avec d'autres personnes connues et inconnues des Etats-Unis pour endommager des ordinateurs. Dans le cadre de cette conspiration, il a endommagé un ordinateur appartenant à l'Etat d'Alaska en avril 2018 ».

La justice canadienne a également annoncé des accusations contre le Canadien, notant qu'il avait été arrêté le 30 novembre. Les fonctionnaires n'ont pas précisé de quel groupe de ransomware il faisait partie ni de quelles attaques il était responsable.

« Les cybercriminels sont opportunistes et cibleront toute entreprise ou personne qu'ils identifient comme étant vulnérable », avertit Chuck Cox, commissaire adjoint de la police provinciale de l'Ontario.

Une nouvelle coopération entre les forces de l'ordre

Le suspect est notamment accusé de complot en vue de commettre une fraude et de fraude et d'activité connexe en rapport avec des ordinateurs. Bryan Wilson et les fonctionnaires canadiens soulignent qu'ils ont reçu l'aide des autorités néerlandaises et d'Europol dans cette affaire.

Au cours de la conférence de presse, Chuck Cox a indiqué que le FBI avait contacté les autorités canadiennes au sujet des activités de Matthew Philbert, notamment au sujet des attaques par ransomware contre des entreprises, des organismes gouvernementaux et des particuliers.

Lors de l'arrestation de Matthew Philbert, la police a indiqué qu'elle avait pu saisir plusieurs ordinateurs portables, des disques durs, des cartes vierges à bande magnétique et une phrase de passe permettant de récupérer l'accès à un portefeuille de cryptomonnaie.

Des cybercriminels basés partout dans le monde

En janvier, la police de Floride a arrêté un autre citoyen canadien en relation avec plusieurs attaques du groupe de ransomware Netwalker. Selon le département de la Justice américain, le suspect a réussi à gagner environ 27,6 millions de dollars grâce à plusieurs attaques par ransomware contre des organisations canadiennes comme la Northwest Territories Power Corporation, l'Ordre des infirmières et infirmiers de l'Ontario et un magasin de pneus situé en Colombie-Britannique.

D'après Brett Callow, analyste des menaces chez Emsisoft, on suppose généralement que les attaques par ransomware proviennent de Russie. Mais, même si le ransomware peut être "fabriqué" dans ce pays, il explique que les cybercriminels qui l'utilisent pour mener des attaques peuvent être basés n'importe où.

« En fait, il y a tellement d'argent à gagner avec les ransomwares qu'il serait extrêmement surprenant que des individus de pays comme le Canada, les Etats-Unis et le Royaume-Uni ne soient pas entrés sur le marché. Toutefois, ces personnes dorment peut-être un peu moins bien la nuit qu'avant. Dans le passé, il n'y avait pratiquement aucune chance qu'ils soient poursuivis pour leurs crimes, mais cela commence enfin à changer », affirme l'analyste à ZDNet.

Source : ZDNet.com

 

REF.:   https://www.zdnet.fr/actualites/ransomware-un-canadien-inculpe-pour-avoir-lance-des-attaques-39933783.htm?utm_source=NL_cybersecurite&utm_medium=email&utm_campaign=ZD_NL_cybersecurite&utm_content=&utm_term=20220102

 

 

Cybercriminalité : Immense vague d’arrestations partout dans le monde

Un nouveau dispositif piloté par Interpol a permis l'interpellation d’un millier de personnes à travers le globe

Par Zacharie Tazrout - @Zach_Tzt
Publié le 30 novembre 2021 à 11h28

Dans le cadre de l’opération « Haechi 2 » qui s’est déroulée de juin à septembre 2021, Interpol a pu procéder à l’arrestation de 1 003 personnes. Toutes ont un point commun : elles font partie de groupes de cybercriminels transnationaux qui n'hésitent pas à frauder afin de voler de l’argent d’un pays pour le transférer vers un autre.

L'opération « Haechi 2 » : des milliers de comptes bancaires gelés et des millions de dollars saisis

En pilotant les forces de l’ordre d’une vingtaine de pays, Interpol a réussi à démanteler plusieurs groupes de cybercriminels. Ce sont plus de 2350 comptes bancaires qui ont été bloqués et 27 millions de dollars qui ont été saisis à la suite de l’opération. Ces arnaqueurs utilisaient de nombreuses méthodes pour soutirer de l’argent à des particuliers et à des entreprises : offres d’investissements falsifiés, faux virement bancaire, arnaques amoureuses, phishing, utilisations de virus comme le cheval de Troie, etc.

Pékin se félicite du ménage réalisé sur les boutiques d’applications

Toutes ces arrestations ont pu être réalisées à l’aide d’un nouveau dispositif de lutte contre le blanchiment d’argent, le réseau ARRP (Anti-Money Laundering Rapid Response Protocol). Cet outil s’appuie sur la collaboration internationale des forces de l’ordre pour bloquer au plus vite des transferts d’argent interétatiques et éviter la disparition des fonds.

Une entreprise colombienne a notamment été victime de l’une de ces fraudes. Un cybercriminel a réussi à se faire passer pour le PDG de la société dans un e-mail, ordonnant le transfert de 8 millions de dollars vers un compte bancaire chinois. Lorsque la firme a remarqué son erreur, la moitié de cet argent avait déjà été transférée. Néanmoins, grâce au réseau ARRP, la Chine, la Colombie et Hong Kong sont parvenus à coopérer afin que 94 % de cet argent puisse être restitué à l’entreprise.

Les cybercriminels n'hésitent pas à jouer d'ingéniosité

« Haechi 2 » fait suite à l’opération « Haechi 1 » qui s'était déroulée de septembre 2020 à mars 2021. Durant cette période, 83 millions de dollars avaient été saisis, 500 personnes avaient été arrêtées et 1 600 comptes bancaires avaient été gelés. José De Gracia, directeur adjoint des réseaux criminels à Interpol, précise que « le partage d’informations sur les menaces émergentes est vital pour la capacité de la police à protéger les victimes de la criminalité financière en ligne. Cela permet également à la police de savoir qu’aucun pays n’est seul dans ce combat. » Dans le même registre, Interpol avait procédé à l'arrestation de plus de 21 000 cybercriminels lors de l'opération « First Light ».

Grâce à ces trois opérations, plusieurs modes opératoires ont été découverts. L’un des plus surprenants a tenté de surfer sur la vague du phénomène Netflix Squid Game. Une application mobile conçue en Colombie était présentée comme un produit dérivé de la série. En réalité, dès que l’utilisateur utilise l’application, un cheval de Troie se télécharge sur l’appareil. Cela permet au pirate de faire en sorte que l’usager s’inscrive à des services premium sans qu’il le sache.

José De Gracia conclut en ajoutant que « Les escroqueries en ligne comme celles utilisant des applications malveillantes évoluent aussi rapidement que les tendances culturelles qu’elles exploitent de manière opportuniste. »

 

REF.:   https://siecledigital.fr/2021/11/30/cybercriminalite-immense-vague-darrestations-partout-dans-le-monde/

 

 

Microsoft « Microsoft Digital Crimes Unit » joue les justiciers et prend le contrôle de sites web utilisés par des hackers chinois

Depuis le début de l'année, la « Microsoft Digital Crimes Unit » a déjà fait tomber plus de 10 000 sites web malveillants. Cette fois-ci, les hackers éthiques de Microsoft ont ralenti les opérations du groupe de pirates APT15. Une organisation cybercriminelle soutenue par le gouvernement chinois.

Par Valentin Cimino - @ciminix
Publié le 8 décembre 2021 à 08h43

Une unité spécialisée de Microsoft dans le « piratage éthique », baptisée la « Microsoft Digital Crimes Unit », a récemment pris le contrôle d'un certain nombre de sites web utilisés par des hackers chinois. Il s'agit du groupe APT15, soutenu par le gouvernement chinois. Les sites étaient utilisés pour mener des cyberattaques contre les gouvernements et les entreprises de 29 pays, dont les États-Unis et la France.

Les hackers chinois d'APT15 piégés à leur tour

Lundi 6 décembre, un tribunal fédéral de Virginie a délivré une ordonnance qui a permis au géant américain de prendre le contrôle des sites web contrôlés par des hackers chinois. Cette opération a permis de couper l'accès aux sites et de rediriger le trafic vers les serveurs de l'entreprise, afin d'empêcher que les hackers ne puissent exécuter de nouvelles cyberattaques.

Dans la même catégorie

Pékin se félicite du ménage réalisé sur les boutiques d’applications

« Ces attaques étaient en grande partie menées dans le but de collecter des renseignements auprès d'agences gouvernementales, de groupes de réflexion et d'organisations de défense des droits de l'Homme », selon Microsoft. L'entreprise américaine s'intéresse à ce groupe de pirates informatiques depuis 2016.

Il s'agit très probablement de l'un des groupes les plus actifs à travers le monde. Soutenus par le gouvernement chinois, ces pirates mènent régulièrement des attaques hautement sophistiquées. Leur spécialité est d'installer des logiciels malveillants difficiles à détecter qui facilitent l'intrusion, la surveillance et le vol de données. Des vulnérabilités dans les systèmes Exchange Server et SharePoint de Microsoft ont par exemple déjà été exploitées par les hackers chinois.

La « Microsoft Digital Crimes Unit » veille au grain

Selon Microsoft, les hackers chinois d'APT15 auraient ciblé plusieurs organisations des secteurs privé et public, comme des organisations diplomatiques, des ministères en Amérique du Nord, en Amérique centrale, en Amérique du Sud, dans les Caraïbes, en Europe et en Afrique. Comme le souligne Tom Burt, VP chez Microsoft sur le volet de la cybersécurité, « il existe souvent une corrélation entre les cibles d'APT15 et les intérêts géopolitiques de la Chine ».

Cette opération de hacking éthique permet à Microsoft de « protéger les victimes actuelles et futures tout en en apprenant davantage sur les activités des hackers APT15 ». Tom Burt précise que « bien qu'utile, cette action n'empêchera pas les hackers chinois de poursuivre d'autres activités de piratage, mais nous pensons avoir éliminé une pièce clé de l'infrastructure sur laquelle le groupe s'appuyait pour mener son actuelle vague de cyberattaques ».

Plusieurs organisations aux États-Unis, en Bosnie-Herzégovine, en Argentine, au Brésil, en Bulgarie, au Chili, en Colombie, en Croatie, en République dominicaine, en Équateur, au Salvador, et même en France, étaient dans le viseur des hackers chinois. Depuis le début de l'année 2021, la « Microsoft Digital Crimes Unit » a déjà fait tomber plus de 10 000 sites web malveillants utilisés par des cybercriminels et près de 600 exploités ou soutenus par des gouvernements.

 

REF.:   https://siecledigital.fr/2021/12/08/microsoft-joue-les-justiciers-et-controle-hackers-chinois/?utm_source=Newsletter+Siecle+Digital&utm_campaign=3964bf8ad0-newsletter_quotidienne&utm_medium=email&utm_term=0_3b73bad11a-3964bf8ad0-259741874

Les hackeurs créent ils eux même leur logiciel pirate ou les trouvent ils sur le net ?

 Les hackeurs créent ils eux même leur logiciel pirate ou les trouvent ils sur le net ?

 

Maxin Ruth

Chercheur en Sécurité de l'Information 2 ans

Question : Les hackeurs créent ils eux même leur logiciel pirate ou les trouvent ils sur le net ? (A2A)

Les deux mon capitaine.

Avant toute chose, il faut bien comprendre que l’image du pirate solitaire qui part à l’assaut des grandes forteresses numériques est dans 99% des cas un mythe. Bien souvent ce sont des groupes, plus ou moins éphémères, qui s’organisent autour d’une ou plusieurs opérations.

Les script-kiddies sont ces pirates du dimanche qui ne comprennent pas vraiment ce qu’il font. Ils ont une connaissance informatique très légèrement au dessus de la moyenne et utilisent des logiciels tout prêt sans comprendre ce qu’ils font. Quand ils décident de le développer eux-mêmes, c’est bien souvent en copiant-collant des bouts de code jusqu’à obtenir un résultat qui fonctionne.

Dans le monde professionel, les penetration tester (pentester, souvent appelé par les profanes “ethical hacker”) sont des employés de sociétés ou des freelances qui sont embauchés légalement pour tester la sécurité d’un certain périmètre (un réseau d’entreprise, un site web, …). En général, même au niveau junior, ils ont une certaine compréhension du fonctionnement des systèmes et protocoles. Ce n’est pas pour autant qu’ils vont recréer tous leurs outils. Un bon pentester n’est pas celui qui redéveloppe tout, c’est celui qui utilise le bon outil quand il le faut. Ainsi, du petit script-kiddies au meilleur pentester peuvent se reposer sur des suites logiciels tels que metasploit ou cobalt strike. La différence réside n’ont pas dans les outils que l’on utilise, mais dans la manière de les utiliser.

Dans le cas de la cybercriminalité organisée ou mature, les criminels utilisant des logiciels malveillants (“virus”, malware en anglais) s’organise par spécialité. En effet, monter une campagne d’infection virale requière des compétences en développement de malware, en administration réseau, en social engineering, en gestion de base de données, en blanchiment d’argent, … Un pirate solitaire peut savoir un peu tout faire, mais réaliser des tâches en dehors de son coeur de compétence risque de l’amener à faire des erreurs qui le fera détecter ou arrêter. Ainsi, depuis des années, chacun s’en tient à sa spécialité. Le développeur de malware développe le malware, le manager manage, l’admin réseau gère le réseau, …

(source : Russian financial cybercrime: how it works

)

Pour finir, dans la “crême de la crême” des pirates, les Advanced Persistent Threat (APT), le but n’est pas d’être le plus complexe mais de réussir sa mission. Ainsi ces groupes de cyberespionnage très avancés peuvent aussi bien utiliser des malwares “grand public” tels que Poison Ivy, PlugX (The Advanced Persistent Threat files: APT10

- APT10 est un nom utilisé par l’industrie de la cyberdéfense pour désigner les pirates du Guoanbu, le ministère de la sécurité de l’état chinois) ou NjRAT. D’autres vont développer leurs propres malwares puis le vendre (parfois même de manière légale comme NSO Group, Gamma Group ou Hacking Team). D’autres développent leur logiciels malveillants rien que pour eux, sauf que comme ils sont les seuls à l’utiliser, une fois étudié, toute opération future sera bien plus facile à attribuer.

NSA Ant Product Catalog

https://www.f-secure.com/documents/996508/1030745/cosmicduke_whitepaper.pdf

OilRig Targets Technology Service Provider and Government Agency with QUADAGENT

Ensuite, les fuites de données relatives aux codes sources de malware anciennement privés ou commercial permettent de créer des variantes. C’est le cas du fameux malware Zeus (Zeus Source Code Leaked

) ou de Carbanak (Carbanak Backdoor’s Source Code Leaked: What This Means for Enterprises) dont les codes sources disponibles sur Github permettent aussi bien aux criminels qu’au chercheur en sécurité informatique de l’étudier et d’en faire…tout ce que l’on veut jusqu’au limite de l’imagination.

 

 

REF.: Quora.com

 

 

Microsoft s'attaque aux sites du groupe Nickel

Sécurité : Le groupe Nickel, basé en Chine, serait responsable de dizaines de cyberattaques ayant visé des gouvernements et des ONG à travers le monde.

Par Jonathan Greig | Mardi 07 Décembre 2021

Microsoft a annoncé la saisie de dizaines de domaines utilisés dans des cyberattaques par le groupe APT Nickel, basé en Chine, contre des gouvernements et des ONG en Europe, en Amérique et dans les Caraïbes.

Tom Burt, Corporate Vice President, Customer Security & Trust chez Microsoft, a publié deux articles de blog [1, 2] à ce sujet, où il raconte que l'entreprise suivait Nickel depuis 2016, et qu'un tribunal fédéral de Virginie avait accédé à sa demande de saisir les sites web utilisés par le groupe APT pour attaquer des organisations aux Etats-Unis et dans d'autres pays.

Empêcher les sites web d'être utilisés pour des attaques

Selon son récit, Microsoft a déposé plainte le 2 décembre devant un tribunal fédéral américain, afin de pouvoir « couper l'accès de Nickel à ses victimes et d'empêcher les sites web d'être utilisés pour exécuter des attaques ».

« Nous pensons que ces attaques étaient en grande partie utilisées pour la collecte de renseignements auprès d'agences gouvernementales, de groupes de réflexion et d'organisations de défense des droits humains », explique Tom Burt.

« Le tribunal a rapidement accordé une ordonnance, qui a été descellée aujourd'hui, après l'achèvement de la signification aux fournisseurs d'hébergement. Obtenir le contrôle des sites web malveillants et rediriger le trafic de ces sites vers les serveurs sécurisés de Microsoft nous aidera à protéger les victimes actuelles et futures tout en en apprenant davantage sur les activités de Nickel. Notre perturbation n'empêchera pas Nickel de poursuivre d'autres activités de piratage, mais nous pensons avoir supprimé une pièce clé de l'infrastructure sur laquelle le groupe s'appuyait pour cette dernière vague d'attaques. »

Des données volées à travers le monde

Les attaques – qui consistaient à déployer des malwares difficiles à détecter permettant des intrusions, la surveillance et le vol de données – ont visé des organisations en Argentine, à la Barbade, en Bosnie-Herzégovine, au Brésil, en Bulgarie, au Chili, en Colombie, en Croatie, en République dominicaine, en Equateur, au Salvador, en France, au Guatemala, au Honduras, en Hongrie, en Italie, à la Jamaïque, au Mali, au Mexique, au Monténégro, au Panama, au Pérou, au Portugal, en Suisse, à Trinité-et-Tobago, au Royaume-Uni, aux Etats-Unis et au Venezuela.

Le Microsoft Threat Intelligence Center constate que Nickel a parfois réussi à compromettre des fournisseurs de VPN ou à obtenir des informations d'identification volées. Dans d'autres cas, le groupe a profité de serveurs Exchange et de systèmes SharePoint non patchés.

Lutter contre le cybercrime d'Etat

Microsoft précise qu'aucune nouvelle vulnérabilité dans les produits Microsoft n'a été utilisée dans le cadre de ces attaques. Mais une fois que les attaquants ont pénétré dans un réseau, ils ont cherché des moyens d'accéder à des comptes plus importants ou à d'autres points d'appui dans le système. Microsoft dit avoir vu des acteurs de Nickel utiliser Mimikatz, WDigest, NTDSDump et d'autres outils de vidage de mots de passe lors d'attaques.

« On trouve généralement une corrélation entre les cibles de Nickel et les intérêts géopolitiques de la Chine. D'autres membres de la communauté de la sécurité qui ont fait des recherches sur ce groupe d'acteurs le désignent sous d'autres noms, notamment "KE3CHANG", "APT15", "Vixen Panda", "Royal APT" et "Playful Dragon" », précise Tom Burt.

« Les attaques soutenues par des Etats continuent de proliférer et de se sophistiquer. Notre objectif, dans ce cas, comme dans les perturbations précédentes qui visaient le baryum, opéré depuis la Chine, le strontium, opéré depuis la Russie, le phosphore, opéré depuis l'Iran, et le thallium, opéré depuis la Corée du Nord, est de démanteler les infrastructures malveillantes, de mieux comprendre les tactiques des acteurs, de protéger nos clients et d'alimenter un débat plus large sur les normes acceptables dans le cyberespace. »

Une faible sécurité dans les réseaux ciblés

Tom Burt ajoute que jusqu'à présent, Microsoft a intenté 24 procès qui lui ont permis de démonter plus de 10 000 sites web malveillants de cybercriminels et près de 600 groupes soutenus par des Etats.

Jake Williams, directeur technique de BreachQuest, souligne que les techniques utilisées par Nickel après être entré dans un système sont plutôt banales, alors qu'il existe de nombreux autres outils, faciles d'accès et largement utilisés par ceux qui tentent de s'introduire dans des réseaux.

« Nickel a certainement accès à des outils beaucoup plus performants, mais le groupe privilégie ces outils basiques parce qu'ils fonctionnent », estime-t-il. « Le fait que ces outils facilement disponibles fonctionnent témoigne du niveau de sécurité des réseaux ciblés. »

Source : ZDNet.com