Planète Warez

@patricelg a dit dans Attaque DDOS en cours : plusieurs sites du gouvernement et de collectivités sont paralysés :

Sont accessibles ce matin sans aucune info sur les attaques. C’est comme si rien ne s’était passé…

C’est pas faux !
Je n’ai pas entendu grand chose dessus. En même temps, ça gênait pas de fou mais quand même. Si ça ne met pas le pays HS comme les aéroports ou les hôpitaux, la plupart des médias (et des gens) s’en branlent…

La société éditant la solution d’accés à distance, Teamviewer, a indiqué avoir détecté une intrusion dans son réseau. Elle mène l’enquête et précise que son environnement IT interne est séparé de celui des produits.

Teamviewer a détecté une intrusion dans son environnement IT interne. (Crédit Photo: Teamviewer)

Tous les éléments de langage ont été pesés pour éviter la panique. Teamviewer, éditant un logiciel d’accès à distance a publié un communiqué indiquant que son équipe de sécurité avait « détecté une irrégularité » au sein de l’un de ses réseaux. Une tournure élégante pour signifier un piratage de son environnement IT. L’intrusion a été relevée mercredi par la société basée en Allemagne et a immédiatement appelé de l’aide auprès d’enquêteurs spécialisés en cybersécurité.

L’éditeur a également pris des « mesures de remédiation nécessaires » et a activé son plan de réponse à incident. Dans son communiqué, il a souhaité rassurer ses clients, « l’environnement informatique interne de Teamviewer est totalement indépendant de celui du produit. Il n’y a aucune preuve suggérant que ce dernier ou les données des clients sont affectés ». Effectivement, une compromission de la plateforme d’accès à distance pourrait avoir un effet dévastateur sur les 600 000 clients (par exemple l’écurie de Formule 1 Mercedes) revendiqués par la société.

Les groupes APT ciblent activement les services Teamviewer

La nouvelle de l’intrusion a été rapportée, selon nos confrères de Bleepincomputer, pour la première fois sur Mastodon par Jeffrey, un professionnel de la sécurité informatique. Il a partagé une alerte diffusée sur le Dutch Digital Trust Center, un portail web utilisé par le gouvernement, les experts en sécurité et les entreprises néerlandaises pour partager des informations sur les menaces en matière de cybersécurité.

D’autres alertes ont ensuite suivi comme celle de NCC dont l’équipe de sécurité « a été informée d’une compromission importante de la plateforme d’accès et d’assistance à distance TeamViewer par un groupe APT », sans citer le nom du groupe en question. Le Health Information Sharing and Analysis Center (Health-ISAC) aux Etats-Unis a publié une note montrant que les services TeamViewer étaient activement ciblés par le groupe de pirates russes APT29, également connu sous les noms de Cozy Bear, Nobelium et Midnight Blizzard. L’organisation recommande d’examiner les logs pour détecter tout trafic inhabituel de bureau à distance.

Source : lemondeinformatique.fr

L’entreprise TeamViewer attribue une intrusion informatique au renseignement extérieur russe

La société assure que rien ne montre pour le moment que l’infrastructure de développement de ses logiciels a été compromise.

La société TeamViewer a annoncé, vendredi 28 juin, avoir détecté une intrusion informatique attribuée à APT29, une unité des services de renseignements extérieurs russes régulièrement identifiée dans des opérations d’espionnage très sophistiquées.

Le communiqué de l’entreprise, qui avait annoncé la veille avoir identifié des « irrégularités » dans son système, inquiète au plus haut point les experts. TeamViewer est connue pour commercialiser dans le monde entier des outils très populaires d’accès à distance, utilisés par exemple pour partager le contrôle d’un ordinateur lors d’un dépannage. TeamViewer estime pour le moment que l’attaque a été circonscrite à une partie du réseau et que les pirates n’ont pas réussi à accéder à des données de clients ou à l’infrastructure concernant les produits développés par l’entreprise. Une nouvelle communication est attendue d’ici la fin de la soirée (heure française).

L’entreprise affirme que cette attaque a démarré le 26 juin et utilisait les identifiants d’un employé, une porte d’entrée très classique dans les cas d’intrusion informatique dans le réseau d’une entreprise. Une alerte avait été émise le 27 juin par la société spécialisée en sécurité informatique NCC Group, qui affirmait avoir reçu des informations faisant état d’une compromission de TeamViewer par APT29.

Le développeur allemand, comptant des centaines de milliers de clients dans le monde, représente une cible de choix pour les groupes spécialisés dans l’espionnage. Ses logiciels distribués très largement, s’ils venaient à être compromis ou modifiés, représenteraient une porte d’entrée idéale pour prendre le contrôle d’autres réseaux. Ces attaques appelées « supply chain », parce qu’elles ciblent les fournisseurs de service qui irriguent des entreprises mais aussi des institutions dans le monde entier, sont aujourd’hui une des principales menaces aussi bien en matière d’espionnage que de cybercriminalité.

Un acteur spécialisé dans l’espionnage

Le groupe APT 29 est un des principaux acteurs impliqués dans les opérations de cyberespionnage russes. Le 19 juin, l’Agence nationale de la sécurité des systèmes d’information (Anssi) publiait un rapport détaillant comment ce groupe, aussi appelé Nobelium, avait ciblé depuis 2021 de nombreux diplomates français. L’ambassade de France à Kiev avait notamment été ciblée par un e-mail contenant une pièce jointe vérolée.

Source : lemonde.fr

@Violence Damned, mais c’est la fission nucléaire que tu nous décris là! :ahah: la chaîne du bonheur qui aurait abouti. :ahah:

@Ashura oui je n’ai pas dit le contraire 🙂 d’ou le :

@Violence a dit dans Une exploitation agricole sur cinq victime d’une cyberattaque :

Une bonne partie en effet,

J’ai d’ailleurs un ami d’enfance qui a repris l’exploitation de vaches laitières de ses parents.
Donc pour l’avoir aidé des weekends à la traite de temps à autre, je vois très bien le boulot.

Ce n’est pas de tout repos mais il fait partie de ceux qui s’en sortent bien.

La semaine dernière, la société DP World a été impactée par une cyberattaque qui a affecté son activité en Australie et qui a perturbé très fortement 4 ports du pays. Ce lundi matin, l’activité portuaire a reprise. Voici ce que l’on sait.

Une cyberattaque a paralysé les activités de DP World, une société qui gère environ 40% du volume de marchandises entrant et sortant d’Australie. Cet incident de sécurité a impacté le système de conteneurs des ports de Melbourne, Sydney, Brisbane et Fremantle. L’intrusion a été détectée vendredi 10 novembre 2023 par les équipes de DP World. Dans la foulée, la décision suivante a été prise : déconnecter d’Internet les systèmes informatiques, ce qui a eu un impact considérable sur le transport de marchandises. En effet, il n’était plus possible de charger ou décharger de la marchandise.

Après avoir testé tous les systèmes au cours de la nuit, DP World a remis en ligne son système ce matin (13/11/2023) et l’activité à pu reprendre sur les différents ports australiens impactés. Désormais, 5 000 conteneurs s’apprêtent à partir dans la journée : c’est proche du flux habituel. Même si les principaux services sont relancés, il s’agit toutefois d’un mode dégradé, car en parallèle, il y a toujours des travaux en cours sur l’infrastructure informatique, notamment sur le réseau. Ceci pourrait engendrer quelques perturbations.

Pour le moment, nous ignorons l’origine de cette attaque, car DP World n’a pas communiqué sur ce sujet. Nous ne savons pas non plus si cette cyberattaque est associée à une demande de rançon.

Par la voix de Clare O’Neil, ministre de la cybersécurité, le gouvernement australien a réagi :

L’incident de sécurité de DP World montre à quel point notre pays est vulnérable aux cyberincidents et à quel point nous devons mieux travailler ensemble pour assurer la sécurité de nos citoyens.

Ce n’est pas la première fois que l’Australie est impactée par un incident de sécurité important : il y avait eu les affaires liées à Medibank et Optus en 2022. Même à l’autre bout du monde, la menace est réelle et les problématiques similaires.

https://www.it-connect.fr/les-principaux-ports-daustralie-a-larret-suite-a-une-cyberattaque/

Heureusement que c’est trop cher sinon je serais dedans, ouf sauvé

Plusieurs milliers d’utilisateurs d’Ile-de-France Mobilités Connect sont concernés par une attaque informatique lors de laquelle les cybercriminels sont parvenus à voler les adresses e-mails et les mots de passe des comptes.

L’application Ile-de-France Mobilités Connect (anciennement Navigo Connect) regroupe plusieurs fonctions utiles pour les habitués des transports en commun en région parisienne. L’application permet de gérer son forfait, d’acheter des titres de transports, mais également de rechercher des itinéraires.

Vendredi 6 octobre 2023, Île-de-France Mobilités a annoncé que son service avait subi une cyberattaque. Un incident de sécurité qui n’est pas anodin puisque les cybercriminels sont parvenus à collecter les adresses e-mails et les mots de passe des comptes de 4 000 utilisateurs ! Grâce à ces identifiants, il est possible d’accéder aux comptes des utilisateurs.

Vu que cet incident s’est déroulé il y a plusieurs jours, vous avez peut-être déjà reçu une alerte de la part d’Île-de-France Mobilités. Si ce n’est pas déjà fait, vous devez impérativement changer votre mot de passe pour protéger votre compte. Nous ne savons pas si les comptes piratés ont été utilisés à des fins malveillantes ou non. Île-de-France Mobilités n’a pas apporté de précision à ce sujet.

Puisque les cybercriminels ont entre leurs mains une base de données avec des adresses e-mails, vous devez rester vigilant, car les adresses e-mails collectées peuvent être utilisées dans des campagnes de phishing.

Suite à cet incident de sécurité, Ile-de-France Mobilités Connect a déposé plainte auprès du Procureur de la République pour des faits de “collecte frauduleuse de données” et une notification a été envoyée à la CNIL.

Par ailleurs, Ile-de-France Mobilités a demandé à Worldline, son prestataire spécialiste de la sécurisation des paiements, de prendre les mesures techniques nécessaires pour renforcer la sécurité du système et mettre fin à cette intrusion dans le système informatique. C’est ce prestataire qui a identifié l’intrusion le 2 octobre 2023.

– Source

https://www.it-connect.fr/cyberattaque-ile-de-france-mobilites-4-000-e-mails-et-mots-de-passe-voles-par-les-pirates/

https://www.tf1info.fr/transports/pass-navigo-passe-ile-de-france-mobilite-porte-plainte-apres-le-piratage-de-milliers-de-comptes-d-usagers-donnees-personnelles-2272211.html

Le 25 janvier, le groupe de recherche ESET a découvert une nouvelle cyberattaque en Ukraine. Les attaquants du groupe Sandworm ont déployé un nouveau malware nommé SwiftSlicer, qui vise à détruire l’Active Directory.

Tribune – Dans ce contexte, voici le commentaire de Regis Alix, Senior Principal Solutions Architect de Quest Software – fournisseur mondial de logiciels de gestion des systèmes et de sécurité :

« Ce n’est pas le premier malware de type « wiper » (dont l’objectif principal est de détruire des données ou des systèmes) déployé par le groupe Sandworm. Pourtant, SwiftSlicer est le premier qui vise directement l’Active Directory en détruisant sa base de données via une attaque directe du fichier NTDS.DIT sur les contrôleurs de domaines.

SwiftSlicer a été détecté dans le cadre d’une cyberattaque que l’on pourrait qualifier de « géopolitique » dont le but est, évidemment, de perturber des organisations et pas de générer un revenu financier. Cependant, de nombreuses études récentes montrent que les attaques de type ransomware réussies sont de moins en moins nombreuses. Il est donc fort probable que les groupes cyber malveillants cherchent à diversifier leurs sources de revenu en se dirigeant vers la spéculation financière, en cherchant à détruire les systèmes principaux d’organisations influentes sur les marchés afin de les déstabiliser. Les ‘wipers’ pourraient donc progressivement remplacer, au moins en partie, les ransomwares.

La première leçon importante à tirer de l’attaque SwiftSlicer est le déploiement de la charge virale par les GPO de l’Active Directory. Le malware utilise ce processus de déploiement de configurations et d’applications natif de l’Active Directory pour le détruire. Malheureusement, de nombreuses organisations ne considèrent pas encore les GPO comme une part critique de la sécurisation de leurs environnements. La compromission d’une GPO permet à un attaquant de réduire drastiquement le niveau de sécurité de l’ensemble des systèmes attachés à l’AD ainsi que de l’AD lui-même ou encore, comme c’est le cas de SwiftSlicer, de déployer sa charge virale active sur les machines cibles par ce processus intégré à l’AD et donc peu ou pas surveillé par les différents systèmes de protection tels que les EDR, XDR etc.

Il est donc évident que la surveillance ainsi que la sécurisation de l’administration des GPO est critique pour la sécurité des environnements Microsoft.

Le second point mis en évidence par cette nouvelle attaque est que l’Active Directory est plus que jamais une cible et qu’en plus de sa compromission, c’est sa destruction pure et simple qui est recherchée. La mise en place d’un plan de reprise d’activité (PRA) spécifique à l’AD incluant des sauvegardes multiples et protégées, ainsi qu’une procédure de restauration la plus automatisée possible de l’AD, est indispensable pour préparer une éventuelle crise dont la probabilité ne cesse d’augmenter. »

– Source

Selon les informations recueillies par Europe 1, le site internet de “Charlie Hebdo” a fait l’objet mercredi d’un piratage. La boutique en ligne du journal ainsi que la page d’accueil ont été hackées. Une enquête a été ouverte, confiée à la DGSI.

text alternatif

Une de CH du 7 janvier 2023, quasi 8 ans jour pour jour après les attentats

Une réponse iranienne à la publication des caricatures de l’ayatollah Khamenei ? Selon les informations recueillies par Europe 1, le site internet de Charlie Hebdo a été victime mercredi d’une attaque informatique. Les services informatiques du journal satirique ont repéré dans l’après-midi que l’accès à la boutique en ligne et que la page d’accueil du site avaient été piratés.

Des données auraient par ailleurs été mises en vente sur le darkweb, ainsi que des informations personnelles de plusieurs milliers d’abonnés de charliehebdo.fr. Des listings des ventes de novembre et de décembre 2022 auraient aussi été publiées.

Une enquête ouverte et la DGSI saisie

Si ce jeudi après-midi la page d’accueil et l’ensemble du contenu éditorial du journal était accessible, la page abritant la boutique en ligne était, elle, toujours défaillante. Le journal a déposé plainte pour altération d’un système de traitement automatisé des données (Stad).

La section cyber du parquet de paris a ouvert ce mercredi une enquête des chefs “d’accès frauduleux à un système de traitement de données”, “maintien frauduleux”, “introduction de données”, “modification frauduleuse de données” et “entrave au fonctionnement”. La direction générale de la sécurité intérieure (DGSI) a été chargée des investigations en co-saisine avec l’office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC). Contacté par Europe 1, Charlie Hebdo n’a pas à cette heure répondu à nos sollicitations.

Une polémique diplomatique avec l’Iran

Cette attaque survient près de huit ans après les attentats contre la rédaction du journal satirique, et au même moment d’une polémique diplomatique, après la publication mercredi de caricatures sur le régime iranien jugées insultantes par Téhéran. Ces dizaines de caricatures ont été publiées à l’issue d’un concours organisé en décembre par Charlie Hebdo.

Son objectif était de réaliser “la caricature la plus drôle et méchante d’Ali Khamenei, Guide suprême de la République islamique d’Iran”, secouée depuis plusieurs mois par des manifestations inédites. Elles ont débuté pour protester contre la mort en détention le 16 septembre de Mahsa Amini, une Kurde iranienne arrêtée pour avoir enfreint le code vestimentaire strict du pays. Sur les 300 dessins reçus, réalisés notamment par des iraniens exilés, ont été sélectionnés “les plus aboutis, les plus originaux et les plus efficaces”, explique Riss, directeur du journal, dans l’édito du numéro polémique.

La République islamique d’Iran a quant à elle annoncé ce jeudi la fermeture de l’Institut Français de Recherche en Iran (IFRI), après la publication de ces dessins, jugées insultantes pour le guide suprême iranien Ali Khamenei. “(…) Le ministère met fin aux activités de l’Institut Français de Recherche en Iran (IFRI) comme une première étape” de la réponse iranienne aux caricatures, affirme un communiqué du ministère iranien des Affaires étrangères.