Ransomware : Sodinokibi frappe le centre technologique de l’automobile de Galice

Sodinokibi

LeMagIT a découvert un échantillon du ransomware Sodinokibi qui apparaît avoir été déployé sur le système d’information de CTAG.

Les échanges entre les cyberdélinquants et leur victime ont démarré le 6 novembre. Avec une demande de cette dernière : « est-on vraiment obligé de payer ? ».

Les assaillants ont répondu le lendemain, en ouvrant la voie à la négociation : « vous pouvez faire une offre et nous y réfléchirons ». Mais la victime n’a pas repris contact. Au point que les assaillants apparaissent aujourd’hui s’inquiéter et chercher à, tout de même, retirer quelques menus moneros ou bitcoins de cette victime.

Initialement, le groupe Revil – aux commandes du rançongiciel Sodinokibi – demandait 300 000 $. Un montant qu’il a doublé, comme à son habitude, après avoir attendu plusieurs jours, en vain, une prise de contact de sa victime.

Mais en ce 18 novembre, les cybertruands sont revenus à la charge, cherchant à relancer la discussion avec un CTAG qui semble aujourd’hui bien décidé à les ignorer. Les assaillants ont donc renvoyé un message dans la matinée, assorti d’images présentant des éléments de l’infrastructure IT de CTAG, ou encore un document relatif à une pièce Delphi, dans une version conçue pour Peugeot, en 2018 : « nous sommes prêts à écouter votre offre et à faire un compromis en vous faisant une remise ». À croire qu’avec la concurrence acharnée de groupes comme Egregor, ou plus récemment NetWalker, l’hiver s’annonce dur pour certains cyberdélinquants.

Les données du moteur de recherche spécialisé Onyphe montrent que le CTAG exposait jusqu’à mi-octobre, sur Internet, des systèmes d’accès distant affectés par des vulnérabilités susceptibles d’avoir été exploitées par les assaillants : un Fortinet touché par la CVE-2018-13379, et un Cisco ASA, pour CVE-2020-2021.

L’utilisation de tels vecteurs serait en tout cas cohérent avec le mode opératoire du groupe Revil, qui achète des accès à des systèmes d’information, obtenus par d’autres au préalable. Le groupe l’avait ainsi indiqué à l’une de ses victimes outre-Rhin, KME, précisant qu’il s’agissait d’un système Citrix et lui recommandait d’utiliser l’authentification à double facteur.

Interrogé sur une récente cyberattaque de ransomware sur son système d’information, un porte-parole du CTAG nous a répondu ne pas être personnellement au courant d’un éventuel incident. Il a par ailleurs promis de revenir vers le MagIT le temps de se renseigner en interne. Nous compléterons cet article à réception de ce retour.