Ransomware : forte reprise des hostilités en octobre

L’essentiel de l’actualité

• Les groupes de ransomware Akira et Fog exploitent une vulnérabilité critique dans Veeam Backup & Replication (CVE-2024-40711) pour exécuter des attaques de prise de contrôle à distance. Bien que Veeam ait publié un correctif début septembre 2024, les cybercriminels utilisent cette faille, associée à des identifiants compromis, pour accéder aux systèmes vulnérables. Certaines attaques, facilitées par l’absence de mesures de sécurité renforcées (comme l’authentification multifacteurs, ou MFA, sur les passerelles VPN), visent également l’exfiltration de données à partir de serveurs non protégés.
• L’outil EDRSilencer, conçu pour tester la sécurité des systèmes, est détourné par des cybercriminels pour désactiver les solutions de détection et réponse (EDR), en bloquant les communications réseau des processus de sécurité via le Windows Filtering Platform. Cela empêche les alertes d’atteindre les consoles de gestion, rendant la détection de logiciels malveillants plus difficile. Les experts de Trend Micro observent une utilisation croissante de cet outil par des attaquants pour éviter la détection de leurs activités malveillantes.
• Quatre membres du gang de ransomware REvil ont été condamnés en Russie à des peines de prison allant de quatre ans et demi à six ans pour piratage et blanchiment d’argent. Ces condamnations font suite à une série d’arrestations en 2022 après des informations fournies par les États-Unis. Les membres de REvil avaient orchestré des attaques de grande envergure, notamment contre JBS et Kaseya.
• Le groupe Black Basta utilise une nouvelle technique de social engineering en se faisant passer pour un service d’assistance via Microsoft Teams, ciblant ainsi des utilisateurs avec des messages frauduleux. Les attaquants incitent les victimes à utiliser des outils de contrôle à distance ou des QR codes pour accéder à leurs systèmes, facilitant ainsi le déploiement de ransomwares. ReliaQuest conseille de restreindre les communications externes sur Teams et de surveiller les connexions suspectes pour contrer ces nouvelles méthodes.
• L’activité des ransomwares Fog et Akira a récemment augmenté, en partie en exploitant des vulnérabilités dans les passerelles SonicWall SSL VPN. Ces attaques, repérées par Arctic Wolf Labs, ciblent des systèmes utilisant des configurations de sécurité faibles ou des versions non corrigées des logiciels de sécurité. Les chercheurs recommandent de mettre à jour les systèmes VPN et d’activer une authentification multifacteurs pour limiter ces risques.
• La police fédérale brésilienne a arrêté un pirate informatique, suspecté d’être responsable d’attaques contre le FBI ou encore Airbus, notamment. Identifié par les experts en cybersécurité, ce hacker, connu sous le pseudonyme « USDoD », est accusé de vol et de diffusion de données sensibles, notamment une base de données massive de numéros de sécurité sociale aux États-Unis. Les autorités poursuivent l’enquête pour déterminer l’ampleur de ses activités.
• Le groupe hacktiviste « Crypt Ghouls » utilise des outils variés comme Mimikatz, AnyDesk, et PsExec pour mener des attaques complexes, ciblant des organisations russes avec des ransomwares LockBit 3.0 et Babuk. Leur modus operandi inclut l’exploitation de VPN compromis et l’accès à distance via des logiciels courants, révélant des similitudes dans les techniques et l’infrastructure employées par d’autres groupes. L’analyse de Kaspersky met en lumière des chevauchements dans les tactiques, techniques et infrastructures de plusieurs groupes d’attaquants.