Une nouvelle ESN française est frappée de plein fouet par un ransomware. Après Umanis et Sopra Steria, c’est au tour de Keyrus d’être victime du chiffrement d’une partie de ses systèmes. Le groupe explique avoir identifié l’origine de l’attaque.

Série noire pour les ESN françaises, cibles régulières de cyberattaques. Altran, Umanis ou encore Sopra Steria en ont été victimes, et on a appris hier que Keyrus est à son tour victime d’un ransomware, et ce au moins depuis le 9 juillet. Dans son communiqué, le groupe sis à Levallois-Perret explique que, « en dépit des mesures renforcées de sécurité appliquées au quotidien pour protéger les données et l’intégrité des ressources informatiques connectées et installées sur les systèmes du Groupe Keyrus, une partie de ces derniers ont été chiffrés ».

Keyrus signale qu’il a identifié l’origine de l’attaque et que, dès que l’infection a été repérée, sa DSI a mis en œuvre « des mesures d’isolement et de sécurité […] dans les plus brefs délais pour contenir la propagation du virus et préserver les clients et partenaires du Groupe ».

Plan de gestion des risques et plan de remédiation

On ignore donc l’étendue des dégâts ou si les attaquants ont exigé une rançon. Keyrus explique avoir mis en place un plan de remédiation pour offrir « toutes les garanties d’un redémarrage progressif et sécurisé de ses systèmes informatiques, et qui permet d’assurer la continuité de ses services et de ses opérations ». Celui-ci « se déroule comme prévu ».

Si les équipes du groupe ont été mobilisées « dès les premières heures de l’incident », elles se sont « entourées, en France et à l’international,  d’experts techniques en cybersécurité, dont certains mandatés par la compagnie d’assurance de Keyrus, pour analyser les causes ainsi que le mode opératoire de l’attaque » ajoute l’entreprise, qui précise par ailleurs être en contact avec ses clients et les autorités compétentes. Keyrus se refuse de commenter plus en avant cette attaque.

Lien vers l'article

C’est une cyberattaque particulièrement inquiétante qui pourrait affecter plusieurs milliers d’entreprises, jusqu’à un million clament certains experts. Utilisant comme point d’entrée la solution de monitoring VSA, fournie par l’Américain Kaseya, le ransomware REvil progresse par rebonds. Difficile pour l’heure d’estimer l’ampleur de cette campagne.

C’est une cyberattaque de grande ampleur qui se déroule depuis vendredi dernier. Un ransomware a frappé Kaseya, un éditeur de solutions ITSM, le week-end du 4 juillet. Une date qui ne doit sans doute rien au hasard : fête nationale oblige, de nombreux travailleurs aux États-Unis profitent de quelques jours de repos... Un moment idéal pour un attaquant. Toujours sur cette question de timing, le 2 juillet le Dutch Institute for Vulnerability Disclosure (DIVD) a notifié Kaseya de l’existence d’une faille critique dans les versions on-premise de VSA. C’est cette même faille qui a été exploitée pour compromettre l’outil de monitoring. 

DoublePulsar a livré une description détaillée de la méthode par laquelle le ransomware se répand aux clients de VSA, « via une fausse mise à jour logicielle automatisée à l'aide de Kaseya VSA. L'attaquant arrête immédiatement l'accès administrateur au VSA, puis ajoute une tâche appelée « Kaseya VSA Agent Hot-fix ». Cette fausse mise à jour est ensuite déployée dans tout le domaine, y compris sur les systèmes des clients clients MSP, car il s'agit d'une fausse mise à jour de l'agent de gestion. Cette mise à jour de l'agent de gestion est en fait le ransomware REvil ».

Supply chain attack

Car Kaseya n’est pas la seule victime. C’est même le point d’entrée de REvil vers de nombreuses organisations. VSA, un outil de gestion et de supervision des endpoints à distance, n’est pas commercialisé seulement à des équipes informatiques internes, mais aussi à des MSP (Managed Services Providers), ce qui implique que ne sont pas seulement affectés les clients de l'entreprise floridienne, mais aussi les clients de ses clients. D'où cette estimation de la part d'Huntress Lab, une société de cybersécurité qui mène de son côté sa propre enquête, d'un millier d'organisations victimes de cette attaque, quand Kaseya ne recense qu'une quarantaine de ses clients affectés. 

Certains, l’attaquant en tête, vont jusqu’à prétendre qu’un million de systèmes seraient infectés. Difficile pour l'heure de connaître avec exactitude l'ampleur de l'attaque ou le nombre de victimes. On sait que Coop Suède, l'une des principales chaînes de supermarchés suédoises, a été atteinte et a dû fermer 800 magasins. La presse néerlandaise évoque également au moins une entreprise affectée aux Pays-Bas. De son côté, le DIVD a précisé qu’en 48 heures, « le nombre d'instances Kaseya VSA accessibles depuis Internet est passé de plus de 2 200 à moins de 140 ». Moult instances ont donc été mises hors ligne, suivant les recommandations de Kaseya, mais combien d’entre elles sont infectées ? Et surtout REvil a-t-il comme à son habitude exfiltré les données des systèmes attaqués avant de les chiffrer ?

Déjà-vu

Dès qu’il a eu connaissance de cette attaque vendredi, l’éditeur de VSA a immédiatement arrêté ses serveurs SaaS par mesure de précaution et a notifié ses clients on-prem pour qu’ils mettent hors ligne leurs serveurs. Cette supply chain attack, si elle évoque des techniques d'APT, ne doit pas faire oublier que, dès 2017, les groupes de ransomwares avaient recours à ce genre de procédés. Ce fut le cas notamment de NotPetya, qui avait eu pour vecteur d'infection une mise à jour d'un logiciel ukrainien de comptabilité. On se rappelle également de Solarwinds, dont l’exploitation des vulnérabilités avaient permis l’espionnage de nombreuses organisations utilisatrices de sa solution Orion.

Ici, c'est un groupe affilié au ransomware REvil qui est mis en cause selon Huntress Lab, se fondant pour cette attribution sur le message de demande de rançon ainsi que sur la méthode d'attaques. The Record indique avoir repéré sur le Dark Web une publication du groupe derrière REvil revendiquant l’attaque et exigeant 70 millions de dollars en échange des clés de déchiffrement. 

Ce week-end, Kayesa insistait sur la nécessité pour tous les serveurs VSA sur site de continuer à rester hors ligne jusqu’à nouvel ordre. L’entreprise, qui explique avoir fait appel à FireEye, indique que son équipe R&D « a répliqué le vecteur d'attaque et travaille à son atténuation » et avoir « commencé le processus de correction du code ». L’entreprise doit fournir ce jour un calendrier détaillé d’un retour progressif à la normale, martelant que ses clients SaaS n’ont rien à craindre.

Qui blâmer ?

Le FBI et le CISA, équivalent américain de notre ANSSI, sont eux aussi dans la boucle, et l’attaque est remonté jusqu’aux oreilles de Joe Biden qui a déclaré que, si l’attaque devait avoir été commanditée par, ou être en lien avec les autorités russes, « nous répondrons ». Car REvil, également connu sous le nom de Sodinokibi, est supposément lié à la Russie, puisqu’il n’attaque pas les Etats de la CEI. Toutefois, REvil n’est que la souche, probablement héritier de GrandCrab, et est fourni en tant que Ransomware as a Service. Impossible donc, au stade actuel de l’enquête, de pointer du doigt un opérateur précis.

Outre l’attribution se posera inévitablement, comme pour Solarwinds, la question des responsabilités. Le DVID n’a pas manqué d’être pointé du doigt : l’attaque a été détectée le jour où l’institut néerlandais a communiqué les détails de cette faille à Kaseya. Le Dutch Institute for Vulnerability Disclosure assure pourtant que « oui, nous avons signalé ces vulnérabilités à Kaseya dans le cadre des directives de divulgation responsable (c'est-à-dire divulgation coordonnée des vulnérabilités) ». Et de souligner que l’entreprise sise en Floride a été « très coopérative », posant « les bonnes questions » et « prête à déployer le maximum d'efforts et d'initiatives dans cette affaire, à la fois pour résoudre ce problème et pour corriger ses clients ».

MàJ 05/07 - 12h03 : Selon Ross McKerchar, CISO de Sophos, « les éléments que nous avons recueillis montrent que plus de 70 fournisseurs MSP ont été impactés, entrainant des conséquences sur plus de 350 entreprises. Selon nos estimations, le nombre total d’entreprises touchées devrait être supérieur à ceux avancés par l’ensemble des spécialistes de la sécurité ». L'entreprise britannique précise que la majeure partie des clients impactés se trouvent aux États-Unis, en Allemagne et au Canada, et dans une moindre mesure en Australie, au Royaume-Uni ainsi que dans d’autres zones géographiques.

Lien vers l'article

Les services en ligne de la collectivité sont paralysés depuis le 30 juin. En cause, un problème technique qui est devenu ce week-end une attaque informatique, et plus précisément un ransomware relativement peu connu répondant au nom de Grief.

Villepinte ne répond plus. Sur son site, la mairie de cette ville de Seine-Saint-Denis indique que « suite à un problème technique, une grande partie des services municipaux seront difficilement joignables [...], par téléphone et courriel. Nous vous prions de nous excuser pour la gêne occasionnée ». Mais plus qu’un problème technique, c’est bien un ransomware qui affecte la collectivité.

Dans un communiqué publié le 2 juillet, la commune explique être victime d’une « importante attaque informatique » qui a pour conséquence de paralyser plusieurs services municipaux. « Actuellement, les outils informatiques ne sont plus opérationnels, tout est mis en œuvre pour retrouver un fonctionnement normal, et ce, le plus rapidement possible » ajoute la collectivité, qui précise travailler avec un « prestataire spécialisé dans la cyber sécurité ».

Un Grief contre Villepinte

Villepinte est la dernière victime de Grief. Le coupable s’est auto-désigné en revendiquant son méfait sur sa page (accessible via TOR), accompagnant son message d’un échantillon de données volées à Villepinte. Grief est encore peu connu : repéré début juin, il compte à son tableau de chasse une dizaine de victimes, principalement de l’autre côté de l’Atlantique à l’instar de la Vicksburg Warren School dans le Mississipi ou encore du Comté de Mobile, en Alabama, mais aussi, plus proche de nous, la Comune di Porto Sant’Elpidio, en Italie.

Villepinte a depuis mis en place une adresse gmail de substitution, tandis que les services d’état-civil et d’accueil physique restent assurés. « Les services municipaux ont su réagir immédiatement afin de limiter les effets de cette attaque » précise la mairie. Néanmoins, elle précisait sur Twitter que, « suite à un problème technique », les terminaux bancaires de la piscine municipale ne fonctionnaient plus. Ce qui laisse entendre que l’impact de l’attaque n’est finalement pas si limité.

Lien vers l'article