Le quotidien Libération visé par un ransomware

Le quotidien Libération a été victime d’une cyberattaque dans la nuit du jeudi 24 octobre, perturbant le fonctionnement de la rédaction. L’impact précis de ce piratage reste encore inconnu, mais, selon les informations du Monde et de ZATAZ, il s’agirait d’une attaque de type rançongiciel, visant à paralyser l’entreprise dans le but de lui extorquer une rançon.

ZATAZ cherche pour vous toutes les infos perdues, volées, piratées, et pas que vos mots de passe !

Le site Internet de Libération fonctionne et a pu publier plusieurs articles le vendredi 25 octobre au matin, mais d’autres outils rédactionnels sont bloqués, notamment le logiciel utilisé pour mettre en page le journal papier. On ignore s’il a été déconnecté par précaution ou s’il a été directement touché par la cyberattaque. Les pirates ont-ils trouvé un zéro day, une faille non connue et non publique dans un logiciel dédié aux rédactions ?

Dans un courriel envoyé vendredi en fin de matinée par la directrice adjointe de la rédaction, Lauren Provost, les salariés sont invités à privilégier le télétravail pour la journée. De plus, il est déconseillé d’utiliser le Wi-Fi interne des locaux du quotidien, une mesure de précaution classique pour éviter la propagation potentielle d’un logiciel malveillant.

En septembre 2024, le journal La Croix subissait une malveillance de type rançongiciel. Les pirates sont-ils passés par le même outil professionnel ?

0-Day et ransomwares

Depuis toujours les pirates sont avides de 0Day leur offrant un périmètre d’action plus large. Les failles non publiques, les jours 0, leur permettant ainsi d’agir rapidement et en toute discrétion. Souvenez-vous des pirates Cl0P mettant à mal un outil professionnel ou encore de cette intrusion via un logiciel de comptabilité ayant, ensuite, perturbé des dizaines d’entreprises.

Hafnium et Microsoft Exchange (2021)

• Pirates : Le groupe de cyberespionnage Hafnium, présumé affilié à la Chine, a exploité plusieurs zero-day dans Microsoft Exchange Server.
• Entreprises impactées : Des milliers d’organisations dans le monde entier, dont des entreprises privées, des institutions gouvernementales, des ONG, des cabinets juridiques et des universités.
• Détails de l’attaque : Hafnium a exploité des failles zero-day dans Exchange Server pour obtenir un accès initial et installer des portes dérobées dans les réseaux des victimes. Par la suite, certains groupes criminels ont utilisé ces portes dérobées pour déployer des ransomwares comme Dharma et LockFile dans des infrastructures déjà compromises.

A l’époque, ZATAZ vous racontait l’impacte sur plusieurs entreprises et organisations, dont des fuites de données importantes.

REvil et Kaseya (2021)

• Pirates : REvil, un groupe de ransomware-as-a-service (RaaS) d’origine russe.
• Entreprise impactée : Kaseya, fournisseur de solutions de gestion informatique pour les entreprises et les MSP (fournisseurs de services gérés).
• Détails de l’attaque : REvil a exploité une vulnérabilité zero-day dans le logiciel VSA de Kaseya, utilisé par des MSP pour gérer les réseaux et systèmes de leurs clients. En accédant à VSA, REvil a pu distribuer le ransomware à distance, affectant plus de 1 500 entreprises clientes de Kaseya dans le monde.

De nombreuses entreprises clientes de Kaseya ont subi des arrêts de services critiques. Les attaquants ont exigé une rançon de 70 millions de dollars pour fournir un décrypteur général. Depuis, REvil (Sodinokibi) est devant les juges, en Russie.

Conti et le zero-day de PrintNightmare dans Windows (2021)

• Pirates : Le groupe Conti, également originaire de Russie.
• Entreprises impactées : Plusieurs entreprises de la santé, du secteur public et du secteur privé ont été ciblées.
• Détails de l’attaque : Conti a exploité une vulnérabilité zero-day dans le spooler d’impression de Windows, connue sous le nom de PrintNightmare. Cette faille a permis aux attaquants d’obtenir des privilèges élevés dans les systèmes Windows non corrigés et de déployer un ransomware sur les réseaux affectés.

Avant de se déchirer lors de l’invasion Russe en Ukraine, les membres de CONTI faisaient de gros dégâts. PrintNightmare a eu des effets dévastateurs, particulièrement dans des infrastructures critiques. Des hôpitaux et des institutions publiques ont dû interrompre leurs services. Le coût de récupération et les pertes d’exploitation se sont élevés à plusieurs millions de dollars.

LockBit 3.0 et Fortinet VPN (2022)

• Pirates : LockBit, un autre groupe de ransomware actif depuis plusieurs années.
• Entreprises impactées : Des centaines d’entreprises dans le monde utilisant les VPN Fortinet.
• Détails de l’attaque : LockBit a exploité une vulnérabilité zero-day dans les appareils VPN de Fortinet pour pénétrer les réseaux d’entreprise protégés par ce type de dispositif. Une fois dans le réseau, ils ont installé le ransomware LockBit 3.0.

(avec Le Monde)