Un ransomware a déjà extorqué 4 millions de dollars en quelques mois, Réactions à la publication du 14/01/2019

[Lionel]

Un groupe de pirates spécialisé dans les ransomwares a déjà réussi à extorquer 4 millions de dollars depuis le mois d'août.
Ce groupe a mis en place une stratégie lui permettant d'être aussi efficace que possible, en ciblant de grosses entreprises qui avaient déjà subi des attaques de ce genre et accepté de payer une rançon.
Ces attaques ciblées leur ont aussi permis d'optimiser les dommages provoqués par leurs logiciels en réalisant de vastes reconnaissances des réseaux de leurs cibles pendant une période assez longue avant de lancer leur attaque.

Tout porte à croire que ces attaques sont perpétrées depuis la Russie.

Lien vers le billet original

[Fafnir]

(en anglais) un livre fondamental à propos de la Russie basé sur Staline:
https://www.hoover.org/research/why-does-jo...h-stalin-matter

[mirmidon]

Et hop, encore les méchants Russes !

[johnstone]

Pour info... Trouvé ce matin dans la presse:

Pour contourner les robots anti-spam, des hackers ont créé une police de caractères uniquement lisible par les humains

[jeanba3000]

des hackers ont créé une police de caractères uniquement lisible par les humains

Haha, intervertir dessin des lettres et leur emplacement dans la table de la police, c'est tellement simple qu'il est étonnant que personne n'y ait pensé avant. :-)

[nono44]

Et hop, encore les méchants Russes !

quel sous entendu cette ironie ?

[yponomeute]

Et hop, encore les méchants Russes !

"Depuis la Russie", pas "par des Russes". N'importe qui peut louer un serveur en Russie.

[jakin1950]

Les ransomwares existent
J'ai été touché après avoir essayé d'installer un programme
C’est puissant et très rapide
Mes 3 disques internes ont été cryptés en quelques secondes

Plus intéressant, les clouds : icould, dropbox et onedrive ont été touchés également

J'avais des sauvegardes , y compris des clouds
Dropbox est le seul a permettre de récupérer facilement les versions précédentes

Cela incite à ne pas synchroniser un NAS ou un cloud , en dehors de Dropbox
Mon NAS, non synchronisé n'a pas été touché

Conclusion, pour un particulier :
un virus peut être bien caché . Savoir où on met les pieds reste fondamental

Sur PC , le risque de Ransomware est réel
Les clouds ne sont pas protégés et difficile à restaurer

Des que l'on s'aperçoit du problème, débrancher l'ordinateur
J'ai une clé usb de 32 gigas avec un WinPE et des utilitaires donnant accès à internet en wifi pour mettre à jour les anti virus
on peut alors neutraliser les virus , sauvegarder des données sur un disque externe et réinstaller une sauvegarde

Sur Mac , on démarre d'un disque externe . Ne pas acheter un ordinateur incapable de démarrer d'un disque externe usb

Au niveau des entreprises , le danger d'être hacké est important, les dégâts potentiels importants
Il me parait aussi difficile de protéger l'accès qu'à la tombe des pharaons, qui ont toutes été pillées sauf pour Toutankhamon

Je pense par exemple aux notaires qui sont passés à l'archivage numérique généralisé

Cordialement

[otto87]

Et hop, encore les méchants Russes !

quel sous entendu cette ironie ?

Même sans avoir de télé, je sais que quand quelque chose n'est pas prévu, c'est toujours la faute des russes! Élection de trump, gilet jaunes [liste interminable]. Si c'est la faute des russes alors tu n'es pas complotiste!!!

[OKAVANGO]

(en anglais) un livre fondamental à propos de la Russie basé sur Staline:
https://www.hoover.org/research/why-does-jo...h-stalin-matter

heu oui, et sinon, tu peux détailler un peu plus le rapport entre Staline et cette news à propos d'un ransomware ? Mis à part la localisation géographique. C'est quoi l'idée sous-jacente au juste ?

[linus]

Chez nous, les données du bureau d’étude ont été cryptées et assez de backups également pour que ne pas payer ne soit pas possible. J’ignore comment la boîte se protège maintenant.

[marc_os]

Les ransomwares existent
J'ai été touché après avoir essayé d'installer un programme

Quel programme ?

[amike]

"Tout porte à croire que ces attaques sont perpétrées depuis la Russie."

De la part de la CrowdStrike, quand il y a un mauvais coup qui se prépare, "céléruss" !
Le coup de l'IP déjà utilisé par les russes a déjà été servi pour dénoncer une intervention sur les élections US. Mais cela n'a jamais été confirmé et il y a beaucoup à dire sur cette société.

[Lionel]

"Tout porte à croire que ces attaques sont perpétrées depuis la Russie."

De la part de la CrowdStrike, quand il y a un mauvais coup qui se prépare, "céléruss" !
Le coup de l'IP déjà utilisé par les russes a déjà été servi pour dénoncer une intervention sur les élections US. Mais cela n'a jamais été confirmé et il y a beaucoup à dire sur cette société.

C'est plus subtil dans ce cas, les gars ont tracé les téléchargement d'outils et de portions de code utilisés pour créer les ransomwares et cela s'est fait depuis la Russie.

[otto87]

De la part de la CrowdStrike, quand il y a un mauvais coup qui se prépare, "céléruss" !

Autant on peut rire du "céléruss" à toutes les sauces dans nos médias, autant pour ce qui est du hack, leur réputation n'est pas usurpée...

[iAPX]

"Tout porte à croire que ces attaques sont perpétrées depuis la Russie."

De la part de la CrowdStrike, quand il y a un mauvais coup qui se prépare, "céléruss" !
Le coup de l'IP déjà utilisé par les russes a déjà été servi pour dénoncer une intervention sur les élections US. Mais cela n'a jamais été confirmé et il y a beaucoup à dire sur cette société.

C'est plus subtil dans ce cas, les gars ont tracé les téléchargement d'outils et de portions de code utilisés pour créer les ransomwares et cela s'est fait depuis la Russie.

Il n'y a pas qu'une adresse IP, mais aussi des logs générés en Russe.

Ceci dit je travaille dans une startup où on parle plus d'une vingtaine de langues en étant moins de 50 (oui on a pas mal de polyglottes), avec notamment un Polonais très éduqué dans sa langue maternelle et les langues slaves en particuliers (en sus de parler Anglais et un peu Français), qui connait les différences et subtilités entre le polonais et le Russe et évidemment l'étymologie afférente.
Il aurait tout à fait pu réaliser cela, au moins coté écriture des logs.

De toute façon peu importe qui ou quoi, ce qui est important à retenir c'est que cette attaque ne vise que des entreprises capables de payer autour de $70 000 USD en moyenne (carrément!) en réalisant une intrusion sur la durée (de quelques jours à un an!) pour prendre le contrôle des contrôleurs de domaines et de là absolument tout verrouiller pour finir par chiffrer d'un coup: du très beau travail.
Un peu comme si un de ceux ayant réalisé une attaque similaire sur le parti Démocrate aux États-Unis en 2016 utilisait les mêmes outils (ou similaires) pour son compte, le schéma de l'attaque étant très proche et de mon avis très propre!

Mon avis est que c'est un hacker ou une toute petite équipe très soudée (gens qui se connaissent très bien et depuis longtemps), et de très haut-niveau.
La préparation, le travail sur la durée ainsi que la patience sont des qualités des meilleurs hackers ayant de l'expérience.
À ce niveau-là, les traces bien visibles sont travaillées (IP et Logs) ce qui m'amènerait donc à penser que ça n'est pas un ou des Russes et situés certainement hors-Russie.

Ce message a été modifié par iAPX - 14 Jan 2019, 13:41.

[zero]

Et hop, encore les méchants Russes !

Tu es dans un endroit très reculé du monde et depuis longtemps apparemment. Les russes sont en branle-bas de combat économique contre les USA et l'Europe. On vient à peine de comprendre que le but des russes en syrie était d'avoir un certain contrôle sur le prix du pétrole (et du gaz par extension). La russie souffrait pas mal des prix bas de ces dernières années.

Ce message a été modifié par zero - 14 Jan 2019, 14:32.

[otto87]

Et hop, encore les méchants Russes !

Tu es dans un endroit très reculé du monde et depuis longtemps apparemment. Les russes sont en branle-bas de combat économique contre les USA et l'Europe. On vient à peine de comprendre que le but des russes en syrie était d'avoir un certain contrôle sur le prix du pétrole (et du gaz par extension). La russie souffrait pas mal des prix bas de ces dernières années.

Et surtout tu as compris que nos raison d'aller en Syrie étaient purement humanitaires sans aucun lien mais alors absolument aucun avec le projet d'oléoduc américain

[djdoxy]

Plus intéressant, les clouds : icould, dropbox et onedrive ont été touchés également

Tout à fait normal, ce sont des solution de synchronisation: des qu'un fichier est touché, sa copie dans le cloud est mise à jour pour que tous les appareils connectés à ce compte puisse beneficier de la derniere version.
Ce ne sont pas des solutions de sauvegarde.

Toute le monde confond les deux, mais ca n'est pas du tout la meme chose.
Crashplan conservait toutes les versions des fichiers sans limite de temps, et permettait de faire une restauration de ses fichier à une date donnée.

J'en suis parti quand ils ont cessé de commercialiser leur offre grand public, mais je n'ai rien trouvé d'aussi bien.
Backblaze chez qui je suis passé ne propose de conserver les fichiers que 30 jours.

[zero]

Et surtout tu as compris que nos raison d'aller en Syrie étaient purement humanitaires sans aucun lien mais alors absolument aucun avec le projet d'oléoduc américain

Si c'était le cas, ça a merder sur toute la ligne.

[g4hd]

L'excellent "Bureau des Légendes" pour appréhender le sujet et se déshiniber, peut-être ?

[iSpeed]

A croire que les autres pays sont gentils et respectent les autres... Faut arrêter de croire au Père Noêl

[Sgt.Pepper]

Plus intéressant, les clouds : icould, dropbox et onedrive ont été touchés également

Tout à fait normal, ce sont des solution de synchronisation: des qu'un fichier est touché, sa copie dans le cloud est mise à jour pour que tous les appareils connectés à ce compte puisse beneficier de la derniere version.
Ce ne sont pas des solutions de sauvegarde.

iCloud d'Apple est en effet une solution de synchro, pas de sauvegarde.

Ce n'est pas le cas de pCloud. On peut utiliser pCloud comme un disque de sauvegarde distant (c'est ainsi que je l'utilise). Il est par contre possible d'utiliser la fonction de synchro sur tel ou tel dossier. Auquel cas, en effet, ce qui est affecté sur le Mac, l'est par voie de conséquence sur le serveur distant. pCloud prend bien soin d'avertir l'utilisateur de la différence.

[Fafnir]

(en anglais) un livre fondamental à propos de la Russie basé sur Staline:
https://www.hoover.org/research/why-does-jo...h-stalin-matter

heu oui, et sinon, tu peux détailler un peu plus le rapport entre Staline et cette news à propos d'un ransomware ? Mis à part la localisation géographique. C'est quoi l'idée sous-jacente au juste ?

https://fr.wikipedia.org/wiki/Mikha%C3%AFl_Toukhatchevski
le complot où Hitler piège Staline par un dossier trafiqué