Le FBI met fin au dernier bastion des ransomwares, tandis que le directeur de la CISA utilise ChatGPT pour accéder à des documents

Chapô : La cybersécurité est en alerte cette semaine avec des incidents marquants, notamment une attaque de pirates nord-coréens ciblant les développeurs blockchain. Le FBI a également démantelé le forum de cyber-extorsion RAMP, considéré comme un « dernier refuge » pour les ransomwares. Par ailleurs, la CISA fait face à une enquête après qu'un de ses dirigeants ait téléchargé des documents sensibles sur ChatGPT.

Des pirates nord-coréens ont ciblé les développeurs de blockchain pour voler des cryptomonnaies

Le groupe Konni, originaire de Corée du Nord, utilise des logiciels malveillants générés par l'IA pour attaquer les développeurs dans le secteur de la blockchain, selon Check Point. Leur objectif principal est d'accéder aux environnements de développement afin d'obtenir des informations sensibles telles que les identifiants d’API et les portefeuilles cryptographiques.

Les attaques se déroulent principalement via Discord, où la victime reçoit un lien vers une archive ZIP contenant un leurre PDF et un fichier LNK malveillant. À partir du moment où le raccourci est lancé, une série complexe d'infections débute :

• Un chargeur PowerShell s'active et ouvre un document DOCX pour détourner l'attention.
• En arrière-plan, une archive CAB est extraite avec divers outils malveillants.
• Une tâche planifiée déguisée en processus OneDrive exécute un script chiffré.

Les experts affirment que ce script malveillant pourrait avoir été créé à l'aide d'un modèle linguistique (LLM), suggérant ainsi une sophistication dans sa conception. Les chercheurs relient cette campagne au groupe Konni grâce à des similitudes observées dans leurs opérations précédentes.

Actif depuis 2014, Konni cible habituellement la Corée du Sud ainsi que d'autres pays européens et russes. Cette nouvelle campagne vise particulièrement l'Inde, le Japon et l'Australie.

Le FBI a démantelé le « dernier refuge » des ransomwares

Le FBI, avec le soutien du ministère américain de la Justice, a pris possession du forum RAMP, connu comme étant « le dernier refuge » pour les opérateurs de ransomwares. Ce site servait à recruter des affiliés et à commercer sur l'accès aux réseaux d'entreprises.

Bien qu'il n'y ait pas encore eu d'annonce officielle concernant cette saisie, il a été confirmé que les serveurs DNS avaient été remplacés par ceux utilisés par le FBI lors de telles actions :

• ns1.fbi.seized.gov
• ns2.fbi.seized.gov

L'administrateur connu sous le nom de Stallman a reconnu que son travail avait été anéanti au cours de cette opération. Les forces de l'ordre ont réussi à collecter une grande quantité de données confidentielles incluant adresses IP et messages privés.

RAMP avait émergé en 2021 suite à la fermeture d'autres forums similaires tels qu’Exploit et XSS qui avaient interdit toute publicité autour des ransomwares. Le hacker Mikhail Matveev, alias Orange, qui gère ce forum a déjà été accusé par le ministère américain dans plusieurs affaires liées aux logiciels malveillants tels que Babuk ou LockBit.

Les pirates ont piraté les systèmes d'authentification unique pour cibler les entreprises

Un nouveau groupe nommé ShinyHunters mène actuellement une série importante d’attaques par vishing contre des systèmes SSO (authentification unique) appartenant à Okta, Microsoft et Google. Ils utilisent une ingénierie sociale avancée afin convaincrer leurs cibles tout en usurpant l'identité du support technique.

D'après Okta, ces attaques font appel à des kits sophistiqués permettant aux hackers non seulement d’interagir avec leurs victimes mais aussi d'adapter instantanément leur discours selon leur besoin :

• Si un code est requis lors du vol d'identifiants volés, cela apparaît automatiquement sur l'écran.
• De même si approbation push nécessaire il y a alors instructions adaptées sont fournies en temps réel sur le faux site visité par la victime.

Une seule compromission peut permettre aux criminels accès complet à divers services tels que Google Workspace ou Microsoft 365. Pour rendre leurs attaques plus efficaces ils exploitent également des données issues précédentes violations pour convaincre leurs victimes davantage encore.

Par ailleurs ShinyHunters relance son site fuité où ils publient continuellement des informations relatives diverses violations récentes touchant SoundCloud ou Betterment confirmées par ces entreprises elles-mêmes.

Le chef de la CISA suscite la fureur en téléchargeant des documents sensibles sur ChatGPT

Madhu Gottumukkala, directeur intérimaire du CISA (Agence américaine de cybersécurité), fait face aujourd'hui à une enquête interne après avoir téléchargé sans autorisation certains documents contractuels sensibles sur ChatGPT selon Politico.

La majorité du personnel n'a pas accès directement au chatbot mais Gottumukkala aurait sollicité expressément cet accès afin utiliser cet outil plutôt qu'applications sécurisées habituelles recommandées dans son agence.

Malgré aucune classification particulière attribuée aux informations téléchargées celles-ci étaient cependant signalées « pour usage officiel uniquement » , laissant potentiellement ouvertes portes fuite confidentialité contrats gouvernementaux envers tiers utilisateurs modèles IA comme celui-ci

Selon certaines sources internes il pourrait faire face sanctions disciplinaires allant simples avertissements jusqu'à perte complète habilitation consulter données classifiées.

Cyberattaque contre le secteur électrique polonais : nouveaux détails

En décembre dernier plusieurs infrastructures énergétiques polonaises ont subi attaque coordonnée visant installations énergétiques dispersées tout au long territoire national rapporte Reuters.Comme résultats directes ces agressions affectaient tant centrales thermiques systèms contrôle éoliens solaires bien adaptés .

Certains équipements ont effectivement subi dommages irréparables malgré efforts adverses éviter coupure approvisionnement électrique total dont capacité totale concernait environ 5% réseau national soit proche 1 , 20 GW .

Alors qu’on dénombre officiellement seulement douze établissements impactés société cybersécuirté Dragos estime chiffre réel serait plutôt trente .

Les chercheurs attribuent finalement cet assaut peu modéré confiance hackeurs Russes Electrum connus antérieurement leur implication précédents affrontements ciblant surtout réseaux ukrainiens utilisant programmes nuisibles tel Caddywiper Industroyer deux . Dans cas particulier Pologne ces derniers auraient utilisé nouvel outil destruction appelé DynoWiper .

Des analyses approfondies révèlent connaissances pointues équipement industriels montrant intention deliberate frapper systèmes communication vulnérables terminaux distants dispositifs réseau frontalier .

Bien qu'il n’y ait eu aucun blackout général provoqué , chutes soudaines pourraient entraîner fluctuations critiques poseraient sérieux risques autres pays témoins évènements similaires exemple effondrement système ibérique electricity courant