(New York) De nombreuses entreprises dans le monde restaient affectées lundi par une cyberattaque massive, frappant depuis vendredi des clients de la société informatique américaine Kaseya et pour laquelle des pirates demandent une rançon de plusieurs millions de dollars.
La plupart des 800 magasins d’une des principales chaînes de supermarchés en Suède restaient ainsi fermés lundi, trois jours après avoir été touchés par cette attaque qui a bloqué le fonctionnement des caisses enregistreuses.
« La majorité de nos magasins restent fermés », a fait savoir à l’AFP Kevin Bell, un porte-parole de Coop Suède, soulignant que la situation semblait « plus positive » que la veille en vue d’un retour à la normale.
Des pirates ont attaqué la société américaine Kaseya vendredi, juste avant un week-end prolongé aux États-Unis, en exploitant une faille de son logiciel de gestion informatique, utilisé par de nombreuses entreprises clientes.
Le cabinet spécialisé en cybersécurité Huntress Labs a affirmé samedi que le logiciel piraté « a été utilisé pour crypter plus de 1000 entreprises » auxquelles les pirates réclament le paiement d’une rançon (attaque dite au rançongiciel ou « ransomware »).
Le FBI a ouvert une enquête et travaille avec l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) et d’autres agences « pour comprendre l’ampleur de la menace », mais celle-ci est telle qu’il pourrait s’avérer impossible de répondre à toutes les victimes individuellement, a-t-il averti dimanche.
Selon plusieurs experts, l’attaque a été menée par un affilié au groupe de pirates russophones connu sous le nom de REvil. Une revendication publiée sur le blogue du darknet « Happy Blog », associé dans le passé à REvil, réclame le paiement d’une rançon de 70 millions de dollars en bitcoins.
Les pirates promettent en échange de diffuser « publiquement un décrypteur qui décrypte les fichiers de toutes les victimes, afin que tout le monde puisse se remettre de l’attaque en moins d’une heure » après paiement de la rançon.
Le président américain Joe Biden a indiqué samedi avoir ordonné une enquête, notamment pour déterminer si l’attaque venait ou non de Russie. Pour l’instant, « nous ne sommes pas encore sûrs », avait-il alors déclaré.
17 pays touchés
Basée à Miami, Kaseya vend des outils informatiques aux entreprises, dont le logiciel VSA destiné à gérer des réseaux de serveurs, ordinateurs et imprimantes depuis une seule source. Elle revendique plus de 40 000 clients.
Selon Kaseya, « seuls un très petit nombre de clients utilisant le logiciel sur leurs appareils » auraient été affectés. L’entreprise évaluait vendredi ce chiffre à moins de 40 clients. Mais certains d’entre eux ont eux-mêmes de nombreux clients et l’attaque s’est rapidement démultipliée.
Dans un nouveau message dimanche, l’entreprise a souligné qu’elle travaillait 24 heures sur 24, « dans toutes les zones géographiques », pour résoudre le problème et restaurer le service.
Elle devait tenir une réunion dans la nuit de dimanche à lundi pour décider si elle rétablissait dès lundi l’activité pour les clients utilisant son logiciel à distance. Kaseya continue parallèlement à travailler à un remède pour les clients utilisant son logiciel directement sur leurs appareils.
Kaseya a embauché la firme spécialisée dans la cybersécurité FireEye Mandiant IR pour l’aider à gérer la crise.
La société de sécurité informatique ESET Research avait, samedi, identifié des victimes dans 17 pays à travers le monde.
L’assaut a débuté vendredi, « alors que de nombreuses entreprises avaient du personnel déjà en congé ou se préparant pour un long week-end », a souligné dans un message Sophos.
Les attaques par rançongiciel sont devenues fréquentes et les États-Unis ont été particulièrement frappés ces derniers mois par des assauts touchant aussi bien des grandes entreprises comme le géant de la viande JBS ou le gestionnaire d’oléoducs Colonial Pipeline, que des collectivités locales et des hôpitaux.
Une cyberattaque géante passée par un éditeur de logiciel
De nombreuses entreprises à travers le monde sont victimes d’une cyberattaque géante au rançongiciel, liée à une faille de sécurité d’un logiciel très répandu de la société américaine Kaseya. Un point sur cette attaque, revendiquée par le groupe de hackers REvil.
Qui est Kaseya, point d’entrée de la cyberattaque ?
Basée à Miami, Kaseya vend des outils informatiques aux entreprises, notamment le logiciel « VSA », destiné à gérer des réseaux de serveurs, ordinateurs et imprimantes depuis une seule source.
Elle revendique plus de 40 000 clients dans plus de 20 pays dans le monde, présents dans de nombreux secteurs d’activité comme l’industrie manufacturière, la santé, l’éducation, les médias, ou encore la finance.
Tournée vers les entreprises de taille moyenne, Kaseya propose à ses clients de contrôler, gérer, et sécuriser tout leur système informatique de manière centralisée. « Notre mission est de vous simplifier la gestion de l’informatique », affirme-t-elle sur son site internet.
Combien d’entreprises sont touchées ?
L’ampleur exacte des dégâts n’est pas encore connue, mais le nombre des victimes risque d’être important.
Selon la firme de cyberscurité Eset, l’attaque a fait des victimes dans au moins 17 pays. Une autre société de cybersécurité, Huntress Labs, a estimé samedi que plus de « 1000 entreprises » étaient touchées par l’attaque.
Le groupe à l’origine de l’attaque, REvil (alias Sodinokibi), revendique lui-même un million de postes informatiques compromis, dans un billet de blogue qui lui est attribué.
« On est sur un phénomène systémique que nous redoutons tous », indique à l’AFP Loïc Guezo, secrétaire général du Clusif, une association d’experts français en cybersécurité.
« On constate par exemple que l’attaque a pu toucher une chaîne de supermarchés en Suède (NDLR Coop Suède), très loin du point d’intrusion initial » des pirates (la société Kaseya).
La plupart des 800 magasins de Coop Suède restaient fermés lundi du fait de la cyberattaque, selon la chaîne de supermarchés.
Qu’est ce qu’un « rançongiciel » ?
L’attaque au rançoncigiel (contraction de rançon et logiciel, « ransomware » en anglais, NDLR) est une sorte de prise d’otage numérique : un programme informatique est introduit subrepticement dans un système informatique pour chiffrer toutes ses données et fichiers. Le propriétaire du système doit payer une rançon s’il veut obtenir la clef de déchiffrement.
Le paiement de la rançon se fait généralement en bitcoins, cryptomonnaie permettant aux pirates de rester introuvables et anonymes.
Les États-Unis ont été particulièrement frappés ces derniers mois par des assauts spectaculaires par rançongiciels touchant aussi bien des grandes entreprises comme le géant de la viande JBS ou le gestionnaire d’oléoducs Colonial Pipeline, que des collectivités locales et des hôpitaux.
Au moins 18 milliards de dollars ont été versés à des hackeurs usant de rançongiciels l’an dernier, selon l’entreprise de sécurité Emsisoft.
Selon de nombreux experts, les pirates à l’origine de cyberattaques par rançongiciels sont souvent installés en Russie. Moscou, suspecté de couvrir voire d’être associé à leurs activités, dément toute implication.
Mais le phénomène prend une telle ampleur qu’il a été un des points principaux soulevé par le président américain Joe Biden lors de sa rencontre mi-juin avec son homologue russe Vladimir Poutine.
Qui est le groupe REvil, qui revendique l’attaque ?
L’attaque est attribuée à un groupe de hackers russophones connu sous le nom de REvil ou Sodinokibi.
Un récent rapport d’IBM Security X-Force considérait Sodinokibi comme le groupe de cybercriminels le plus redoutable en matière de rançongiciels, en étant responsable de 29 % des cyberattaques de ce type en 2020.
Les auteurs du rapport estiment également que les hackers de Sodinokibi ont réalisé à eux seuls au moins 123 millions de dollars de bénéfices en 2020 et ont volé environ 21,6 téraoctets de données.
REvil crée des programmes informatiques permettant d’attaquer des entreprises et des individus, qu’il partage avec des affiliés qui mènent eux-même l’attaque et partagent ensuite les rançons.
En 2021, le gardien de la sécurité informatique française (Anssi) expliquait que le rançongiciel de Sodinokibi était disponible sur des forums criminels russophones, pour des attaquants d’élite.
« Sodinokibi a choisi de limiter fortement le nombre d’affiliés, de leur imposer un niveau d’activité élevé, et d’interdire tout affilié anglophone », expliquait l’Anssi.