Qilin le groupe de cybercriminalité lié à la Russie et soupçonné d’être à l’origine des attaques de juin dernier dans plusieurs hôpitaux britanniques, a très récemment utilisé une technique nouvelle afin de voler des identifiants stockés dans le navigateur Google Chrome.

Cette attaque semble avoir été divisée en 4 étapes :

• Qilin a accédé à un réseau via des identifiants VPN compromis, sans double authentification (2FA ou MFA) ;
• Après une phase d’inactivité de 18 jours (probablement utilisée pour cartographier le réseau), Qilin a modifié certaines règles de configuration (des objets de stratégie de groupe aussi appelés GPO pour « Group Policy Object») afin d’exécuter un script collectant des identifiants stockés dans Chrome ;
• Ce script a volé des identifiants et les a enregistrés sur un serveur de commande et de contrôle tout en supprimant les traces locales ;
• Enfin, le ransomware a été déployé, chiffrant les données sur les machines compromises afin d’exiger une rançon à l’utilisateur pour récupérer ses données.

Cette nouvelle technique pose problème car le vol d’identifiants pourrait mener à des attaques ultérieures et nécessiter un changement de mots de passe non seulement sur le réseau, mais aussi pour tous les sites tiers où les utilisateurs avaient enregistré leurs identifiants dans Chrome.

Pour se prévenir de cette attaque, il n’est pas nécessaire de mettre en place des mesures particulièrement avancées. Il s’agit surtout de rappeler des mesures essentielles en cyber informatique :

• Ne pas stocker d’informations sensibles (dont des mots de passe) dans les navigateurs (Google Chrome, Opera, Edge notamment) ;
• Mettre en place la double authentification dès que possible (même sur les VPN) ;
• Appliquer le principe du moindre privilège sur les ordinateurs professionnels et personnels car dans le cas où l’appareil serait infecté, les actions malveillantes ne pourront pas prendre le contrôle de l’intégralité de ce dernier.