Qilin le groupe de cybercriminalité lié à la Russie et soupçonné d’être à l’origine des attaques de juin dernier dans plusieurs hôpitaux britanniques, a très récemment utilisé une technique nouvelle afin de voler des identifiants stockés dans le navigateur Google Chrome.

Cette attaque semble avoir été divisée en 4 étapes :

• Qilin a accédé à un réseau via des identifiants VPN compromis, sans double authentification (2FA ou MFA) ;
• Après une phase d’inactivité de 18 jours (probablement utilisée pour cartographier le réseau), Qilin a modifié certaines règles de configuration (des objets de stratégie de groupe aussi appelés GPO pour « Group Policy Object») afin d’exécuter un script collectant des identifiants stockés dans Chrome ;
• Ce script a volé des identifiants et les a enregistrés sur un serveur de commande et de contrôle tout en supprimant les traces locales ;
• Enfin, le ransomware a été déployé, chiffrant les données sur les machines compromises afin d’exiger une rançon à l’utilisateur pour récupérer ses données.

Cette nouvelle technique pose problème car le vol d’identifiants pourrait mener à des attaques ultérieures et nécessiter un changement de mots de passe non seulement sur le réseau, mais aussi pour tous les sites tiers où les utilisateurs avaient enregistré leurs identifiants dans Chrome.

Pour se prévenir de cette attaque, il n’est pas nécessaire de mettre en place des mesures particulièrement avancées. Il s’agit surtout de rappeler des mesures essentielles en cyber informatique :

• Ne pas stocker d’informations sensibles (dont des mots de passe) dans les navigateurs (Google Chrome, Opera, Edge notamment) ;
• Mettre en place la double authentification dès que possible (même sur les VPN) ;
• Appliquer le principe du moindre privilège sur les ordinateurs professionnels et personnels car dans le cas où l’appareil serait infecté, les actions malveillantes ne pourront pas prendre le contrôle de l’intégralité de ce dernier.

Le Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI) institué par le décret n° 2023-1084 du 23 novembre 2023 vient de rendre public son premier rapport annuel sur la cybercriminalité (RACY).

Pour mémoire, c’est notamment par l’édification de ce rapport que le COMCYBER-MI est chargé d’élaborer la stratégie ministérielle, notamment par l’édification d’un rapport annuel sur l’état de la menace (cf. édition bull. nov. 2023).

Ce dernier dresse ainsi un état des lieux sans concession des défis cyber auxquels la France a été confrontée en 2023. Il permet, par le biais d’une identification et d’une compréhension approfondies des cybermenaces, d’anticiper ces dernières, mais aussi d’affiner notre vision stratégique et d’orienter plus efficacement les opérations des unités et services sur le terrain.

Ce bilan de 2023, réalisé en complémentarité avec les analyses annuelles de l’ANSSI – Agence nationale de la sécurité des systèmes d’information, bénéficie des travaux du Centre d’analyse et de regroupement des Cybermenaces (CECyber) du COMCYBER-MI, mais aussi des données du Service statistique ministériel de la sécurité intérieure (SSMSI), complétées par d’autres sources institutionnelles.

L’innovation et la coopération, aux côtés de l’anticipation, tant au niveau national qu’international, constituent donc la véritable cheville ouvrière de ce rapport, permettant in fine de relever les nombreux défis actuels et à venir.

Ce rapport met donc en avant l’approche concertée du Gouvernement dans la lutte contre la cybercriminalité, illustrée par des retours d’enquêtes significatifs, mais aussi et surtout de sa détermination à sécuriser l’espace numérique français.

Consultez ici l’intégralité du document : Rapport annuel sur la cybercriminalité 2024 (COMCYBER-MI, 30 juillet 2024)