PROJET AUTOBLOG


IT-Connect

Site original : IT-Connect

⇐ retour index

La Poste Mobile victime du ransomware LockBit 3.0 !

lundi 11 juillet 2022 à 10:17

Le lundi 4 juillet, La Poste Mobile a subi une attaque informatique de type "ransomware" et c'est bien la souche malveillante LockBit 3.0 qui a touché l'entreprise française.

Sur son site officiel, La Poste Mobile a mis en ligne une page qui confirme la cyberattaque : "Les services administratifs et de gestion de La Poste Mobile ont été victimes, ce lundi 4 juillet, d’un virus malveillant de type rançongiciel.". Aujourd'hui encore, cette page s'affiche lorsque l'on tente d'accéder au site de La Poste Mobile, ou à son espace client. Il s'agit d'une mesure de protection, car La Poste Mobile a déconnecté les systèmes informatiques concernés par cette attaque : "Cette action de protection nous a conduit à fermer momentanément notre site internet et notre espace client.".

Voici la page du site www.lapostemobile.fr :

La Poste Mobile ransomware

Dans un premier temps, avant même que La Poste Mobile confirme l'attaque, les cybercriminels de LockBit ont mis en ligne sur leur site qu'ils avaient compromis La Poste Mobile. Une revendication très rapide, seulement quelques jours après l'attaque. Ensuite, La Poste Mobile a publié différents messages en évoquant une maintenance pour améliorer les produits et services, car des utilisateurs commençaient à rencontrer des problèmes. Probablement le temps de réaliser les premières constatations. Le vendredi 8 juillet 2022, l'entreprise française a reconnu la présence de cette attaque informatique.

Quels sont les éléments chiffrés par le ransomware LockBit ? Une bonne question à laquelle La Poste Mobile apporte quelques éléments de réponse : "Nos premières analyses établissent que nos serveurs essentiels au fonctionnement de votre ligne mobile ont bien été protégés. En revanche, il est possible que des fichiers présents dans des ordinateurs de salariés de La Poste Mobile aient été affectés. Certains d’entre eux pourraient contenir des données à caractère personnel.". Dans les prochaines semaines, les clients de La Poste Mobile pourraient faire l'objet de campagnes de phishing : méfiance. 

Il y a peu, je vous ai parlé de la nouvelle version du ransomware LockBit, à savoir LockBit 3.0, afin d'évoquer le programme de bug bounty mis en place par les cybercriminels de LockBit. Depuis plusieurs années, LockBit est un ransomware redoutable qui fait énormément de victimes.

The post La Poste Mobile victime du ransomware LockBit 3.0 ! first appeared on IT-Connect.

Voici les outils de déchiffrement pour les ransomwares AstraLocker et Yashma

vendredi 8 juillet 2022 à 14:13

L'entreprise de cybersécurité Emsisoft a mis en ligne un outil de déchiffrement gratuit pour les victimes des ransomwares AstraLocker et Yashma. Une très bonne nouvelle puisqu'il devient possible de récupérer ses données sans payer la rançon.

Disponible au téléchargement directement sur le site d'Emsisoft, il est accompagné d'un guide qui explique comment l'utiliser afin de récupérer ses données. Cela compense par supprimer la souche malveillante de la machine compromise, ou à minima de la mettre en quarantaine, afin que l'outil de déchiffrement soit en mesure de rentrer en action, comme le précise Emsisoft : "Veillez d'abord à mettre le logiciel malveillant en quarantaine, sinon il risque de verrouiller votre système ou de chiffrer des fichiers à plusieurs reprises.".

Sans aucune configuration particulière, l'outil de déchiffrement va s'intéresser aux lecteurs locaux montés sur la machine, comme le disque "C". En complément, l'utilisateur peut ajouter des emplacements supplémentaires à analyser. Le décrypteur AstraLocker prend en charge les extensions ".Astra" ou ".babyk" associés à 8 clés de chiffrement différentes. Il faut savoir qu'AstraLocker est un ransomware basé sur le code source de Babuk, un ransomware pour lequel il existe déjà un outil de déchiffrement mis en ligne par l'entreprise Avast.

Quant au ransomware Yashma, il est distribué sous l'appellation "AstraLocker 2.0" et il est basé sur le  ransomware Chaos. Lorsqu'il chiffre des données, les fichiers héritent de l'extension ".AstraLocker" ou d'une suite de 4 caractères alphanumériques aléatoires.

Finalement, ce n'est pas une surprise de voir ces outils de chiffrement car les cybercriminels derrière le ransomware AstraLocker ont pris la décision d'arrêter cette activité afin de ce concentrer sur le minage de cryptomonnaie, d'après les informations obtenus par le site Bleeping Computer. Il se pourrait également que ce soit parce qu'ils sont dans le viseur des forces de l'ordre. Quoi qu'il en soit, c'est toujours une bonne nouvelle quant un outil de déchiffrement est mis en ligne !

Voici les liens vers les outils de déchiffrement :

Source

The post Voici les outils de déchiffrement pour les ransomwares AstraLocker et Yashma first appeared on IT-Connect.

Blocage par défaut des macros dans Office : Microsoft revient sur sa décision

vendredi 8 juillet 2022 à 10:12

Il y a quelques mois, Microsoft avait pris la décision de bloquer par défaut les macros VBA dans les documents Office. Cette semaine, l'entreprise américaine est revenue sur sa décision suite aux retours des utilisateurs.

Nous ne connaissons pas la raison exacte de ce changement de position, si ce n'est que c'est une décision liée au retour des utilisateurs. De ce fait, les macros VBA intégrées dans des documents Office malveillants ne seront plus bloquées automatiquement dans les différentes applications de la suite Office : Access, Excel, PowerPoint, Visio et Word. Certains logiciels malveillants comme TrickBot, Emotet ou encore Qbot s'appuient sur les macros pour exécuter du code malveillant sur les machines grâce à des documents piégés.

La firme de Redmond a communiqué à ce sujet par l'intermédiaire du centre des messages de Microsoft 365 : "Sur la base des commentaires reçus, nous annulons cette modification du canal actuel. Nous apprécions les commentaires que nous avons reçus jusqu'à présent, et nous travaillons à améliorer cette expérience. Nous vous fournirons une autre mise à jour lorsque nous serons prêts à relancer le canal actuel. Merci."

Microsoft avait commencé à déployer ce changement dans la version 2203 de Microsoft Office, dans le canal preview en avril 2022 puis dans le canal actuel, en disponibilité générale, depuis juin 2022. Quand Office bloquait des macros, un message s'affichait dans le haut de la fenêtre pour indiquer que Microsoft a bloqué les macros, car la source du document n'est pas digne de confiance. Désormais, c'est le message classique qui s'affiche, un bandeau sur fond jaune avec le bouton "Activer le contenu". Du côté des utilisateurs, ce changement précipité de la part de Microsoft n'est pas apprécié, car il n'y a eu aucune communication en amont pour informer de ce retour arrière.

C'est dommage, car cela était intéressant pour renforcer la sécurité des postes de travail et limiter le risque d'une infection. Néanmoins, ces dernières semaines, les pirates ont tenté leur chance avec une autre méthode basée sur un appel "ms-msdt://" pour exécuter du code malveillant. Nommée Follina, cette faille de sécurité est désormais corrigée afin de bloquer ce vecteur d'attaque.

Source

The post Blocage par défaut des macros dans Office : Microsoft revient sur sa décision first appeared on IT-Connect.

Linux : créer, restaurer et planifier des points de restauration avec Timeshift

vendredi 8 juillet 2022 à 10:00

I. Présentation

Aujourd'hui, je vais vous présenter Timeshift, un outil fort pratique pour la création et la gestion des points de restauration, également appelé snapshot en anglais. Timeshift est un service permettant de créer des "images disques" (snapshots, ou "points de restauration") de votre système, de les panifier et de restaurer un "point" dans le cas où votre système deviendrait instable.

Cet outil est assez similaire à TimeMachine pour macOS ou au point de restauration de Windows. Comme eux, il est simple à utiliser et dispose à la fois d'une interface graphique et d'un accès en ligne de commandes.

Quelques informations qui méritent d'être portées à votre connaissance :

Dans cet article, je n'aborderai pas l'utilisation de la GUI de Timeshift, car j'estime que ce tutoriel est plutôt destiné à des serveurs "Core" dépourvus d'interface graphique, comme un VPS, un serveur de production ou autre.

II. Création de notre premier snapshot (point de restauration)

Pour ma part, j'utilise une machine sous Ubuntu 22.04 donc je vais pouvoir installer Timeshift à partir des dépôts officiels. Pour installer Timeshift, utilisez apt :

apt install timeshift

En guise d'exemple, je vais créer un fichier qui va servir d'indicateur afin de vérifier si notre point de restauration a bel et bien été créé sans encombre.

echo "sentence from the past" > /etc/file_that_will_be_snapshoted

Créez ensuite un snapshot par l'intermédiaire de la commande ci-dessous, tout en sachant que vous n'êtes pas obligé d'inclure "--comments" qui sert à ajouter un commentaire à ce point de restauration, mais c'est recommandé pour s'y retrouver.

timeshift --create --comments "test backup"

Comme vous le constatez, l'image est en cours de création. Patientez quelques minutes....

Vous pouvez obtenir sa taille par l'intermédiaire de la commande suivante (en ajustant la fin du chemin) :

du -sh /run/timeshift/backup/timeshift/snapshots/2022-06-27_14-02-15/

Dans mon cas l'image à un poids informatique de 7,4 Go.

Sachez que plus vous créez de points de restauration fréquemment, plus votre restauration sera "précise", et légère. En effet, Timeshift utilise un système de sauvegarde différentielle, qui se base sur les fichiers précédemment sauvegardés.

Dans le but de simuler un faux problème système, je vais créer le fichier suivant : "file_that_will_disrupt_the_system". Lors du processus de restauration, en tout logique, seul  le fichier "/etc/file_that_will_be_snapshoted" sera restauré contrairement à "/etc/file_that_will_disrupt_the_system" qui sera détruit, car je l'ai créé après avoir créé le point de restauration.

touch /etc/file_that_will_disrupted_the_system

III. Restauration !

Et là c'est le drame ! Imaginez que pour une raison quelconque, votre système se trouve mis à mal suite à une maladresse de votre part ! Heureusement, vous avez pensé à mettre en place un système de snapshot automatique sur votre système... car vous avez lu cet article ! 😉

Voici la procédure pour restaurer un snapshot très facilement... Rien de plus simple ! Entrez la commande suivante et choisissez le point de restauration (généralement l'un des plus récents) que vous souhaitez restaurer. Attention, il s'agit véritablement d'un retour arrière donc sauvegardez les éventuels fichiers que vous souhaitez conserver avant de restaurer ce point de restauration (par exemple, un fichier important créé après avoir généré le point de restauration).

timeshift --restore

timeshift --restore

Par défaut, Timeshift détecte automatiquement la partition réservée au GRUB (Gestionnaire de démarrage). Toutefois, vérifiez quand même à deux fois son choix par défaut, afin d'éviter tout problème. Dans mon cas, mon système est installé sur la partition SDA5 donc la partition qui accueille GRUB doit donc être SDA.

Patientez quelques minutes le temps de la restauration. Le système redémarre une fois que la restauration est terminée. En me connectant de nouveau à mon serveur, je peux donc observer qu'un seul des fichiers que j'avais créé est présent sur le serveur : ce qui est normal.

IV. Automatiser le processus de sauvegarde avec un script bash

AUTOMATION is Life ! Afin de gagner du temps, vous pouvez assez facilement programmer vos snapshots de manière automatique. Pour cela, on peut créer un script Bash, nommé par exemple "timeshift.sh". A chaque fois, un point de restauration sera créé avec la date du jour et le fichier "/var/log/timeshift_logs_from_cron.txt" sert à journaliser les actions de Timeshift.

nano timeshift.sh

#!/bin/bash
timeshift --create --scripted >> /var/log/timeshift_logs_from_cron.txt
timeshift --list >> /var/log/timeshift_logs_from_cron.txt
echo "-----------------------------------------------------------------------" >> /var/log/timeshift_logs_from_cron.txt 
backupDate=$(date +"%Y-%m-%d")
snapshotPath="/run/timeshift/backup/timeshift/snapshots/${backupDate}*"
echo "Snapshot weight : $(du -sh $snapshotPath)" >> /var/log/timeshift_logs_from_cron.txt
echo "---------------------------------END-----------------------------------" >> /var/log/timeshift_logs_from_cron.txt

Attribuez à ce script des droits d'exécution :

chmod u+x timeshift.sh

Créez ensuite la tâche CRON pour planifier son exécution et donc la création d'un point de restauration :

crontab -e

Patientez, pour vérifier que la création du point de restauration s'effectue au moment que vous souhaitez et observez les processus en cours avec la commande "htop" afin de repérer le processus Timeshift en cours d'exécution.

Une fois que la sauvegarde est arrivée à son terme, afficher les logs du script via la commande suivante :

cat /var/log/timeshift_logs_from_cron.txt

En l'état, ce script ne supprime pas les anciens points de restauration. On pourrait supprimer les anciens points de restauration avec une commande comme celle-ci :

find /run/timeshift/backup/timeshift/snapshots/ -mtime +31 -exec rm -rf {} \;

V. Créer le point de sauvegarde sur un autre disque, partition, USB, etc.

Pour terminer, nous allons voir qu'il est possible de stocker le point de restauration Timeshift sur un périphérique/disque spécifique. Dans mon cas, je vais connecter une clé USB à ma machine virtuelle, afin qu'elle soit reconnue comme périphérique de stockage externe par Ubuntu.

Celle-ci est identifiée en tant que deuxième périphérique de stockage par mon système (sdb). Pour spécifier cet emplacement, on utilise le paramètre "--snapshot-device" suivi du chemin.

timeshift --create --snapshot-device /dev/sdb1

Note : attention à la compatibilité matérielle USB 2/3/3.1. Vous pouvez modifier ces réglages à chaud sur VMware depuis les paramètres de la VM.

Pour restaurer depuis votre espace de stockage externe, ce n'est pas plus difficile :

timeshift --restore --snapshot-device /dev/sdb1

J'espère que cet article vous aura plu ! Désormais, vous êtes en mesure de créer des points de restauration Timeshift sur votre machine Linux.

The post Linux : créer, restaurer et planifier des points de restauration avec Timeshift first appeared on IT-Connect.

Synology Active Backup for Business prend en charge Windows Server 2022, Debian 11, etc.

vendredi 8 juillet 2022 à 07:30

Récemment, Synology a mis en ligne une nouvelle version de l'application de sauvegarde Active Backup for Business et elle intègre la prise en charge de nouveaux systèmes et nouvelles configurations. Faisons le point.

Le paquet gratuit Active Backup for Business sert à créer des tâches de sauvegarde, que ce soit des tâches pour sauvegarder des machines virtuelles ou simplement quelques fichiers sur un serveur. Personnellement, c'est l'une de mes applications favorites sur les NAS Synology.

Au sein de la version 2.4.0-12234 de l'application, Synology a ajouté la prise en charge de Windows Server 2022, ainsi que de Debian 11, RHEL 8.4 et RHEL 8.5. En fait, l'application Active Backup prend désormais en charge le noyau Linux 5.10. Par ailleurs, l'application prend en charge System Center Virtual Machine Manager et la sauvegarde de machines virtuelles sur des clusters de serveurs Hyper-V.

Outre quelques fonctionnalités supplémentaires, c'est surtout la prise en charge de ces nouveaux environnements qui a attiré mon attention à la lecture des changements opérés dans cette application. Disponible depuis la fin du mois de mai, il s'agit de la première mise à jour de l'application depuis le 17 février 2022. Enfin, les développeurs de Synology ont également corrigé une dizaine de bugs au sein de plusieurs fonctionnalités. Le changelog complet est disponible sur le site de Synology : Changelog Active Backup for Business

The post Synology Active Backup for Business prend en charge Windows Server 2022, Debian 11, etc. first appeared on IT-Connect.