Discussion :

[Stan Adkens]

Des pirates ont pillé Citrix et emporté 6 To de courriels, de documents d'entreprise et de secrets
En exploitant des mots de passe faibles

Toutes les entreprises sont préoccupées par la sécurité des données qu'elles ont en leur possession à cause de la multiplication des menaces informatiques et de l’envergure du coût moyen d'une cyberattaque qui a dépassé 1 million de dollars, selon une étude de la société de cybersécurité Radware publiée en janvier dernier. Pour cela, de plus en plus d’entreprises font d'énormes investissements dans la cybersécurité. D’après un rapport de Gartner, les organisations et les entreprises ont dépensé environ 114 milliards de dollars en 2018 en produits et services de sécurité. Gartner prévoit, en outre, que ces dépenses passeront à 124 milliards de dollars en 2019.

Toutefois, les mesures prises par Citrix, la multinationale américaine qui fournit des produits et services de collaboration, de virtualisation et de mise en réseau aux entreprises, aux entreprises, à l'armée américaine et à divers organismes gouvernementaux américains, n’ont pas suffi à empêcher les pirates informatiques d’accéder au réseau interne de l’entreprise. Dans un billet de blog, Citrix a rendu public le vendredi dernier, l’information selon laquelle des pirates informatiques étrangers se sont introduits dans son réseau d'entreprise et ont volé des secrets d'entreprise. Selon Citrix, des cybercriminels ont probablement exploité des mots de passe faibles pour accéder à son système informatique avant de chercher à obtenir un contrôle plus privilégié.

Dans sa publication, le géant du logiciel d'entreprise a déclaré que le FBI l’avait contacté le mercredi d’avant pour l'informer qu'il avait des raisons de croire que des cybercriminels internationaux avaient accès à son système informatique et en avaient exfiltré des fichiers. Cette information a certainement jeté le trouble au-delà des périmètres du réseau interne de Citrix, car les produits et services Citrix sont utilisés par plus de 400 000 organisations à travers le monde, dont 98 % des entreprises du Fortune 500, selon CNBC. Les services de Citrix sont également largement utilisés par les gouvernements et les militaires.

Citrix a déclaré le vendredi qu’une enquête initiale semble montrer que les attaquants ont pu obtenir des documents commerciaux, bien que l’entreprise ne sache toujours pas encore quelles données spécifiques ont été volées. Les responsables de l’entreprise ont déclaré également que rien n'indique, au stade actuel de leur enquête, que la sécurité d'un produit ou d'un service Citrix ait été compromise.

Cependant, selon Resecurity, une société de cybersécurité, les pirates IRIDIUM qui seraient liés à l'Iran auraient volé au moins six téraoctets de fichiers internes sensibles à la société américaine. Les espions auraient frappé en décembre et lundi dernier, selon Resecurity, et auraient emporté des courriels, des plans et d'autres documents. Selon la société de cybersécurité, qui prétend avoir alerté les Fédéraux et Citrix de la cyber-intrusion, les pirates auraient trouvé des moyens de contourner les systèmes de connexion multifactorielle de Citrix pour se glisser dans son réseau interne.

« L'incident a été identifié comme faisant partie d'une campagne de cyberespionnage sophistiquée soutenue par l'État-nation en raison du fort ciblage du gouvernement, du complexe militaro-industriel, des sociétés énergétiques, des institutions financières et des grandes entreprises impliquées dans des secteurs critiques de l'économie », a déclaré l'équipe de Resecurity dans un communiqué publié le vendredi.

« D'après notre récente analyse, les acteurs malveillants ont tiré parti d'une combinaison d'outils, de techniques et de procédures leur permettant d'effectuer une intrusion réseau ciblée pour accéder à au moins six téraoctets de données sensibles stockées dans le réseau d'entreprise de Citrix, notamment les correspondances électroniques, les fichiers partagés et les autres services utilisés pour la gestion de projet et de l’approvisionnement. » a-t-elle ajouté.

Citrix a déclaré qu'il ne sait toujours pas quelles données spécifiques ont été volées, toutefois, l’entreprise a pris des mesures pour contenir cet incident. « Nous avons entamé une enquête médico-légale, engagé une entreprise de cybersécurité de premier plan pour nous aider, pris des mesures pour sécuriser notre réseau interne et continué à coopérer avec le FBI », a écrit Citrix dans son billet de blog.

Même s’il est trop tôt pour savoir quelles données ont été dérobées par les cybercriminels, l’on peut deviner aisément la nature des données que les pirates informatiques ont pu emporter lors de l’intrusion. Citrix étant fournisseur multinational de produits et services de gestion à distance, de mise en réseau et de visioconférence, il dispose certainement d'un large portefeuille réparti dans un certain nombre de secteurs sur les marchés informatiques des entreprises et des gouvernements. S’il le vol de données annoncées par Resecurity est confirmé, les pirates auraient en leur possession des informations des divers clients de Citrix, parmi lesquels figurent la Maison-Blanche et le FBI, bien qu'on ne sache pas pour l'instant si le piratage a directement impliqué ou menacé les opérations du gouvernement américain.

Citrix a déclaré qu'il s’engage à fournir des mises à jour régulières à ces clients au fur et à mesure qu'il obtiendra plus de détails et à coopérer pleinement avec l’enquête du FBI. « Citrix avance le plus rapidement possible, étant entendu que ces enquêtes sont complexes, dynamiques et qu'il faut du temps pour les mener à bien. Dans les enquêtes sur les cyber-incidents, les détails sont importants, et nous nous engageons à communiquer adéquatement lorsque nous avons ce que nous croyons être de l'information crédible et susceptible de donner lieu à une action ». « Citrix regrette profondément l'impact que cet incident pourrait avoir sur les clients concernés », a ajouté Citrix.

Jusqu'à ce que plus de détails soient disponibles, il est trop tôt pour connaître l'ampleur de l'infraction ou son effet sur les clients. Toutefois, selon CNBC, l’annonce du piratage de Citrix le vendredi dernier a eu des répercussions sur les actions de la société elle-même. Les actions de Citrix ont connu une baisse de 2 %, alors qu’elles étaient en hausse de 6 % au cours des 12 derniers mois, a rapporté CNBC.

Source : Billet de Blog de Citrix, Billet de Blog de Resecurity, CNBC

Et vous ?

Qu’en pensez vous ?
Selon-vous, quel serait l’impact de cette cyber-intrusion sur Citrix qui fournit des services à de nombreux sociétés, organisations et gouvernements ?

Lire aussi

Les DSI des gouvernements comptent investir en priorité dans l'analyse des données et la cybersécurité en 2019, d'après une enquête de Gartner
Le coût moyen d'une cyberattaque a dépassé 1 million de dollars, le principal impact étant la perte de productivité, selon un rapport
Gartner : les dépenses en sécurité vont dépasser 124 milliards de $ en 2019, à cause des risques de sécurité et les changements en industrie
Les chefs d'entreprise US s'inquièteraient plus de la cybersécurité que d'une possible récession, à l'inverse de leurs homologues européens
La cybersécurité confrontée à une pénurie mondiale de près de 3 millions de personnes qualifiées, Selon une étude

[Guy_M]

Et aussi, c'est franchement le b... cela ressemble à la chanson de Jacques Dutronc "On nous cache tout, on nous dit rien" :

On nous cache tout, on nous dit rien
Plus on apprend plus on ne sait rien
On nous informe vraiment sur rien

[rsuinux]

J'aime bien les réponses du type "nous nous engageons à communiquer de manière adéquate"! "adéquate"="pas trop de détail pour pas faire descendre l'action?"

[Stan Adkens]

Les pirates informatiques ont pénétré les réseaux internes de Citrix pendant cinq mois,
Et ont emporté de données personnelles et financières sur des employés de l’entreprise

Citrix Systems avait annoncé en mars 2019 que des intrus avaient pénétré ses réseaux internes et volé plus de 6 To de données financières et personnelles sensibles de ses employés. Dans une lettre, datée du 10 février 2020, envoyée par l’entreprise aux personnes victimes, dont le site krebsonsecurity a obtenu copie, le géant des logiciels de réseau affirme que des pirates informatiques malveillants ont eu accès à ses réseaux pendant cinq mois entre 2018 et 2019. Les pirates se sont emparés des données personnelles et financières sur des employés d'entreprises, des contractants, des stagiaires, des candidats à l'emploi et des personnes qui leur sont proches.

Dans la lettre de Citrix, l’entreprise a révélé que les cybercriminels ont accédé aux données par les réseaux piratés entre octobre 2018 et mars 2019. Pendant cette période, les pirates avaient supprimé des systèmes des fichiers contenant des informations sensibles. Les fichiers contiennent des informations sur les employés actuels et anciens et des données relatives aux bénéficiaires, selon la lettre de Citrix. Dans une mise à jour de sa déclaration de mars 2019, Citrix avait indiqué qu’il semblait que les pirates informatiques aient pu accéder et télécharger des documents commerciaux.

Citrix est une multinationale américaine qui fournit des produits et services de collaboration, de virtualisation et de mise en réseau qui fournit des logiciels utilisés par des centaines de milliers de clients dans le monde entier, dont la plupart des entreprises du classement Fortune 100, ainsi qu’à l'armée américaine et à divers organismes gouvernementaux américains. Elle est aussi mieux connue pour la vente de logiciels de réseaux privés virtuels (VPN) qui permettent aux utilisateurs d'accéder à distance à des réseaux et à des ordinateurs par le biais d'une connexion chiffrée.

Citrix n’a pas pu empêcher les pirates informatiques d’accéder à son réseau d’entreprise. En mars 2019, le Federal Bureau of Investigation (FBI) a alerté Citrix qu'il avait des raisons de croire que des cybercriminels avaient accédé au réseau interne de l'entreprise. Le FBI a déclaré à Citrix que les pirates informatiques étaient probablement entrés en utilisant une technique appelée "password spraying", une attaque relativement grossière, mais remarquablement efficace qui tente d'accéder à un grand nombre de comptes d'employés en utilisant seulement une poignée de mots de passe courants.

À l’époque la société avait confirmé les soupçons du FBI dans un billet de blog, jetant le trouble au-delà des périmètres du réseau interne de Citrix, car les produits et services Citrix sont utilisés par plus de 400 000 organisations à travers le monde, selon CNBC. Une première enquête à l’époque semblait montrer que les attaquants avaient pu obtenir des documents commerciaux. Dans son dernier communiqué, la société a indiqué qu'elle s'efforçait toujours d'identifier précisément les données qui ont été accédés ou volés.

Selon le journaliste américain spécialiste en cybersécurité Brian Krebs, on ne sait pas non plus exactement combien de personnes ont reçu cette lettre, mais la communication suggère que Citrix contacte un large éventail de personnes qui travaillent ou ont travaillé pour l'entreprise à un moment donné. La société contacte également des personnes qui ont postulé pour un emploi ou un stage dans l'entreprise et les personnes qui ont pu bénéficier de prestations de santé ou autres de l'entreprise du fait qu'un membre de leur famille y était employé. La lettre de Citrix indique aussi qu’il n’y avait aucune preuve que les pirates étaient toujours présents dans les systèmes de la société.

Des numéros de sécurité sociale et d’autres données sensibles emportées par les pirates informatiques

Dans sa lettre de février, Citrix a révélé des détails supplémentaires sur l'incident. La société a déclaré que les informations prises par les intrus pouvaient inclure des numéros de sécurité sociale ou d'autres numéros d'identification fiscale, des numéros de permis de conduire, des numéros de passeport, des numéros de comptes financiers et des numéros de cartes de paiement. Des informations limitées sur les demandes de remboursement de frais de santé, telles que le numéro d'identification du participant à l'assurance maladie et/ou des informations sur les demandes de remboursement relatives à la date du service et au nom du fournisseur, ont également été emportées.

En mars 2019, après la divulgation de la nouvelle du piratage, Resecurity, une société de sécurité, avait affirmé qu'elle avait des preuves de la responsabilité des pirates informatiques iraniens – les pirates IRIDIUM qui seraient liés à l'Iran. Selon Resecurity, ces pirates étaient présents sur le réseau de Citrix depuis des années et qu'ils avaient déchargé des téraoctets de données. La société de sécurité avait également présenté des preuves qu'elle avait informé Citrix de la brèche dès le 28 décembre 2018, une affirmation que Citrix a d'abord rejetée, mais qu'elle a ensuite reconnue.

Par ailleurs, un récent rapport de la société de sécurité ClearSky a révélé que des pirates informatiques iraniens ont récemment été impliqués dans des piratages de serveurs VPN dans le monde entier dans le but d'installer des portes dérobées dans de grands réseaux d'entreprise. La société de sécurité a détaillé comment les unités de piratage soutenues par le gouvernement iranien ont exploité les failles de sécurité des produits VPN populaires de Citrix et d'un certain nombre d'autres sociétés de logiciels.

Selon ClearSky, les attaquants se sont concentrés sur les outils VPN parce qu'ils permettent de s'implanter durablement dans les organisations ciblées et qu'ils ouvrent fréquemment la porte à d'autres entreprises par des attaques de la chaîne d'approvisionnement. L'entreprise affirme que ces tactiques ont permis aux pirates informatiques iraniens d'obtenir un accès permanent aux réseaux d'entreprises dans un large éventail de secteurs, notamment l'informatique, la sécurité, les télécommunications, le pétrole et le gaz, l'aviation et le gouvernement.

Selon Krebs, la vulnérabilité CVE-2019-19781 figurait parmi les failles de VPN à la disposition des attaquants. Citrix a initialement signalé cette vulnérabilité, présente dans les serveurs VPN de Citrix et surnommée "Shitrix" par certains membres de la communauté, à ses clients à la mi-décembre 2019. Mais la société n'a commencé à publier des correctifs pour combler les lacunes qu'à la fin janvier 2020, soit environ deux semaines après que les attaquants ont commencé à utiliser un code d'exploitation publié pour pénétrer dans des organisations vulnérables.

D’après le rapport de krebsonsecurity, la lettre de Citrix a été motivée par les lois de pratiquement tous les États américains qui exigent que les entreprises notifient aux consommateurs concernés tout incident mettant en péril leurs données personnelles et financières. Bien que la notification ne précise pas si les attaquants ont volé des données propriétaires sur les logiciels et les opérations internes de l'entreprise, les intrus ont certainement eu amplement l'occasion d'accéder à au moins une partie de ces informations également.

Plusieurs autres accusations de violation de systèmes impliquent les pirates iraniens. Microsoft a déclaré en octobre dernier que des hackers appartenant au groupe Phosphorous, qui seraient soutenus par le gouvernement iranien, ont ciblé la campagne d'un candidat à la présidentielle américaine 2020, dont le nom n'a pas été révélé, en tentant d’accéder aux comptes de messagerie de son personnel de campagne sur les services cloud Microsoft. Plutôt que de s’appuyer sur des logiciels malveillants ou d’exploiter des vulnérabilités logicielles, les attaquants ont plutôt collecté des informations pouvant être utilisées pour activer la réinitialisation de mot de passe et d’autres services de récupération de compte fournis par Microsoft.

Le piratage de Citrix qui a duré cinq mois montre encore une fois que les responsables des systèmes informatiques devraient constamment vérifier leurs systèmes, puis agir en conséquence, a recommandé Krebsonsecurity.

Source : Krebsonsecurity

Et vous ?

Qu’en pensez-vous ?
La lettre aux personnes victimes du piratage intervient presqu’un an après la découverte de la violation. Quel commentaire en faites-vous ?
Selon vous, quel serait l’impact de cette intrusion de 5 mois sur les nombreux clients de Citrix ?

Lire aussi

Microsoft a déclaré qu'un groupe de hackers soutenus par l'Iran a essayé de pirater, un candidat à la présidentielle américaine de 2020
GitHub confirme avoir bloqué les développeurs en Iran, en Syrie et en Crimée, le blocage s'étend désormais au Cuba et à la Corée du Nord
Des pirates ont pillé Citrix et emporté 6 To de courriels, de documents d'entreprise et de secrets, en exploitant des mots de passe faibles
Des hackers iraniens ont piraté des serveurs VPN pour disséminer des portes dérobées sur les réseaux d'entreprise, d'après un rapport

[tanaka59]

Bonsoir,

Qu’en pensez-vous ?

Ce type de piratage va faire très très mal dans les mois et années (?) à venir. On parle quand même d'accès VM , TSE , bureau à distance ...

La lettre aux personnes victimes du piratage intervient presqu’un an après la découverte de la violation. Quel commentaire en faites-vous ?

C'est juste inadmissible ... Soit on est transparent et on l'assume , soit on est ripoux .

Selon vous, quel serait l’impact de cette intrusion de 5 mois sur les nombreux clients de Citrix ?

Un petit malin a accès à une VM ou TSE sur un poste peu voir pas utilisé ... C'est une voie royal pour les pirates ! . Un accès en clic/souris/bouton :/

Team Viewer , Skype et Skytape ont de gros soucis à se faire !