Rançongiciel Clop à l'Université de Maastricht (Pays-Bas, 2019)

En décembre 2019, l'Université de Maastricht aux Pays-Bas a subi une attaque par le rançongiciel Clop opérée par l'équipe TA505. Le chiffrement est intervenu à l'un des pires moments possibles — le 23 décembre, juste au moment où étudiants et personnel partaient pour Noël — et a mis hors service 267 serveurs, sauvegardes comprises. L'université a payé 30 BTC (~220 000 $) le 30 décembre pour rétablir ses opérations.

Ce qui s'est passé

L'intrusion a commencé modestement. Le 15 octobre 2019, deux courriels d'hameçonnage ont été envoyés au personnel de l'université ; l'un d'eux a été ouvert et TA505 disposait de son point d'ancrage. Au cours des cinq semaines suivantes, les attaquants se sont déplacés latéralement dans le réseau. Le 21 novembre, ils ont obtenu les droits administrateur sur un serveur non corrigé — un seul correctif manquant sur un seul hôte. Cette machine est devenue le pivot à partir duquel le rançongiciel Clop s'est propagé à 267 serveurs Windows, y compris l'infrastructure de sauvegarde.

La détection a eu lieu le 23 décembre. Fox-IT a été mobilisé pour la forensique. L'université a pesé deux options : payer la rançon ou reconstruire chaque système touché à partir de zéro, sans aucune garantie de délai. Après une semaine d'analyse, l'université a payé 30 BTC (~220 000 $) le 30 décembre.

L'affaire a connu une suite inhabituelle. La police néerlandaise a ensuite saisi une partie de la rançon en Bitcoin auprès d'une mule financière. Au moment où les fonds ont été restitués à l'université en juillet 2022, le Bitcoin avait suffisamment pris de valeur pour que l'université se retrouve avec environ 300 000 $ de plus que son paiement initial.

Impact

• 267 serveurs chiffrés, sauvegardes comprises.
• Environ 220 000 $ de rançon payée.
• Opérations rétablies quelques jours après le paiement.
• Cause racine : un unique serveur non corrigé.
• Suite inhabituelle : la police néerlandaise a saisi une partie des Bitcoins ; leur appréciation a laissé l'université avec un bénéfice net sur le paiement de la rançon.

Pourquoi cela compte

L'Université de Maastricht est un cas d'école de rançongiciel dans le secteur public : un unique hôte non corrigé a permis un déplacement latéral jusqu'aux serveurs de sauvegarde, supprimant l'option « restauration depuis sauvegarde ». Le rapport Fox-IT a été largement cité dans la planification de sécurité de l'enseignement supérieur européen. La suite « récupération de Bitcoin » — payer un criminel en Bitcoin et finir avec un gain — figure aussi parmi les dénouements les plus étranges de la cybercriminalité.