Attaque par rançongiciel contre l'administration SERNAC

Le 25 août 2022, le Servicio Nacional del Consumidor (SERNAC) du Chili — l'agence nationale de protection des consommateurs — a été frappé par une attaque par rançongiciel qui a chiffré ses serveurs et perturbé ses systèmes et services en ligne, devenant l'une des attaques les plus marquantes contre une institution publique chilienne cette année-là.

Ce qui s'est passé

L'incident visait les serveurs Microsoft et VMware ESXi des réseaux d'entreprise du SERNAC. Le rançongiciel avait la capacité d'arrêter toutes les machines virtuelles en cours d'exécution, puis de chiffrer les fichiers, qui prenaient l'extension « .crypt ». L'attaquant a pris le contrôle total des systèmes touchés et a laissé une note de rançon précisant le volume de données qu'il prétendait avoir saisi.

Parce que le logiciel malveillant ciblait spécifiquement les hyperviseurs VMware ESXi, il pouvait désactiver d'un seul coup un grand nombre de charges de travail virtualisées — une technique devenue de plus en plus courante en 2022. Les chercheurs en sécurité ayant analysé l'échantillon ont relevé un comportement cohérent avec la famille de rançongiciels RedAlert (également suivie sous le nom de N13V), conçue spécialement pour chiffrer les environnements ESXi sous Windows comme sous Linux.

Réponse du gouvernement

L'équipe gouvernementale chilienne de réponse aux incidents de sécurité informatique (CSIRT), l'autorité de cybersécurité rattachée au ministère de l'Intérieur, a transformé l'incident SERNAC en une alerte de cybersécurité à l'échelle de l'État le 29 août, enjoignant à tous les organismes publics et entités partenaires de revoir leurs défenses, d'appliquer des mesures d'atténuation et de surveiller les indicateurs de compromission associés à l'attaque. L'alerte traduisait la crainte que le même acteur ou la même technique se propage à d'autres organismes publics.

Conséquences

• Les systèmes et services en ligne du SERNAC ont été interrompus, affectant les activités de protection des consommateurs de l'agence.
• Les fichiers des serveurs Microsoft et VMware ESXi compromis ont été chiffrés avec une extension « .crypt ».
• Le gouvernement chilien a émis une alerte de niveau national à l'ensemble de l'appareil d'État à titre de précaution.
• Aucune confirmation publique du paiement d'une rançon n'existe.

Pourquoi c'est important

L'attaque contre le SERNAC est survenue durant une année où les rançongiciels ciblant ESXi ont connu une forte progression mondiale, exploitant le fait qu'une seule compromission d'hyperviseur peut chiffrer simultanément des dizaines de serveurs virtuels. Pour le Chili, frapper un régulateur de la protection des consommateurs quelques mois seulement après la fuite militaire Guacamaya a renforcé la perception d'une faiblesse systémique des défenses cyber du secteur public et donné de l'urgence à la démarche législative du pays vers un cadre national de cybersécurité et une Agence nationale de cybersécurité (ANCI) dédiée. L'escalade rapide du CSIRT vers une alerte pangouvernementale a également illustré une posture nationale de réponse aux incidents en voie de maturation, quoique encore réactive, dans laquelle la compromission d'une agence est traitée comme un avertissement pour toutes.