Attaque RansomExx contre la Cour supérieure du Brésil (STJ)

Le 3 novembre 2020, en pleine séance de jugement, le Superior Tribunal de Justiça (STJ) — la plus haute juridiction brésilienne pour les matières fédérales non constitutionnelles — a été frappé par le rançongiciel RansomExx, dans ce que les autorités ont qualifié de cyberattaque la plus grave jamais menée contre une institution publique brésilienne.

Ce qui s'est passé

Le rançongiciel s'est déclenché en milieu d'après-midi. Pour empêcher le chiffrement de se propager sur le réseau, l'équipe informatique de la cour a éteint tous les systèmes, y compris la messagerie et la téléphonie. Selon un technicien du STJ, les attaquants avaient compromis un compte Domain Admin, ce qui leur a permis d'atteindre les groupes d'administration de l'environnement virtualisé de la cour et de chiffrer plus de 1 000 machines virtuelles — l'essentiel de l'infrastructure — ainsi que les sauvegardes accessibles.

RansomExx (également suivi sous le nom de Defray777) a laissé une note de rançon invitant la victime à envoyer un fichier chiffré pour un « déchiffrement test » avant de recevoir des instructions. La cour n'a divulgué aucun montant de rançon et il n'existe aucune preuve publique qu'une rançon ait été versée.

Impact

• Le STJ a été de fait paralysé pendant plus d'une semaine. Les délais et les séances judiciaires ont été suspendus, et le portail électronique de gestion des dossiers — par lequel transite le contentieux brésilien — était indisponible.
• Plus de 1 200 serveurs, en majorité des machines virtuelles, ont été touchés.
• L'incident a perturbé le travail de milliers de juges, greffiers et avocats à l'échelle nationale et a gelé un grand volume d'affaires en cours.

Réponse

La restauration a été menée par le service informatique du STJ avec l'aide de la Police fédérale, de l'unité de cyber-renseignement de l'Armée brésilienne et de Microsoft. Élément essentiel, la cour a pu restaurer les dossiers et les systèmes à partir des sauvegardes, et le 19 novembre, le président du STJ a confirmé qu'aucune donnée de dossier n'avait été définitivement perdue. Le Tribunal fédéral suprême (STF) a ordonné la création d'un comité chargé de renforcer l'ensemble de la justice contre de futures attaques.

Pourquoi c'est important

L'attaque du STJ a constitué un tournant pour le secteur public brésilien. Elle a montré comment un unique compte d'administrateur surprivilégié peut livrer tout un centre de données virtualisé à un groupe de rançongiciel, et à quel point une justice moderne dépend d'une informatique ininterrompue. Elle a accéléré les investissements dans l'administration segmentée, la gestion des accès privilégiés et des sauvegardes hors ligne résilientes au sein des institutions fédérales brésiliennes, et demeure le cas de référence des discussions nationales sur la cyber-résilience des infrastructures critiques.