Live Free or Die Hard, ou comment prendre un hôpital en otage avec la technologie

Exclusif

Un hôpital de la région de Los Angeles s’est fait prendre dans les griffes de cybercriminels. Est-ce un événement isolé, ou un signe annonciateur de vers où nous allons?

C’est le genre d’histoire que l’on raconte aux petits enfants intéressés par la sécurité informatique pour leur faire peur. Un gros méchant criminel malintentionné finit par entrer dans des systèmes informatiques critiques d’un centre hospitalier, et ce, malgré le fait que des procédures et systèmes de sécurité soient en place. L’infection est telle qu’elle finit par mettre à mal le fonctionnement même de l’hôpital. Les patients sont véritablement pris en otage. Les soins ne peuvent pas être prodigués de manière adéquate, et les administrateurs de l’hôpital sont en mode panique. Ça y est : une attaque informatique met véritablement la vie de personne en danger.

Bon nombre des systèmes fondamentaux de l’établissement ont été déstabilisés par le maliciel, allant de systèmes gérant les imageries numériques, jusqu’aux dossiers des patients, en passant par les systèmes de gestion des pharmacies, des résultats de laboratoire et des communications en général.

Ce scénario digne de n’importe quel film de la série Die Hard vient pourtant tout juste de se concrétiser dans un hôpital de la Californie. Comment? Grâce aux désormais célèbres cryptorançongiciels, voyons! Pour rappel, le cryptorançongiciel est un maliciel qui a pour but de colliger et chiffrer les fichiers les plus fondamentaux pour un utilisateur, pour ensuite lui demander une rançon payable dans un délai donné. Je vous le donne dans le mille, une version de ce petit maliciel on ne peut plus désagréable s’est malheureusement infiltrée dans le réseau informatique du Hollywood Presbyterian Medical Center de Los Angeles.

L’hôpital est ainsi devenu plus ou moins pris en otage par le cryptorançongiciel en question. Bon nombre des systèmes fondamentaux de l’établissement ont été déstabilisés par le maliciel, allant de systèmes gérant les imageries numériques, jusqu’aux dossiers des patients, en passant par les systèmes de gestion des pharmacies, des résultats de laboratoire et des communications en général.

Bref, un moyen foutoir dans un type d’organisation dont les opérations sont ultras dépendantes les unes des autres et où le tout roule au quart de tour.

Malgré le fait que le centre hospitalier se soit tourné vers les autorités pour obtenir de l’aide, l’administration n’a pas eu d’autres choix que de payer la rançon aux criminels informatiques, sans quoi ils auraient tout simplement tout perdu. Un beau total de 17 000$ US transigé en Bitcoins payés aux criminels informatiques. GÉ-NIAL…

C’est d’autant plus génial que généralement les rançons demandées varient autour de 300$ à 600$ US. Qu’est-ce que l’on peut donc en déduire? Probablement que les criminels avaient spécifiquement choisi cet hôpital comme cible, et qu’ils ont profité de la vulnérabilité critique qu’ils ont ainsi affligée pour faire cracher le morceau. Parce qu’il est toujours plus facile de faire de l’argent sur le dos de personnes vulnérables, évidemment.

Quoi? C’est un cas isolé, vous dites? Que nenni, que nenni. Deux autres hôpitaux, cette fois situés en Allemagne, se sont fait viser par des attaques du genre. Comme quoi l’habitude commence avec le premier acte.

Pourquoi s’arrêter là?

Disons les choses simplement, ce genre de problème est malheureusement appelé à se répéter. Pourquoi? Parce que c’est de l’argent trop facile à faire. Bien malheureusement, la technique d’infection est on ne peut plus simple. Il s’agit de faire passer le maliciel pour un document conventionnel, tel un fichier numérisé nommé «XeroxScan.pdf» par exemple, ou encore «Invoice.pdf» pour que quelqu’un au sein d’une grande organisation finisse bien innocemment à «ouvrir» le fichier, déployant ainsi la procédure de collecte et de chiffrement des données. C’est simple, élégant, et hyper efficace.

Non seulement efficace, mais en plus, les maliciels deviennent de plus en plus sophistiqués. Mentionnons par exemple Critroni, un cryptorançongiciel qui fait passer son trafic de communication vers le serveur de commandement et de contrôle par le biais du protocole TOR, et ce, dans le but évident de conserver l’anonymat des communications. En d’autres mots, on n’est pas sorti du bois, et bonne chance pour trouver les responsables derrière ces actions.

Donc, on prend des paris? Quelles seront les prochaines cibles? Des centrales hydroélectriques? Des garderies? Des banques? Probablement toutes ces réponses. Mais ajoutons à cela les maisons, les voitures, et tous ces objets que nous considérons comme étant bien plus utiles lorsqu’ils sont connectés à l’Internet.

Du plaisir en perspective

Parce que oui, notre volonté à foutre de l’Internet partout, dans nos voitures jusque dans nos frigos, finira nécessairement par nous péter au visage. Imaginez que vous vouliez démarrer votre voiture le matin. Celle-ci refuse, car les fichiers nécessaires au fonctionnement de votre moteur ont été chiffrés par des petits comiques qui ont jugé bon de vous faire cracher vos sous. Considérant que la sécurité de la Nissan Leaf s’est récemment vue grandement critiquée – et je demeure poli ici –, on est en droit de se dire que le tout est on ne peut plus plausible. On va avoir du fun!

Yippee ki-yay motherf…