L'Office fédéral allemand de la sécurité de l'information (BSI) a confirmé que le groupe de cybercriminels Rhysida s'est introduit dans les administrations du bâtiment et des transports du Sénat de Berlin en utilisant une exploitation technique spécifique connue sous le nom de TerminalFix. Cette vérification intervient quelques jours après le premier signalement de l'incident, fournissant une attribution officielle pour une attaque qui a compromis des réseaux gouvernementaux sensibles et a conduit à une demande de rançon substantielle.

Les responsables ont déclaré que l'intrusion avait entraîné l'exfiltration d'importants volumes de données, y compris des informations critiques concernant l'infrastructure de l'État. Les attaquants ont par la suite exigé 2 millions d'euros en Bitcoin pour restaurer l'accès et empêcher la publication des fichiers volés. Cette confirmation comble une lacune dans la connaissance publique concernant le vecteur spécifique utilisé pour pénétrer les défenses de l'État.

Comment TerminalFix contourne les défenses standard

La méthode TerminalFix repose sur l'ingénierie sociale plutôt que sur une vulnérabilité logicielle au sens traditionnel. Les utilisateurs visitant un site web compromis se voient présenter une fausse page de captcha Cloudflare prétendant que leur navigateur nécessite une vérification. Au lieu de cliquer sur un bouton, l'utilisateur est invité à appuyer sur la touche Windows combinée avec la touche X, puis sur la touche I. Cette séquence ouvre le Terminal Windows avec des privilèges d'administrateur.

Une fois la fenêtre du terminal ouverte, l'utilisateur est guidé pour coller une commande qui semble inoffensive mais qui exécute un script PowerShell. Ce script télécharge la charge utile initiale du rançongiciel depuis les serveurs des attaquants en arrière-plan. Pendant que la page web manipulée continue d'afficher le faux captcha au premier plan pour occuper l'utilisateur, le logiciel malveillant établit un proxy SOCKS. Cela crée un tunnel donnant aux criminels un accès direct au réseau interne de l'organisation.

Défaillances de sécurité au sein du Sénat

L'exploitation technique ne représentait que la moitié du problème. L'analyse du BSI a indiqué que Rhysida a trouvé un passage relativement facile à travers le réseau car des listes de mots de passe étaient stockées en clair dans les systèmes des autorités berlinoises. Cette défaillance élémentaire d'hygiène de sécurité a permis aux attaquants de se déplacer latéralement à travers le réseau une fois le point d'appui initial établi via TerminalFix.

Stocker des identifiants sans chiffrement viole les protocoles de sécurité fondamentaux attendus des administrations publiques. Cela suggère que la gouvernance informatique interne était insuffisante pour protéger les données sensibles de l'État contre des acteurs même modérément sophistiqués. La présence de mots de passe en clair a effectivement annulé nombre des défenses périphériques qui auraient autrement pu ralentir l'intrusion ou limiter la portée de l'exfiltration de données.

L'économie des opérations de Rhysida

Rhysida s'est forgé une réputation en ciblant les institutions du secteur public et de l'éducation à travers l'Europe et l'Amérique du Nord. Le groupe opère selon un modèle de rançongiciel en tant que service, où des affiliés mènent des attaques en échange d'une part des bénéfices. Une demande de 2 millions d'euros est cohérente avec leurs campagnes précédentes, calculée pour être suffisamment élevée pour générer des revenus, mais suffisamment basse pour que certaines victimes puissent envisager le paiement comme réalisable.

Pour les attaquants, l'effort requis pour déployer TerminalFix est minime par rapport au retour potentiel. La méthode contourne de nombreux filtres de courrier électronique car elle repose sur l'interaction de l'utilisateur avec un site web plutôt qu'avec une pièce jointe malveillante. Ce changement de tactique reflète une tendance plus large où les criminels exploitent l'erreur humaine plutôt qu'ils ne recherchent des vulnérabilités logicielles zero-day.

La pression réglementaire européenne monte

De tels incidents se produisent alors que l'Union européenne renforce les exigences en matière de cybersécurité pour les organismes publics. La directive NIS2, que les États membres intègrent dans leur droit national, impose des signalements d'incident plus stricts et des mesures de sécurité pour les entités essentielles. Les administrations publiques relèvent directement du champ d'application de ces réglementations, ce qui signifie que les futures violations pourraient déclencher un examen réglementaire significatif au-delà de l'embarras politique local.

La Commission européenne a souligné que la cybersécurité est un élément central de la stratégie de la Décennie numérique, visant à sécuriser les infrastructures critiques à travers le bloc. Les priorités politiques numériques de l'UE exigent désormais que les États membres fassent preuve de résilience face à ce type précis de campagne de rançongiciel coordonnée. Le non-respect de ces normes pourrait éventuellement entraîner des sanctions financières pour les gouvernements nationaux.

Organisations

German Federal Office for Information Security · Microsoft · Berlin Senate