// CLUBIC — CYBERSECURITY
Un hébergeur russe doit reconstruire son cloud de zéro après une attaque par wiper, mais c'est quoi au juste ?
En une nuit, un pirate a effacé toutes les données du cloud de Beget, l’un des plus gros hébergeurs russes, avec un logiciel conçu pour détruire et non pour réclamer une rançon, et une partie des sauvegardes a été détruite avec elles.
Fondé en 2007, Beget héberge les sites et les serveurs de plus de 200 000 clients, notamment des boutiques en ligne, des médias et des services éducatifs. Il gère aussi environ 540 700 noms de domaine en .ru, soit 14,7 % du marché selon le quotidien Kommersant. Dans la nuit du 1er au 2 novembre, un pirate a pris la main sur les systèmes de gestion de toute son infrastructure, puis il a lancé un wiper, un malware dont le seul but est d’effacer des données. Les équipes de Beget ont coupé tous les serveurs du réseau peu après, mais le pirate avait eu le temps de détruire toutes les données du cloud, des serveurs virtuels loués à l’unité (VPS) jusqu’au stockage S3 et aux clusters Kubernetes. Beget ne pourra rendre leurs fichiers qu’à la moitié environ des clients de ses VPS.
Avec un rançongiciel, les pirates chiffrent vos fichiers et vous promettent la clé contre paiement. Avec un wiper, ils écrasent les données, souvent par des zéros ou des caractères aléatoires, et vous ne pouvez les récupérer qu’à partir d’une sauvegarde intacte. Chez Beget, le pirate a remplacé les données par des zéros à l’aide de scripts, selon l’hébergeur. Ses équipes n’ont trouvé aucune trace d’une tentative de téléchargement ou de modification des fichiers des clients, et l’entreprise estime que l’attaque avait pour seul but la destruction.
Le pirate s’est aussi attaqué aux copies de secours. Les sauvegardes intégrales de chaque VPS ont toutes été effacées, et seule une partie des sauvegardes de fichiers a été épargnée. Si vous confiez vos sites et leurs sauvegardes au même hébergeur, un pirate peut donc tout effacer en une seule attaque. Avec une copie de vos données chez un autre prestataire, ou sur un disque débranché du réseau, vous pouvez repartir après ce type de sabotage.
Beget a rétabli dès le 2 novembre les serveurs dédiés gérés directement par ses clients. Quatre jours plus tard, il avait remis en ligne plus de 60 % de son hébergement mutualisé, où plusieurs sites partagent un serveur. Les machines restantes ont subi plus de dégâts. L’hébergeur doit vérifier à la main environ un millier de serveurs, à la recherche de failles et de scripts cachés, avant de les relancer. « La prochaine étape est la restauration des données à partir des sauvegardes », indique Beget sur sa chaîne Telegram.
L’entreprise part du principe que le pirate a pu compromettre n’importe quelle partie de son infrastructure. Elle demande à ses clients de changer leurs mots de passe, leurs clés d’accès et tous les identifiants stockés sur ses serveurs, et elle les a prévenus qu’elle pourrait invoquer la force majeure prévue par le droit russe pour s’exonérer temporairement de certaines obligations de ses contrats. Les sites de nombreuses PME russes ont été coupés, ainsi que celui de Tchestny Znak, le système national de traçabilité des produits, et celui de la mairie de Narian-Mar, d’après Kommersant.
Plus tôt cette année, l’Union européenne a sanctionné Beget et l’un de ses copropriétaires pour les services numériques fournis aux autorités installées par Moscou en Crimée, à Donetsk et à Louhansk, ainsi qu’à des entreprises liées à la défense russe. Aucun groupe de pirates n’a réclamé l’attaque. Beget a prévenu la police et refuse pour l’instant d’expliquer comment le pirate s’est introduit dans ses systèmes, au nom de la sécurité et de l’enquête en cours.