Je ne l'ai pas vu de moi même, mais on m'a déjà dit plusieurs fois que dans la banque ou le gouvernement, ca tourne souvent sous RHEL4...

Et dans la banque, combien de lignes de Cobol qui tournent encore ?

Dans ce milieu que tu connais qui pourtant est sensible à la disponibilité, tu nous dis qu'il y a des systèmes "industriels" qui fonctionnent avec un gros SPOF, dans leur architecture ? Que se passe-t-il si le host hyperviseur a une panne ?

Il y a défaut du SCADA, ce qui ne l'empêche pas forcément de fonctionner mais impacte le contrôle à distance et la collecte/remontée de données.
C'est le cas d'install solaires de plusieurs MW, petit hydraulique, parfois de l'éolien, et de petites sous stations ENEDIS.

Si défaut du SCADA il y a, les protections sont toujours actives et l'énergie est toujours produite ou fournie. Un gars doit se déplacer sur site pour réparer la panne.

Contrairement au monde de la tech, c'est un monde qui considère que la panne arrivera coute que coute et qui s'en accomode. Bien évidemment dans une centrale de plusieurs centaines de MW voire plus, il y a de la redondance, ce n'est pas pareil.

J'aime bien Proxmox en @home ou bien pour une utilisation pour une asso genre Milkywan mais il manque pleins de features à Proxmox par rapport à VMWare...

Cet exploit fonctionne en utilisant le service SLP.

Si tu n'as qu'une machine sur un hébergeur, le plus simple est de l'exposer sur Internet.

Ce n'est effectivement pas le cas quand c'est une entreprise un peu sérieuse avec une infrastructure plus conséquente.

Enfin, je comprends que l'on ne réalise pas de mise à jour tous les mois, mais aucune mise à jour en deux ans...

De façon plus globale, il serait intéressant de savoir le % d'attaque réussie qui aurait pu être évité par des mises à jour plus fréquentes.

Dans cette liste d'hôpitaux attaqués en 2022, pour lesquels c'est lié à un défaut de mise à jour ?

- Clinique Léonard de Vinci de Chambray-les-Tours : attaque par ransomware le 7 janvier. Les malfaiteurs ont demandé 500 000 euros de rançons.
- Cité sanitaire de Saint-Nazaire : attaquée le 12 janvier, les patients sont privés de télévision, d’Internet et de communication avec leurs proches.
- Hôpital de Castelluccio, Ajaccio : touché par un ransomware le 28 mars, les soins de radiologie et oncologie étaient suspendus.
- L’hôpital de Saint-Dizier et de Vitry-le-François : victimes d’un ransomware le 19 avril. Les auteurs exigeaient une rançon de 1,2 million d’euros.
- Centre hospitalier de Mâcon : touché le 27 mai.
- Centre hospitalier de Corbeil-Essonnes : attaque par ransomware le 20 août, revendiquée par Lockbit. Demande de rançon de 1 million d’euros.
- Hôpital de Cahors : cyberattaque le 12 septembre.
- Maternité des Bluets, Paris XIIIe : touchée par un ransomware le 9 octobre, revendiqué par Vice Society.
- Hôpital André-Mignot, Versailles : attaque par ransomware le 3 décembre.

J'ai toujours le souvenir de cet hôpital qui ne se cachait pas de déployer de nouveaux postes Windows 7 en 2021 alors que ce système n'était déjà plus maintenu.

J'ai récemment reçu par courrier, dans une lettre à mon attention, une clé USB, dénudée, sans cache plastique. Pas d'expéditeur,  adresse manuscrite bien gauche.

J'ai ri. Je ne l'ai bien sûr pas insérée où que ce soit.

Quelqu'un s'est fait suer à trouver l'identité de la personne qui pilote l'infra de la structure médicale où je bosse, et, au cas où, m'envoie ça.

Je répète à l'envie à tout le personnel de n'insérer aucune clé USB trouvée dans la rue dans le moindre port usb, et les stations voient leurs ports USB désactivés. Aucune faille humaine n'est jamais impossible, alors je répète souvent les bonnes pratiques.

Je me suis promis d'essayer la clé sur un vieux laptop, pour forensic un peu, mais le temps me manque pour travailler la question. Je la garde sous clé pour l'analyser à l'occasion. J'en extrairais le contenu en une image, pour la monter et analyser un peu.

Manifestement, si on assiste à tant de mises en cause, c'est que la pratique est rentable.  Porter atteinte à une institution médicale, c'est pathétique. Plus rien n'est sacré. Tout n'est que gain potentiel.