Que s'est-il passé ?
L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a confirmé via Mastodon que la campagne d'attaque « TerminalFix » constituait le point d'entrée de la cyberattaque contre les administrations sénatoriales berlinoises. Étaient concernées les administrations sénatoriales du Développement urbain, de la Construction et du Logement, ainsi que de la Mobilité, des Transports, de l'Environnement et de la Protection du climat. L'attaque a été révélée mi-août 2026 et a entraîné une fuite massive de données, dont certaines informations critiques. Selon des informations du Spiegel, le groupe de ransomware bien connu Rhysida serait à l'origine de cette attaque.
Les détails
La chronologie de l'incident révèle l'ampleur de la crise : des données ont été exfiltrées par les attaquants dès la période du 7 au 12 août 2026, bien que l'attaque proprement dite ait débuté nettement plus tôt. Le 14 août, les administrations sénatoriales concernées ont été isolées du réseau régional (Landesnetz), et trois jours plus tard, la Chancellerie du Sénat a communiqué publiquement sur un « incident TIC dans le réseau régional de Berlin » et mis en place une cellule de crise d'urgence. Le BKA (Office fédéral de police criminelle) et le LKA (Office régional de police criminelle) ont ouvert une enquête.
Les conséquences ont également été perceptibles pour les citoyens : le 21 août, des problèmes sont survenus dans le versement des prestations sociales, notamment l'allocation logement qui n'a pas pu être versée à 50 000 foyers éligibles à Berlin. Ce n'est que le 24 août que l'ensemble des services de l'administration sénatoriale ont retrouvé une connexion réseau. Le 28 août, il a été confirmé que les attaquants avaient dérobé des données et formulé une demande de rançon – le maire-gouverneur Kai Wegner a déclaré que le Land de Berlin ne céderait pas au chantage. Sur le site du darknet de Rhysida est apparue une demande de 30 bitcoins, soit environ 2 millions d'euros, accompagnée de prétendus extraits de données incluant des listes de mots de passe en clair, des documents judiciaires et plus de 46 500 contrats du Land.
Le 4 septembre, les criminels ont finalement publié environ 1,44 million de fichiers sur le darknet, dont des dossiers du personnel, des informations sur des procédures disciplinaires, des documents financiers ainsi que des détails sur les infrastructures critiques de Berlin. Le BSI a alors mis en garde le 5 septembre contre une « situation de menace accrue » pour la société.
Déroulement technique de TerminalFix
Selon Microsoft, TerminalFix est une variante de la campagne de logiciels malveillants « ClickFix », déjà connue depuis février 2026. Les utilisateurs sont incités à ouvrir le Terminal Windows – mais contrairement à ClickFix qui utilise la combinaison de touches [Windows]+[R], TerminalFix passe par [Windows]+[X] puis [I] pour accéder directement à PowerShell.
Via PowerShell, une commande malveillante est exécutée, que l'utilisateur doit lui-même coller depuis le presse-papiers. Elle y arrive car un site web manipulé l'y a copiée automatiquement via JavaScript. Ces sites simulent un faux captcha Cloudflare – une technique d'ingénierie sociale qui exploite le fait que les véritables captchas Cloudflare exigent déjà diverses actions de l'utilisateur, rendant ainsi des saisies clavier inhabituelles moins suspectes.
La commande exécutée télécharge en arrière-plan, via un script, le premier logiciel malveillant, pendant que le site web manipulé distrait l'utilisateur avec le faux captcha. Entre autres, le fichier Windows signé et normalement inoffensif « LockScreenContentServer.exe » est détourné pour installer, via sideloading, le fichier « dui70.dll ». Celui-ci télécharge à son tour des fichiers images PNG dans lesquels d'autres programmes malveillants sont dissimulés par stéganographie.
Le logiciel malveillant s'ancre ensuite durablement via des clés de registre, vérifie son propre état toutes les heures et attend de nouvelles instructions des attaquants. Un proxy SOCKS est également mis en place, offrant aux attaquants un tunnel vers le réseau de l'organisation visée. Les fichiers et répertoires sont dissimulés dans l'Explorateur Windows afin de compliquer leur détection.
Analyse
Particulièrement préoccupant : au sein des administrations berlinoises, les mots de passe étaient apparemment stockés en clair, ce qui a considérablement facilité la tâche de Rhysida, selon le rapport. La manière exacte dont les attaquants ont finalement obtenu l'accès à la quasi-totalité des données des deux administrations sénatoriales reste encore inexpliquée.
Les administrations publiques sont considérées comme des cibles particulièrement vulnérables, car les noms, adresses e-mail et structures du personnel sont souvent partiellement accessibles au public – un terreau idéal pour l'ingénierie sociale. De telles attaques sont également appelées « water-holing », car les sites web manipulés sont placés là où les victimes se rendent régulièrement, par exemple via des e-mails de phishing, des liens sur les réseaux sociaux ou des publications sur des forums. Même si une tentative ne réussit qu'après de nombreux essais, l'effort en vaut la peine compte tenu de la demande de rançon d'environ 2 millions d'euros.
Le BSI fait également référence à un prestataire externe non nommé, selon lequel Rhysida met effectivement à exécution sa menace de publication dans 92 % des cas où celle-ci est proférée. Le groupe cible principalement les secteurs de la santé et de l'éducation, mais les administrations publiques figurent également parmi les cinq types de cibles les plus fréquemment mentionnés.
Mise en garde contre les dommages consécutifs
Le porte-parole du CCC (Chaos Computer Club), Joachim Selzer, avait déjà mis en garde le 30 août contre les risques d'usurpation d'identité et d'autres tentatives de fraude. Les citoyens dont les données personnelles pourraient figurer dans l'ensemble de données publié sont par ailleurs facilement exposés à des tentatives de chantage.
Conseils pratiques
- Les collaborateurs doivent être formés à examiner de manière critique toute demande suspecte d'utilisation du Terminal, de PowerShell ou de la boîte de dialogue Exécuter – en particulier lorsqu'elle survient dans le contexte d'un captcha ou d'une vérification.
- Les mots de passe ne doivent en aucun cas être stockés en clair ; l'utilisation de gestionnaires de mots de passe avec chiffrement est impérative.
- Une vérification régulière des entrées de registre et du trafic réseau inhabituel (comme les connexions par proxy SOCKS) peut aider à détecter précocement les logiciels malveillants persistants.
- Étant donné que des fichiers Windows légitimes et signés peuvent être détournés pour du sideloading, des solutions de détection des points de terminaison (EDR) surveillant également le comportement des logiciels signés sont recommandées.
- Les administrations et organisations devraient, comme ce fut le cas à Berlin, isoler systématiquement leurs systèmes en cas d'urgence et communiquer de manière transparente, tant en interne qu'en externe.
Perspectives
Le Land de Berlin a désormais mis en place une « unité de pilotage » chargée de contacter par e-mail et par courrier les personnes concernées par la fuite de données. Parallèlement, selon l'administration sénatoriale, une vérification de l'ensemble des quelque 12 000 systèmes du Land est menée « 24 heures sur 24 ». La manière exacte dont les attaquants sont parvenus à accéder à pratiquement toutes les données des deux administrations reste l'objet des enquêtes du BKA et du LKA. L'élucidation de ce point sera probablement déterminante pour prévenir à l'avenir des attaques similaires contre d'autres administrations. Compte tenu de la « situation de menace accrue » déclarée par le BSI, il faut s'attendre à ce que d'autres détails concernant l'incident ainsi que les activités de Rhysida soient révélés prochainement.
