URGENT — Incident P1 : suppression complète des tables de la base edu_db (Azure) — demande immédiate de logs, binlogs et artefacts forensiques

Bonjour,

Nous répondons actuellement à un incident de sécurité critique affectant notre service edu.universiapolis.ma. Nos analyses préliminaires (pièces jointes) montrent qu’un acteur malveillant a exécuté des requêtes de reconnaissance puis des commandes destructrices sur la base de données de production.

Important : la base connectée à edu.universiapolis.ma est edu_db hébergée sur Azure dans le server UniversiaTeam. D’après nos relevés, toutes les tables de cette base ont été supprimées par l’attaquant.

Pièces jointes :

• LastQueries.xlsx — extrait des dernières requêtes observées sur la base (chemin local : /mnt/data/LastQueries.xlsx).
• Capture d’écran de la page de défiguration : cyberattaqueCapture

Horodatages critiques à investiguer (extraits de nos logs) :

2025-11-23 21:55:41.843

2025-11-23 21:55:42.130

2025-11-23 21:56:01.827

2025-11-23 21:57:59.370

Merci de traiter ce ticket comme un incident P1 et d’escalader à votre équipe sécurité. Nous demandons les éléments suivants en urgence :

1. Logs de connexion / sessions DB pour la fenêtre 2025-11-23 21:50:00 → 2025-11-23 22:05:00 (ou convertis en UTC) — inclure : horodatage, utilisateur DB, session id, application name (si disponible) et adresse IP source.

Liste complète des changements DDL et le texte intégral de toute procédure stockée, fonction, trigger ou job créé(e) ou modifié(e) dans les dernières 48 heures (avec heure de création et propriétaire).

Liste des fichiers modifiés dans le webroot / répertoires applicatifs (chemin, horodatage, propriétaire, checksum si disponible) sur les dernières 48 heures. Inclure tout fichier nouvellement uploadé.

1. Tout fichier d’export ou dump créé durant la période (nom, taille, date de création, chemin). Indiquer s’il y a eu des exports volumineux / bulk SELECT.

Logs d’authentification pour SSH/SFTP/cPanel/Plesk/console d’hébergement pour les 7 derniers jours (horodatage, nom d’utilisateur, IP source, succès/échec).

Snapshot disque / VM (et snapshot mémoire si possible) du host affecté, préservé hors ligne pour analyse forensique — ne pas effectuer d’opérations destructrices sur l’instance compromise avant qu’un snapshot forensique ait été pris.

Confirmation et mise à disposition du dernier backup propre (dump ou snapshot) et résultat de vérification d’intégrité. Si un PITR (point-in-time recovery) est possible, merci de confirmer la faisabilité et fournir un ETA pour restauration à un instant immédiatement antérieur aux opérations destructrices.

Si des IP sources malveillantes sont identifiées pour les connexions DB, merci de les bloquer au niveau réseau/firewall et de nous transmettre la liste.

Contexte supplémentaire : Nous avons observé dans nos logs des requêtes qui créent des tables temporaires et interrogent sys.databases et sys.database_service_objectives (phase de reconnaissance) immédiatement avant des opérations DROP TABLE / DELETE. Ceci indique que l’attaquant a procédé à un fingerprinting de l’environnement avant d’exécuter des actions destructrices.

Actions prévues de notre côté :

Isolation de l’application et rotation des credentials après confirmation de vos mesures de confinement. Merci de nous indiquer l’ordre recommandé et le calendrier optimal pour procéder à la rotation sans compromettre la conservation d’éléments forensiques.

Contact pour l’escalade :

• Nom : Amadou Mboup
• Rôle : Administrateur Système
• Téléphone : +212629067021
• Email : ******@netwaciila.ma

Merci de répondre immédiatement avec un délai estimé pour la fourniture des artefacts demandés (ou la remise partielle des éléments au fur et à mesure). Si vous générez un numéro d’incident/ticket, merci de nous le communiquer pour corrélation.

Cordialement,

Amadou Mboup

Responsable Technique — edu_db.png NetWaciila