Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

20/09/2022

Cybersecurity Insights

Les rançongiciels, des outils de plus en plus perfectionnés : évolutions, chaine d’attaque, protection

L’année 2022 est déjà une année record en termes d’attaques par rançongiciels. Pourquoi cette menace continue-t-elle de grandir ? Quelle sont les étapes clefs et comment s’en protéger ?

Raisons d’une menace en constant essor

Les attaques par rançongiciel continuent de se multiplier en 2022. Ce type d’attaque qui consiste à s’introduire dans un système d’information pour ensuite chiffrer l’ensemble des données, avec parfois fuite de données ou interruption des activités, représente la menace ayant le plus d’impact sur un système d’information. Selon le CESIN, en 2021, une entreprise sur cinq a subi une attaque de type rançongiciel.

Toutes les entités peuvent être touchées par une attaque par rançongiciel, que ce soient les organismes publics ou les organismes privés. Les domaines touchés sont aussi variés : Santé, Éducation, Administration, Énergie, Gouvernement, Collectivité territoriale, etc. Selon l’ANSSI, il ressort qu’en 2021, 52% des victimes des attaques par rançongiciel sont des PME/TPE/ETI, ces entreprises ne sont pas spécifiquement ciblées par les rançongiciels, mais le niveau de maturité de sécurité de leur système d’information les rend plus vulnérables.

Le rançongiciel a beaucoup évolué depuis sa création en raison de la professionnalisation des acteurs malveillants. Initialement, les attaques par rançongiciel étaient totalement automatisées, le logiciel réalisait l’intégralité de la chaine d’attaque sans intervention extérieur. Aujourd’hui, les nouvelles attaques sont gérées par des groupes de pirates qui sont beaucoup plus organisés. Ces groupes réalisent des attaques plus minutieuses composées de nombreuses étapes manuelles permettant de s’adapter au système d’information ciblé. Pour garantir la meilleure efficacité, il peut s’écouler plusieurs semaines entre l’intrusion et l’activation du rançongiciel. Ces attaques sont aussi vendues comme un service : RaaS (Ransomware as a Service) auprès d’autres acteurs malveillants. Certains groupes se sont mêmes spécialisés dans des étapes clefs de la chaine d’attaque, par exemple les « access broker » qui vendent des accès à des systèmes d’information.

Le modèle économique du rançongiciel a lui aussi évolué, l’extorsion peut se faire sur plusieurs niveaux :

  • Rendre indisponible la donnée : le chiffrement des données est la méthode d’extorsion initiale des rançongiciels.
  • Divulguer les données sensibles : avec la normalisation de la protection des sauvegardes, le chiffrement des données n’était plus une menace suffisante pour forcer la cible à payer la rançon. Les rançongiciels ont donc évolués pour inclure une menace de divulgation des données sensibles. Selon le CESIN & ENISA, trois quarts des attaques par rançongiciels combinent maintenant blocage du système d’information et vol de données.
  • Bloquer le système d’information : le déni de service consiste à paralyser l’ensemble du système d’information et à le rendre inutilisable. Cela se fait principalement en surchargeant le réseau ou par des destructions d’actifs techniques indispensables au bon fonctionnement d’un système d’information. Cette extorsion ne touche pas aux données de l’entreprise mais les rend inutilisables depuis le système d’information. Dans chaque cas, le pirate demande à la victime de payer une rançon en échange de la restauration de son système d’information.

La professionnalisation des acteurs malveillants a permis de perfectionner la réalisation des attaques ce qui augmente fortement l’impact et la vraisemblance que peut avoir une attaque par rançongiciel sur un système d’information. Cela rend la menace de plus en plus importante.

C’est le manque de maturité d’entreprises (notamment celles de type PME/TPE/ETI), et donc de mesures de protection adéquates, ainsi que le professionnalisme grandissant des attaquants et de leurs méthodes qui permettent aux attaques de type ransomware de progresser.

Étapes clés d’une attaque de type rançongiciel

La chaine d’attaque par rançongiciel se découpe en six grandes phases :

  • La reconnaissance,
  • L’intrusion,
  • La persistance et la dissimulation,
  • L’élévation de privilège et le mouvement latéral,
  • La compromission des sauvegardes,
  • Le chiffrement et l’exfiltration des données
chaine d'attaque rançongiciel

Figure 1 : chaîne d’attaque rancongiciel

Comment se protéger ?

Afin d’avoir la démarche la plus pérenne dans la protection du système d’information, il est important de ne pas concentrer tous ses efforts sur une seule des étapes de l’attaque (souvent l’intrusion) mais d’adopter une approche de défense en profondeur et de déployer différentes mesures de protections sur l’ensemble de la chaine d’attaque. Cela permet d’avoir une couverture plus grande vis-à-vis de la diversité des rançongiciels et de diminuer au maximum les risques résiduels en diminuant à la fois l’impact et la vraisemblance d’une attaque.

Étape de l’attaque
Description
Mesures de protection envisageables
Reconnaissance (étape optionnelle)

L’objectif est de récupérer des informations permettant de :

  • réaliser des campagnes de phishing ciblées :
    • Charte graphique,
    • Adresses emails,
    • Évènements,
    • Organigramme,
  • d’identifier des vulnérabilités ou de simplifier les prochaines étapes :
    • Cartographie réseau,
    • Adresses IP,
    • Technologies et versions,
    • Mots de passe, etc.
  • Classifier ses données,
  • Connaitre et maitriser les risques liés aux données rendues publiques.
Intrusion

Les trois principales portes d’entrées sont :

  • l’hameçonnage,
  • l’exploitation de vulnérabilité non corrigée,
  • la réalisation de brute force sur un port d’accès distant exposé.
  • Sensibiliser les utilisateurs,
  • Utiliser un antivirus et un EDR/XDR (solution de sécurité pour les points terminaux permettant la détection d’activités suspectes),
  • Contrôler les courriels et la navigation web,
  • Avoir de l’authentification forte,
  • Cartographier ses équipements exposés,
  • Avoir une gestion des vulnérabilités et des mises à jour,
  • Avoir un outil de détection d’intrusion.
Élévation de privilège & mouvement latéral

La persistance, la dissimulation et les mouvements latéraux nécessitent des droits particuliers. Le rançongiciel va chercher à obtenir les droits nécessaires, souvent administrateurs. Cela peut se faire par :

  • La compromission de l’annuaire (Active Directory),
  • L’exploitation d’une vulnérabilité,
  • L’exploitation de protocoles faibles ou non chiffrés,
  • Une mauvaise gestion des mots de passes et des accès à privilèges

Dans l’objectif d’augmenter l’impact de l’attaque, le rançongiciel va chercher à élargir son périmètre pour accéder à plus de données et essayer de toucher les données les plus sensible de l’entité.

  • Cloisonner le système d’informations et des différentes données,
  • Auditer son annuaire et son système d’information,
  • Déployer un outil de cyber détection permettant de collecter/centraliser les logs et de réaliser une surveillance active des actifs,
  • Avoir un outil de détection d’intrusion,
  • Avoir une gestion des vulnérabilités et des mises à jour,
  • Avoir une gestion des mots de passe,
  • Avoir une gestion des comptes à privilèges,
  • Appliquer les principes de moindre privilège et de séparation des pouvoirs (sur les utilisateurs et administrateurs).
Persistance & dissimulation
  • La persistance a pour objectif de conserver les accès obtenus en cas de modification du système.
  • La dissimulation va permettre à l’attaque de se propager dans les meilleures conditions.
  • Déployer un outil de cyber détection permettant de collecter/centraliser les logs et de réaliser une surveillance active des actifs,
  • Monitorer les services sensibles.
Compromission des sauvegardes
La compromission des sauvegardes a pour objectif d’empêcher toute restauration du système.
  • Réaliser des sauvegardes :
    • Récurrentes,
    • Avec une longue durée de conservation,
    • Dans une zone isolée.
  • Réaliser des tests de restaurations.
Chiffrement et exfiltration des données

La dernière étape est le déploiement de la charge utile du rançongiciel :

  • Chiffrement des données,
  • Exfiltration des données et des clefs,
  • Déni de service

Une fois le rançongiciel déployé, l’attaque est suivie d’une demande de paiement souvent en cryptomonnaie.

  • Identifier ses données sensibles,
  • Protéger ses données sensibles (chiffrement, accès et droits limité, traçabilité).

Néanmoins, bien que les mesures présentées permettent de réduire considérablement la réalisation d’une attaque par rançongiciel, le risque zéro n’existe pas. C’est pourquoi il est important de penser au comportement à adopter en cas d’attaque sur son système d’information et de rester alerter sur l’évolution des menaces. Il peut donc être pertinent de :

  • Mettre en place un plan de réponse aux cyberattaques, et s’entrainer (exercice de crise),
  • Penser à sa stratégie de communication en cas de crise cyber,
  • Évaluer l’opportunité de souscrire à une assurance Cyber,
  • Auditer régulièrement son système d’information,
  • Pensez à vous faire accompagner !

Mon entreprise est-elle préparée face à une attaque par rançongiciel ?

Almond propose un questionnaire d’auto-évaluation permettant d’estimer simplement sa capacité de résistance face à un rançongiciel. Ce questionnaire s’articule autour des 3 moments clés dans la lutte contre les rançongiciels :

  • La prévention de l’attaque,
  • Le ralentissement de la contamination avec un cloisonnement et un filtrage du système d’information,
  • La détection et la réaction avec des moyens prêts à l’emploi en cas d’attaques.

Ce questionnaire vous donnera une première indication de votre niveau de maturité. Si vous souhaitez une analyse approfondie pour confirmer ce résultat ou mettre en place une feuille de route afin de renforcer votre niveau, vous pouvez nous contacter.

Références

Augustin Matter

Augustin MATTER

Consultant cybersécurité

Voir les derniers Cybersecurity Insights

13 novembre 2023
Version révisée (Edition 4) de la norme ISO/CEI 27005 : Almond vous propose un top 3 des changements normatifs et des précisions sur leurs implications directes dans les travaux des Risk Managers au sein des organisations.
19 octobre 2023
C’est ce que tente d’éclairer cet article en explorant les avantages d’une approche ISO 27001 pour structurer les réponses attendues par vos clients dans les questionnaires SSI qu’ils vous transmettent.
16 octobre 2023
L'authentification multi-facteurs, un sujet toujours d'actualité à ne pas négliger !
11 octobre 2023
Chez Almond, nous préconisons de parachever les pratiques de contrôle par une approche par les risques pour améliorer la qualité du portefeuille des fonds d’investissement.
5 octobre 2023
Did you ever imagine that you or your colleagues could be a serious threat to your company? Discover our study: Insider Threat !
29 septembre 2023
Découvrez la solution SASE de Zscaler avec Benoit Vérove, Partner et Lead Security Integration chez Almond et Reda Nedjar, Principal Sales Engineer chez Zscaler au travers d'une démonstration technique au cœur de l'outil Zscaler Zero Trust Exchange™!
16 juin 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.
12 juin 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
5 juin 2023
Depuis 2021, tous les clients SWIFT se trouvent dans l’obligation de réaliser une évaluation de conformité dans le cadre du Customer Security Program (CSP) de SWIFT.
2 juin 2023
Décryptez la technologie SASE, au travers d'une démonstration technique de la solution Harmony Connect proposée par Check Point.

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Pour y répondre, rendez-vous sur notre page Linkedin ! A vos votes !

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/