Rechercher
Fermer ce champ de recherche.

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

20/09/2022

Cybersecurity Insights

Les rançongiciels, des outils de plus en plus perfectionnés : évolutions, chaine d’attaque, protection

L’année 2022 est déjà une année record en termes d’attaques par rançongiciels. Pourquoi cette menace continue-t-elle de grandir ? Quelle sont les étapes clefs et comment s’en protéger ?

Raisons d’une menace en constant essor

Les attaques par rançongiciel continuent de se multiplier en 2022. Ce type d’attaque qui consiste à s’introduire dans un système d’information pour ensuite chiffrer l’ensemble des données, avec parfois fuite de données ou interruption des activités, représente la menace ayant le plus d’impact sur un système d’information. Selon le CESIN, en 2021, une entreprise sur cinq a subi une attaque de type rançongiciel.

Toutes les entités peuvent être touchées par une attaque par rançongiciel, que ce soient les organismes publics ou les organismes privés. Les domaines touchés sont aussi variés : Santé, Éducation, Administration, Énergie, Gouvernement, Collectivité territoriale, etc. Selon l’ANSSI, il ressort qu’en 2021, 52% des victimes des attaques par rançongiciel sont des PME/TPE/ETI, ces entreprises ne sont pas spécifiquement ciblées par les rançongiciels, mais le niveau de maturité de sécurité de leur système d’information les rend plus vulnérables.

Le rançongiciel a beaucoup évolué depuis sa création en raison de la professionnalisation des acteurs malveillants. Initialement, les attaques par rançongiciel étaient totalement automatisées, le logiciel réalisait l’intégralité de la chaine d’attaque sans intervention extérieur. Aujourd’hui, les nouvelles attaques sont gérées par des groupes de pirates qui sont beaucoup plus organisés. Ces groupes réalisent des attaques plus minutieuses composées de nombreuses étapes manuelles permettant de s’adapter au système d’information ciblé. Pour garantir la meilleure efficacité, il peut s’écouler plusieurs semaines entre l’intrusion et l’activation du rançongiciel. Ces attaques sont aussi vendues comme un service : RaaS (Ransomware as a Service) auprès d’autres acteurs malveillants. Certains groupes se sont mêmes spécialisés dans des étapes clefs de la chaine d’attaque, par exemple les « access broker » qui vendent des accès à des systèmes d’information.

Le modèle économique du rançongiciel a lui aussi évolué, l’extorsion peut se faire sur plusieurs niveaux :

  • Rendre indisponible la donnée : le chiffrement des données est la méthode d’extorsion initiale des rançongiciels.
  • Divulguer les données sensibles : avec la normalisation de la protection des sauvegardes, le chiffrement des données n’était plus une menace suffisante pour forcer la cible à payer la rançon. Les rançongiciels ont donc évolués pour inclure une menace de divulgation des données sensibles. Selon le CESIN & ENISA, trois quarts des attaques par rançongiciels combinent maintenant blocage du système d’information et vol de données.
  • Bloquer le système d’information : le déni de service consiste à paralyser l’ensemble du système d’information et à le rendre inutilisable. Cela se fait principalement en surchargeant le réseau ou par des destructions d’actifs techniques indispensables au bon fonctionnement d’un système d’information. Cette extorsion ne touche pas aux données de l’entreprise mais les rend inutilisables depuis le système d’information. Dans chaque cas, le pirate demande à la victime de payer une rançon en échange de la restauration de son système d’information.

La professionnalisation des acteurs malveillants a permis de perfectionner la réalisation des attaques ce qui augmente fortement l’impact et la vraisemblance que peut avoir une attaque par rançongiciel sur un système d’information. Cela rend la menace de plus en plus importante.

C’est le manque de maturité d’entreprises (notamment celles de type PME/TPE/ETI), et donc de mesures de protection adéquates, ainsi que le professionnalisme grandissant des attaquants et de leurs méthodes qui permettent aux attaques de type ransomware de progresser.

Étapes clés d’une attaque de type rançongiciel

La chaine d’attaque par rançongiciel se découpe en six grandes phases :

  • La reconnaissance,
  • L’intrusion,
  • La persistance et la dissimulation,
  • L’élévation de privilège et le mouvement latéral,
  • La compromission des sauvegardes,
  • Le chiffrement et l’exfiltration des données
chaine d'attaque rançongiciel

Figure 1 : chaîne d’attaque rancongiciel

Comment se protéger ?

Afin d’avoir la démarche la plus pérenne dans la protection du système d’information, il est important de ne pas concentrer tous ses efforts sur une seule des étapes de l’attaque (souvent l’intrusion) mais d’adopter une approche de défense en profondeur et de déployer différentes mesures de protections sur l’ensemble de la chaine d’attaque. Cela permet d’avoir une couverture plus grande vis-à-vis de la diversité des rançongiciels et de diminuer au maximum les risques résiduels en diminuant à la fois l’impact et la vraisemblance d’une attaque.

Étape de l’attaque
Description
Mesures de protection envisageables
Reconnaissance (étape optionnelle)

L’objectif est de récupérer des informations permettant de :

  • réaliser des campagnes de phishing ciblées :
    • Charte graphique,
    • Adresses emails,
    • Évènements,
    • Organigramme,
  • d’identifier des vulnérabilités ou de simplifier les prochaines étapes :
    • Cartographie réseau,
    • Adresses IP,
    • Technologies et versions,
    • Mots de passe, etc.
  • Classifier ses données,
  • Connaitre et maitriser les risques liés aux données rendues publiques.
Intrusion

Les trois principales portes d’entrées sont :

  • l’hameçonnage,
  • l’exploitation de vulnérabilité non corrigée,
  • la réalisation de brute force sur un port d’accès distant exposé.
  • Sensibiliser les utilisateurs,
  • Utiliser un antivirus et un EDR/XDR (solution de sécurité pour les points terminaux permettant la détection d’activités suspectes),
  • Contrôler les courriels et la navigation web,
  • Avoir de l’authentification forte,
  • Cartographier ses équipements exposés,
  • Avoir une gestion des vulnérabilités et des mises à jour,
  • Avoir un outil de détection d’intrusion.
Élévation de privilège & mouvement latéral

La persistance, la dissimulation et les mouvements latéraux nécessitent des droits particuliers. Le rançongiciel va chercher à obtenir les droits nécessaires, souvent administrateurs. Cela peut se faire par :

  • La compromission de l’annuaire (Active Directory),
  • L’exploitation d’une vulnérabilité,
  • L’exploitation de protocoles faibles ou non chiffrés,
  • Une mauvaise gestion des mots de passes et des accès à privilèges

Dans l’objectif d’augmenter l’impact de l’attaque, le rançongiciel va chercher à élargir son périmètre pour accéder à plus de données et essayer de toucher les données les plus sensible de l’entité.

  • Cloisonner le système d’informations et des différentes données,
  • Auditer son annuaire et son système d’information,
  • Déployer un outil de cyber détection permettant de collecter/centraliser les logs et de réaliser une surveillance active des actifs,
  • Avoir un outil de détection d’intrusion,
  • Avoir une gestion des vulnérabilités et des mises à jour,
  • Avoir une gestion des mots de passe,
  • Avoir une gestion des comptes à privilèges,
  • Appliquer les principes de moindre privilège et de séparation des pouvoirs (sur les utilisateurs et administrateurs).
Persistance & dissimulation
  • La persistance a pour objectif de conserver les accès obtenus en cas de modification du système.
  • La dissimulation va permettre à l’attaque de se propager dans les meilleures conditions.
  • Déployer un outil de cyber détection permettant de collecter/centraliser les logs et de réaliser une surveillance active des actifs,
  • Monitorer les services sensibles.
Compromission des sauvegardes
La compromission des sauvegardes a pour objectif d’empêcher toute restauration du système.
  • Réaliser des sauvegardes :
    • Récurrentes,
    • Avec une longue durée de conservation,
    • Dans une zone isolée.
  • Réaliser des tests de restaurations.
Chiffrement et exfiltration des données

La dernière étape est le déploiement de la charge utile du rançongiciel :

  • Chiffrement des données,
  • Exfiltration des données et des clefs,
  • Déni de service

Une fois le rançongiciel déployé, l’attaque est suivie d’une demande de paiement souvent en cryptomonnaie.

  • Identifier ses données sensibles,
  • Protéger ses données sensibles (chiffrement, accès et droits limité, traçabilité).

Néanmoins, bien que les mesures présentées permettent de réduire considérablement la réalisation d’une attaque par rançongiciel, le risque zéro n’existe pas. C’est pourquoi il est important de penser au comportement à adopter en cas d’attaque sur son système d’information et de rester alerter sur l’évolution des menaces. Il peut donc être pertinent de :

  • Mettre en place un plan de réponse aux cyberattaques, et s’entrainer (exercice de crise),
  • Penser à sa stratégie de communication en cas de crise cyber,
  • Évaluer l’opportunité de souscrire à une assurance Cyber,
  • Auditer régulièrement son système d’information,
  • Pensez à vous faire accompagner !

Mon entreprise est-elle préparée face à une attaque par rançongiciel ?

Almond propose un questionnaire d’auto-évaluation permettant d’estimer simplement sa capacité de résistance face à un rançongiciel. Ce questionnaire s’articule autour des 3 moments clés dans la lutte contre les rançongiciels :

  • La prévention de l’attaque,
  • Le ralentissement de la contamination avec un cloisonnement et un filtrage du système d’information,
  • La détection et la réaction avec des moyens prêts à l’emploi en cas d’attaques.

Ce questionnaire vous donnera une première indication de votre niveau de maturité. Si vous souhaitez une analyse approfondie pour confirmer ce résultat ou mettre en place une feuille de route afin de renforcer votre niveau, vous pouvez nous contacter.

Références

Augustin Matter

Augustin MATTER

Consultant cybersécurité

Voir les derniers Cybersecurity Insights

25 novembre 2024
Avec une souche éprouvée, des outils bien choisis et des cibles stratégiques, 8Base se distingue comme une menace particulièrement redoutable. […]
12 novembre 2024
L'IA est devenue un facilitateur de la conduite des affaires cybercriminelles. La résilience exigée au sein de diverses organisations pour […]
29 octobre 2024
L'usurpation d'identité vous effraie ? De l'arnaque corporate jusqu'aux manipulations à l'échelle globale, l'essor des deepakes incarnant des personnalités publiques […]
28 octobre 2024
2024 is the year of elections. But how does it impact the threat landscape? Almond would like to share a […]
22 octobre 2024
Les interfaces que vous utilisez chaque jour subissent de multiples assauts, et leur manipulation met en danger de nombreuses entreprises […]
2 octobre 2024
Le Moyen Orient attire tous les regards après l'attaque sur la chaine d'approvisionnement des bippers et de talkies-walkies. L'Iran, acteur […]
17 juillet 2024
CWATCH vous invite au travers de cet article à vous interroger sur l’écosystème d’attribution actuel et les impacts de celui-ci […]
26 juin 2024
À l'approche des Jeux olympiques de Paris, la communauté de la cybersécurité a déjà observé une augmentation des activités malveillantes.
20 juin 2024
Ce Cybersecurity Insights a pour but de naviguer entre l’intérêt, le fonctionnement et l’étendue du marché des scanners de vulnérabilités. 
10 juin 2024
2024 is the year of elections. But how does it impact the threat landscape? Almond would like to share a […]

Jour 12 | Challenge OSINT

Réponse :

Jour 11 | Parmi ces propositions, quelle technique Mitre Atta&ck est la plus utilisée par les attaquants ?

  • Réponse 1 : OS Credential Dumping
  • Réponse 2 : Valid Account
  • Réponse 3 : Impair Defenses
  • Réponse 4 : Remote services

Laïus explicatif : L’achat ou la récupération de comptes valides sont de plus en plus commun. Certains cybercriminels appelés Initial Access Broker se spécialisent dans la compromission de victimes dans le but de récupérer des identifiants valides qui seront ensuite vendus à d’autres cybercriminels comme les groupes de ransomware.

Jour 10 | Parmi ces structures de données de la mémoire dans Windows, quelle est celle qui permet de lister les processus en cours d’exécution ?

  • Réponse 1 : EPROCESS
  • Réponse 2 : Kernel Debugger Data Block (KDBG)
  • Réponse 3 : Kernel Processor Control Region (KPCR)
  • Réponse 4 : Process Environment Block (PEB)

Laïus explicatif : La structure EPROCESS (Executive Process) est utilisée par Windows pour gérer chaque processus en cours d’exécution. Elle contient des informations essentielles comme l’identifiant du processus (PID), l’état, les threads associés, et d’autres données nécessaires au système pour suivre les processus actifs. En analysant les structures EPROCESS, on peut lister les processus actuellement en mémoire. Le PEB est lié à chaque processus de manière individuelle. Enfin le KPCR est nécessaire pour trouver l’adresse du KDB qui à son tour permettra de pointer vers le EPROCESS.  

Jour 9 | Quel est le problème si la suite cryptographique TLS_RSA_WITH_AES_256_CBC_SHA256 est utilisée avec l'extension encrypt_then_mac pour la sécurité d'une communication TLS ?

  • Réponse 1 : L’algorithme de chiffrement est trop faible

  • Réponse 2 : L’intégrité de la communication n’est pas assurée

  • Réponse 3 : Il n’y a pas la propriété de confidentialité persistante (Perfect Forward Secrecy)

  • Réponse 4 : Le serveur n’est pas correctement authentifié

Laïus explicatif : La bonne réponse est le manque de confidentialité persistante.

La suite TLS_RSA_WITH_AES_256_CBC_SHA256 utilise la clé publique RSA du serveur pour chiffrer le secret partagé utilisé pour sécuriser les échanges de la session TLS : en cas de compromission de la clé privée du serveur, l’ensemble des échanges des sessions passées peuvent être déchiffrés par un attaquant.
La confidentialité persistante (connue sous le nom de Perfect Forward Secrecy en anglais) consiste en l’utilisation d’un échange Diffie-Hellman éphémère pour négocier le secret partagé, sans utilisation de la clé RSA du serveur.

Jour 8 | Quel est l'avantage d'utiliser un outil de couverture de code lors d'une session de fuzzing ?

  • Réponse 1 : Réduire le temps de fuzzing en optimisant certaines instructions assembleur.

  • Réponse 2 : Utiliser la technique de « pré-chauffage » du harnais (« warming code attack »).

  • Réponse 3 : Pouvoir analyser facilement les sections de code atteintes par le fuzzer.

  • Réponse 4 : Ne pas prendre en compte les vulnérabilités de type use-after-free.

Laïus explicatif : Les outils de couverture de code (“code coverage” en anglais) permettent de savoir avec précision quelles lignes de code d’un programme qui ont réellement été exécutées. Lors d’une session de “fuzzing”, ces outils peuvent aider l’analyste à savoir si les fonctions ciblées ont été atteintes par le fuzzer. Cette technique a notamment été utilisée par un membre de l’équipe Offsec pour trouver une vulnérabilité dans une bibliothèque open-source (voir notre article de blog)

Jour 7 | Quelle est la principale éthique qui doit être prise en compte dans le développement de l’Intelligence Artificielle ?

  • Réponse 1 : L’équité et la non-discrimination

  • Réponse 2 : La transparence des algorithmes utilisés

  • Réponse 3 : La sécurité et la confidentialité des données

  • Réponse 4 : Toutes les réponses

Laïus explicatif : L’équité et la non-discrimination sont des principes fondamentaux dans le développement de l’IA. Les systèmes d’IA doivent être conçus pour éviter les biais et assurer qu’ils ne favorisent pas des groupes spécifiques au détriment d’autres, afin de garantir un traitement juste et égal pour tous les utilisateurs. La transparence des algorithmes est cruciale. Les utilisateurs doivent comprendre comment les décisions sont prises par l’IA, ce qui inclut la possibilité d’expliquer les résultats ou actions générés par un système d’intelligence artificielle, afin d’éviter des décisions opaques ou injustes. La sécurité et la confidentialité des données sont enfin des préoccupations majeures lorsque l’on développe des systèmes d’IA, car ces technologies peuvent collecter et traiter des informations sensibles, ce qui soulève des questions sur la protection des données personnelles et la vie privée.

Jour 6 | Selon vous, en moyenne combien de ransomware ont eu lieu par jour en 2023 dans le monde ?

  • Réponse 1 : 1 par jour

  • Réponse 2 : 100 par jour

  • Réponse 3 : 30 par jour

  • Réponse 4 : 12 par jour

Laïus explicatif : En moyenne 12 attaques ransomware ont été signalées par jour par des victimes dans le monde en 2023 selon les chiffres d’Almond. Pour plus d’informations, n’hésitez pas à consulter notre Threat Landscape.

Jour 5 | Challenge de stéganographie

Réponse : PASSI RGS, PASSI LPM, CESTI, ANJ, Cybersecurity made in Europe, PCI QSA Company et Swift

Etape 1 : Observer l’image, trouver 3 logos cachés (Cybersecurity made in Europe, PCI QSA Company & Swift) et une indication pour chercher dans les métadonnées du fichier. 

Etape 2 : Challenge de stéganographie

En lançant dans son terminal un des outils les plus courants, « binwalk », on trouve une image JPEG dans le PDF. En extrayant les données grâce au même outil et en renommant le fichier en .jpeg, on voit apparaitre une image cachée. Ensuite, en utilisant « steghide », on peut extraire le fichier avec le mot de passe « Almond ». Ce fichier contient une suite de caractère encodée en base64. En la déchiffrant, on obtient les quatre autres certifications : PASSI RGS, PASSI LPM, CESTI et ANJ. 

Jour 4 | Concernant les accompagnements de la nouvelle qualification PACS de l’ANSSI, sur la portée Sécurité des Architectures, quels sont les domaines qui font partie du périmètre possible d’un accompagnement ?

  • Réponse 1 : la sécurité réseau, l’authentification, et l’administration du SI

  • Réponse 2 : la sécurité réseau, la sécurité système, et les mécanismes de chiffrement

  • Réponse 3 : l’administration du SI, le cloisonnement, les sauvegardes, et la stratégie de détection/réponse

  • Réponse 4 : tous ces sujets et plus encore

  • Laïus explicatif : Le référentiel PACS, sur la portée Sécurité des Architectures, porte bien sur tous les sujets liés de près ou de loin aux infrastructures du SI. La liste n’est pas exhaustive et est à adapter à chaque prestation d’accompagnement suivant le périmètre d’intervention. Dans le référentiel, l’ANSSI propose une liste de sujets à adresser dans un rapport PACS page 28 et 29.

    https://cyber.gouv.fr/sites/default/files/document/PACS_referentiel-exigences_v1.0.pdf

Jour 3 | Quel référentiel permet la certification de produits de sécurité ?

  • Réponse 1 : NIS2

  • Réponse 2 : Critères Communs

  • Réponse 3 : PASSI

  • Réponse 4 : ISO27001

Laïus explicatif : Le schéma Critères Communs est un ensemble de normes et méthodologies permettant de cadrer les moyens utilisés pour évaluer, de manière impartiale, la sécurité d’un produit de sécurité (logiciel ou matériel). Ce schéma est reconnu internationalement au travers de plusieurs accords (SOG-IS, CCRA et prochainement EUCC).

Le référentiel PASSI permet la qualification, par l’ANSSI, des prestataires d’audit de la sécurité des SI. ISO27001 est la norme décrivant les bonnes pratiques à suivre dans la mise en place d’un SMSI. Enfin, NIS2 est une directive visant à harmoniser et à renforcer la cybersécurité du marché européen.

Jour 2 | Quel est l’artefact forensique qui permet de prouver une exécution d’un programme sous Windows ?

  • Réponse 1 : JumpList

  • Réponse 2 : ShimCache

  • Réponse 3 : $MFT

  • Réponse 4 : Prefetch

Laïus explicatif : Le Prefetch est un artefact spécifique à Windows qui optimise le chargement des programmes. Lorsqu’un programme est exécuté pour la première fois, Windows crée un fichier dans le dossier C:\Windows\Prefetch, qui contient des informations sur le programme et les ressources qu’il a utilisées. Ces fichiers incluent également des horodatages correspondant à la première et aux dernières exécutions. L’existence d’un fichier Prefetch (.pf) pour un programme est une preuve solide qu’il a été exécuté. C’est l’un des artefacts forensiques les plus fiables pour prouver l’exécution d’un programme.

Jour 1 | Quel texte européen permettra qu’à partir de fin 2027, tous les produits vendus dans l’UE et comprenant des composants numériques seront exempts de vulnérabilités et maintenus pendant tout leur cycle de vie ? #DigitalTrust

  • Réponse 1 : Le Cyber Security Act
  • Réponse 2 : Le Cyber Resilience Act
  • Réponse 3 : La Directive REC
  • Réponse 4 : La Directive NIS2 

Laïus explicatif : Le Cyber Resilience Act, qui a été publié ces derniers jours au Journal Officiel de l’Union Européenne est entré en vigueur le 10 décembre 2024. A compter de cette date, les fabricants et éditeurs doivent adapter leur processus pour pouvoir continuer à vendre des produits au sein de l’UE après le 10/12/2027.

EU Cyber Resilience Act | Shaping Europe’s digital future