{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 une nouvelle m\u00e9thode d'organisation des fuites de donn\u00e9es","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les fuites de donn\u00e9es sont une pr\u00e9occupation majeure pour les services de s\u00e9curit\u00e9. Et maintenant, alors que la majorit\u00e9 des gens travaillent depuis chez eux, le risque de fuites est consid\u00e9rablement plus \u00e9lev\u00e9. C'est pourquoi des groupes de cybercriminalit\u00e9 bien connus portent une attention accrue aux protocoles d'acc\u00e8s \u00e0 distance obsol\u00e8tes et insuffisamment s\u00e9curis\u00e9s. Fait int\u00e9ressant, de plus en plus de fuites de donn\u00e9es aujourd'hui sont li\u00e9es aux ransomwares. Comment, pourquoi et de quelle mani\u00e8re \u2014 lisez la suite.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nPour commencer, le d\u00e9veloppement et la distribution de ransomwares est en soi une activit\u00e9 criminelle tr\u00e8s lucrative. Par exemple, selon le FBI am\u00e9ricain, le groupe Sodinokibi<\/a><\/noindex> aurait gagn\u00e9 environ 1 million de dollars par mois l'ann\u00e9e derni\u00e8re. Et les cybercriminels utilisant Ryuk gagnaient encore plus \u2014 au d\u00e9but des activit\u00e9s du groupe, leurs revenus atteignaient jusqu'\u00e0 3 millions de dollars par mois. Il n'est donc pas surprenant que de nombreux directeurs de la s\u00e9curit\u00e9 de l'information (CISO) consid\u00e8rent les ransomwares comme l'un des cinq principaux risques pour les entreprises.<\/p>\n

Le Centre de s\u00e9curit\u00e9 Acronis Cyber Protection Operation Center (CPOC), bas\u00e9 \u00e0 Singapour, confirme l'intensification de la cybercriminalit\u00e9 li\u00e9e aux ransomwares. Dans la deuxi\u00e8me moiti\u00e9 de mai, le nombre de ransomwares bloqu\u00e9s dans le monde a augment\u00e9 de 20 % par rapport \u00e0 la normale. Apr\u00e8s une l\u00e9g\u00e8re baisse, nous observons \u00e0 nouveau en juin une hausse de l'activit\u00e9. Cela s'explique par plusieurs raisons. <\/p>\n

Acc\u00e9der \u00e0 l'ordinateur de la victime
\n<\/h3>\n

\nLes technologies de protection \u00e9voluent, et les cybercriminels doivent modifier leur tactique pour cibler des syst\u00e8mes sp\u00e9cifiques. Les attaques cibl\u00e9es par ransomware continuent de se propager \u00e0 travers des courriels de phishing bien con\u00e7us (ce qui rel\u00e8ve de l'ing\u00e9nierie sociale). Cependant, r\u00e9cemment, les d\u00e9veloppeurs de malwares se concentrent particuli\u00e8rement sur les employ\u00e9s distants. Pour les attaquer, il est possible de rep\u00e9rer des services d'acc\u00e8s \u00e0 distance mal s\u00e9curis\u00e9s, tels que RDP ou des serveurs VPN pr\u00e9sentant des vuln\u00e9rabilit\u00e9s.
\nC'est pr\u00e9cis\u00e9ment ce qu'ils font. Des services de ransomware-as-a-service sont m\u00eame apparus sur le dark web, fournissant tout le n\u00e9cessaire pour attaquer une organisation ou une personne cibl\u00e9e. <\/p>\n

Les cybercriminels cherchent tous les moyens de s'introduire dans le r\u00e9seau d'entreprise et d'\u00e9largir le spectre de leur attaque. Ainsi, une direction populaire est devenue les tentatives d'infecter les r\u00e9seaux des fournisseurs de services. \u00c9tant donn\u00e9 que les services cloud ne cessent de gagner en popularit\u00e9, l'infection d'un service en vogue permet d'attaquer imm\u00e9diatement des dizaines, voire des centaines de victimes en m\u00eame temps. <\/p>\n

En cas de piratage des consoles web de gestion des syst\u00e8mes de s\u00e9curit\u00e9 ou de sauvegarde, les attaquants peuvent d\u00e9sactiver la protection, supprimer les sauvegardes, et \u00e9galement permettre \u00e0 leur logiciel malveillant de se d\u00e9ployer dans toute l'organisation. D'ailleurs, c'est pourquoi les experts recommandent de prot\u00e9ger soigneusement tous les comptes de service \u00e0 l'aide de l'authentification multifactorielle. Par exemple, tous les services cloud d'Acronis permettent de mettre en place une double protection, car en cas de compromis du mot de passe, les cybercriminels peuvent r\u00e9duire \u00e0 n\u00e9ant tous les avantages offerts par un syst\u00e8me de cybers\u00e9curit\u00e9 complet. <\/p>\n

\u00c9largissement du spectre d'attaque
\n<\/h3>\n

\nUne fois l'objectif atteint et le logiciel malveillant d\u00e9j\u00e0 pr\u00e9sent dans le r\u00e9seau d'entreprise, des tactiques assez typiques sont g\u00e9n\u00e9ralement utilis\u00e9es pour une propagation ult\u00e9rieure. Les cybercriminels analysent la situation et cherchent \u00e0 surmonter les barri\u00e8res \u00e9tablies \u00e0 l'int\u00e9rieur de l'entreprise pour contrer les menaces. Cette phase de l'attaque peut se d\u00e9rouler manuellement (car s'ils ont d\u00e9j\u00e0 p\u00e9n\u00e9tr\u00e9 dans le r\u00e9seau, cela signifie que la prise est accroch\u00e9e !). Pour cela, ils utilisent des outils bien connus tels que PowerShell, WMI PsExec, ainsi que l'\u00e9mulateur plus r\u00e9cent Cobalt Strike et d'autres utilitaires. Certains groupes criminels ciblent sp\u00e9cifiquement les gestionnaires de mots de passe pour p\u00e9n\u00e9trer plus en profondeur dans le r\u00e9seau d'entreprise. De plus, un logiciel malveillant tel que Ragnar a r\u00e9cemment \u00e9t\u00e9 observ\u00e9 dans une image enti\u00e8rement verrouill\u00e9e de machine virtuelle VirtualBox, ce qui aide \u00e0 masquer la pr\u00e9sence d'un logiciel ind\u00e9sirable sur la machine. <\/p>\n

Ainsi, en acc\u00e9dant au r\u00e9seau d'entreprise, le malware cherche \u00e0 v\u00e9rifier le niveau d'acc\u00e8s de l'utilisateur et \u00e0 utiliser les mots de passe vol\u00e9s. Des outils comme Mimikatz et Bloodhound & Co. aident \u00e0 pirater les comptes des administrateurs de domaine. Ce n'est que lorsque l'attaquant juge que ses possibilit\u00e9s de propagation sont \u00e9puis\u00e9es que le logiciel de ransomware est directement charg\u00e9 sur les syst\u00e8mes clients. <\/p>\n

Ransomware comme couverture
\n<\/h3>\n

\n\u00c9tant donn\u00e9 la gravit\u00e9 de la menace de perte de donn\u00e9es, chaque ann\u00e9e, de plus en plus d'entreprises mettent en \u0153uvre ce qu'on appelle un \u00ab plan de r\u00e9cup\u00e9ration en cas de sinistre \u00bb. Gr\u00e2ce \u00e0 cela, elles ne s'inqui\u00e8tent pas vraiment des donn\u00e9es chiffr\u00e9es, et en cas d'attaque par ransomware, elles ne commencent pas \u00e0 rassembler une ran\u00e7on, mais lancent le processus de r\u00e9cup\u00e9ration. Mais les malfaiteurs ne dorment pas. Sous couvert de ransomware, un vol massif de donn\u00e9es a lieu. Les premiers \u00e0 utiliser massivement cette tactique furent Maze en 2019, bien que d'autres groupes aient \u00e9galement combin\u00e9 des attaques de mani\u00e8re p\u00e9riodique. Maintenant, au moins Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO et Sekhmet s'occupent des vols de donn\u00e9es parall\u00e8lement au chiffrement.<\/p>\n

Parfois, les malfaiteurs parviennent \u00e0 siphonner des dizaines de t\u00e9raoctets de donn\u00e9es de l'entreprise, qui auraient pu \u00eatre d\u00e9tect\u00e9es par des syst\u00e8mes de surveillance r\u00e9seau (s'ils avaient \u00e9t\u00e9 install\u00e9s et configur\u00e9s). En effet, la transmission des donn\u00e9es se fait le plus souvent simplement par FTP, Putty, WinSCP ou des scripts PowerShell. Pour contourner les syst\u00e8mes DLP et de surveillance r\u00e9seau, les donn\u00e9es peuvent \u00eatre chiffr\u00e9es ou envoy\u00e9es sous forme d'archive avec mot de passe, ce qui constitue un nouveau d\u00e9fi pour les services de s\u00e9curit\u00e9 qui doivent inspecter le trafic sortant \u00e0 la recherche de tels fichiers.<\/p>\n

L'\u00e9tude du comportement des infostealers montre que les malfaiteurs ne collectent pas n'importe quoi \u2014 ils s'int\u00e9ressent pr\u00e9cis\u00e9ment aux rapports financiers, aux bases de donn\u00e9es clients, aux donn\u00e9es personnelles des employ\u00e9s et des clients, aux contrats, aux enregistrements, aux documents juridiques. Le malware scanne les disques \u00e0 la recherche de toute information qui pourrait th\u00e9oriquement \u00eatre utilis\u00e9e pour du chantage.
\nSi une telle attaque a r\u00e9ussi, les malfaiteurs publient g\u00e9n\u00e9ralement un petit aper\u00e7u, montrant quelques documents en guise de preuve que des donn\u00e9es ont fuit\u00e9 de l'organisation. Certaines groupes publient m\u00eame l'int\u00e9gralit\u00e9 de l'ensemble de donn\u00e9es sur leur site, si le d\u00e9lai de paiement de la ran\u00e7on est expir\u00e9. Pour \u00e9viter d'\u00eatre bloqu\u00e9s et assurer une large port\u00e9e, ces donn\u00e9es sont \u00e9galement publi\u00e9es sur le r\u00e9seau TOR.<\/p>\n

Un autre moyen de mon\u00e9tisation est la vente de donn\u00e9es. Par exemple, Sodinokibi a r\u00e9cemment annonc\u00e9 la tenue d'ench\u00e8res publiques, o\u00f9 les donn\u00e9es sont donn\u00e9es \u00e0 l'ench\u00e9risseur ayant fait la plus haute offre. Le prix de d\u00e9part de ces ench\u00e8res varie de 50 000 \u00e0 100 000 $ selon la qualit\u00e9 et le contenu des donn\u00e9es. Par exemple, un ensemble de 10 000 enregistrements concernant les flux de tr\u00e9sorerie, des donn\u00e9es commerciales confidentielles et des permis de conduire scann\u00e9s ont \u00e9t\u00e9 vendus pour un prix \u00e0 partir de 100 000 $. Pour 50 000 $, il \u00e9tait possible d'acheter plus de 20 000 documents financiers ainsi que trois bases de donn\u00e9es contenant des fichiers comptables et des donn\u00e9es clients. <\/p>\n

Les sites qui publient des fuites varient consid\u00e9rablement. Cela peut \u00eatre une simple page sur laquelle tout le vol est mis en ligne, ou des structures plus complexes avec des sections et la possibilit\u00e9 d'acheter. Mais l'essentiel est que tous ces sites servent un m\u00eame but : accro\u00eetre les chances des attaquants de r\u00e9cup\u00e9rer de l'argent r\u00e9el. Si ce mod\u00e8le commercial s'av\u00e8re efficace pour les malfaiteurs, il ne fait aucun doute que le nombre de ces sites augmentera et que les techniques de vol et de mon\u00e9tisation des donn\u00e9es d'entreprise seront \u00e9largies.<\/p>\n

Voici \u00e0 quoi ressemblent les sites actuels o\u00f9 des fuites de donn\u00e9es sont publi\u00e9es :<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Que faire face aux nouvelles attaques
\n<\/h3>\n

\nLe principal d\u00e9fi pour les services de s\u00e9curit\u00e9 dans ces conditions est que ces derniers temps, de plus en plus d'incidents li\u00e9s aux ransomwares s'av\u00e8rent \u00eatre simplement des m\u00e9thodes de diversion pour le vol de donn\u00e9es. Les attaquants ne misent plus uniquement sur le chiffrement des serveurs. Au contraire, leur objectif principal est d'organiser la fuite des donn\u00e9es pendant que vous luttez contre les ransomwares. <\/p>\n

Ainsi, l'utilisation d'un syst\u00e8me de sauvegarde unique, m\u00eame avec un bon plan de r\u00e9cup\u00e9ration, s'av\u00e8re insuffisante pour faire face \u00e0 des menaces multicouches. Bien s\u00fbr, il est toujours crucial d'avoir des sauvegardes, car les cybercriminels essaieront certainement de chiffrer des donn\u00e9es et de demander une ran\u00e7on. Il s'agit plut\u00f4t de consid\u00e9rer chaque attaque par ransomware comme une occasion d'effectuer une analyse approfondie du trafic et de lancer une enqu\u00eate sur une possible attaque. Il convient \u00e9galement de r\u00e9fl\u00e9chir \u00e0 des moyens de s\u00e9curit\u00e9 suppl\u00e9mentaires qui pourraient : <\/p>\n