Code Morse et double extorsion : paysage actuel des menaces de logiciels malveillants avancés

Le ransomware n'est pas étranger aux réseaux d'entreprise, car il pose d'énormes risques et des efforts de récupération encore plus importants qui sont assez coûteux. Les attaques de ransomware réussies peuvent résulter en systèmes verrouillés, identité volée et données retenues en otage, tout cela pouvant semer le chaos et le désastre pour les organisations ciblées. Lorsque le ransomware atteint sa cible, c'est pratiquement la fin du jeu. Le malware chiffre les fichiers et se propage à l'ensemble du système pour maximiser les dégâts, ce qui force de nombreuses entreprises à verrouiller les réseaux pour arrêter la propagation.

Bien que le chiffrement soit utilisé partout, il ne doit pas être confondu avec le hachage ou l'obscurcissement de fichiers. Le hachage et les techniques d'obscurcissement sont utiles pour échapper aux outils de détection, tandis que le ransomware prend vos données en otage à cause du chiffrement.

Chacun utilise différents types de cryptographie, des chiffrements symétriques modernes aux chiffrements asymétriques, l'idée étant d'empêcher toute opération inverse sans clé.

De nombreuses souches de ransomware affichent une « note spéciale » après le chiffrement, exigeant que le seul moyen de déchiffrer les fichiers est d'envoyer des Bitcoins au portefeuille des criminels. Cependant, comme nous le savons, certaines formes de ransomware sont déchiffrables, et la rançon n'a pas besoin d'être payée, ou le fardeau ne devrait pas reposer uniquement sur l'assurance cyber. Par exemple, Jigsaw, une forme ancienne de malware apparue pour la première fois en 2016, contient la clé utilisée pour chiffrer les fichiers dans le code source. Nous avons récemment revu ce type d'attaque refaire surface cette année dans le code Morse, prouvant que même si le malware continue d'évoluer, les criminels utiliseront ce qui fonctionne, ce qui signifie que les entreprises doivent être conscientes non seulement des menaces évolutives mais aussi des anciennes méthodes d'attaque.

Les attaques récentes ne se contentent pas de chiffrer les données. Le malware est également capable d'exfiltrer des informations critiques avant le chiffrement. Alors que la protection contre les ransomwares s'améliore, surtout avec les stratégies de suppression et de récupération, les pirates se tournent vers l'utilisation de données volées comme nouveau levier pour pouvoir encore menacer les victimes si elles ne paient pas la rançon, créant une double menace de ransomware.

Nous avons récemment observé des acteurs de menace adoptant un modèle de « double extorsion », dans lequel ils chiffrent les données de la cible et non seulement exigent une rançon pour leur retour, mais exploitent aussi des incitations de paiement supplémentaires pour ajouter de la pression sur la victime pour payer la rançon. Certains acteurs de menace utiliseront même une approche plus ciblée et menaceront de publier ou de vendre aux enchères les données à moins que la victime ne paie, une situation qui souligne le risque de ne pas respecter la conformité au sein du Règlement général sur la protection des données (RGPD) de l'UE et des centaines de politiques et lois sur la confidentialité des données. Deux tels exemples sont Conti et REvil, tous deux sur notre liste 2021 des pires malwares, qui sont connus pour publier des données fuitées sur des sites du dark web si les rançons ne sont pas payées.

La stratégie de sauvegarde, pilier de la résilience cyber

Un moyen critique d'améliorer la résilience cyber — la capacité à résister aux attaques et à assurer un accès continu aux données — est d'avoir une stratégie de sauvegarde solide. Cependant, les efforts peuvent devenir vains si les organisations oublient de lister et d'identifier clairement leurs exigences, puis ne testent pas leurs procédures régulièrement pour prévenir les échecs massifs aux pires moments.

La protection des données concerne tout l'atténuation des risques, et vous devez vous poser quelques questions clés pour avoir le plan le plus complet :

• Comment vos données s'intègrent-elles dans vos opérations commerciales ou vos revenus, et les données doivent-elles être archivées ?
• Les données vivent-elles dans un système hérité où elles pourraient être soumises à des cadres réglementaires qui pourraient exposer votre entreprise à des pénalités si les données sont violées ?
• Quelles sont les données sans lesquelles votre entreprise ne peut pas fonctionner ?
• Combien de temps pourrait-il falloir pour restaurer ces données ?
• Combien pourrait coûter une restauration complète ?

Les cybercriminels continueront d'affiner leurs approches et d'expérimenter avec différents modèles d'affaires, alors que les attaques de ransomware évolutives placent un énorme stress sur la disponibilité des services et des flux de données.

Bien que ces adversaires continueront, sans aucun doute, à chercher des moyens supplémentaires de mettre la pression sur les victimes pour maximiser leurs chances d'être payés, vous pouvez être habilité à préserver ce qui est le plus précieux pour vous aujourd'hui en déployant de solides pratiques de résilience cyber, maintenant et à l'avenir.

David Dufour est vice-président de la cybersécurité et de l'ingénierie du renseignement sur les menaces chez Webroot et Carbonite, sociétés OpenText.