Les acteurs des Ransomware continuent à avoir du succès, pourquoi ?

La menace que représentent les ransomwares reste malheureusement une réalité quotidienne pour les informaticiens et les professionnels de la sécurité. Mais avant de céder au pessimisme, il convient de reconnaître le chemin parcouru par le secteur. Je dirais qu’il n’y a pas si longtemps, la plupart des entreprises étaient vulnérables à ce que l’on pourrait qualifier d’attaque par ransomware relativement rudimentaire. Ouverture d’un e-mail → Malware → Propagation sur le réseau → Ransomware →

Grâce aux progrès réalisés principalement dans le domaine des terminaux, à la généralisation du télétravail et à l’application des principes du « zero trust », le secteur a considérablement amélioré sa capacité à se protéger contre ce type d’attaques.

Pourtant, chaque semaine, nous voyons apparaître de nouveaux articles sur des attaques par rançongiciel qui ont abouti. De nombreux outils de suivi des rançongiciels indiquent d’ailleurs une hausse en 2023. Par exemple, le rapport « The State of Ransomware » de Black Fog fait état d’une augmentation de 8 % par rapport à l’année précédente. De plus, nous constatons que les cybercriminels commencent à cibler des environnements de stockage de données qui ne font généralement pas l’objet d’attaques, tels que le stockage dans le cloud et les bases de données cloud.

« Si nous avons réellement fait des progrès dans la lutte contre les ransomwares, pourquoi le nombre d’attaques réussies augmente-t-il ? »

Tout est une question de priorités

En analysant ces attaques qui ont abouti, j’ai identifié deux grandes catégories de failles du système qui permettent aux acteurs malveillants de mener à bien des attaques de type « rançongiciel ».

1. Le manque d’investissement dans un programme de sécurité de l’information. À première vue, cela semble évident, et ça l’est. On en a pour son argent. Les organisations disposant d’équipes de sécurité dotées de budgets importants subissent moins d’attaques par rançongiciel (à l’exception mentionnée dans la catégorie suivante). Il est facile de jouer les grincheux et de dire : « Eh bien, les gens n’ont qu’à prendre cela plus au sérieux et à dépenser davantage en sécurité ! » La réalité est que la plupart des attaques dont on entend parler dans les médias et qui résultent d’un manque d’investissement visent les services publics. Beaucoup de ces organisations n’ont tout simplement pas les moyens financiers d’investir dans le personnel, le temps et les technologies « de pointe » capables de contrer les attaques. Je vais m’arrêter là, car cela relèverait d’un autre article consacré à la politique, aux politiques publiques et à l’unification. Les dépenses publiques ne sont pas un sujet que l’on peut passer sous silence. Mais la catégorie suivante est celle que nous, en tant que secteur, pouvons aborder plus facilement.
2. Nous avons des œillères. Je sais que c’est une affirmation forte, mais lorsque le sujet est abordé correctement, j’entends souvent des personnes affirmer avec conviction que c’est bien le cas.
   Quand je dis que nous avons des œillères, je veux dire que nous n’analysons pas de manière exhaustive le modèle de risque lié aux ransomwares. Nous sommes trop concentrés sur la manière dont des attaques courantes ont réussi pour voir où se trouvent les failles dans nos programmes de sécurité. Nous nous concentrons sur la protection des terminaux, des serveurs et des technologies traditionnelles de stockage de données (SAN, NAS, etc.) et, par conséquent, nous parvenons à protéger ces actifs contre les attaques.

« En fin de compte, un cybercriminel qui souhaite exiger une rançon en échange de données n’a qu’une seule chose à faire : empêcher l’accès aux données critiques de l’entreprise. »

De nombreuses entreprises se concentrent davantage sur les mesures de prévention des attaques que sur la mise en œuvre d’une stratégie globale visant à garantir la disponibilité. En d’autres termes, il ne faut pas se limiter aux attaques par ransomware, mais privilégier une stratégie plus générale de protection de la disponibilité, incluant le « chiffrement des données à des fins d’impact » (ATT&CK ID T1486).

Par exemple, de nombreux scénarios d’attaque par ransomware reposent sur l’idée qu’un acteur pourrait exécuter une charge utile binaire et chiffrer des données. Or, avec un accès suffisant, le même résultat pourrait être obtenu simplement en échangeant les clés de chiffrement d’une base de données critique. Le degré de difficulté pour un attaquant de mener à bien cette opération varie considérablement, mais pour de nombreuses organisations, il s’agit d’une voie d’attaque viable. Ne vous empressez pas de faire remarquer que les sauvegardes natives de la base de données, la gestion des versions multiples, etc. peuvent résoudre ce problème. Ce n’est en aucun cas faux, mais la réalité est qu’en raison de leur impact sur les performances des bases de données volumineuses, ces contrôles sont souvent désactivés, que vous en soyez informé ou non. De plus, la gestion de ces méthodes de protection s’effectue souvent à l’aide des mêmes identifiants privilégiés que ceux utilisés pour les activités d’administration courantes, qui sont précisément les identifiants ciblés par les acteurs malveillants.

D’accord… mais qu’est-ce que cela signifie…

En résumé, cela signifie que vous devriez revoir votre plan d’action contre les ransomwares et envisager d’élaborer un plan d’action global en matière de disponibilité si vous n’en disposez pas déjà (si c’est le cas, réexaminez-le sous l’angle des ransomwares). Cette démarche doit être menée de manière transversale. L’équipe de sécurité doit effectuer une première analyse, puis se réunir avec les responsables des données, les équipes chargées de l’infrastructure et les équipes de Recovery (DR) et de continuité des activités (BC) afin de réfléchir ensemble aux méthodes de protection et de Recovery les plus réalistes. De nombreuses méthodes de protection et de Recovery impliquent un compromis en termes de performances. La sécurité ne peut ignorer cette réalité, et le service informatique ne peut pas non plus négliger la sécurité au profit des performances. Il n’existe pas de solution universelle.

Les éléments suivants peuvent servir de point de départ, à titre indicatif, pour orienter la réflexion dans le cadre de cette démarche :

1. Maîtriser l’ensemble des référentiels de données critiques de l’entreprise, notamment :
   • les stockages de données « privés » gérés, les NAS et les SAN
   • les appareils des collaborateurs
   • les bases de données (sur site, dans le cloud classique et « as-a-service »)
   • Stockage dans le cloud
2. Dressez une liste des tactiques, techniques et procédures susceptibles d’affecter la disponibilité de vos référentiels de données critiques et établissez une correspondance avec le modèle MITRE ATT&CK ; (https://attack.mitre.org/tactics/TA0040/)
   • Exemple 1 : Chiffrement à grande échelle des terminaux
   • Exemple 2 : Vol et suppression de bases de données critiques (dans le cloud et sur site)
3. Mettre en correspondance les stratégies avec les sources de données, puis les classer en fonction de leur probabilité de survenue.
   • Définir des priorités en fonction des risques juridiques, opérationnels et stratégiques
4. Évaluer les contrôles et les processus
   • Identifier les possibilités de mise en œuvre de mesures de prévention, de détection, d’intervention et de Recovery, par source de données.
   • Identifier les lacunes
   • Mettre en place de nouveaux processus et contrôles
5. Mettez à jour votre guide d’intervention face aux ransomwares en y intégrant des méthodes de réponse à toutes les techniques, en vous appuyant sur vos procédures d’intervention et de Recovery définies à l’étape 4.
6. Organisez simultanément un exercice de simulation sur table (TTX) et un exercice de reprise après sinistre (DR).
   • C’est un véritable défi. Combiner ces deux éléments pour mener un exercice TTX « à livre ouvert » avec quelques intrusions aléatoires permettra vraiment de voir comment les équipes réagissent face à la pression d’un véritable incident lié à un rançongiciel.

Résumé

Les cybercriminels ne cessent d’évoluer pour rester dans la course et préserver leurs revenus. Même si, en tant que secteur, nous sommes désormais assez efficaces pour nous protéger contre les menaces traditionnelles liées aux ransomwares, chaque organisation présente probablement quelques angles morts. 

• Les attaques par rançongiciel continuent de faire des ravages. 
• À mesure que nous parvenons à mieux contrer les attaques traditionnelles, les auteurs de menaces modifient leurs tactiques pour continuer à atteindre leurs objectifs 
• Les cybercriminels ciblent les référentiels de données tels que les bases de données et les services de stockage dans le cloud 
• Mettez à jour votre guide d’intervention en y intégrant des options de détection, de prévention, d’intervention et de Recovery permettant de rétablir la disponibilité en dehors des schémas traditionnels
• Mettez en œuvre des solutions de sauvegarde immuables et performantes pour les bases de données et les ressources cloud.

Comment Clumio peut vous aider

Clumio s’attache à aider ses clients à renforcer la résilience de leurs applications et de leurs données dans le cloud. En cas d’attaque par ransomware, Recovery constitue un rempart essentiel pour garantir la disponibilité de vos applications métier. Grâce aux options de sauvegarde proposées par Clumio pour les bases de données telles qu’Amazon RDS, MS-SQL sur EC2 et DynamoDB, ainsi que pour Amazon S3, EC2, EBS et Microsoft 365, vous pouvez mettre en place des stratégies de Recovery performantes qui satisferont à la fois les équipes chargées de l’infrastructure et celles chargées de la sécurité.