Préparez-vous à faire face à ces types courants de ransomware
6 types d’attaques par rançongiciel, 9 attaques très médiatisées et 12 variantes actuelles de rançongiciels que vous devez connaître.
Vue d’ensemble
Comprendre les types courants de ransomware en 2024
Parmi tous les dangers qui composent le paysage actuel des menaces, les ransomwares sont sans doute les plus redoutés. Si les motivations et les mécanismes des différentes attaques de ransomware peuvent varier, elles ont toutes un point commun : elles rendent les données de la victime inaccessibles. Pour une entreprise moderne, cela peut constituer une menace existentielle.
Découvrons ensemble les formes les plus courantes de ransomware, notamment :
- Les « lockers »
- Les ransomwares cryptographiques
- Les scarewares
- Les ransomwares en tant que service (RaaS)
- Les logiciels d’extorsion (notamment les « doxware » et les « leakware »)
- Les logiciels malveillants de destruction
Vous découvrirez également les attaques passées les plus médiatisées ainsi que les menaces de ransomware les plus graves à l’heure actuelle.
Types de ransomwares
Les 6 types d’attaques par ransomware les plus courants
Lorsque l’on entend le mot « rançongiciel », on pense généralement à un chiffrement forcé. Bien que ce soit le cas dans bon nombre des attaques par rançongiciel les plus médiatisées, ce n’est pas toujours vrai. Ce qui définit réellement une attaque par rançongiciel, c’est – comme son nom l’indique – une demande de paiement visant à permettre à la victime de récupérer l’accès à ses données. On retrouve cette tactique dans les six types courants d’attaques par rançongiciel présentés ci-dessous.
1. Le crypto-ransomware
L’une des formes les plus connues et les plus destructrices de ransomware, le crypto-ransomware (ou ransomware de chiffrement) chiffre de force les fichiers et les données d’un système, rendant leur contenu inaccessible tant que la victime n’a pas payé. Pour accentuer la pression, les développeurs de crypto-ransomware ajoutent souvent un compte à rebours à leur demande de rançon, à l’issue duquel les fichiers seront supprimés. Bien sûr, même si la rançon est versée, généralement en cryptomonnaie, rien ne garantit que les cybercriminels tiendront leur promesse de fournir une clé de déchiffrement. Parmi les formes courantes de crypto-ransomware, on peut citer Hive, REvil et Ryuk.
2. Les « lockers »
:
plutôt que de chiffrer les fichiers, les ransomwares de type « locker » bloquent l’accès aux données en désactivant les fonctions de base de l’ordinateur, rendant ainsi vos fichiers et applications inutilisables. Vous ne pouvez généralement plus accéder à votre bureau, bien que vous conserviez juste assez de fonctionnalités de la souris et du clavier pour effectuer le paiement. Un écran de verrouillage affiche la demande de rançon, souvent accompagnée du redoutable compte à rebours. Bien que la destruction complète de vos données soit peu probable, le logiciel malveillant peut se propager rapidement sur votre réseau pour infecter d’autres appareils au sein de votre organisation. Parmi les formes courantes de ransomware de type « locker », on peut citer CryptoLocker et Locky.
3. Le « ransomware as a service »
(
RaaS) Connaissant actuellement un essor fulgurant, le RaaS apporte la commodité du SaaS à la cybercriminalité. Dans ce type de menace, l’attaque est menée par un groupe RaaS professionnel qui héberge et distribue son propre logiciel malveillant, collecte les paiements auprès des victimes et rétablit l’accès (dans l’idéal) en échange d’une part de la rançon. Le RaaS permet à des cybercriminels moins expérimentés sur le plan technique, voire amateurs, de mener une attaque par ransomware hautement efficace. Pour les créateurs des logiciels malveillants utilisés, mener l’attaque au nom de leur client permet de gagner facilement de l’argent tout en prenant moins de risques. Les groupes RaaS peuvent utiliser n’importe quel type de logiciel malveillant de leur choix, mais parmi les formes courantes, on trouve LockBit, Black Basta et BlackMatter, le successeur de DarkSide.
4. Les «
extortionwares » (logiciels d’extorsion)
: aggravant la menace posée par les ransomwares classiques, les « extortionwares » vont au-delà du chiffrement en menaçant de divulguer des données confidentielles ou des informations d’identification personnelles (PII) concernant leurs cibles, à moins qu’un paiement ne soit effectué. Lorsque de telles attaques visent une victime individuelle – une variante également connue sous le nom de « doxware » –, cette divulgation peut exposer la personne à un risque d’humiliation publique, à la ruine de sa carrière ou de ses relations personnelles, voire à des dommages physiques. Lorsque la cible de l’attaquant s’étend plus largement à une organisation dans son ensemble — c’est-à-dire le « leakware » —, l’impact potentiel s’apparente à celui de tout autre type de fuite de données, notamment l’embarras public, la détérioration des relations avec les clients et des relations commerciales, ainsi que des amendes réglementaires. Parmi les logiciels couramment utilisés dans différents types d’attaques par extortionware, on peut citer DoppelPaymer, Revil et EvilQuest.
5. Les logiciels
malveillants de type « wiper »
Bien qu’ils ne correspondent pas à la définition classique d’un rançongiciel, les attaques par logiciels malveillants de type « wiper » se font souvent passer pour des rançongiciels ; il est donc important de comprendre en quoi ils diffèrent. À l’instar des ransomwares, les logiciels malveillants de type « wiper » restreignent l’accès de l’utilisateur à ses données. Comme lors d’une attaque par ransomware, les cybercriminels exigent souvent un paiement, en utilisant parfois un compte à rebours pour renforcer l’effet dramatique. Mais il existe une différence fondamentale : dans la plupart des cas, les auteurs d’une attaque par logiciel de destruction n’ont aucune intention de rétablir l’accès de la victime à ses données. Leur objectif principal est de semer le chaos en détruisant définitivement les données, et l’argent qu’ils en tirent n’est qu’un bonus pour un travail bien fait. Parmi les logiciels utilisés lors d’attaques par logiciels de destruction, on peut citer NotPetya et KillDisk.
6. Les scarewares
Souvent efficaces contre des victimes peu averties, les scarewares sont de faux logiciels qui prétendent avoir détecté un virus ou un autre problème sur votre ordinateur et vous incitent à payer pour résoudre le problème. Une alerte contextuelle – ou une avalanche d’alertes – exhorte l’utilisateur à télécharger un outil ou un service pour résoudre le problème. Bien sûr, c’est ce logiciel téléchargé qui permet en réalité à l’attaquant d’accéder au système. À ce stade, certains types de scarewares verrouillent l’ordinateur et exigent une rançon, bien qu’ils n’endommagent généralement pas le système ni ne compromettent les fichiers. Parmi les formes courantes de scarewares, on peut citer Mac Defender et WinFixer.
Les attaques par ransomware
9 attaques par ransomware bien connues
Une liste exhaustive des attaques par ransomware rendues publiques serait bien trop longue à lire, et de nombreuses victimes préfèrent, à juste titre, garder le silence (même si les sociétés cotées en bourse sont tenues par la SEC de signaler les cyberattaques). Quelques exemples très médiatisés suffisent toutefois à illustrer clairement les dégâts potentiels, qu’il s’agisse des rançons versées ou de leurs répercussions plus larges.
1) CryptoLocker (2013-2014) – Comptant parmi les premières attaques majeures par ransomware, se propageant via des pièces jointes d’e-mails infectées et le botnet Gameover ZeuS, CryptoLocker a extorqué environ 3 millions de dollars à diverses petites et moyennes entreprises.
2) WannaCry (2017) – Cette attaque mondiale a touché plus de 230 000 ordinateurs dans 150 entreprises. Le Service national de santé britannique (NHS) a subi des pertes estimées à 92 millions de dollars, sans compter les innombrables difficultés rencontrées par les patients, les praticiens et les établissements. Les pertes totales à l’échelle mondiale ont atteint 4 milliards de dollars.
3) Petya/NotPetya (2017) – Cette campagne, qui a connu un immense succès, a entraîné 10 milliards de dollars de pertes à l’échelle mondiale, dont 300 millions de dollars pour la compagnie maritime Maersk.
4) GandCrab (2018-2019) – Ciblant de nombreuses petites et moyennes entreprises plutôt que quelques victimes fortunées, GandCrab a causé des dommages estimés à 2 milliards de dollars au total dans le monde entier.
5) REvil/Sodinokibi (2021) – Utilisé dans plus d’un cinquième des interventions d’IBM en matière de réponse aux incidents en 2022, REvil aurait infecté environ 175 000 ordinateurs à travers le monde, avec au moins 200 millions de dollars versés en rançon. À elle seule, la société JBS Foods aurait versé 11 millions de dollars.
6) Maze (2019-2020) – Le cabinet de conseil en informatique Cognizant a été durement touché par la souche de ransomware Maze. L’entreprise a fait état de pertes directes liées à la Recovery comprises entre 50 et 70 millions de dollars ; si l’on ajoute les pertes de chiffre d’affaires, l’impact financier total a été estimé à pas moins de 140 millions de dollars.
7) Ryuk (2020) – Une attaque visant Universal Health Services a touché 250 établissements de soins aux États-Unis. L’impact à long terme est difficile à évaluer, mais les pertes à court terme se sont élevées à 67 millions de dollars.
8) DarkSide (2021) – Surtout connue pour son impact sur Colonial Pipeline, cette attaque de type RaaS a rapporté une rançon de 4,4 millions de dollars – mais ce n’est qu’une partie du tableau. Les attaquants ont également dérobé environ 100 Go de données sur les serveurs de l’entreprise. Parallèlement, des pénuries généralisées de carburant et des hausses de prix se sont répercutées sur les marchés de consommation, d’entreprise et financiers.
9) ALPHV/BlackCat et Scattered Spider (2023) – Ces groupes de ransomware ont collaboré pour mener une attaque contre MGM Resorts, obtenant un premier accès grâce à des techniques d’ingénierie sociale sur LinkedIn. Malgré d’importantes perturbations de ses activités et de l’expérience client pendant près de deux semaines, l’entreprise a refusé de payer la rançon – mais a subi une perte de chiffre d’affaires et d’autres préjudices estimés à 100 millions de dollars.
Menaces liées aux ransomwares
Les 12 menaces de ransomware les plus graves à l’heure actuelle
Le paysage actuel des ransomwares est de plus en plus fragmenté. Alors que de nombreuses souches anciennes bien connues ont évolué, changé de nom ou cessé leurs activités, de nouveaux groupes continuent d’apparaître. La plupart d’entre eux prennent la forme de RaaS (Ransomware as a Service) et recourent à des tactiques de double extorsion, dans lesquelles des rançons distinctes doivent être versées pour le décryptage et la suppression des données volées.
Voici une douzaine de menaces de ransomware dont vous devez être conscient dès maintenant.
1) LockBit – Diffusé par un groupe RaaS extrêmement sophistiqué, LockBit est l’un des ransomwares les plus prolifiques et les plus destructeurs au monde. Il utilise des outils natifs de Windows pour échapper à la détection, déguise son fichier exécutable en fichier .PNG et peut se propager de manière autonome sur un réseau avec un minimum d’intervention manuelle. Un marketing agressif, une interface conviviale et un modèle de partage des bénéfices attractif ont alimenté sa popularité croissante.
2) PLAY – Également connu sous le nom de PlayCrypt, ce cybermenace sophistiquée a fait son apparition en juin 2022, ciblant principalement l’Amérique latine. Actuellement disponible sous forme de RaaS, PLAY exploite les vulnérabilités de ressources accessibles au public, telles que le VPN SSL de Fortinet et le proxy ProxyNotShell de Microsoft Exchange, et utilise des comptes valides compromis pour obtenir un accès initial.
3) Black Basta – Depuis début 2022, Black Basta figure parmi les opérations RaaS les plus actives au monde. Le groupe recourt à une tactique de double chantage consistant à chiffrer les données des victimes puis à menacer de publier des informations sensibles. Faisant évoluer ses tactiques en permanence, Black Basta a récemment intégré les attaques DDoS par e-mail et le hameçonnage vocal (vishing) à ses attaques.
4) RansomHub – Relativement récent mais en pleine expansion, le RaaS RansomHub cible des secteurs d’infrastructures critiques tels que la santé, la gestion de l’eau, les services financiers et les services publics. Des tactiques courantes telles que le phishing, l’exploitation de vulnérabilités et le « password spraying », utilisées en tandem avec des outils permettant de contourner les solutions EDR, ont permis au groupe de compromettre plus de 200 victimes, parmi lesquelles la maison de ventes aux enchères Christie’s et Change Healthcare.
5) Hunters International – Probablement une version rebaptisée de Hive, Hunters International opère en tant que RaaS axé principalement sur l’exfiltration de données et l’extorsion plutôt que sur le chiffrement de fichiers. Écrit en Rust, ce qui renforce sa capacité à échapper à la détection et à accélérer le chiffrement, ce logiciel malveillant est connu pour sa capacité à tuer des processus, à supprimer des sauvegardes et à désactiver les mécanismes de récupération.
6) Akira – Encore un autre RaaS connu pour ses tactiques de double extorsion, Akira est rapidement devenu l’une des principales menaces mondiales en matière de ransomware. Les demandes de rançon varient généralement entre 200 000 dollars et plus de 4 millions de dollars, la plupart des victimes appartenant aux secteurs de l’éducation, de la finance, de l’industrie et de la santé.
7) Medusa – Se propageant rapidement via ses affiliés à l’échelle mondiale, le RaaS Medusa obtient généralement un accès initial en exploitant des services vulnérables ou par le biais de campagnes de phishing. Une fois à l’intérieur, il arrête plus de 280 services et processus Windows afin de faciliter le chiffrement. La publication de listes de victimes sur des blogs, tant sur le dark web que sur le web de surface, a contribué à sa notoriété au sein de la communauté de la cybersécurité.
8) BianLian – Actuellement l’une des principales menaces mondiales en matière de rançongiciel, BianLian s’est récemment réorienté, passant des attaques par chiffrement aux attaques par extorsion. Accédant souvent au système via des identifiants RDP compromis, le groupe utilise des outils open source et des scripts en ligne de commande pour collecter les identifiants et découvrir les données, puis exfiltre ces dernières via FTP, Rclone ou les services de partage de fichiers Mega.
9) 8Base – Apparue initialement en 2022 sous le couvert de testeurs d’intrusion, le groupe 8Base mène désormais des opérations de double extorsion à l’encontre de petites et moyennes entreprises aux États-Unis, au Brésil et au Royaume-Uni. Son logiciel malveillant désactive les composants de Windows Defender, supprime les instantanés, efface les journaux d’événements et modifie les entrées du registre afin de contourner le Contrôle d’accès utilisateur et d’assurer sa persistance.
10) INC Ransomware – Depuis juillet 2023, ce groupe s’introduit via des e-mails de spear-phishing ou en exploitant des services vulnérables, puis utilise une combinaison d’outils commerciaux et de binaires « living-off-the-land » (LOLBINs) pour la reconnaissance et les mouvements latéraux. Le groupe propose cyniquement le « service » de révéler ses méthodes afin de sécuriser davantage l’environnement de la victime après paiement.
11) Qilin – Exploitant à l’origine son RaaS sous le nom d’Agenda, Qilin utilise une stratégie de double extorsion avec des demandes de rançon allant de 50 000 à 800 000 dollars. Des logiciels malveillants avancés écrits à la fois en Golang et en Rust obtiennent un accès initial via des e-mails de phishing et des réseaux VPN dépourvus d’authentification multifactorielle. Des fonctionnalités personnalisables, telles que la modification des extensions de fichiers et l’arrêt de processus spécifiques, rendent le service hautement adaptable.
12) Vanir Group – Depuis ses débuts en juillet 2024, le groupe RaaS Vanir Group a noué des liens avec d’anciens associés d’autres groupes de ransomware notoires, ce qui lui a permis de gagner rapidement en sophistication. Le groupe est connu à la fois pour son apparence de professionnalisme et pour ses tactiques très agressives, telles que l’envoi de messages intimidants aux PDG afin de renforcer le caractère urgent de ses demandes de double extorsion.
Tant les types de logiciels de rançongiciel que les tactiques des groupes qui les utilisent sont en constante évolution. Il est impossible de se protéger totalement contre une intrusion, mais en accordant une attention constante à la protection des données, à la Backup and Recovery, ainsi qu’aux capacités de cyber-résilience, vous pouvez atténuer le risque que représentent ces menaces. Restez vigilant, soyez prêt, et vous contribuerez à assurer la continuité de vos activités quoi qu’il arrive.
Termes associés
Qu’est-ce que la protection contre les ransomwares ?
La protection contre les ransomwares est le processus qui consiste à empêcher la survenue d’un incident lié à un ransomware et/ou à atténuer le risque d’une attaque réussie.
Qu’est-ce que la protection des données ?
La protection des données désigne l’ensemble des pratiques, technologies et politiques mises en œuvre pour protéger les données contre tout accès non autorisé, toute perte, toute corruption et toute autre menace.
Qu’est-ce que la cyber-déception ?
La cyberdéception est une tactique proactive de sécurité et de défense qui consiste à tromper les acteurs malveillants et à déjouer les attaques.
Le b.a.-ba des ransomwares
Démonstration de restauration après une attaque par ransomware
