InfoZone : Qu'est-ce qu'un ransomware ?

Il existe différentes catégories de ransomwares, comme les « crypteurs », qui se concentrent principalement sur le verrouillage des fichiers, et les « bloqueurs d'écran », qui empêchent l'utilisateur d'accéder à son appareil en affichant un écran verrouillé. Dans les deux cas, les victimes sont invitées à payer une rançon, le plus souvent en monnaie numérique (comme le Bitcoin), afin de pouvoir reprendre le contrôle de leurs données ou de leurs systèmes. 

Toutefois, il convient de noter que le paiement de la rançon ne garantit pas la restitution sécurisée des fichiers. Dans certains cas, une fois le paiement effectué, les victimes peuvent ne pas recevoir de clé de déchiffrement ou découvrir d'autres malwares installés sur leurs systèmes.

Le risque associé aux ransomwares s'est accru avec l'émergence du « ransomware en tant que service » (RaaS), un modèle qui permet à un plus grand nombre de personnes de mener ce type d'attaques. De plus, les ransomwares modernes sont capables d'exploiter les vulnérabilités des systèmes pour se diffuser au sein d'une organisation, transformant ainsi un problème localisé en une crise plus grave nécessitant une attention immédiate. 

Le ransomware en tant que service (RaaS) a démocratisé l'accès aux ransomwares, en permettant à des individus disposant d'une expertise technique limitée de déployer des attaques. Ce modèle, qui fonctionne sur le même principe que les services logiciels traditionnels, dote ces personnes d'outils leur permettant de lancer des attaques sophistiquées.

Dans le modèle RaaS, deux grands groupes de personnes travaillent ensemble : les créateurs du ransomware et les affiliés. Les créateurs conçoivent le ransomware et les systèmes nécessaires pour le diffuser. Les affiliés, recrutés en ligne, sont quant à eux responsables du déploiement du ransomware. Certains groupes RaaS vont jusqu'à dépenser d'importantes sommes d'argent pour recruter des affiliés. Une fois intégrés au système, ces affiliés peuvent mener leurs propres campagnes de ransomwares en s'appuyant sur l'infrastructure existante.

Sur le plan financier, le RaaS permet aux créateurs de gagner de l'argent de différentes manières. Les affiliés peuvent ainsi verser des frais régulièrement, effectuer un paiement unique ou encore partager les bénéfices avec les créateurs. Ce processus, souvent transparent, est géré par le biais de tableaux de bord en ligne, depuis lesquels les affiliés peuvent suivre divers indicateurs tels que le nombre d'infections et les revenus générés. Les paiements ont généralement lieu en cryptomonnaie (comme le Bitcoin), afin de garantir un certain anonymat.

Le RaaS est rendu encore plus complexe par sa présence sur le Dark Web, où il fonctionne comme n'importe quel autre marché concurrentiel. À l'instar des services logiciels légitimes, les plateformes RaaS peuvent obtenir des avis clients, offrir une assistance 24 h/24, 7 j/7 ou proposer des forfaits. Elles recourent même à des techniques de marketing qui imitent celles des entreprises traditionnelles. 

Le monde des ransomwares évolue rapidement, gagnant en complexité avec chaque nouvelle variante qui apparaît. Comprendre ces différentes formes est essentiel pour mettre en place des défenses efficaces et modulables contre les cyberattaques. 

Il existe en outre différentes familles de ransomwares, telles que WannaCryptor, Stop/DJVU et Phobos, chacune ayant ses caractéristiques particulières. Avoir conscience de ces différences facilite la mise en place d'une stratégie de défense spécialisée plus ciblée et plus efficace. 

Vous trouverez ci-dessous une liste de différents types de ransomwares parmi les plus fréquents, répertoriés selon leur mode opératoire.

· Ransomwares de type « crypto » ou crypteurs : éléments essentiels de la boîte à outils malveillante, les ransomwares crypto sont spécialisés dans le chiffrement des fichiers et des données, le plus souvent à l'aide d'algorithmes de chiffrement avancés. Cette tactique rend les données inaccessibles jusqu'à ce qu'une clé de déchiffrement, généralement communiquée uniquement après un paiement en cryptomonnaie, soit appliquée. Dans cette catégorie, les familles de ransomwares telles que WannaCryptor se sont fait connaître pour leurs conséquences dévastatrices à grande échelle.

· Lockers : mettant l'accent sur l'interaction avec le système plutôt que sur l'intégrité des données, les lockers désactivent les principales fonctionnalités d'un ordinateur et affichent souvent une demande de rançon sur l'écran verrouillé. Bien qu'ils ne chiffrent pas les données, ces ransomwares provoquent des perturbations tangibles. La famille de ransomwares Phobos, par exemple, est connue pour utiliser des tactiques de verrouillage en plus des méthodes de chiffrement.

· Scarewares : s'appuyant principalement sur la manipulation psychologique, les scarewares se font passer pour d'authentiques logiciels antivirus. Ils submergent sans cesse les utilisateurs d'alertes au sujet d'infections par malwares inventées de toutes pièces et demandent souvent un paiement en échange de « services de suppression ». Empruntant des techniques aux lockers, certaines variantes avancées peuvent également verrouiller l'ordinateur. Bien souvent, les scarewares offrent une porte d'entrée aux adeptes de la fraude au faux support technique.

· Doxwares ou leakwares : en s'emparant de données sensibles et en menaçant de les rendre publiques, les doxwares représentent une menace accrue. Ici, les enjeux sont élevés en raison du risque de réputation qu'ils impliquent. De temps en temps, vous pouvez avoir affaire à un ransomware sur le thème de la police qui, se faisant passer pour un logiciel des forces de l'ordre, fait croire à l'utilisateur qu'il peut éviter des conséquences juridiques en payant une amende. 

· Ransomwares mobiles : l'utilisation des smartphones et des tablettes s'étant généralisée dans la vie de tous les jours, les ransomwares mobiles ont suivi le rythme. Ces attaques ciblent soit l'utilisabilité de l'appareil, soit les données qui y sont stockées, obligeant les victimes à payer pour leur restauration.

· Extorsion DDoS : bien qu'il ne s'agisse pas d'une forme classique de ransomware, l'extorsion DDoS repose sur des principes similaires, obligeant les victimes à effectuer des paiements financiers pour éviter des perturbations. Ici, la menace prend la forme d'un afflux de trafic qui vient surcharger un réseau ou un site Internet, désactivant temporairement ses fonctionnalités.

Pour déchiffrer des fichiers compromis par un ransomware, vous aurez besoin d'un outil de déchiffrement adapté. Identifiez précisément le variant du ransomware qui affecte votre système et consultez des experts de la cybersécurité pour connaître la disponibilité des outils. 

Nombre d'entre eux, tels que les outils de remédiation des ransomwares proposés par les Bitdefender Labs, sont disponibles gratuitement. Il est essentiel d'agir de manière rapide et décisive pour prévenir toute nouvelle diffusion du ransomware, évaluer son impact et entamer les procédures de récupération.

Utilisez le plan d'action suivant comme une feuille de route pour la remédiation des ransomwares et la mise en place d'une protection ultérieure à long terme. Cette feuille de route précise les étapes clés, des premiers signes d'attaque à l'analyse post-incident, qui vous aideront à restaurer les systèmes compromis et à renforcer vos mesures de cybersécurité.

Isolement et confinement

La première mesure devrait consister à limiter la capacité du malware à se propager au sein de votre infrastructure.

· Isolez les appareils affectés : déconnectez immédiatement le matériel compromis du réseau, d'Internet et des autres appareils connectés.

· Stoppez la propagation : interrompez toute forme de connectivité sans fil (Wi-Fi, Bluetooth) et isolez les appareils présentant un comportement anormal afin d'éviter des perturbations généralisées à l'échelle de l'entreprise.

Évaluation et identification

Ensuite, analysez de manière approfondie l'impact et l'origine de l'attaque afin de déterminer la marche à suivre.

· Évaluez les dégâts : examinez les systèmes à la recherche de fichiers chiffrés et de noms de fichiers anormaux, puis compilez les rapports d'utilisateurs signalant des problèmes d'accessibilité aux fichiers. Dressez une liste complète des systèmes compromis.

· Localisez le patient zéro : examinez les notifications antivirus, les plateformes EDR (détection et réponse au niveau des endpoints) et les pistes générées par l'homme, telles que les e-mails suspects, afin d'identifier précisément la source de l'infection.

· Identifiez la variante du ransomware : faites appel à des ressources d'identification des ransomwares telles que l'outil de reconnaissance des ransomwares de Bitdefender, ou examinez les informations figurant dans la demande de rançon pour préciser la souche de ransomware concernée. 

Obligations légales

Une fois mises en œuvre les réponses techniques immédiates, il convient de s'intéresser aux responsabilités légales.

· Informez les autorités : signalez l'incident aux forces de l'ordre compétentes. Non seulement cette action peut faciliter la récupération des données, mais elle est aussi parfois essentielle pour la conformité aux lois et règlements en vigueur, tels que le CIRCIA (États-Unis) ou le RGPD (UE).

Récupération et restauration

Une fois ces mesures de base mises en œuvre, on peut s'intéresser à la restauration des systèmes compromis et s'assurer de l'éradication complète du malware.

· Évaluez vos sauvegardes : si vous disposez de sauvegardes actualisées, lancez une restauration du système, en veillant à ce que les outils antivirus et antimalware aient bien éliminé tous les reliquats du ransomware avant de restaurer le système.

· Explorez les possibilités de déchiffrement : lorsque les sauvegardes ne sont pas une option, pensez aux outils gratuits de déchiffrement, tels que ceux mentionnés précédemment, proposés par Bitdefender. Assurez-vous que toutes les traces du malware sont bien éradiquées avant de tenter le déchiffrement.

Assainissement des systèmes et mises à niveau de sécurité

Les menaces immédiates étant neutralisées, il convient maintenant d'identifier les points faibles de votre architecture de cybersécurité afin de l'améliorer.

· Éradiquez la menace : effectuez une analyse des causes profondes, généralement guidée par un expert fiable de la cybersécurité, afin d'identifier toutes les vulnérabilités des systèmes et d'éliminer complètement la menace de votre réseau.

· Priorisez la restauration : concentrez-vous d'abord sur la restauration des systèmes les plus critiques pour votre mission, en tenant compte de leur effet sur la productivité et les flux de revenus.

Dernières options et planification prévisionnelle

À mesure que se profile un retour à la normale, gardez un œil sur les stratégies à long terme permettant d'atténuer le risque de nouvelles attaques.

· Réinitialisez ou reconstruisez : si les sauvegardes ou les clés de déchiffrement ne sont pas une option, il vous faudra peut-être rétablir les paramètres d'usine des systèmes ou procéder à leur reconstruction complète.

· Protégez votre avenir : gardez à l'esprit que les entités ayant déjà été victimes d'un ransomware courent un risque plus élevé de subir de nouvelles attaques. Par conséquent, un audit post-incident devrait mettre l'accent sur les améliorations de sécurité possible en vue d'atténuer les risques futurs.

En conclusion, une approche coordonnée et informée de la récupération permet de limiter les dégâts et d'accélérer le retour au cours normal des opérations.