Qu'est-ce qu'un ransomware (rançongiciel) ?
Le ransomware est un malware qui bloque l’accès à un appareil ou à ses fichiers, généralement en les chiffrant, puis demande un paiement pour rétablir l’accès. C’est l’une des catégories de malware les plus dommageables, car elle vise ce que les organisations peuvent le moins se permettre de perdre : la capacité à lire leurs propres données. Au fil des années, les acteurs de la menace ont ajouté une pression supplémentaire en menaçant de divulguer les données volées, même lorsque les sauvegardes permettent de récupérer les fichiers chiffrés. Cette page explique le déroulement des attaques par ransomware, les principales catégories utilisées, la manière dont les organisations les détectent et y répondent, ainsi que les moyens de réduire le risque d’une attaque réussie.
Ce qu'il faut retenir
- Le ransomware chiffre ou verrouille les données et demande généralement un paiement en cryptomonnaie pour fournir une clé de déchiffrement ou rétablir l’accès.
- La double et la triple extorsion sont devenues des tactiques courantes. Les acteurs de la menace volent les données avant de les chiffrer, puis menacent de les divulguer même si l’organisation affectée peut restaurer ses sauvegardes.
- Le phishing, l’exploitation de vulnérabilités et la compromission d’identifiants d’accès distant sont à l’origine de la plupart des cyber intrusions par ransomware.
- Le ransomware-as-a-service, ou RaaS, permet à des affiliés de louer un ransomware et une infrastructure prêts à l’emploi, ce qui élargit le nombre d’acteurs capables de mener une campagne.
- Les sauvegardes réduisent l’impact du chiffrement, mais n’empêchent pas la menace de fuite. Détecter l’intrusion avant le début du chiffrement compte autant que préparer la restauration.
Comment fonctionne une attaque par ransomware?
Une attaque par ransomware ne commence presque jamais par le chiffrement. Les acteurs de la menace étudient souvent leur cible en amont, à la recherche de services d’accès distant exposés, de systèmes qui ne sont pas à jour ou de collaborateurs susceptibles de tomber dans un piège de phishing. L’accès initial passe généralement par l’un de ces mêmes canaux : un e-mail de phishing, un identifiant d’accès distant compromis ou une vulnérabilité exploitée. L’acteur de la menace reste ensuite dans le réseau avant de déployer le ransomware.
Une fois présents, les acteurs de la menace cherchent généralement à étendre leur accès et à comprendre les systèmes compromis. Ils se déplacent d’un système à l’autre et récupèrent des identifiants disposant de privilèges plus élevés. De nombreuses opérations de ransomware localisent et exfiltrent ensuite des données sensibles, comme des dossiers clients, des informations financières ou de la propriété intellectuelle, avant le début du chiffrement. Ces données volées deviennent le levier d’une seconde demande.
Le ransomware chiffre alors les fichiers des systèmes accessibles à l’acteur de la menace, souvent après la désactivation des sauvegardes ou des fonctions de restauration du système. Une demande de rançon apparaît généralement à l’écran. Elle exige un paiement en cryptomonnaie avant une échéance donnée et peut menacer de publier les données volées si le délai est dépassé.
Brève histoire du ransomware
Le ransomware n’est pas une invention récente. Le premier cas documenté, connu sous le nom de AIDS Trojan, a été distribué sur des disquettes en 1989. Il demandait un paiement par courrier pour réafficher les répertoires de fichiers de l’ordinateur affecté. Comme il masquait les noms des fichiers sans chiffrer les données sous-jacentes, il était relativement simple de revenir en arrière sans payer.
L’ère moderne a commencé en 2013 avec CryptoLocker, l’une des premières familles largement diffusées à utiliser un chiffrement robuste et à demander un paiement en Bitcoin. Les acteurs de la menace disposaient ainsi d’un moyen rapide et relativement difficile à tracer pour récupérer de l’argent. Son succès a entraîné une vague de copies au milieu des années 2010.
En 2017, WannaCry a marqué une nouvelle étape. Ce cryptover se répliquant seul s’est propagé sur les réseaux en exploitant une vulnérabilité Windows non corrigée et a infecté des systèmes dans plus de 100 pays en quelques jours.
Le modèle du ransomware-as-a-service est apparu à la même période. Il permettait aux développeurs de louer leur code de ransomware à des affiliés plutôt que de mener eux-mêmes les attaques. À partir de 2019 environ, la double extorsion est devenue courante dans les principales opérations de ransomware. Au début des années 2020, plusieurs groupes y ont ajouté la triple extorsion. Les autorités ont depuis démantelé ou sanctionné plusieurs groupes actifs à cette époque, même si d’anciens membres réapparaissent régulièrement dans de nouvelles opérations.
Types de ransomware
La plupart des ransomwares en circulation appartiennent à quelques catégories. Elles se distinguent par ce qu’elles prennent en otage et par la façon dont elles poussent l’organisation affectée à payer.
Comment un ransomware entre dans un réseau
- Des e-mails de phishing contenant des pièces jointes ou des liens malveillants qui installent le ransomware ou un outil intermédiaire à leur ouverture.
- Des vulnérabilités exploitées dans des logiciels ou des systèmes d’exploitation, notamment celles qui restent non corrigées alors qu’un correctif est disponible.
- Des identifiants d’accès distant compromis, ciblant souvent les connexions Remote Desktop Protocol (RDP) ou VPN obtenues par vol d’identifiants ou par attaque par force brute.
- Un autre malware déjà présent sur le système, utilisé pour installer le ransomware comme charge utile de seconde étape.
- Des téléchargements furtifs et du malvertising, lorsqu’un site compromis ou une publicité d’apparence légitime déclenche un téléchargement silencieux.
- Une compromission de la chaîne d’approvisionnement, lorsqu’une mise à jour logicielle d’un fournisseur de confiance est modifiée pour transmettre le ransomware à ses clients.
Une organisation doit-elle payer la rançon?
Les autorités, notamment le FBI, déconseillent systématiquement de payer une rançon. Le paiement finance d’autres activités criminelles, ne garantit pas la fourniture d’une clé de déchiffrement fonctionnelle et n’empêche pas la divulgation des données volées lorsqu’une menace de double extorsion a déjà été formulée. Une part croissante des organisations affectées refuse désormais de payer. Cette évolution suit surtout les progrès des pratiques de sauvegarde et des capacités de détection, plutôt qu’un changement de comportement des acteurs de la menace.
La décision n’est toutefois pas toujours simple pour l’organisation touchée. Certains secteurs ont des obligations légales de signalement, quel que soit le paiement. Dans certaines juridictions, payer une rançon à un groupe soumis à des sanctions économiques peut être illégal. Les organisations ont généralement intérêt à préparer cette décision en amont, dans le cadre d’un plan de réponse à incident, plutôt qu’à la prendre pour la première fois sous pression pendant une attaque active.
Comment un SOC détecte et traite une attaque par ransomware
La période entre l’accès initial et le chiffrement est celle où une attaque par ransomware est la plus facile à arrêter. Elle est souvent plus longue qu’on ne le pense, car les acteurs de la menace peuvent rester plusieurs jours ou semaines dans un réseau avant de déployer la charge utile.
Pendant cette période, des signaux comportementaux comme des mouvements latéraux inhabituels, une élévation de privilèges, des transferts de données importants ou inhabituels et la désactivation des tâches de sauvegarde sont visibles par un agent EDR et par un SIEM qui corrèle l’activité avec la télémétrie réseau et les données d’identité. Ces signaux peuvent apparaître bien avant le chiffrement d’un fichier.
Lorsque le chiffrement commence, la détection se concentre sur le processus lui-même. Une hausse soudaine des renommages ou des modifications de fichiers sur une courte période constitue un schéma caractéristique qu’une solution de détection comportementale sur les terminaux peut repérer et traiter directement. Le renseignement sur les menaces concernant les familles de ransomware connues et leurs infrastructures aide un SOC à qualifier rapidement une alerte et à anticiper l’étape suivante, de l’exfiltration des données à la suppression des sauvegardes.
L’équipe TDR de Sekoia exécute ce cycle de détection et de réponse pour ses clients avec Sekoia SOC platform. Elle corrèle les données EDR, SIEM et CTI afin que les signaux précoces d’une intrusion par ransomware, avant le chiffrement, soient détectés et analysés au lieu d’être découverts uniquement après l’apparition de la demande de rançon.
Comment réduire le risque lié au ransomware
- Conserver des sauvegardes hors ligne ou immuables que le ransomware ne peut ni atteindre, ni chiffrer, ni supprimer, et tester régulièrement leur restauration.
- Mettre à jour les systèmes d’exploitation et les logiciels exposés sur Internet selon un calendrier défini, en donnant la priorité aux vulnérabilités déjà exploitées.
- Exiger une authentification multifacteur pour tous les accès distants, en particulier les connexions RDP et VPN.
- Segmenter les réseaux afin qu’un seul système compromis ne puisse pas atteindre les serveurs de sauvegarde ou l’ensemble de l’environnement.
- Filtrer les e-mails pour bloquer les pièces jointes et les liens malveillants, et former les collaborateurs à reconnaître les tentatives de phishing.
- Déployer une solution de détection et réponse sur les terminaux capable de détecter le comportement de chiffrement, et pas seulement les signatures de fichiers connues.
- Élaborer et répéter un plan de réponse à incident qui inclut la décision de payer ou non avant qu’une attaque ne survienne.
Pourquoi les sauvegardes seules ne suffisent pas contre le ransomware moderne
Les sauvegardes résolvent le problème que le ransomware posait il y a dix ans : perdre l’accès aux fichiers chiffrés. Elles ne résolvent pas le problème actuel. Lorsqu’un acteur de la menace a déjà exfiltré une copie des données, une restauration saine remet les systèmes en ligne, mais ne supprime pas la menace de fuite qui pèse sur l’organisation.
C’est pourquoi la détection pendant l’intrusion, et pas seulement la restauration qui suit, est devenue le contrôle le plus décisif. Une organisation qui détecte les mouvements latéraux et la préparation des données avant le début du chiffrement peut empêcher la menace de fuite de se concrétiser. Une organisation qui ne découvre l’attaque qu’après le chiffrement des fichiers négocie dans une position plus faible, avec ou sans sauvegardes.
FAQ sur le ransomware
Le ransomware est-il un type de malware?
Oui. Le ransomware est une catégorie de malware définie par son action : il bloque l’accès à des données ou à un appareil et demande un paiement pour le rétablir. D’autres types de malware, comme le spyware ou les chevaux de Troie, ont d’autres objectifs, notamment la surveillance, l’accès non autorisé ou la distribution d’une charge utile supplémentaire. Le ransomware est souvent distribué comme cette charge utile de seconde étape plutôt que d’arriver seul.
Qu’est-ce que la double extorsion par ransomware?
La double extorsion est une tactique de ransomware dans laquelle les acteurs de la menace volent des données sensibles avant de les chiffrer, puis menacent de les publier ou de les vendre en plus de demander le paiement d’une clé de déchiffrement. Elle supprime la protection que les sauvegardes apportaient autrefois. Même une organisation disposant de sauvegardes fiables reste exposée à une fuite publique si elle ne paie pas.
Une organisation doit-elle payer une demande de rançon?
Les autorités déconseillent généralement de payer, car le paiement finance d’autres attaques et ne garantit ni une clé de déchiffrement fonctionnelle ni l’absence de divulgation des données volées. Certaines organisations paient lorsque l’alternative est une interruption prolongée sans sauvegarde exploitable. Il vaut mieux prendre cette décision en amont, dans le cadre d’un plan de réponse à incident, que pendant une attaque active.
Qu’est-ce que le ransomware-as-a-service (RaaS)?
Le ransomware-as-a-service est un modèle économique dans lequel un développeur de ransomware loue son malware, son infrastructure et parfois son support à des affiliés. Ceux-ci mènent les attaques et partagent le montant de la rançon avec le développeur. Ce modèle a réduit le niveau de compétence technique nécessaire pour lancer une campagne, puisque les affiliés n’ont pas besoin d’écrire eux-mêmes le code.
Est-il possible de déchiffrer un ransomware sans payer?
Parfois. Des chercheurs en sécurité et des autorités ont publié des outils gratuits de déchiffrement pour certaines familles de ransomware, généralement après la découverte d’une faille dans le chiffrement d’une variante ou la saisie de son infrastructure. La couverture reste inégale et dépend de la famille concernée. Une sauvegarde fonctionnelle et testée reste donc la voie de récupération la plus fiable.
Comment un ransomware entre-t-il généralement dans un réseau?
La plupart des intrusions par ransomware commencent par du phishing, une vulnérabilité exploitée ou un identifiant d’accès distant compromis, notamment sur des connexions RDP ou VPN. Le ransomware lui-même n’est souvent déployé qu’après que l’acteur de la menace a passé du temps dans le réseau à étendre son accès et à localiser les données utiles à exfiltrer.