La montée implacable des rançongiciels : décryptage du phénomène des nouveaux sites de fuite

Ce qui s'est passé

L'apparition de nouveaux sites de fuite de groupes de rançongiciels est devenue un modèle d'incident persistant et préoccupant dans le paysage de la cybersécurité. Ces sites, souvent hébergés sur le dark web, servent de plateformes aux acteurs de la menace pour nommer et dénoncer publiquement les victimes qui refusent de payer des rançons, publiant fréquemment des données volées comme preuve de compromission et pour exercer une pression supplémentaire. Cette tendance souligne l'efficacité et la rentabilité continues des opérations de rançongiciels, stimulant la prolifération de nouveaux groupes et de leurs infrastructures. Les données accessibles au public provenant des plateformes de surveillance de l'activité des rançongiciels enregistrent constamment de nouvelles divulgations de victimes.

Ces plateformes surveillent et suivent en permanence ces sites de fuite, fournissant des informations sur les victimes nouvellement publiées et les groupes responsables. Les divulgations mettent en évidence la portée mondiale et le ciblage varié de ces groupes, affectant divers secteurs sur plusieurs continents. Cet afflux constant de nouvelles données de victimes provenant des sites de fuite émergents indique un environnement de menace très actif et adaptatif que les professionnels de la sécurité doivent continuellement suivre et comprendre. Le volume même des nouvelles divulgations, même avec des fluctuations, indique un écosystème criminel robuste et en expansion.

Pourquoi ce schéma se répète-t-il

Le principal moteur de l'émergence continue de nouveaux sites de fuite de rançongiciels est le succès financier avéré du modèle de rançongiciel en tant que service (RaaS) et des attaques directes. Les acteurs de la menace exploitent les données volées comme une épée à double tranchant : chiffrer les systèmes pour perturber les opérations et exfiltrer les informations sensibles pour la double extorsion. Cette double pression augmente considérablement la probabilité d'un paiement, rendant le modèle économique très attractif.

La faible barrière à l'entrée pour les nouveaux groupes, souvent facilitée par des programmes d'affiliation et des outils facilement disponibles, alimente davantage cette répétition. Les groupes établis partagent ou vendent fréquemment leurs variantes de rançongiciels, leurs infrastructures et même leurs guides de négociation, permettant aux nouvelles entités de démarrer rapidement leurs opérations. La nature décentralisée de ces opérations, associée à la portée mondiale d'Internet, rend l'attribution et l'action des forces de l'ordre difficiles, permettant aux groupes d'opérer avec une impunité relative et de faire évoluer continuellement leurs tactiques.

La prolifération des sites de fuite de rançongiciels est un rappel brutal que l'exfiltration de données, associée au chiffrement, est devenue la stratégie par défaut pour maximiser l'effet de levier de l'extorsion.

Le plan d'attaque étape par étape

Le cycle de vie typique d'une attaque de rançongiciel, aboutissant à une divulgation sur un site de fuite, suit une séquence bien définie. L'accès initial est souvent obtenu via des vulnérabilités dans les applications accessibles au public, des campagnes de phishing entraînant la compromission d'informations d'identification, ou l'exploitation de protocoles de bureau à distance. Les infections initiales sont de plus en plus reconnues comme un précurseur majeur des attaques de rançongiciels, fournissant des points d'appui initiaux et des informations d'identification précieuses.

Une fois à l'intérieur, les attaquants se concentrent sur l'élévation des privilèges et le mouvement latéral, cartographiant le réseau, identifiant les systèmes critiques et exfiltrant les données. Ce vol de données est crucial pour la stratégie de double extorsion. Enfin, ils déploient leur charge utile de rançongiciel, chiffrant les systèmes et laissant des notes de rançon. Si la victime refuse de payer, les données volées sont alors publiées sur le site de fuite dédié du groupe, souvent avec des échantillons pour prouver l'authenticité, afin de contraindre au paiement ou simplement de nuire à la réputation de la victime.

Ce que les défenseurs ont manqué

De nombreuses organisations continuent de manquer des indicateurs précoces critiques et des mesures préventives robustes. Un oubli courant est l'insuffisance des correctifs et de la gestion des vulnérabilités, laissant des faiblesses exploitables dans leur périmètre. Des mécanismes d'authentification faibles, en particulier pour les services d'accès à distance, fournissent également des points d'entrée faciles aux acteurs de la menace. La prévalence des infections initiales suggère un échec dans la détection et la correction des vecteurs de compromission avant qu'ils n'évoluent en déploiements de rançongiciels à grande échelle.

De plus, une segmentation réseau inadéquate permet aux attaquants de se déplacer latéralement avec facilité, transformant une violation localisée en une compromission à l'échelle de l'entreprise. De nombreux plans de réponse aux incidents manquent également de l'agilité ou des ressources nécessaires pour contenir et éradiquer efficacement les menaces une fois qu'elles sont établies, ce qui entraîne des temps de séjour prolongés et une exfiltration de données plus étendue. L'absence de flux de renseignements sur les menaces complets adaptés aux groupes de rançongiciels émergents et à leurs TTP laisse également les défenseurs réactifs plutôt que proactifs.

Une liste de contrôle défensive pratique

Pour contrer la menace persistante des nouveaux groupes de rançongiciels et de leurs sites de fuite, les RSSI et les ingénieurs de sécurité doivent prioriser les actions suivantes :

• Mettre en œuvre un programme robuste de gestion des vulnérabilités : Scannez et corrigez régulièrement les vulnérabilités critiques, en particulier sur les actifs exposés à Internet. Priorisez la correction en fonction de l'exploitabilité et de la criticité des actifs.
• Renforcer les contrôles d'accès et l'authentification : Appliquez l'authentification multifacteur (MFA) sur tous les services, en particulier pour l'accès à distance, les VPN et les comptes privilégiés. Mettez en œuvre les principes Zero Trust.
• Améliorer la détection et la réponse aux points d'extrémité (EDR) : Déployez des solutions EDR avancées pour détecter et répondre aux activités suspectes, y compris les infections initiales et les tentatives de mouvement latéral précoce.
• Segmentez rigoureusement les réseaux : Isolez les systèmes et les données critiques, limitant le potentiel de mouvement latéral et contenant les brèches à des sections plus petites du réseau.
• Développer et tester les plans de réponse aux incidents : Menez régulièrement des exercices de simulation pour vous assurer que votre équipe peut détecter, contenir, éradiquer et récupérer efficacement après une attaque de rançongiciel.
• Maintenir des sauvegardes hors ligne et immuables : Assurez-vous que les données critiques sont régulièrement sauvegardées sur un stockage immuable, isolé du réseau, pour faciliter la récupération sans payer de rançon.
• Abonnez-vous aux flux de renseignements sur les menaces : Utilisez des flux qui suivent les groupes de rançongiciels émergents, leurs TTP et les domaines de sites de fuite connus pour rester informé et proactif.

Comment les tests offensifs modernes auraient détecté cela

Les défenses périmétriques traditionnelles et les évaluations de sécurité statiques ne parviennent souvent pas à identifier les chemins d'attaque complexes utilisés par les groupes de rançongiciels modernes. C'est là que les tests offensifs avancés, en particulier les tests offensifs autonomes avec des preuves de concept (PoC) exécutables, s'avèrent inestimables. Notre plateforme, avec ses tests offensifs autonomes basés sur les renseignements sur les menaces, simule des scénarios d'attaque réels, y compris ceux favorisés par les nouveaux groupes de rançongiciels, pour découvrir les vulnérabilités cachées.

En émulation continue des techniques d'accès initial, de l'élévation des privilèges, du mouvement latéral et de l'exfiltration de données, ces tests identifient les faiblesses avant que les attaquants ne puissent les exploiter. Par exemple, ils pourraient identifier des erreurs de configuration permettant aux infections initiales de prendre pied ou découvrir des systèmes non corrigés que les groupes de rançongiciels ciblent. Les PoC exécutables démontrent précisément comment un attaquant compromettrait un système, fournissant des preuves concrètes et des étapes de correction exploitables, révélant efficacement les chemins d'attaque qui mèneraient à une divulgation sur un site de fuite.

Ce qu'il faut surveiller ensuite

Le paysage des rançongiciels reste très dynamique, et plusieurs tendances méritent une surveillance étroite. L'évolution des modèles de rançongiciels, avec l'émergence de nouveaux groupes et le changement de marque des groupes existants, persistera probablement. Nous devrions anticiper une diversification accrue des tactiques d'extorsion au-delà de la double extorsion, incorporant potentiellement d'autres méthodes pour augmenter la pression.

Le ciblage d'industries spécifiques se poursuivra, car ces secteurs possèdent souvent des données critiques et ont une faible tolérance aux temps d'arrêt. Géographiquement, bien que certaines régions restent des cibles principales, une activité accrue dans d'autres est probable. De plus, l'interaction entre les infections initiales et les attaques de rançongiciels ultérieures deviendra encore plus prononcée, nécessitant une stratégie de défense unifiée qui aborde à la fois la compromission initiale et l'exploitation ultérieure. Le jeu du chat et de la souris entre les défenseurs et les attaquants de plus en plus sophistiqués nécessite une vigilance et des stratégies de sécurité adaptatives.