Ransomware : un mois de septembre 2020 sans précédent

Un terreau très propice

Le premier élément d’explication est la multiplication des découvertes de vulnérabilités ouvrant les portes des systèmes d’information des organisations publiques comme privées. On pense notamment là aux systèmes d’accès à distance, ou aux serveurs VPN, avec la vulnérabilité CVE-2019-19871 pour les systèmes Citrix Netscaler Gateway, la CVE-2020-3452 pour les Cisco ASA, la CVE-2019-11510 pour les VPN Pulse Secure, la CVE-2020-5902 pour les systèmes F5, ou encore la CVE-2020-2021 pour les systèmes Palo Alto Networks et la CVE-2018-13379 pour les serveurs VPN Fortinet.

Et ce n’est pas tout. Il convient d’ajouter à cela certaines vulnérabilités affectant des applicatifs et prisées par les assaillants, comme la CVE-2020-6287 pour SAP Netweaver, ou la CVE-2019-11580 pour les serveurs Atlassian Crowd… ou encore ces nombreux services RDP accessibles en ligne sans authentification sur la couche réseau (NLA).

En fait, toute vulnérabilité permettant d’obtenir un accès initial dans un système d’information est susceptible d’être exploitée avant que ne soit revendu cet accès à des cyberdélinquants. Les opérateurs de ransomware sont particulièrement friands de ces accès, proposés parfois à la vente pour ce qui peut ressembler à une bouchée de pain par rapport au montant des rançons demandées ensuite.

À cela s’ajoutent enfin des vulnérabilités comme Zerologon qui peuvent accélérer la prise de contrôle du domaine Active Directory de la victime, une fois les attaquants dans la place, si les correctifs n’ont pas été appliqués.

Des cybermafieux particulièrement actifs

À cet environnement fertile s’ajoute une agressivité accrue des assaillants. Emotet a récemment fait un retour en fanfare, touchant des entreprises, des magistrats, ou encore collectivités locales, comme à Besançon. L’homologue allemand de l’Anssi, le BSI, a recommencé à alerter d’ailleurs localement sur la menace depuis le début du mois septembre, après une première campagne d’information lancée début août.

De son côté, Proofpoint l’évoquait fin août, mentionnant des messages en français… mais sans indiquer la France parmi les cibles. L’Anssi a récemment sonné le tocsin. Et c’est essentiel, car comme le rappelait récemment Nicolas Caproni, patron du renseignement sur les menaces de Sekoia : « détecter Emotet, TrickBot ou Qakbot est sûrement le signe avant-coureur d’une attaque de plus grande ampleur ».

À cela s’ajoute l’apparition de nouveaux ransomwares pratiquant la double extorsion : le paiement d’une rançon n’est pas exigé uniquement pour déchiffrer les données, mais aussi pour éviter leur divulgation. Le nouveau Conti est particulièrement agressif, mais il faut aussi compter avec MountLocker, SunCrypt, LockBit, ou Egregor (ex-Sekhmet). Les plus connus, comme Maze et Revil/Sodinokibi, n’ont pas pour autant raccroché les gants. Et puis il y a aussi les plus « discrets » comme RansomExx, Ekans, ou encore Ryuk.

Justement, ce phénomène impose une certaine prudence : la progression considérable du nombre de ransomwares jouant la double extorsion est susceptible de produire un effet de loupe. De fait, le nombre d’attaques connues n’est pas plus élevé uniquement parce que les attaques sont plus nombreuses, mais aussi parce qu’un plus grand nombre d’entre elles sont rendues publiques. Une analyse partagée par Jérôme Notin.

Une mafia qui se nourrit de ses victimes

En outre, la multiplication des victimes appelle elle-même à une nouvelle multiplication des victimes. Comme le souligne Fabien Lorc’h, d’Airbus CyberSecurity, « quand un majeur comme [CMA-CMG] est touché, l’ensemble du secteur et [de ses] contacts deviennent encore plus à risque

Pivoter d’une cible à l’autre. Au final, pour oser une métaphore, une campagne de ransomware, c’est comme une pandémie : un seul patient touché, et ce sont des tas de cas contact ».

De fait, les données dérobées par les cyberdélinquants avant le déclenchement de leur rançongiciel peuvent être de véritables mines d’or pour de futures campagnes de hameçonnage hautement ciblé… et facilité par l’utilisation d’informations bien réelles glanées à l’occasion de la précédente attaque. Une seule liste de milliers d’adresses e-mail assorties de quelques éléments personnels supplémentaires peut déjà constituer un point de départ redoutable. Mi-juillet, Brett Callow, chez Emsisoft, attirait notre attention sur un tel cas suspect. Et c’est sans compter avec la mise à profit d’interconnexions techniques. Ou l’illusion de sécurité venant d’un assainissement insuffisant du système d’information compromis.

Et puis chaque rançon versée permet aux cybertruands de recruter de nouveaux complices. Récemment, le groupe Revil, opérateur du ransomware Sodinokibi, a ainsi pu s’offrir le luxe de déposer une caution de près de 1 M$, en bitcoins, dans un forum assidûment fréquenté par les cyberdélinquants comme garantie pour de futures recrues. Tout en détaillant les modalités de partage des butins…

Car si les mafieux du rançongiciel commencent par acheter des accès aux systèmes d’information de cibles potentielles, ils embauchent ensuite des pirates capables d’en tirer profit pour aller compromettre le contrôleur du domaine Active Directory, et déployer leur charge utile. Avant de partager les revenus.

Comment se protéger

De fait, la cybercriminalité financière emprunte largement aux APT soulignait début février dans nos colonnes, Ivan Kwiatkowski des équipes de recherche et d’analyse de Kaspersky. Concrètement, cela veut dire que l’attaque s’étend largement en profondeur dans le système d’information, jusqu’à l’obtention de privilèges dignes d’un administrateur et donnant un accès très vaste aux données de l’entreprise compromise.

C’est pourquoi, lorsque le ransomware détone, c’est vraiment trop tard. Et l’infrastructure Active Directory doit être solidement protégée et pensée de manière robuste, en tiers distincts selon la criticité des rôles, sans jamais appréhender la réplication comme une sauvegarde.

La sécurité des potentiels points d’entrée exposés sur Internet apparaît sans doute cruciale, avec l’application des correctifs disponibles pour les vulnérabilités connues. Et c’est sans compter la protection contre les menaces diffusées par la messagerie électronique, à commencer par Emotet, comme nous le détaillions récemment.

Au-delà, il convient de limiter autant que possible les capacités de déplacement latéral de l’assaillant, comme le décrit Benjamin Delpy, créateur de Mimikatz, dans nos colonnes, ainsi que de sécuriser les outils d’administration pour empêcher leur détournement par des cyberdélinquants.