France : la menace des rançongiciels se maintient à un niveau élevé

Les Conti dans la tourmente

Comme nous et beaucoup d’autres, les équipes d’I-Tracing ont commencé à se pencher sur les fuites de données liées aux activités du gang Conti. Laurent Besset fait également le parallèle avec une PME : « le groupe Conti s’apparente à une entreprise de petite-moyenne taille avec plusieurs départements avec chacun leur propre budget, les horaires du personnel et une direction expérimentée. Il existe aussi un département de Ressources Humaines chargé de s’entretenir avec de potentiels nouveaux employés. Le nombre de salariés simultanés est estimé jusqu’à environ 60 personnes, mais le groupe semblait rencontrer des difficultés à fidéliser ses salariés ». Et de souligner que certaines données confirment les liens avec TrickBot.

Ces fuites et autres tensions internes soulèvent d’importantes questions sur l’avenir de la franchise : « il n’est pas clair si le groupe ressurgira avec un rebranding dans le futur, mais cette fuite a eu un effet dévastateur. Cependant, la facilité avec laquelle il est possible de récupérer le code source même chiffré rend probable une vague de Conti dans les prochains mois qui sera provoquée par les personnes ayant récupéré le code source et souhaitant se lancer dans le business du ransomware ». Et Laurent Besset de rappeler l’exemple de Mirai.  

Les équipes du CERT XMCO se sont également penchées sur les fuites de données liées à Conti. Et Charles Dagouat d’expliquer que « nous avons identifié des données liées à deux de nos clients, chez qui, heureusement, l’attaque avait déjà été identifiée et traitée il y a quelques mois ».

Incertitudes géopolitiques

La guerre en Ukraine est clairement dans les esprits. Antoine Coutant rappelle que « les acteurs étatiques européens ont rehaussé leur niveau d’alerte en anticipation d’attaques d’acteurs prorusses en direction du secteur privé ou des entités d’intérêt vital ». Et de souligner que « des hacktivistes conduisent des attaques de déni de service et de vol d’informations, aussi bien contre des entités russes qu’ukrainiennes ». Et certains acteurs du ransomware n’ont pas manqué de prendre position, parfois à leurs dépens, à l’instar de Conti.

Pour Charles Dagouat, « l’invasion russe en Ukraine a eu l’effet d’un séisme dans le monde des ransomwares avec la prise de position de certains groupes qui ont soutenu un camp ou l’autre ».

Laurent Besset évoque pour sa part le cas de clients d’I-Tracing présents dans la région : pas de « tsunami », mais « on commence à sentir que la pression s’intensifie sur ces systèmes d’information. Cela se traduit par une majoration notable du nombre de compromissions d’actif suite à un phishing ou du drive-by, principalement détectées avec les EDR. Difficile d’affirmer avec certitude qui il y a derrière, mais le phénomène est suffisamment important pour ressortir dans les statistiques ».

Toujours les accès initiaux

Enfin, Charles Dagouat revient sur l’attaque subie par le groupe AON : celle-ci « fait notamment suite à l’opération ransomware ayant visé l’assureur CNA en 2021 par le groupe Evil Corp. Après investigations, nous avons effectivement retrouvé trace de la vente d’un compte par un initial-access broker donnant accès au SI en date du 8 février 2022 ».

Si c’était nécessaire, cet exemple rappelle le rôle clé des courtiers en accès initiaux dans le monde de la cyberdélinquance. Certaines fuites montrant la manière dont le groupe Conti préparait ses attaques l’ont également fortement souligné.