Rançongiciel

Une attaque de type rançongiciel, ou ransomware en anglais, consiste à compromettre un équipement ou un système d’information pour en bloquer l’accès, en chiffrer et/ou en copier les données en réclamant une rançon à la victime pour les rendre à nouveau accessibles et/ou ne pas les divulguer.

Ce type d’attaque est généralement consécutif à une intrusion suite à l’exploitation de failles de sécurité ou d’une sécurisation insuffisante des accès à distance aux systèmes exposés sur Internet (NAS, RDP, VPN…), ou encore par la compromission d’un compte ou d’une machine du système d’information suite à un hameçonnage (phishing) ou l’infection par un programme malveillant (virus).

Durant l’attaque, les cybercriminels chercheront souvent à détruire les sauvegardes de la victime pour l’empêcher de restaurer ses données. Ils pourront également exfiltrer les données de la victime pour la menacer de les rendre publiques.

Si les cybercriminels peuvent se limiter au vol des données, dans la majorité des cas, ils rendront les données de la victime inaccessibles en les chiffrant et demanderont alors une rançon en échange des outils et de la clef de déchiffrement et/ou la promesse de ne pas divulguer les données dérobées.

Les attaques sont généralement déclenchées durant une période identifiée par les cybercriminels de moindre activité de la victime (la nuit, le week-end…), afin de maximiser les chances qu’elles ne puissent pas être détectées rapidement et interrompues.

Les attaquants peuvent aussi mettre en œuvre d’autres moyens de pression sur la victime : revendication publique de l’attaque, attaque en déni de service (DDoS) contre son site Internet, communication auprès de ses clients, administrés…

En fonction de son ampleur, une attaque par rançongiciel peut conduire à paralyser complètement l’activité de l’organisation qui en est victime si elle ne dispose pas des ressources et moyens nécessaires pour y faire face.

But recherché :

Extorquer de l’argent à la victime en échange de la promesse (pas toujours tenue) de luirestituer l’accès aux équipements ou aux données chiffrées et/ou de la non-divulgation de ses données dérobées.

Coupez les connexions à Internet du réseau attaqué pour bloquer toute communication de l’attaquant avec votre réseau interne. Pour cela, éteignez votre routeur ou « box » Internet si c’est l’équipement qui vous permet de vous connecter à Internet.

Identifiez et déconnectez les machines attaquées du réseau informatique pour que l’attaque ne puisse se propager à d’autres équipements. Pour cela, débranchez le câble Ethernet ou désactivez la connexion Wi-Fi des ordinateurs, serveurs… touchés par l’incident. Si vos sauvegardes sont connectées au réseau, débranchez-les pour éviter leur destruction.

N’éteignez pas les machines touchées au risque que des éléments de preuve contenus dans la mémoire des équipements et nécessaires aux investigations soient effacés. Toutefois, si le chiffrement des données qu’elles contiennent est encore en cours et pourrait donc être interrompu, une extinction conservatoire des machines impactées par l’attaque doit être envisagée en privilégiant une mise en veille prolongée.

Ne démarrez pas les machines éteintes dont les données ont pu être épargnées par l’attaque pour éviter qu’elles ne soient à leur tour compromises.

Alertez immédiatement votre service ou prestataire informatique si vous en disposez afin qu’il puisse intervenir et prendre les mesures nécessaires.

Pilotez la crise :– Constituez une équipe de gestion de crise afin de coordonner les actions des différentes composantes concernées (direction, technique, RH, financière, communication, juridique, métiers…).– Tenez un registre des évènements et actions réalisées pour pouvoir en conserver la trace à disposition des enquêteurs et tirer les enseignements de l’incident a posteriori.– Gérez votre communication pour informer avec le juste niveau de transparence vos administrés, clients, collaborateurs, partenaires, fournisseurs, médias…– Mettez en œuvre des solutions de secours pour pouvoir continuer d’assurer les services indispensables. Activez vos plans de continuité et de reprise d’activité (PCA-PRA) si vous en disposez.

Ne payez pas la rançon réclamée car vous n’êtes pas certain de récupérer vos données ou bien que les données potentiellement dérobées ne seront pas rendues publiques ou utilisées à des fins frauduleuses. De plus, vous encourageriez les cybercriminels à surenchérir et/ou chercher à vous attaquer à nouveau et financeriez le développement de leur activité.

Conservez ou faites conserver les preuves par un professionnel : fichiers de journalisation (logs) de vos solutions de sécurité (pare-feu, proxy, annuaire Active Directory…), copies physiques des postes ou serveurs touchés (à défaut, conservez leurs disques durs), message de demande de rançon, et quelques fichiers chiffrés qui pourront vous servir pour signaler cette attaque aux autorités et qui seront des éléments d’investigation.

Il est important de garder à l’esprit que avant la réinstallation des appareils touchés, de manière à conserver les preuves techniques de l’incident et pouvoir les fournir aux enquêteurs.

Déclarez le sinistre auprès de votre assureur qui peut vous dédommager, voire vous apporter une assistance en fonction de votre niveau de couverture assurantielle.

Identifiez l’origine de l’attaque et prenez les mesures nécessaires pour qu’elle ne puisse pas se reproduire. L’intrusion peut provenir de l’exploitation de failles de sécurité, de défauts de configuration ou de sécurisation d’équipements exposés sur Internet (RDP, VPN, NAS…) : systèmes non mis à jour de leurs correctifs de sécurité,  services ouverts peu sécurisés ou inutiles, mots de passe trop simples ou utilisation de mots de passe par défaut qui n’auraient pas été changés… Elle peut également provenir de la compromission d’un compte ou d’une machine du système d’information, suite à un hameçonnage (phishing) et/ou l’infection par un programme malveillant (virus).

Identifiez les activités de l’attaquant au sein de votre système informatique. Par exemple : création de comptes administrateurs ou à privilèges/droits élevés, ajout d’un fichier dans le système, lancement et/ou exécution de programmes ou de processus inconnus, création de tâches planifiées, existence d’activités réseau inhabituelles ou inconnues, modification suspecte du registre Windows, etc.

Évaluez et vérifiez l’étendue de l’intrusion à d’autres appareils ou équipements de votre système informatique. Identifiez les éventuelles informations perdues ou compromises.

Réalisez une analyse antivirale complète (scan) des équipements touchés avec votre antivirus. Avant cette opération, n’oubliez pas de mettre à jour votre antivirus.  Redémarrez vos équipements après cette opération.

Recherchez si une solution de déchiffrement existe. Le site No More Ransom d’Europol met à disposition des solutions de déchiffrement qui peuvent fonctionner dans certains cas.

Réinstallez les systèmes touchés. Reformatez les postes et/ou serveurs touchés et réinstallez un système sain. Puis, restaurez les données depuis une sauvegarde antérieure à l’attaque après s’être assuré qu’elle n’était pas infectée.

Changez tous les mots de passe d’accès aux équipements qui ont été touchés par l’attaque. Modifiez également tous les mots de passe des utilisateurs ayant accès au système et qui ont pu être compromis.

Après la réinstallation de vos systèmes et avant de les remettre en service, mettez à jour l’ensemble de vos logiciels et de vos équipements pour corriger toutes leurs failles de sécurité connues.

Faites une remise en service progressive et contrôlée après vous être assuré que le système attaqué a été corrigé de ses vulnérabilités et en en surveillant son fonctionnement pour pouvoir détecter toute nouvelle attaque.

1. Réalisez des sauvegardes régulières de vos données, systèmes et applications critiques, en gardant des copies déconnectées, et en vérifiant périodiquement le bonfonctionnement de leur restauration.La fréquence de vos sauvegardes dépendra de votre risque admissible de pertes de données en cas d’incident. Pour répondre à cette question, demandez-vous quel serait pour vous l’impact de la perte d’un jour, d’une semaine ou d’un mois de données (commandes, factures, productions, messages, rendez-vous…).

2. Appliquez de manière régulière et systématique les mises à jour de sécuritédes logiciels de tous vos équipements, en particulier ceux directement exposés sur Internet (points d’accès extérieurs, VPN, pare-feux…).

3. Utilisez une solution de protection contre les programmes et comportements malveillants (antivirus, EDR, XDR, NDR…) sur l’ensemble de vos postes de travail et serveurs.

4. Utilisez un pare-feu pour protéger les accès extérieurs à votre réseau informatique interne : – N’autorisez que les machines et services indispensables à votre activité ;– Restreignez les accès extérieurs aux seules zones géographiques autorisées (ex : empêcher des connexions depuis l’étranger si non nécessaires ou limitées aux seules zones autorisées) ;– Bloquez les accès extérieurs à votre réseau en dehors des plages d’activité normale de votre organisation (ex : nuit, week-end, jours fériés…).Pour les plus petites organisations qui ne sont pas encore équipées d’un pare-feu, de premières fonctionnalités de filtrage des connexions Internet peuvent déjà être configurées au niveau de l’interface de gestion de votre « box » Internet.

5. Sécurisez les accès distants à votre réseau informatique interne en utilisant un VPN (Virtual Private Network ou réseau privé virtuel en français) et systématisez l’emploi d’une double authentification pour tous vos accès extérieurs, y compris ceux nécessaires à la télémaintenance.

6. Limitez les droits de tous les utilisateurs selon le « principe de moindre privilège ».Ainsi, les collaborateurs doivent disposer uniquement des droits et des accès strictement nécessaires pour l’accomplissement de leurs tâches. De même, l’administration des systèmes doit idéalement se faire depuis des postes ou comptes dédiés sans accès autorisé à Internet, et la télémaintenance doit faire l’objet d’une sécurisation renforcée.

7. Utilisez des mots de passe suffisamment longs, complexes et différents pour chaque service. Veillez à remplacer les mots de passe par défaut de vos logiciels et équipements qui peuvent être connus par les cybercriminels. Activez également la double authentification sur tous vos services et applications hébergés sur Internet (SaaS) qui peuvent contenir des données critiques de votre organisation.

8. N’installez pas d’applications ou de logiciels « piratés »ou dont l’origine ou la réputation sont douteuses, car ils peuvent souvent être piégés par un programme malveillant (virus) et permettre aux cybercriminels de déclencher leur attaque.

9. Sensibilisez l’ensemble de vos collaborateurs aux risques et rappelez régulièrement les consignes de sécurité,notamment sur les comportements à avoir face à un message suspect, ou contenant une pièce jointe ou un lien pour la télécharger, ou encore pour savoir réagir en cas de cyberattaque.

10. [Avancé] Supervisez la sécurité de votre système d’information.Vérifiez régulièrement les fichiers de journalisation (logs) de vos équipements (pare-feu, serveurs, proxy…) afin d’identifier toute activité anormale : connexion suspecte, volume inhabituel de téléchargement d’informations…

11. [Avancé] Renforcez la sécurité de vos interconnexions à Internet.Des dispositifs complémentaires comme un serveur mandataire (proxy) et/ou un pare-feu applicatif (WAF)  permettent d’augmenter de manière significative la sécurité des organisations qui sont en mesure de les mettre en œuvre et de les exploiter.

12. [Avancé] Segmentez votre réseau informatique.Pour les systèmes d’information les plus étendus, il est recommandé de cloisonner le réseau informatique interne en différentes zones (utilisateurs, administrateurs, serveurs…) en mettant en place des dispositifs de filtrage et de contrôle renforcés entre ces zones (VLAN, DMZ, pare-feu…) pour limiter les risques de propagation d’une attaque aux ressources les plus critiques.