IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Victime d'un ransomware, une entreprise paie des millions aux cybercriminels pour restaurer ses fichiers.
L'entreprise se fait attaquer à nouveau par le même ransomware et paie encore

Le , par Stéphane le calme

198PARTAGES

13  0 
Une entreprise qui a été victime d'une attaque de ransomware et a payé des millions de cybercriminels pour la clé de décryptage afin de restaurer ses fichiers a été victime des mêmes opérateurs de ransomwares moins de deux semaines plus tard après avoir omis d'examiner pourquoi l'attaque a pu se produire en premier lieu.

Les attaques de WannaCry au printemps 2017, suivies par NotPetya quelques mois après, ont alerté le public sur l'impact potentiel des attaques de ransomwares. Les deux attaques ont été attribuées par le NCSC comme étant le travail d'acteurs sponsorisés par des États. Le ransomware s'est propagé de manière indépendante et virulente à travers les réseaux, affectant presque tous les appareils qu'ils ont touchés.

Aujourd'hui, les ransomwares sont assez différents. Non pas en termes d'impact (qui continue d'avoir des ramifications opérationnelles dévastatrices pour les victimes), mais plutôt en termes de techniques employées.

Les activités des ransomwares peuvent prospérer parce que les organisations ont du mal à fonctionner sans les données modernes ; ainsi, même un bref arrêt des fonctions administratives les plus banales peut paralyser toute une entreprise.

Jusqu'à récemment, les ransomwares se concentraient uniquement sur l'élément « disponibilité » de l'information en empêchant les utilisateurs d'accéder à leurs données. Cela a été réalisé soit par chiffrement, soit par modification des comptes d'utilisateurs et des mots de passe. Mais alors que la prévalence des sauvegardes et de la redondance du système augmentait pour atténuer la perturbation de la disponibilité, les attaquants sont passés à l'élément « confidentialité » en menaçant de publier du matériel volé en ligne.

Plutôt que d'ignorer simplement la demande de rançon lors de la restauration de leurs systèmes à partir de sauvegardes, les victimes craignent désormais que leurs données sensibles soient exposées au monde et, avec elles, encourent des risques d'atteinte à leur réputation. Il y aura également des considérations supplémentaires sur l’impact des sanctions par une autorité de protection des données (comme la CNIL en France).

L'entreprise qui ne procède pas à l'analyse

Dans un billet de blog, le Centre national de cybersécurité du Royaume-Uni (NCSC) exhorte les organisations à la prudence. Elle a parlé d'une entreprise qui a été victime d'une attaque de ransomware et a payé des millions en bitcoins afin de restaurer le réseau et de récupérer les fichiers.

Cependant, la société en est restée là, ne procédant pas à l’analyse de la façon dont les cybercriminels ont infiltré le réseau. Cela s’est retourné contre eux puisque les mêmes opérateurs ont infiltré le réseau par les mêmes brèches avec le même ransomware moins de deux semaines plus tard. L'entreprise a fini par payer une deuxième fois une rançon.

« Nous avons entendu parler d'une organisation qui a payé une rançon (un peu moins de 6,5 millions de livres sterling avec les taux de change actuels) et a récupéré ses fichiers (à l'aide du décrypteur fourni), sans aucun effort pour identifier la cause première et sécuriser son réseau. Moins de deux semaines plus tard, le même attaquant a de nouveau attaqué le réseau de la victime, en utilisant le même mécanisme qu'auparavant, et a redéployé son ransomware. La victime a estimé qu'elle n'avait d'autre choix que de payer à nouveau la rançon », est-il noté dans le billet de blog du NCSC.


Traiter les causes, non les symptômes

Le NCSC a estimé que l'incident doit servir de leçon aux autres organisations, la leçon étant que si vous êtes victime d'une attaque de ransomware, il est crutial de découvrir la brèche qu'ont empruntée les cybercriminels pour s'intégrer au réseau sans être détectés avant que la charge utile du ransomware ne soit déclenchée.

« Pour la plupart des victimes qui contactent le NCSC, leur première priorité est – naturellement – de récupérer leurs données et de s'assurer que leur entreprise peut à nouveau fonctionner. Cependant, le vrai problème est que les ransomwares ne sont souvent qu'un symptôme visible d'une intrusion réseau plus grave qui peut avoir persisté pendant des jours, voire plus. Même avec le ransomware supprimé et le système restauré à partir des sauvegardes, les attaquants:
  • peuvent avoir un accès par porte dérobée au réseau
  • ont probablement des privilèges d'administrateur
  • pourraient tout aussi facilement redéployer le ransomware s'ils le voulaient »

Examiner le réseau à la suite d'un incident de ransomware et déterminer comment le malware a pu pénétrer sur le réseau tout en restant non détecté pendant si longtemps est donc quelque chose que toutes les organisations victimes de ransomware devraient envisager parallèlement à la restauration du réseau (ou de préférence, avant qu'ils ne pensent même à restaurer le réseau).

Certains pourraient penser que payer la rançon aux criminels sera le moyen le plus rapide et le plus rentable de restaurer le réseau, mais c'est aussi rarement le cas. Parce que non seulement la rançon est payée, potentiellement très salée, mais l'analyse post-événement et la reconstruction d'un réseau endommagé coûtent également cher.

Et comme le note le NCSC, être victime d'une attaque de ransomware entraînera souvent une longue période de perturbation avant que les opérations ne ressemblent à quelque chose de normal.

« La récupération d'un incident de ransomware est rarement un processus rapide. L'enquête, la reconstruction du système et la récupération des données impliquent souvent des semaines de travail », indique l’organisation sur son billet.

L’agence conseille de s’assurer que les systèmes d'exploitation et les correctifs de sécurité sont à jour et d’appliquer une authentification multifacteur sur le réseau.

Elle recommande aussi de faire des mises à jour régulières :
  • Faites des sauvegardes régulières de vos fichiers les plus importants – ce sera différent pour chaque organisation – vérifiez que vous savez comment restaurer les fichiers à partir de la sauvegarde et testez régulièrement que cela fonctionne comme prévu.
  • Assurez-vous de créer des sauvegardes hors ligne qui sont séparées, dans un emplacement différent (idéalement hors site), de votre réseau et de vos systèmes, ou dans un service cloud conçu à cet effet, car le ransomware cible activement les sauvegardes pour augmenter les chances de paiement.
  • Faites plusieurs copies de fichiers à l'aide de différentes solutions de sauvegarde et emplacements de stockage. Vous ne devez pas compter sur deux copies sur un seul lecteur amovible, ni sur plusieurs copies dans un seul service cloud.
  • Assurez-vous que les périphériques contenant votre sauvegarde (tels que les disques durs externes et les clés USB) ne sont pas connectés en permanence à votre réseau. Les attaquants cibleront les périphériques et solutions de sauvegarde connectés pour rendre la récupération plus difficile.
  • Vous devez vous assurer que votre service cloud protège les versions précédentes de la sauvegarde contre la suppression immédiate et vous permet de les restaurer. Cela empêchera à la fois vos données en direct et vos données de sauvegarde de devenir inaccessibles – les services cloud se synchronisent souvent automatiquement immédiatement après que vos fichiers ont été remplacés par des copies cryptées.
  • Assurez-vous que les sauvegardes sont uniquement connectées à des périphériques propres connus avant de démarrer la restauration.
  • Analysez les sauvegardes à la recherche de logiciels malveillants avant de restaurer les fichiers. Les ransomwares peuvent avoir infiltré votre réseau sur une période de temps et répliqué sur des sauvegardes avant d'être découverts.
  • Appliquez régulièrement des correctifs aux produits utilisés pour la sauvegarde, afin que les attaquants ne puissent pas exploiter les vulnérabilités connues qu'ils pourraient contenir.

Source : NCSC

Et vous ?

Que pensez-vous des conseils prodigués par le NCSC ?

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de trollator
Membre à l'essai https://www.developpez.com
Le 07/04/2021 à 11:41
Ou alors c'est une technique pour un associé de sortir de l'argent de sa boite sans payer d'impôts, cotisations, taxes, etc.
4  0 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 06/04/2021 à 20:03
Il y a clairement pas assez d'ingénieurs cybersécurité compétents et actifs dans les entreprises, il y a un tas de news qui ont été publiées sur https://securite.developpez.com qui le confirment chaque jour.

Pendant ce temps Poutine héberge des gangs de rançongiciels très bien organisés et qui travaillent en toute impunité.

Le deal qu'a Poutine avec eux c'est qu'il leur fou la paix sur les opérations rançongiciels mais il leur demande de bosser pour lui sur l'espionnage pour obtenir les infos dont il a besoin par ailleurs.
2  0 
Avatar de tanaka59
Membre extrêmement actif https://www.developpez.com
Le 07/04/2021 à 21:36
Bonsoir,

Que pensez-vous des conseils prodigués par le NCSC ?
Les conseils de bon sens , la logique et le "B A BA" quoi :

> sauvegarde multiple et multicanal
> sniffer le trafic pour limiter les intrus
> savoir ce qu'on consulte donc quelle vanne on ouvre ou ferme
> ne surtout pas payer de rançon ! C'est tentant ... simplement oubliez . C'est comme se faire cambrioler 2 fois ... mieux vaut éviter d'attirer les convoitises (faut se faire passer pour un pauvre en fait )
> inventorier régulièrement ce qu'on a pour s'assurer qu'il n'y a pas de mouvement suspect

Pour l'histoire de l'entreprise qui se fait 2 fois avoir par le rançongiciel ... des baffes se perdent ma parole ... Les clients devraient porter plaintes contre la société pour négligence et participation à des activités frauduleuses ! La clairement c'est gros comme le nez au milieu de la figure.
2  0 
Avatar de archqt
Membre expérimenté https://www.developpez.com
Le 06/04/2021 à 18:32
Les cons ça ose tout, c'est à cela qu'on les reconnait.

Incroyable comme histoire, y en a...
1  0 
Avatar de curt
Membre émérite https://www.developpez.com
Le 06/04/2021 à 19:44
Comme disait Coluche : "Tant que je gagne, je joue !"
Et comme jamais deux sans trois, il y a fort à parier qu'ils reviennent en troisième semaine...
1  0 
Avatar de Artemus24
Expert éminent sénior https://www.developpez.com
Le 25/05/2021 à 12:37
Salut à tous.

Il y a un minimum de sécurité à mettre en place dans les entreprises.
Mais par faute de moyen car l'entreprise est trop petite ou suite au COVID-19, ou encore ne pas vouloir investir dans des logiciels ou du matériel de sécurité car trop compliqué à mettre en œuvre, ces entreprises seront des proies faciles.

Bien que je sois un particulier, je suis arrivé à augmenter la sécurité de mon réseau local et surtout de mon ordinateur windows, en suivant les conseils de ce site :
--> https://www.grc.com/x/ne.dll?bh0bkyd2

@+
1  0