Alors que le monde évolue de plus en plus vers le numérique, les organisations du monde entier deviennent de plus en plus dépendantes des systèmes informatiques pour gérer leurs services. Les acteurs menaçants le savent très bien.

Il y a peu de temps, des cyberattaques étaient utilisées pour propager des virus informatiques afin de nuire aux systèmes cibles, en les rendant par exemple instables. Cependant, à mesure que les outils d’attaque modernes se développaient, un nouveau modèle criminel dévastateur est apparu, capable à la fois de nuire aux systèmes ciblés et d’extorquer de l’argent aux victimes en cryptant leurs fichiers et en les prenant en otage.

Le nouveau modèle d’attaque s’appelle ransomware et prend de l’ampleur d’année en année.

Selon un récent rapport de MalwarebytesLes attaques mondiales de ransomware ont connu une augmentation en 2023. Le rapport a enregistré 1 900 attaques de ransomware contre quatre pays : les États-Unis, l’Allemagne, la France et le Royaume-Uni – en un an.

Les attaques de ransomware deviennent également coûteuses avec le temps, Entreprises de cybersécurité prédit que d’ici 2031, une attaque de ransomware se produira toutes les deux secondes, coûtant au monde environ 265 milliards de dollars (USD) de pertes par an.

Les ransomwares sont-ils exclusivement destinés aux grandes organisations ?

La plupart des attaques de ransomware enregistrées ciblent les grandes organisations ; cependant, ce n’est plus le cas. Les opérateurs de ransomware ciblent plus fréquemment les petites et moyennes entreprises ainsi que les particuliers. Par exemple, avec la rentrée scolaire, les ransomwares se sont multipliés contre les écoles.

Selon le Avenir enregistréau moins 27 écoles et districts ont été touchés par un ransomware en août (voir Figure 1).

Le Modèle économique de ransomware en tant que service (RaaS) permet aux cybercriminels manquant de compétences techniques de lancer des attaques de ransomware sans les développer. Les opérateurs RaaS fournissent la charge utile, l’infrastructure et les systèmes de paiement du ransomware en échange de frais d’affiliation basés sur les rançons réussies.

Cela permet aux attaquants novices de lancer des campagnes de ransomware dévastatrices contre diverses cibles et contribue à accélérer la propagation des attaques de ransomware dans le monde entier.

Attaques récentes de rançongiciels

Presque tous les jours, nous entendons parler dans l’actualité d’un incident majeur de ransomware qui a frappé une grande organisation ; voici quelques incidents récents de ransomware :

• Le groupe de ransomware LockBit a lancé une attaque de ransomware contre la ville d’Oakland en avril 2023, mettant fin au service public 311.
• Le ransomware Royal a frappé l’infrastructure informatique de la ville de Dallas, entraînant la suspension de nombreux services publics et la divulgation des informations personnelles de 26 212 résidents du Texas.
• L’attaque par ransomware contre Harvard Pilgrim Health Care en avril 2023 a permis d’accéder à 2 550 922 données médicales de patients.

Les gangs de ransomwares utilisent des techniques plus avancées pour infecter leurs cibles

Les énormes profits tirés des attaques de ransomwares en ont fait une méthode lucrative pour les cybercriminels pour gagner de l’argent. Les groupes de ransomware basent souvent leurs demandes de rançon sur un pourcentage du chiffre d’affaires annuel de l’entreprise victime, généralement autour de 3%.

Les pirates investissent une partie des paiements de rançon pour développer des outils d’attaque plus robustes et inventer de nouvelles méthodes d’attaque. Voici quelques techniques d’attaque par ransomware :

• Externalisation de l’accès initial aux environnements informatiques cibles à Access Brokers pour accéder aux réseaux cibles via le phishing, des kits d’exploitation ou des informations d’identification volées afin qu’ils puissent déployer leur ransomware
• Exploiter les vulnérabilités du jour zéro dans les contrôles de sécurité et les applications cibles pour y accéder
• Utiliser des outils de test d’intrusion légitimes, tels que Cobalt Strike, pour fournir les charges utiles
• Compromettre des sites Web et les utiliser pour distribuer des kits d’exploitation aux visiteurs du site. Ce qui permet aux attaquants d’exploiter les vulnérabilités des navigateurs Web et du système d’exploitation des visiteurs.

Les attaques liées aux mots de passe sont une méthode courante utilisée par les opérateurs de ransomware pour accéder aux environnements informatiques cibles. Par exemple, le bourrage d’informations d’identification, la pulvérisation de mots de passe, les abus de réinitialisation de mot de passe, les attaques de phishing, la devinette de mot de passe et l’exploitation de mots de passe par défaut sont des attaques courantes basées sur les mots de passe exploitées par les groupes de ransomwares.

Le ransomware LockBit était la variante de ransomware la plus déployée en 2022 et continue d’être répandue en 2023.

Les opérateurs LockBit exploitent des techniques sophistiquées pour attaquer leurs cibles, principalement via des attaques liées aux mots de passe, telles que :

• Exécuter des attaques de phishing personnalisées (Spearphishing) contre des cibles bien documentées
• Exécutez des attaques par force brute contre les applications Internet des entreprises, telles que RDP et VPN.
• Achat d’identifiants d’accès volés sur les marchés du darknet, tels que le réseau TOR
• Utiliser des outils de sécurité tels que Mimikatz pour collecter les informations d’identification de la mémoire des systèmes cibles afin d’obtenir un accès non autorisé et d’élever les privilèges.

Comment les pirates monétisent-ils et exploitent-ils les mauvais comportements liés aux mots de passe ?

Il existe de nombreuses façons pour les pirates informatiques de tirer parti d’une mauvaise pratique en matière de mots de passe :

• Bourrage d’informations d’identification : les pirates utilisent des paires nom d’utilisateur/mot de passe précédemment compromises pour accéder à d’autres comptes sur lesquels les utilisateurs utilisent les mêmes informations d’identification. Il est courant que les utilisateurs réutilisent le même mot de passe pour sécuriser plusieurs comptes en ligne, ce qui rend cette attaque réalisable.
• Attaques par force brute : les pirates informatiques devinent les mots de passe des utilisateurs à l’aide d’outils automatisés, tels que Jean l’éventreur et Caïn et Abel
• Pulvérisation de mots de passe : les attaquants préparent une liste de noms d’utilisateur, puis essaient un mot de passe commun (par exemple, le mot de passe par défaut) pour tenter de se connecter à tous ces comptes.
• Attaques de phishing : les pirates créent de fausses pages Web de connexion ressemblant à des pages Web légitimes et incitent les utilisateurs à saisir leurs informations d’identification de compte, que les pirates collectent ensuite.
• Comment la politique de mot de passe Specops peut vous aider à atténuer les attaques de ransomwares ?

Pour mettre fin aux attaques de ransomwares qui profitent des pratiques de mot de passe faibles des utilisateurs finaux, il est conseillé d’utiliser Politique de mot de passe Specopsqui étend les fonctionnalités de la stratégie de groupe dans Active Directory et fournit des fonctionnalités avancées de stratégie de mot de passe, notamment :

• Liste de dictionnaires personnalisés pour bloquer l’utilisation de mots de passe couramment utilisés dans votre organisation, comme le nom et l’emplacement de l’entreprise.
• Paramètres permettant de lutter contre les modèles de composition prévisibles, tels que la réutilisation d’une partie de l’ancien mot de passe, des caractères consécutifs et des caractères incrémentiels.
• Protection contre les violations de mots de passe avec des contrôles quotidiens pour bloquer l’utilisation de plus de 4 milliards de mots de passe uniques compromis trouvés sur des listes de violations connues
• Prise en charge de la phrase secrète

Les ransomwares continuent d’évoluer en tant que modèle économique privilégié par les cybercriminels.

Pour lutter contre les ransomwares, les organisations doivent renforcer leurs cyberdéfenses en utilisant un modèle de sécurité à plusieurs niveaux qui implique l’application de politiques de mots de passe strictes et le déploiement de différentes solutions de sécurité.

Par exemple, la plupart des attaques de ransomware commencent par un mot de passe compromis, bloquant ainsi l’utilisation de plus de 4 milliards de mots de passe uniques compromis permet de prévenir toutes les cyberattaques qui profitent de ce vecteur d’attaque.

Sponsorisé et écrit par Logiciel Specops.