S’il y a bien un sujet qui a occupé l’esprit des RSSI et des DSI au cours des trois dernières années, marquées par la pandémie de Covid-19 et les environnements de travail hybrides de l’après-Covid, c’est bien celui des ransomwares.
Une main-d'œuvre technologique dispersée — utilisant des services logiciels décentralisés — s'est avérée incapable de faire face aux robots de rançongiciel hautement automatisés et aux logiciels malveillants lançant des attaques de chiffrement. Mais cette année, à l'instar de la fin de « La Guerre des mondes », les robots attaquants pourraient soudainement se taire.
Le ransomware est-il mort ? Et si ce n'est pas le cas, quelle sera la principale préoccupation des dirigeants en matière de cybersécurité pour 2023 ?
Désolé, les ransomwares sont de retour, avec une touche cybernétique
Nous avons en effet assisté à la disparition d'un type de profil de ransomware, à mesure que les chaînes d'attaques par chiffrement provenant du dark web et les rançons en cryptomonnaie commençaient à être mieux connues de la communauté de la sécurité. De plus, bon nombre des plateformes d'échange de cryptomonnaies qui, autrefois, auraient blanchi des Monero et des BTC provenant de rançons pour les convertir en monnaie fiduciaire font faillite ou font l'objet de saisies par les autorités.
Malgré cela, les ransomwares ne font que prendre de l'ampleur à l'heure actuelle. Le groupe NCC a signalé une augmentation de 41 % des attaques par ransomware (s'ouvre dans un nouvel onglet) au cours du seul mois de novembre 2022, alors que l'approche des fêtes de fin d'année avait laissé de nombreuses entreprises en sous-effectif pour y faire face.
Cet agresseur réapparaît également sous une nouvelle forme cybernétique, mi-humaine, mi-à base de silicium. Même des « script kiddies » inexpérimentés peuvent utiliser ChatGPT (s'ouvre dans un nouvel onglet) ou d'autres chatbots basés sur l'IA pour écrire et exécuter du code d'attaque sophistiqué.
Ce qui rend cette approche particulièrement insidieuse, c'est la capacité des chatbots actuels à simuler une conversation grâce à l'intelligence artificielle, ainsi que leur volonté de se faire les complices de leurs homologues humains. ChatGPT est capable d'adapter des astuces automatisées (s'ouvre dans un nouvel onglet) à partir d'un ensemble de codes et de scripts shell existants.
Les chatbots basés sur l'IA sont également capables de rédiger un dialogue professionnel crédible en s'appuyant sur d'anciennes conversations du service client, ce qui leur permet de tromper les employés et d'obtenir, par des techniques d'ingénierie sociale, l'accès à des comptes ou à des privilèges réseau afin de diffuser des logiciels malveillants — qu'ils ont peut-être eux-mêmes contribué à créer.
La plupart de ces attaques ne recourent même plus à l'ancienne méthode consistant à chiffrer les données et à exiger une rançon pour les déverrouiller ; par conséquent, personne ne devrait croire qu'un pirate informatique tiendra sa promesse de supprimer la menace. Les cybercriminels exigent carrément un deuxième, voire un troisième paiement pour éviter la destruction future des données ou des infrastructures.
La chaîne d'approvisionnement logicielle aura ses propres responsables
Les chaînes d'approvisionnement logicielles (s'ouvre dans un nouvel onglet) englobent à la fois des processus de livraison de logiciels manuels et automatisés. Chaque ligne de code et chaque composant créés ou copiés, ainsi que chaque outil servant à configurer et à packager une version logicielle avant sa mise en production, constituent un vecteur d'attaque potentiel au sein de la chaîne logistique.
L'exploit « Log4j » (s'ouvre dans un nouvel onglet) sur décembre 2021 a transformé la fenêtre de script shell d'un utilitaire de journalisation Java très couramment utilisé en une vulnérabilité généralisée présente dans des milliers de systèmes sensibles d'entreprises et d'administrations publiques.
Les développeurs cherchent sans cesse à optimiser leur productivité ; il est donc tout à fait naturel qu’ils copient des extraits de code depuis Stack Overflow et intègrent des paquets de composants logiciels NPM populaires dans leurs structures de compilation, avant de les partager sur GitHub ou d’autres dépôts. Il est bien plus simple d'utiliser ce qui fonctionne pour les autres plutôt que d'écrire soi-même son propre code de configuration à partir de zéro.
En cette époque marquée par de fortes tensions politiques, les pirates agissant pour le compte d'États sont parfaitement conscients de la puissance des exploits « zero-day » présents dans les logiciels et micrologiciels couramment utilisés. Ces acteurs malveillants se montrent particulièrement perfides lorsqu’ils exploitent les chaînes d’approvisionnement logicielles, car leurs objectifs ne se résument pas à des manœuvres financières transparentes visant à s’enrichir.
En intégrant des logiciels malveillants ou des appels malveillants, les pirates peuvent parfois rester à l'abri de toute détection pendant des années, espionnant des informations sensibles ou attendant le moment propice pour lancer une charge utile de sabotage. Les dirigeants en ont pris conscience : plus de 82 % des DSI d'entreprise (s'ouvre dans un nouvel onglet) déclarent estimer que leurs chaînes d'approvisionnement logicielles sont vulnérables, alors même qu'ils recourent de plus en plus à des progiciels tiers.
C’est précisément pour cette raison que nous allons voir la communauté de la sécurité se mobiliser autour des chaînes d’approvisionnement logicielles cette année, et il est probable que nous assistions même à l’implication des États, qui mettront en place leurs propres responsables chargés des chaînes d’approvisionnement technologiques et des réseaux de partage d’informations à l’image d’Interpol, en associant les grandes entreprises à cet effort visant à signaler cette menace émergente et à y faire face.
L'utilisation de l'open source à des fins militaires
En tant que substrat essentiel des chaînes d'approvisionnement logicielles, les logiciels libres (ou OSS) sont sans doute devenus la plus grande source de valeur de tous les temps. Compte tenu des 22 milliards de dollars américains de logiciels que la Fondation Apache affirme publier, sa valorisation boursière dépasserait largement le billion de dollars à l'heure actuelle, si l'on évaluait l'open source comme n'importe quelle autre entreprise.
Même les éditeurs de logiciels autrefois propriétaires se lancent désormais dans l'aventure des logiciels libres, car leurs meilleurs ingénieurs souhaitent participer à des projets open source ; de plus, les entreprises qui font preuve de leadership au sein de la communauté mondiale des développeurs sont mieux à même de répondre aux besoins de leurs clients finaux grâce à des services différenciés s'appuyant sur les logiciels libres, ce qui leur permet d'élargir la taille de leurs marchés potentiels.
Malheureusement, les pirates ont repéré cette tendance très en vogue et ont commencé à fouiller dans les référentiels de code open source facilement accessibles afin d'y implanter des points d'ancrage pour leurs logiciels malveillants. La communauté des développeurs a également relevé ce défi en mettant à disposition des experts en recherche de vulnérabilités de type « white hat », afin d'anticiper les exploits « zero-day » avant qu'ils ne soient exploités à des fins malveillantes.
Compte tenu du nombre considérable de paquets open source téléchargés par les équipes décentralisées à partir de référentiels (selon certaines estimations, nous enregistrons plus d’un milliard de téléchargements Git par semaine), les entreprises devront assumer la responsabilité de leurs propres chaînes d’approvisionnement logicielles grâce à un cycle continu d’audit et de révision de la SBOM (liste des composants logiciels) (s’ouvre dans un nouvel onglet) , qui offre un inventaire complet, basé sur les risques, de chaque élément open source et de chaque version utilisés.
Le point de vue d'Intellyx
La surface d'attaque humaine représentera toujours un risque de sécurité plus important que l'automatisation innovante. C'est là une mégatendance du cyberespace qui ne disparaîtra jamais.
La plupart des logiciels malveillants et des vols d'identifiants continuent de passer par des employés bien intentionnés, via des e-mails de hameçonnage de type « » et des attaques d'ingénierie sociale convaincantes de type « », ou encore par le biais de développeurs téléchargeant des paquets d'apparence utile recommandés par leurs pairs.
En tout état de cause, nous sommes revenus au point de départ, face à une nouvelle réalité où les humains et les systèmes automatisés intelligents travaillent main dans la main pour à la fois attaquer et défendre nos applications et données critiques.
Restez informé des dernières informations sur les cybermenaces de l' . Consultez notre blog hebdomadaire de synthèse ici. (s'ouvre dans un nouvel onglet)
©2023 Intellyx LLC. Intellyx assume la responsabilité éditoriale de ce contenu. À l'heure où nous écrivons ces lignes, Tanium est un client d'Intellyx.
