Le paysage actuel des cybermenaces est un environnement instable. Pour beaucoup, le facteur qui a le plus contribué à la situation actuelle est le conflit entre la Russie et l'Ukraine, ainsi que les cyberattaques qui l'ont accompagné. Nos partenaires d’ , chez Deep Instinct, ont rendu compte en détail des événements et de leur impact sur le paysage des menaces.
Il est impossible d’évoquer le paysage des cybermenaces sans aborder les situations géopolitiques — ce qui est tout à fait normal, à condition de le faire en tenant compte de l’incertitude qui entoure l’actualité. On ignore combien de temps cette situation va durer, ni quelles pourraient être les répercussions à long terme d'une situation géopolitique complexe.
Comment le paysage des menaces évolue
L'objectif de Tanium est de se tenir au courant des principales tendances et d'en tirer des informations exploitables afin de pouvoir vous aider. Vous trouverez ci-dessous un aperçu des principales tendances observées dans le domaine des cybermenaces :
- Augmentation possible des attaques par ransomware dans un contexte d'instabilité économique : Les États-Unis ayant choisi d'imposer de lourdes sanctions à l'encontre des intérêts russes comme principale réponse à l'incursion de la Russie, l'instabilité économique qui en résulte pourrait entraîner une recrudescence des attaques par ransomware visant les intérêts américains. Le FBI a qualifié la Russie d’« environnement propice aux cybercriminels » et a averti que les États-Unis pourraient connaître « une éventuelle recrudescence des cybermenaces » de la part de pirates informatiques agissant avec le soutien de la Russie.
- Apparition d’un nouveau logiciel malveillant destructeur : Comme indiqué dans , un article récent de Deep Instinct, les cyberactivités russes « visant à semer le chaos et à perturber les communications au sein des institutions gouvernementales et militaires ukrainiennes » au cours des semaines qui ont précédé l’invasion comprenaient le déploiement d’un nouveau logiciel malveillant effaçant le disque dur, appelé HermeticWiper (ainsi que des attaques DDoS à grande échelle et des défigurations de sites web). Au cours des semaines qui ont suivi, au moins deux nouvelles souches de logiciels malveillants destructeurs ont vu le jour dans le cadre de ce conflit, accompagnées de vecteurs d'infection inédits et de logiciels malveillants auxiliaires conçus pour garantir la diffusion effective de charges utiles destructrices.
- Hameçonnage et autres escroqueries tirant parti du conflit : comme pour tout événement mondial très médiatisé (y compris les cyberattaques), les acteurs malveillants ne tardent pas à exploiter les informations disponibles et l'incertitude du public pour créer des leurres d'hameçonnage convaincants et mener des campagnes d'ingénierie sociale. Les motivations derrière ces campagnes vont de l'espionnage au vol d'identifiants, en passant par les escroqueries financières.
- Risque de « répercussions » des cyberattaques visant des cibles américaines : L’Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA), ainsi que d’autres agences multinationales chargées de la cybersécurité, ont exprimé à plusieurs reprises leurs inquiétudes quant au fait que les cyberattaques observées dans le cadre du conflit entre la Russie et l’Ukraine pourraient s’étendre au-delà de la zone de conflit et avoir des répercussions sur des organisations situées aux États-Unis, dans l’Union européenne ou sur le territoire occidental.
- L'implication des hacktivistes fait monter les enjeux : les actes de hacktivisme commis dans le contexte de conflits géopolitiques risquent d'être attribués à tort par les deux camps, d'être interprétés comme des activités hostiles soutenues par l'État et d'aggraver involontairement les tensions. Le hacktivisme (aussi bien intentionné soit-il) peut intensifier les affrontements sur le champ de bataille et accroître les risques dans le cyberespace — une réalité qui pourrait coûter des vies, détruire des infrastructures essentielles ou entraîner des mesures de représailles visant les États-Unis et les nations avec lesquelles ceux-ci entretiennent des alliances. Un exemple récent illustrant ce phénomène est la fuite de données de Conti (y compris son code source) après leur vol au groupe de ransomware par un hacktiviste ukrainien, en réaction à l'engagement public de Conti de soutenir la Russie dans ce conflit. Le code de certains ransomwares a déjà fait l'objet de fuites, comme ce fut le cas pour le ransomware Babuk , ce qui a conduit à sa réutilisation et à sa modification par de nouveaux acteurs malveillants. C'est également un risque bien réel dans ce cas-ci.
Bien qu’une grande partie de ce qui est décrit ci-dessus concerne les répercussions cybernétiques d’un conflit géopolitique particulier, les experts prévoient plusieurs menaces qui devraient bientôt avoir un impact sur le paysage des menaces cybernétiques – dont bon nombre ont déjà commencé à se manifester. Les organisations sont invitées à rester vigilantes face aux éléments suivants :
- Les campagnes d’influence incessantes et les tentatives menées par des acteurs soutenus par des États visant à mettre hors service et à compromettre les canaux de communication dont dépend le public pour bénéficier d’une information fiable
- Les s d'infrastructures critiques sont la cible d'attaques
- La CISA ( ) continue de mettre en garde contre des attaques imminentes liées à l'influence étrangère visant des organisations américaines et des infrastructures critiques
- Les flambées des prix des carburants et de l'énergie, l'instabilité économique et l' s assureurs spécialisés dans la cybercriminalité réduisent leurs couvertures et augmentent leurs tarifs
- Multiplication des failles de sécurité affectant les bibliothèques et paquets open source d' , ainsi que d'autres technologies composant les chaînes d'approvisionnement
- Ransomware :
- On observe une recrudescence générale de l'activité des s de ransomware, avec notamment un retour des attaques visant les particuliers, les PME et les entreprises de taille intermédiaire
- Les cybercriminels s'intéressent de plus en plus aux technologies SaaS et cloud (avec, en tête de file, le ransomware « » et les escroqueries de type BEC )
- La publication du code source de Conti pourrait donner lieu à l'apparition de nouvelles variantes exploitées par de nouveaux acteurs, comme cela a été le cas lorsque le code du ransomware Babuk a été divulgué
- Apparition d' s nouveaux groupes de hackers faiblement structurés, comme on a pu l'observer lors de la guerre entre la Russie et l'Ukraine
- Le risque de « propagation » des logiciels malveillants utilisés dans les conflits vers les cybercriminels, qui sont libres de les modifier et de les réutiliser comme bon leur semble – et inversement
- Augmentation des cyberattaques à plusieurs volets , telles que les attaques par ransomware associées à des campagnes d’influence, les attaques DDoS, les logiciels malveillants destructeurs, les opérations sous faux pavillon, etc.
Dans ce contexte en constante évolution, les mesures que vous prenez aujourd’hui sont essentielles pour garantir votre capacité de préparation et d’intervention en cas d’attaque. Quel que soit votre secteur d'activité, toutes les organisations devraient mettre en place des mesures dans leur environnement en gardant à l'esprit la réduction des risques et de la surface d'attaque.
Pourquoi le renforcement et la préparation des terminaux sont-ils essentiels ?
Le moment idéal pour mettre au point vos outils de gestion des actifs , et vos processus de correction des failles, c'était hier. Le deuxième meilleur moment, c'est aujourd'hui. Alors que de nombreux adversaires concentrent actuellement leurs efforts sur des systèmes ciblés dans des pays en proie à des conflits militaires actifs, les chercheurs et les spécialistes du renseignement sur les menaces ont signalé une probable recrudescence de la cybercriminalité, les effets des sanctions liées à ces conflits engendrant une incertitude économique dans diverses régions du monde. Il est impératif que vous profitiez de cette journée pour combler les lacunes en matière de gestion des correctifs pour les systèmes d'exploitation et les outils tiers, et que vous ajustiez vos politiques afin de réduire votre surface d'attaque.
Accordez la plus haute priorité à la réduction des lacunes en matière de couverture et de visibilité, à la correction des échecs de mise à jour et à la mise à jour des logiciels tiers. Compte tenu du contexte actuel en matière de menaces, il n'est pas possible de tolérer que des terminaux soient non conformes pendant 30, , 60 ou 90 jours. Nous vous invitons à profiter de cette occasion pour mettre à jour tous les systèmes, y compris les serveurs et les postes de travail, en installant les derniers correctifs du système d'exploitation et des logiciels tiers.
Dans l'immédiat, vous devriez donner la priorité aux actions suivantes :
- Demandez une autorisation de modification d'urgence afin d'appliquer sans délai les correctifs manquants et obsolètes
- Mettre en place une solution de gestion des correctifs ou remédier aux échecs d'application des correctifs
- Prise en charge des correctifs du système d'exploitation
- Mise à jour des logiciels tiers
- Supprimez les logiciels non autorisés, inutilisés ou non pris en charge
- Mettez en œuvre une politique visant à réduire la surface d'attaque
- Veillez à ce que les plans d'intervention en cas d'incident s'appuient sur des outils disponibles dans l'environnement
- Consultez les recommandations de la CISA, dans le cadre de son initiative «Shields Up » (), afin de réduire votre risque de cyberattaque ; la CISA demande également aux organisations de signaler tout signe d'attaque à ses services.
- Veuillez consulter le catalogue des vulnérabilités connues exploitées de la CISA ( ), qui contient 95 nouvelles vulnérabilités, ajoutées à la suite de l'analyse des vulnérabilités ayant été exploitées par des acteurs russes de cybermenaces.
Comment Tanium peut vous aider
Tanium peut aider les organisations à donner suite à ces recommandations urgentes grâce aux solutions suivantes :
Tanium Patch vous offre la solution pour déployer des correctifs, coordonner les fenêtres de maintenance et générer des rapports précis et en temps réel sur l'état d'avancement de vos opérations de mise à jour. Les clients, qu'ils soient nouveaux ou existants, peuvent mettre en œuvre Tanium Patch et commencer à recevoir des données exploitables sur l'état de leurs correctifs en quelques heures, et non en quelques jours ou semaines.
L'accès initial et les déplacements latéraux d'un attaquant s'effectuent souvent en exploitant des logiciels vulnérables et obsolètes. Les organisations ne devraient pas limiter les mises à jour des applications tierces aux seuls systèmes connectés à Internet. Une fois infiltrés dans votre environnement, les acteurs malveillants peuvent compromettre les systèmes internes en exploitant ces applications tierces vulnérables. De plus, le « shadow IT » (logiciels déployés à l'insu du service informatique ou sans son soutien) peut introduire des vulnérabilités inattendues dans l'environnement. Vous pouvez utiliser Tanium Deploy pour désinstaller automatiquement les logiciels non approuvés, ce qui vous permet de garantir que votre environnement ne contient aucune application interdite.
Au cours d'une attaque, les acteurs malveillants cherchent sans cesse à étendre leur champ d'action, leurs autorisations et leurs droits d'accès dans l'ensemble de l'environnement. Outre l'application des mises à jour de sécurité pour les logiciels et les systèmes d'exploitation, vous pouvez renforcer de manière proactive la sécurité des terminaux afin de limiter les possibilités dont disposent les acteurs malveillants au sein de votre réseau.
Tanium Enforce est la solution qu'il vous faut pour gérer les paramètres de stratégie Windows, notamment ceux qui permettent de réduire votre surface d'attaque. L'audit des scripts, des fichiers exécutables et des programmes d'installation Windows à l'aide de la fonctionnalité d'audit AppLocker, ou encore la gestion de la stratégie d'exécution PowerShell, ne sont que quelques exemples parmi les plus de 5 000 paramètres de sécurité et de configuration des appareils disponibles dans Tanium Enforce. Comme l'a mentionné Deep Instinct, la plupart des utilisateurs de votre organisation n'ont pas besoin d'exécuter des scripts. D'autres mesures de renforcement peuvent notamment inclure :
- Créez une stratégie visant à restreindre l'exécution des scripts
- Pour plus d'informations sur les stratégies d'exécution PowerShell d' , veuillez consulter la documentation de Microsoft à l'adresse.
- Réduire le trafic entre postes de travail (RDP, PowerShell Remoting, SMB)
- Désactiver les partages administratifs
- Désactiver les protocoles non sécurisés (SMBv1)
- Empêcher les comptes de service et les comptes locaux de se connecter à distance
- Mettre en œuvre des règles de protection contre les logiciels malveillants et de réduction de la surface d'attaque sur les systèmes Windows
Prochaines étapes
Pour en savoir plus sur la manière de se préparer à la cyberguerre ( ), consultez ce dernier article d'Endpoint :.
Si vous avez besoin d'une assistance pratique, nous sommes là pour vous aider. Les clients existants peuvent contacter leur chargé de compte. Si vous n'êtes pas encore client, contactez-nous ici pour commencer :.
