Le paysage actuel des cybermenaces est un environnement volatil. Pour beaucoup, le contributeur le plus important à son état actuel est le conflit entre la Russie et l’Ukraine et la cyberactivité qui l’a accompagné. Nos partenaires chez Deep Instinct ont fait des rapports étroits sur les événements et sur la manière dont ils affectent le paysage des menaces.
Il est impossible de parler du paysage des cybermenaces sans couvrir les situations géopolitiques, ce qui est attendu, à condition que l’on le fasse avec une compréhension de l’incertitude qui accompagne les événements actuels. On ne sait pas combien de temps dureront ces circonstances, ou quels peuvent être les impacts durables d’une situation géopolitique complexe.
Comment le paysage des menaces évolue
L’objectif de Tanium est de se tenir au courant des tendances clés, en extrayant des informations exploitables afin qu’elles puissent vous aider. Voici un aperçu des tendances clés du paysage des cybermenaces :
- Augmentation possible des attaques par ransomware dans un contexte d’instabilité économique : les États-Unis choisissent de lourdes sanctions contre les intérêts russes comme réponse principale à l’incursion de la Russie, l’instabilité économique qui en résulte peut entraîner davantage d’attaques par ransomware ciblant les intérêts américains. La Russie a été décrite par le FBI comme un « environnement opérationnel autorisé pour les cybercriminels » et a averti que les États-Unis pourraient connaître « une augmentation possible de l’activité de cybermenace » de la part des pirates informatiques opérant avec le soutien de la Russie.
- Émergence de nouveaux logiciels malveillants destructeurs : comme indiqué dans un article récent de Deep Instinct, l’activité cyber russe « visait à semer le chaos et à perturber les communications au sein des institutions gouvernementales et militaires ukrainiennes » dans les semaines précédant l’invasion comprenait le déploiement de nouveaux logiciels malveillants d’effacement de disque appelés HermeticWiper (ainsi que des attaques DDoS et des dégradations Web généralisées). Dans les semaines qui ont suivi, au moins deux nouvelles souches de logiciels malveillants destructeurs ont émergé du conflit, accompagnées de nouveaux vecteurs d’infection, et ont pris en charge les logiciels malveillants conçus pour assurer la livraison réussie des charges utiles destructives.
- Le hameçonnage et d’autres escroqueries exploitant le conflit : comme pour tout événement mondial à haute visibilité (y compris les cyberattaques), les acteurs malveillants sont rapides à saisir les informations disponibles et l’incertitude publique pour créer des escroqueries convaincantes et des campagnes d’ingénierie sociale. Les motifs derrière ces campagnes alternent entre l’espionnage, le vol d’informations d’identification et les escroqueries financières.
- Le « déversement » potentiel d’activités cybernétiques affectant les cibles américaines : la Cybersecurity and Infrastructure Security Agency (CISA), ainsi que d’autres cyberagences multinationales, a exprimé à plusieurs reprises des inquiétudes quant au fait que la cyberactivité observée dans la situation russe et ukrainienne pourrait sortir de la zone de conflit et avoir un impact sur les organisations aux États-Unis, dans l’UE ou dans les territoires occidentaux.
- L’implication des hacktivistes soulève des enjeux : les actes de hacktivisme dans le cadre de conflits géopolitiques risquent d’être mal attribués par les deux parties, d’être interprétés comme une activité contradictoire parrainée par l’État et d’augmenter involontairement les tensions. Le piratage (quelle que soit la bonne intention) peut faire remonter l’activité cinétique sur le champ de bataille et augmenter les risques dans le cyberespace, une réalité qui pourrait tuer des vies, détruire des infrastructures critiques ou entraîner des mesures de représailles ciblant les États-Unis et les pays avec lesquels les États-Unis entretiennent des alliances. Un exemple récent mettant en évidence ce paradigme est la fuite de données Conti (y compris son code source) après leur vol au groupe de rançongiciels par un pirate ukrainien en réponse à l’engagement public de Conti à soutenir la Russie dans le conflit. Un code de rançongiciel a déjà été divulgué, comme avec le rançongiciel Babuk, et il a conduit à la réutilisation et à la modification du rançongiciel par de nouveaux acteurs malveillants. Il s’agit là également d’un risque réel.
Bien qu’une grande partie de ce qui est décrit ci-dessus soit liée aux effets cybernétiques d’un conflit géopolitique particulier, les experts prévoient plusieurs menaces qui devraient bientôt avoir un impact sur le paysage des cybermenaces, dont beaucoup ont déjà commencé à se faire connaître. Les organisations sont encouragées à être à l’affût des éléments suivants :
- Campagnes d’influence et tentatives continues d’acteurs parrainés par l’État pour extraire des lignes de communication sécurisées dont le public dépend pour des rapports fiables
- Infrastructure critique ciblée dans les attaques
- Avertissements continus concernant les attaques d’influence étrangère imminentes ciblant les organisations américaines et les infrastructures critiques de la CISA
- Les pics de prix du carburant/de l’énergie, l’instabilité économique et les cyberassureurs couvrent moins et facturent plus
- Atteinte accrue des bibliothèques et packages open source et d’autres technologies comprenant les chaînes d’approvisionnement
- Ransomware :
- Augmentation globale de l’activité des rançongiciels , en mettant l’accent sur un retour au ciblage des consommateurs, des PME et des organisations de taille moyenne
- Accent accru des cybercriminels (avec les ransomware set BEC en tête de la charge) sur les technologies SaaS et cloud
- La publication du code source Conti peut entraîner de nouvelles variantes exploitées par de nouveaux acteurs, comme c’était le cas lorsque le code du ransomware Babuk a été divulgué
- Émergence de nouveaux groupes de piratage librement affiliés, comme observé dans la guerre entre la Russie et l’Ukraine
- Le « piratage » probable des logiciels malveillants utilisés dans les conflits entre les mains des cybercriminels, qui sont libres de les modifier et de les réutiliser comme ils le jugent approprié, et vice versa
- Augmentation des cyberattaques multi-proches , telles que les attaques de ransomware combinées à des campagnes d’influence, DDoS, programmes malveillants destructeurs, fausses opérations d’alerte, etc.
Dans ce paysage en évolution rapide, ce que vous faites aujourd’hui est essentiel dans vos capacités de préparation et de réponse si vous êtes attaqué. Quel que soit votre secteur d’activité, toutes les organisations doivent instrumenter leur environnement en gardant à l’esprit la réduction des risques et de la surface d’attaque.
Pourquoi le durcissement et la préparation des endpoints sont essentiels
Le meilleur moment pour que vos outils de gestion des actifs et vos workflows de correction soient connectés était hier. La deuxième meilleure période est aujourd’hui. Bien que de nombreux adversaires se concentrent actuellement sur les systèmes d’intérêt dans les pays engagés dans des conflits militaires actifs, les chercheurs et les spécialistes du renseignement sur les menaces ont indiqué une augmentation probable du comportement cybercriminel, car les effets des sanctions liées à ces conflits provoquent une incertitude économique dans diverses parties du monde. Il est impératif que vous utilisiez ce temps aujourd’hui pour combler les lacunes dans la gestion des correctifs pour les systèmes d’exploitation et les outils tiers, et ajustez la politique pour réduire votre surface d’attaque.
Accordez la plus haute priorité à la réduction des lacunes de couverture et de visibilité, à la correction des défaillances de correctifs et à la mise à jour des logiciels tiers. Le paysage actuel des menaces ne prend pas en charge la tolérance pour les endpoints qui ne sont pas conformes depuis 30, 60 ou 90 jours. Vous devez profiter de cette occasion pour mettre à jour tous les systèmes sur leurs correctifs de système d’exploitation et logiciels tiers, y compris les serveurs et les postes de travail.
Dans un avenir immédiat, vous devez hiérarchiser les actions suivantes :
- Demander une autorisation de modification d’urgence pour appliquer en urgence les correctifs manquants et obsolètes
- Déployer une solution de gestion des correctifs ou corriger les défaillances des correctifs
- Traiter les correctifs du système d’exploitation
- Mettre à jour les logiciels tiers
- Supprimer les logiciels non autorisés, inutilisés ou non pris en charge
- Appliquer une politique pour réduire la surface d’attaque
- S’assurer que les plans de réponse aux incidents sont soutenus par des outils dans l’environnement
- Examinez les recommandations de la CISA, dans le cadre de son initiative « Shields Up », pour réduire votre risque de cyberattaque ; la CISA demande également aux organisations de signaler tout signe d’attaque à leur bureau.
- Consultez le catalogue des vulnérabilités exploitées connues de la CISA, qui contient 95 nouvelles vulnérabilités, ajoutées après l’analyse des vulnérabilités qui ont été utilisées par les acteurs russes des cybermenaces
Comment Tanium peut vous aider
Tanium peut aider les organisations à répondre à ces recommandations urgentes avec les éléments suivants :
Tanium Patch offre la solution pour déployer des correctifs, coordonner les fenêtres de maintenance et générer des rapports précis et en temps réel sur l’état de vos efforts de correction. Les clients nouveaux et existants peuvent opérationnaliser Tanium Patch et commencer à recevoir des données exploitables sur leur statut de correctif en quelques heures, et non en quelques jours ou semaines.
L’accès initial et le mouvement latéral par un pirate informatique sont souvent accomplis grâce à la compromission de logiciels vulnérables et obsolètes. Les organisations ne doivent pas limiter les mises à jour d’applications tierces aux systèmes orientés Internet uniquement. Une fois dans votre environnement, les acteurs malveillants peuvent compromettre les systèmes internes à l’aide de ces applications tierces vulnérables. De plus, le « Shadow IT » (logiciel déployé hors de la connaissance ou de l’assistance du service informatique) peut introduire des vulnérabilités inattendues dans l’environnement. Vous pouvez utiliser Tanium Deploy pour désinstaller automatiquement les logiciels non approuvés, en maintenant votre environnement exempt d’applications interdites.
Pendant une attaque, les acteurs malveillants chercheront constamment à étendre la portée, les permissions et l’accès à l’ensemble de l’environnement. En plus d’appliquer des mises à jour de sécurité pour les logiciels et les systèmes d’exploitation, vous pouvez renforcer de manière proactive les endpoints pour réduire les options disponibles pour un acteur malveillant de votre réseau.
Tanium Enforce est votre solution pour gérer les paramètres de politique Windows, y compris ceux qui peuvent limiter votre surface d’attaque. L’audit des scripts, des exécutables et du programme d’installation Windows avec l’audit AppLocker, ou la gestion de la politique d’exécution PowerShell ne sont que quelques exemples des plus de 5 000 paramètres de sécurité et de configuration des appareils disponibles dans Tanium Enforce. Comme mentionné par Deep Instinct, la plupart des utilisateurs de votre organisation n’ont pas besoin d’exécuter des scripts. D’autres étapes de durcissement peuvent inclure :
- Créer une politique pour restreindre l’exécution du script
- Consultez la documentation de Microsoft pour obtenir plus de détails sur les politiques d’exécution de PowerShell.
- Réduire le trafic poste de travail à poste de travail (RDP, PowerShell Remoting, SMB)
- Désactiver les partages administratifs
- Désactiver les protocoles non sécurisés (SMBv1)
- Empêcher les comptes de service et les comptes locaux de se connecter à distance
- Mettre en œuvre des règles de réduction de la surface d’attaque et anti-malware sur les systèmes Windows
Prochaines étapes
Vous pouvez en savoir plus sur la manière de vous préparer à la cyberguerre dans ce dernier article Endpoint.
Si vous avez besoin d’une assistance pratique, nous avons ce qu’il vous faut. Les clients existants peuvent contacter leurs représentants de compte. Si vous n’êtes pas actuellement un client, contactez-nous ici pour commencer.
