L’appel d’assistance technique est venu à 07 h un matin d’été en 2021. Toutes les icônes sur le bureau de l’appelant étaient devenues vides, a-t-il déclaré. Rien n’a fonctionné.
À l’autre bout de la ligne, John Abercrombie savait immédiatement ce qui avait mal tourné. Le directeur de l’assistance technique pour une petite entreprise de construction commerciale en Californie du Nord a demandé à l’appelant de débrancher immédiatement son ordinateur. Une minute plus tard, Abercrombie a reçu un autre appel d’une succursale avec la même plainte.
« À ce moment-là, je me dis : « Nous sommes tellement vissés », se souvient-il maintenant.
Abercrombie a appelé pour réveiller un technicien qui vivait plus près du siège social de l’entreprise : « Je me fiche que vous soyez dans vos pyjamas, descendez-y et commencez à débrancher les choses ! » dit-il.
À cette époque, plus d’une centaine de serveurs et de postes de travail de l’entreprise avaient été infectés par des logiciels malveillants. L’ attaque par ransomware avait non seulement bloqué les données de l’entreprise, mais elle avait également chiffré les fichiers du système d’exploitation, rendant les machines inutilisables. Et la misère d’Abercrombie ne faisait que commencer.
Le prochain appel qu’il a fait a été adressé à sa compagnie de cyber-assurance , qui a recommandé un avocat. Cet avocat a à son tour engagé une équipe de réponse aux incidents qui pourrait l’aider à nettoyer les désordres, une machine
à la fois.
Il a fallu environ une semaine pour que l’entreprise soit à nouveau opérationnelle, en partie parce que les attaquants se trouvaient à l’intérieur du réseau pendant une période inconnue et avaient supprimé manuellement certaines de ses sauvegardes en ligne. Au total, Abercrombie a travaillé 15 heures pendant un mois pour reconstruire les systèmes de A à Z et ramener l’entreprise à la normale.
En fin de compte, sa compagnie d’assurance a payé la rançon, un montant parmi les six chiffres les plus bas, et la société a pu déchiffrer les fichiers que les pirates informatiques avaient renvoyés.
John Abercrombie n’est pas le vrai nom de l’homme. Certains détails de l’attaque ont été modifiés pour protéger l’identité de son entreprise, à moins qu’elle ne devienne une cible pour plus d’attaques. Mais son histoire est courante. Plus de 3 700 entreprises ont signalé une attaque par rançongiciel au FBI en 2021, selon un rapport récent du Comité de sécurité intérieure et des affaires gouvernementales du Sénat. Ce chiffre est presque certainement un sous-nombre important d’attaques réelles.
Les rançongiciels restent un danger clair et présent pour les petites entreprises et les entreprises mondiales. Et si les chefs d’entreprise n’ont pas de plan détaillé pour y répondre, ils pourraient se trouver dans un monde de mal. Voici ce que les leaders doivent faire pour activer leur plan s’ils sont confrontés à une attaque.
Une histoire familière sur les programmes malveillants à vrai crime
De la soupe Campbell à Colonial Pipeline , en passant par les boutiques mamans et pop et des gouvernements entiers, aucune organisation n’est à l’abri des attaques par ransomware. C’est un problème qui a affecté les organisations et les individus pendant des décennies.
« À ce stade, je me dis : « Nous sommes tellement visés ». »John Abercrombie, directeur de l’assistance technique, construction commerciale
La première instance connue d’une attaque par ransomware est survenue en 1989. Les logiciels malveillants connus sous le nom de cheval de Troie du SIDA ont été livrés via une disquette infectée et affichaient une note exigeant un paiement compris entre 189 USD et 378 USD.
Le problème est beaucoup plus important aujourd’hui. Le rapport 2022 sur les enquêtes sur les violations de données de Verizon a révélé une augmentation alarmante des violations de ransomware de plus en plus sophistiquées. La hausse de 13 % des attaques en 2021 a été la plus forte augmentation en cinq ans. Les organisations ont versé près de 1,3 milliards USD en cryptomonnaies à des gangs de ransomwares depuis 2020, selon une analyse des données de l’endpoint par le spécialiste de la blockchain Chainalysis. Cela représente environ quatre fois le montant total payé de 2016 à 2020.
En 2021, les services de renseignement, les gangs criminels et les « pirates informatiques » en Russie ont reçu jusqu’à 74 % des paiements de rançongiciel de la part des entreprises occidentales, soit environ 400 millions USD de cryptomonnaies, déclare Chainalysis. Une étude de juin de Microsoft a révélé que la Russie a ciblé 128 organisations dans 42 pays en dehors de l’Ukraine depuis le début de la guerre, y compris les gouvernements, les groupes de réflexion, les organisations humanitaires, les fournisseurs informatiques et les entreprises d’ infrastructures critiques . Le ciblage russe a réussi 29 % du temps. Au moins un quart de ces intrusions réussies ont volé des données.
La réponse la plus efficace aux attaques comme celles-ci n’a pas beaucoup changé depuis l’apparition des rançongiciels. Si vous maintenez des sauvegardes hors ligne à jour, vous pouvez effacer les machines infectées, restaurer les données et poursuivre votre journée de travail. Vous pourriez perdre quelques heures de données, mais c’est toujours mieux que de payer une rançon, ce qui peut ou non entraîner la réception des clés pour décrypter les données volées.
« Une fois votre réseau compromis, disposer de bonnes sauvegardes hors ligne est la meilleure chose que vous puissiez espérer », déclare Josh Bryant, directeur principal de la gestion technique des comptes chez Tanium.
Pas de solution facile à l’épidémie de ransomware d’aujourd’hui
Alors, pourquoi le ransomware est-il toujours un problème aussi énorme ?
L’une des raisons est que de nombreuses organisations ne font pas suffisamment de travail pour créer des sauvegardes, note Mike Meikle, un consultant en sécurité de longue date qui estime qu’il passe environ 20 % de son temps à résoudre les problèmes de ransomware. En particulier, les organisations ne testent pas correctement pour s’assurer que leurs sauvegardes sont fiables et contiennent toutes les données les plus critiques et à jour nécessaires pour qu’une entreprise puisse récupérer.
L’autre grande raison est que l’industrie des ransomwares est devenue plus sophistiquée. L’essor du ransomware en tant que service (RaaS) facilite le lancement d’attaques pour les adversaires moins qualifiés. Pourquoi consacrer du temps et de l’argent au développement de vos propres logiciels malveillants alors que vous pouvez simplement louer ceux d’une autre personne ? De nombreux pirates informatiques travaillent avec des courtiers d’accès initiaux, d’autres pirates informatiques qui accèdent aux réseaux et vendent ces portes dérobées aux gangs, ce qui rend le travail encore plus facile.
Les gangs sont récemment devenus plus sélectifs dans leurs cibles, se concentrant davantage sur les organisations à forte empreinte que sur les petites entreprises. Selon Chainalysis, le paiement moyen des rançongiciels est passé d’environ 25 000 USD en 2019 à près de 120 000 USD en 2021. Les attaquants passent plus de temps à se cacher dans le réseau d’une entreprise, à se déplacer latéralement, à rechercher des vulnérabilités et à exfiltrer des données sensibles.
Ils ont également adopté un modèle commercial secondaire : l’extorsion. Selon la société de gestion des cyber-risques Kroll, près de huit attaques de rançongiciel sur 10 au cours du premier semestre de 2021 comprenaient une menace de divulgation des données volées sur Internet public.
Les vecteurs d’attaque les plus courants, cependant, sont restés beaucoup les mêmes au fil des ans : des vulnérabilités logicielles qui ne sont pas corrigées et des êtres humains qui sont induits en erreur pour restituer leurs informations d’identification d’accès ou lancer un code malveillant.
« Il est extrêmement difficile de prévenir cette entrée initiale », déclare Bryant de Tanium. « Quel que soit le nombre de contrôles techniques que vous mettez en place, les attaquants peuvent toujours vous inciter à entrer dans votre environnement. Et une fois à l’intérieur, ils peuvent vivre hors de la terre et se déplacer latéralement. »
Que faire après une attaque par ransomware
Si vous n’êtes pas suffisamment chanceux pour être infecté par des logiciels malveillants, le premier appel que vous devez passer est à votre service juridique, explique Bryant. Ils peuvent à leur tour s’engager directement auprès de votre compagnie d’assurance cyber et de votre équipe de réponse aux incidents.
« Une fois que les pirates informatiques sont à l’intérieur, ils peuvent vivre hors de la terre et se déplacer latéralement. »Josh Bryant, directeur principal de la gestion technique des comptes chez Tanium.
En cas de poursuite judiciaire, toutes les actions prises par l’équipe IR seront protégées contre la divulgation en vertu du secret professionnel avocat-client. Les avocats seraient également impliqués dans le signalement de l’incident aux autorités juridiques, telles que la Cybersecurity and Infrastructure Security Agency (CISA) fédérale ou le Centre de plainte pour crime sur Internet (IC3) du FBI.
Plus important encore, vous devez activer un plan de récupération pour l’ensemble de l’organisation, un plan que vous savez déjà mettre en œuvre. Avoir des exercices ou des simulations réguliers où toutes les parties prenantes importantes participent peut contribuer grandement à assurer une récupération complète après un piratage, ajoute Bryant.
[Lire également : 5 étapes vers un plan de réponse aux incidents robuste]
Après avoir découvert une intrusion, vous devrez déterminer comment les attaquants sont entrés et où ils sont allés. Votre système d’alerte a-t-il manqué quelque chose ? Disposez-vous des contrôles appropriés concernant les privilèges d’accès des employés ? La limitation de la capacité de mouvement d’un adversaire éliminera la grande majorité des menaces de ransomware, déclare Bryant. Si les attaquants ne peuvent pas se déplacer latéralement sur votre réseau, ils sont plus susceptibles de passer à une cible plus facile.
Le fait que vous finissiez par payer une rançon dépend de la situation, dit-il. Il s’agit d’une décision qui doit équilibrer les risques et les avantages, et qui relève généralement de la responsabilité des parties juridiques et exécutives. Bryant recommande de poser des questions telles que : Quel est le montant acceptable de la perte ? Pouvons-nous vivre une semaine ou un mois sans données si nos sauvegardes en ligne plus récentes sont compromises ?
« Même si vous choisissez de déchiffrer, il est toujours conseillé d’avoir une enquête approfondie pour vous assurer que les attaquants n’ont rien laissé derrière, puis d’effacer et de recharger vos systèmes à partir de sauvegardes fiables et de bonne qualité », déclare Bryant.
Et, bien sûr, vous voulez faire tout ce qui est en votre pouvoir pour vous assurer qu’un piratage ne se reproduise pas.
John Abercrombie sauvegarde désormais tous les serveurs critiques de son entreprise sur une appliance sur site qui réplique les sauvegardes sur le stockage cloud à l’aide de différentes informations d’identification d’accès du reste du réseau. L’entreprise a adopté un nouveau logiciel de protection des endpoints basé sur l’IA et un logiciel de sécurité des e-mails, et a engagé une société de détection et de réponse gérées (Managed Detection and Response, MDR) pour le gérer. Il a mis en place une authentification à deux facteurs et initié une formation anti-hameçonnage pour tous ses employés.
L’incendie du logiciel malveillant la prochaine fois
La partie la plus effrayante de la violation de ransomware pour son entreprise, se souvient Abercrombie, a été la réalisation qu’il n’y avait rien qui l’empêchait d’être à nouveau attaqué.
« Il existe de nombreux gangs de ransomwares », dit-il. « Ce n’est pas comme si l’on disait : « Oh, l’un de nos concurrents les a frappés le mois dernier, nous leur donnerons un laissez-passer. » Donc, depuis l’incident, nous nous sommes concentrés sur la sécurité. »
Le meilleur conseil d’Abercrombie pour les autres ? « Faites un plan », dit-il. « Ainsi, lorsque cela se produit, et cela se produira, vous n’êtes pas coincé à essayer de comprendre ce qu’il faut faire. »
