Il suffirait, selon certaines informations, d'un appel téléphonique de 10 minutes particulièrement convaincant pour que des pirates informatiques parviennent à s'introduire dans les systèmes informatiques de plusieurs grands casinos de Las Vegas en septembre. Mais ce n'est là qu'une des façons dont ils ont exploité les maillons faibles, à savoir les facteurs humains, dans les chaînes de cybersécurité de ces entreprises pour lancer des attaques par ransomware dévastatrices.
Les escrocs ont dans un premier temps infiltré MGM Resorts, Caesars Entertainment et d'autres réseaux de casinos en recourant à l'une des astuces les plus anciennes du genre : convaincre le personnel du service d'assistance informatique qu'ils étaient des employés ayant perdu leurs identifiants et ayant besoin d'en obtenir de nouveaux.
Cette affaire a fait la une des journaux pendant des semaines, car elle concernait des cibles aussi prestigieuses que celles du Strip de Las Vegas, ainsi que des sommes colossales. Par exemple, Le Wall Street Journal a rapporté que Caesars avait versé une rançon estimée à 15 millions de dollars pour reprendre le contrôle de ses systèmes. De son côté, MGM a refusé toute indemnisation et a préféré absorber plus de 100 millions de dollars de pertes d'exploitation pendant la période où certaines machines à sous, certains bornes de paris sportifs, certaines clés numériques de chambres d'hôtel, certaines réservations en ligne et certains systèmes de paiement par carte bancaire étaient hors service.
C'est indéniablement très sexy. Mais, presque noyée dans la couverture médiatique consacrée à ces attaques, se cache une révélation plus inquiétante : un important groupe de « ransomware-as-a-service » (RaaS) aurait probablement fourni à des intermédiaires tous les outils nécessaires pour mener ces attaques.
En effet, un groupe de RaaS appelé ALPHV, également connu sous le nom de BlackCat, aurait aidé une opération de piratage baptisée « Scattered Spider », ou « UNC3944 », dans ses efforts visant à extorquer de l'argent aux casinos en échange d'une part du butin. C'est généralement ainsi que fonctionne le RaaS (prononcé « rass ») : les criminels ont recours à un modèle d' de type « Everything-as-a-Service » (XaaS) et proposent des outils et des services de piratage faciles à utiliser sur le dark web, moyennant un forfait mensuel ou une part des bénéfices réalisés.
Selon David Bradbury, responsable de la sécurité des systèmes d'information (RSSI) chez Okta, une entreprise spécialisée dans la gestion des identités et des accès, ce type de stratagème est caractéristique de ces cybercriminels. « Considérez-les plutôt comme des partenaires commerciaux ou des filiales », a déclaré M. Bradbury à Reuters.
Utilisé depuis au moins 2016, ce modèle économique du ransomware « » a été adopté par des groupes cybercriminels qui mènent leurs activités avec une précision et des services sur mesure (certains forfaits RaaS comprennent un service client, des avis, des mises à jour des fonctionnalités et des réductions) qui feraient la fierté d’un professeur de Wharton. Résultat : le RaaS est devenu extrêmement rentable.
Aggraver le mal : qu'est-ce que le « ransomware-as-a-service » et pourquoi est-il si efficace ?
Il s'avère que ce type d'arrangements illicites a non seulement connu une forte augmentation, mais qu'il a également joué un rôle clé dans la hausse de près de 40 % des attaques mondiales par ransomware au cours de l'année dernière, selon un rapport intitulé « » ( ) publié par Zscaler, une plateforme de sécurité « zero-trust » .
«Les cybercriminels en herbe utilisent le RaaS pour mener des attaques qu’ils ne seraient peut-être pas capables de lancer eux-mêmes autrement. »Deepen Desai, responsable mondial de la sécurité des systèmes d'information (CISO) et directeur de la recherche en sécurité chez Zscaler
« Les cybercriminels en herbe ont recours au RaaS pour mener des attaques qu’ils ne seraient peut-être pas en mesure de lancer eux-mêmes », a déclaré Deepen Desai, responsable mondial de la sécurité des systèmes d’information (CISO) et directeur de la recherche en sécurité chez Zscaler. « La grande majorité des groupes d'auteurs de ransomware ont recours au modèle RaaS, qui s'est révélé efficace, ce qui entraîne une augmentation du nombre d'attaques chaque année. »
BlackCat est considéré comme l'un des groupes RaaS les plus importants et les plus malfaisants, même si l'on estime que ses membres sont pour la plupart des adolescents de la génération Z, âgés de ou au début de la 20s. Mais d'autres joueurs de renom ont également causé du tort à leurs clubs ces dernières années, notamment :
- BlackBasta, qui serait à l'origine d'une attaque par ransomware très coûteuse contre BankCard USA en juin dernier
- Clop, le groupe de cybercriminels spécialisé dans les ransomwares qui a récemment exploité les failles du logiciel de transfert de fichiers MOVEit d' pour lancer des attaques touchant plus de 40 millions de personnes et au moins 600 organismes publics et privés
- Karakurt, une branche du célèbre groupe criminel Conti qui cible depuis un an les organismes de santé , menaçant de divulguer des dossiers médicaux confidentiels
- de LockBit, qui, selon le gouvernement américain, aurait extorqué environ 91 millions de dollars à des entreprises américaines depuis 2020. Il réclame actuellement une rançon à CDW, l'un des plus grands revendeurs au monde.
Les gangs de type « RaaS » existent depuis suffisamment longtemps pour que bon nombre des noms les plus tristement célèbres aient déjà été éliminés. En janvier, par exemple, le groupe Hive RaaS, qui aurait dérobé plus de 100 millions de dollars à 1 500 victimes dans 80 pays entre 2021 et 2023, a été infiltré et démantelé par des agents du FBI. Et l'année dernière, des membres de REvil, ce groupe particulièrement actif qui, selon les autorités américaines, aurait mené l'attaque contre Colonial Pipeline ayant provoqué une ruée sur l'essence sur la côte Est, ont été arrêtés en Russie.
Pourtant, malgré ces démantèlements, les activités criminelles liées au modèle RaaS continuent de se développer et menacent d’affecter les systèmes informatiques des organisations dans les secteurs suivants : (éducation), (construction), (administration publique), ( ), (santé), (médias), (commerce de détail), (énergie), (transports), et (services financiers), entre autres. C'est pourquoi les experts du secteur soulignent qu'il est important de rester vigilant, de prendre des précautions et de s'adapter, car ce phénomène n'est pas près de disparaître.
« Je pense que, pour moi, il s’agit là d’une nouvelle attaque majeure perpétrée par des acteurs malveillants », a déclaré Kathryn Goldman, PDG de Cybermaniacs, un cabinet de conseil spécialisé dans la formation à la cyber-sensibilisation. « Je ne sais pas si cela va durer ou évoluer. » « Mais la situation semble effectivement s'aggraver, et nous devons y faire face. »
Se préparer à l'inévitable : pour lutter contre les ransomwares en tant que service, formez (et perfectionnez) vos collaborateurs
Goldman suggère de commencer par mettre en place des changements culturels visant à sensibiliser les employés au problème, afin d'éviter de subir le même sort que ces hôtels-casinos de Las Vegas. Hier encore, Microsoft a publié un rapport de veille sur les menaces intitulé « » ( ) consacré à un groupe de cybercriminels de langue maternelle anglaise qui cible le personnel des services d'assistance et les administrateurs techniques. Ces individus imitent les nouveaux employés avec une précision remarquable, notamment en reproduisant leur accent et leurs tics de parole, ce qui leur permet de convaincre les responsables de la sécurité de réinitialiser les mots de passe et de les méthodes d'authentification multifactorielle (MFA) .
Les employés n’ont pas besoin de mémoriser, ni même de connaître, tous les groupes RaaS de la planète, d’autant plus que les acteurs changent constamment. Selon M. Goldman, une approche plus efficace consiste à leur expliquer comment les cybercriminels exploitent aujourd'hui leur psychologie ou leurs émotions pour les inciter à agir, par exemple en cliquant sur un lien ou en communiquant des informations par téléphone. Des techniques d'ingénierie sociale comme celles-ci permettent aux auteurs d'attaques RaaS de s'introduire dans un réseau, de s'emparer de ses ressources ou de le verrouiller en vue d'obtenir une rançon.
«Ce que vous essayez de faire, c’est d’amener l’ensemble de vos collaborateurs à devenir des agents de défense réactifs au sein de votre organisation. »Kathryn Goldman, PDG de Cybermaniacs
« Ce que vous essayez de faire, c’est d’amener l’ensemble de vos collaborateurs à devenir des agents de défense réactifs au sein de votre organisation », explique M. Goldman. « En matière de RaaS, il est moins important de se concentrer sur les aspects techniques du risque que de changer votre état d'esprit pour être prêt à réagir, car les attaques par rançongiciel se produisent très rapidement. »
Cela implique de prendre le temps de former les collaborateurs à la détection et au signalement des e-mails de hameçonnage ou des appels de « vishing », ainsi que d'élaborer et de mener régulièrement des évaluations des compétences en matière de sécurité.
Le mot clé ici est « régulier » : la formation et les tests ne sont pas des tâches ponctuelles, mais des opérations à l'échelle de l'entreprise (c'est-à-dire du service du courrier jusqu'à la salle du conseil) qui se répètent chaque année ou tous les six mois.
Protégez-vous dans le monde numérique : conseils pour réduire votre exposition au risque lié aux ransomwares en tant que service
Outre le changement culturel et la formation, M. Desai indique que les organisations qui cherchent à prévenir les cyberattaques menées via des services RaaS devraient gérer rigoureusement les contrôles d'accès basés sur les rôles (RBAC), qui constituent des garde-fous numériques déterminant ce à quoi les utilisateurs peuvent ou ne peuvent pas accéder sur un réseau en fonction de leurs fonctions. Par ailleurs, il affirme que les entreprises devraient vérifier en permanence la sécurité de la couche de transport (TLS), qui crypte les données que nous envoyons afin de les protéger des regards indiscrets.
Il ajoute qu'il est également important de donner la priorité à la mise en œuvre de la segmentation « utilisateur-application » ( ), qui consiste à réguler l'accès entre chaque utilisateur et des applications spécifiques afin de renforcer la sécurité et de limiter les surfaces d'attaque.
« Cela constitue un moyen efficace d’empêcher les menaces latérales de type « » d’atteindre vos applications les plus stratégiques et de limiter la portée des dégâts. »
Selon M. Desai, une autre astuce consiste à veiller à ce que vos équipes chargées de la cybersécurité soient en mesure d'inspecter l'ensemble du trafic chiffré. « Plus de 85 % des attaques utilisent des canaux chiffrés, qui ne font souvent l'objet d'aucune inspection », explique-t-il. Cela permet même à des pirates relativement expérimentés de contourner facilement les contrôles de sécurité et de voler des données.
Ensuite, il est impératif de maintenir et d'appliquer une politique de sécurité cohérente qui s'applique aux utilisateurs où qu'ils se trouvent, explique M. Desai. Cela comprend notamment l’inspection des menaces en ligne (analyse en temps réel du trafic réseau à la recherche de contenus malveillants ou de risques de sécurité lors de son passage par un dispositif ou une passerelle de sécurité), le « sandboxing » (qui consiste à isoler les programmes non fiables ou potentiellement dangereux au sein de « bulles » numériques), ainsi qu’une authentification forte basée sur la norme FIDO MFA, sans oublier les mises à jour de sécurité régulières.
Avec l'essor du télétravail, ces mesures de sécurité sont essentielles pour accompagner un personnel dispersé, qui accède souvent à des fichiers et des applications critiques hébergés dans le cloud.
Enfin, selon M. Goldman, il est également utile de disposer d'un système d'audit permettant d'identifier les secteurs d'une organisation les plus vulnérables à une cyberattaque et d'évaluer l'impact que ces failles au niveau des services pourraient avoir sur l'ensemble de l'organisation.
« L’une des façons dont les RSSI peuvent se faire une idée des différents scénarios consiste à en évaluer l’impact potentiel, afin de connaître à l’avance l’ampleur du risque et de pouvoir le replacer dans son contexte », explique-t-elle. « Il faut adopter une approche ciblée et sur mesure pour répondre aux attaques, et cela n’est possible qu’à l’aide de données. »
