Cette semaine, nous cherchons à déterminer si la baisse, largement relayée par les médias, du nombre d’attaques par ransomware au cours du premier semestre de 2022 est avérée ou si elle résulte simplement de la combinaison de divers facteurs qui contribuent à fausser — et à induire en erreur — les données disponibles.
Nous vous proposons ensuite un résumé du dernier rapport de Symantec sur les activités du groupe APT « Shuckworm », un groupe malveillant qui serait lié au tristement célèbre Service fédéral de sécurité russe (FSB). Nous nous penchons également sur les activités d’un acteur malveillant soupçonné d’être lié à l’Iran, qui a jusqu’à présent concentré ses efforts sur le ciblage d’entités israéliennes dans les secteurs du transport maritime, de la santé et du gouvernement.
1. La baisse du nombre de cas de ransomware, largement relayée par les médias, est-elle une illusion ?
Tim Starks, du Washington Post, a récemment posé une question intéressante : la baisse « » du nombre d'attaques par ransomware (s'ouvre dans un nouvel onglet) observée jusqu'à présent au cours du premier semestre 2022 reflète-t-elle la réalité ? Ou bien cette baisse des chiffres résulte-t-elle d'une conjoncture défavorable, résultant à la fois de divers facteurs et de lacunes dans les informations disponibles ?
La réponse la plus concise semble être que la question n’est pas tant de savoir si le nombre d’attaques par ransomware a diminué (les analyses quotidiennes du CTI semblent indiquer le contraire), mais plutôt de déterminer si les sources qui communiquent ces chiffres ont accès à moins d’informations que jamais. La réponse plus détaillée semble être une combinaison des deux.
Alors, qu’est-ce qui explique la baisse du nombre d’attaques signalées aux personnes chargées de recenser ce genre d’incidents ? Commençons par examiner les chiffres communiqués par des sources fiables, afin de nous assurer qu’il ne s’agit pas uniquement de conjectures.
Extrait de l'article du Washington Post : « L'un des premiers bilans faisant état d'une baisse a été publié le mois dernier par la Ransomware Task Force, composée d'experts issus des pouvoirs publics, du secteur privé, du monde universitaire et d'organisations à but non lucratif. » It documented (opens in a new tab)64 attacks on local government, hospitals and schools in 2022 to that point, compared with 150 incidents from the same period last year.”
L'article mentionne également qu'en juillet,, SonicWall (s'ouvre dans un nouvel onglet),, , , NCC Group (s'ouvre dans un nouvel onglet),, ainsi que et GuidePoint Security (s'ouvre dans un nouvel onglet),, ont tous fait état d'une baisse généralisée. Toutefois, ces entreprises couvraient des périodes différentes.
Bien sûr, tous les chercheurs ne sont pas parvenus aux mêmes conclusions — ce qui est monnaie courante dans notre secteur. Après tout, les entreprises ont accès à différentes données télémétriques et sources d'information. De plus, les chercheurs s'appuient sur différentes définitions de ce qui constitue un véritable incident lié à un rançongiciel.
Par exemple, Avast a affirmé (s'ouvre dans un nouvel onglet) la semaine dernière que le nombre d'incidents liés aux ransomwares était passé de Q1 à Q2 sur 2022 — bien qu'Avast ait dû admettre que ses chercheurs avaient constaté une baisse du nombre d'attaques entre la fin de l'année 2021 et le début de l'année 2022. SecureWorks est parvenu à une conclusion similaire.
Ainsi, si les ransomwares sont bel et bien toujours d’actualité, quels sont certains des facteurs qui ont contribué à ce que cet ensemble de données soit potentiellement biaisé ?
M. Starks cite les évolutions suivantes comme des circonstances susceptibles de fausser les chiffres :
- Évolution des TTP des acteurs malveillants : De nombreux groupes spécialisés dans les ransomwares ont commencé à recourir à des tactiques similaires à celles des ransomwares, sans toutefois utiliser de logiciel malveillant (extorsion sans chiffrement), et se concentrent désormais sur le vol de données, menaçant de les divulguer sans pour autant bloquer les systèmes des entreprises.
- Changement de cible : Afin d'éviter de s'attirer les foudres des décideurs politiques et des forces de l'ordre, les groupes spécialisés dans les rançongiciels ont également commencé à cibler des organisations de plus petite taille. Cela fait suite à une vague d'attaques par ransomware très médiatisées qui ont visé l'année dernière des entreprises de premier plan telles que JBS, Kaseya et Colonial Pipeline.
- Des cibles plus modestes = des ressources plus limitées : Les victimes de plus petite envergure sont moins susceptibles de signaler leurs incidents liés aux ransomwares à l’une des entités chargées d’en assurer le suivi.
Comme l’a déclaré Don Smith, vice-président chargé du renseignement au sein de la Counter Threat Unit de SecureWorks, « Ce [changement de cible] conduit alors à une situation où, si vous êtes une entreprise de taille moyenne à grande, il se peut que vous n’ayez pas de relation avec un CERT national », c’est-à-dire une équipe gouvernementale d’intervention en cas d’urgence informatique. « Vous n'êtes peut-être pas prêt à faire appel à des sociétés de gestion des incidents de premier plan pour vous aider à résoudre votre problème. » « C'est pourquoi, en adoptant ce genre de point de vue « d'en haut », beaucoup de personnes peuvent faire preuve d'un biais de déclaration, ce qui peut expliquer cette disparité. »
Mais que se passerait-il si le nombre d'attaques avait diminué ?
Bien sûr, à ce stade précoce, bon nombre des facteurs décrits ci-dessus sont encore considérés comme des hypothèses. Il est possible — malgré de légères divergences ponctuelles dans les chiffres avancés par les organismes concernés — que les attaques par rançongiciel aient effectivement diminué ces derniers temps.
Si tel est le cas, voici quelques facteurs qui pourraient y contribuer :
- Sanctions contre la Russie : La Russie, longtemps considérée comme un refuge pour les nombreux groupes de cybercriminels spécialisés dans les ransomwares opérant sur son territoire, pourrait avoir mis des bâtons dans les roues des auteurs de ransomwares. (s'ouvre dans un nouvel onglet)
- Des opérations majeures de ransomware ont été démantelées ou perturbées : Après une période particulièrement fructueuse, le groupe prolifique de ransomware Conti s'est apparemment dissous en mai, (s'ouvre dans un nouvel onglet) à la suite de fuites internes qui ont révélé le fonctionnement interne du groupe et son message public (et très impopulaire) d'alliance avec la Russie dans le conflit russo-ukrainien.
Quelle que soit la raison de cette baisse apparente du nombre d'incidents liés aux ransomwares, le CTI continuera à suivre la situation de près. Nous continuerons à considérer les ransomwares comme une menace majeure et nous aurons une vision plus précise des facteurs à l'origine du nombre d'attaques signalées au fur et à mesure que l'année avancera.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Tim Starks a très bien mis en lumière le fait que les statistiques communiquées par diverses sources de renseignement et agences gouvernementales peuvent parfois présenter des écarts, voire, dans certains cas, des écarts considérables. » Il est souvent bien trop facile de tomber dans le piège d'une confiance aveugle dans les données qui nous sont présentées, en particulier lorsque celles-ci proviennent d'une entité qui s'est historiquement révélée être une source d'information fiable.
« CTI continuera à suivre diverses sources de statistiques relatives aux ransomwares, en restant attentive à toute évolution significative susceptible d’avoir une incidence sur le niveau de risque que représentent les groupes de chantage pour Tanium, ainsi que pour ses fournisseurs, ses partenaires et ses clients. »
2. « Infostealer » est la charge utile privilégiée par le groupe APT russe « Shuckworm » dans le cadre de ses activités visant l'Ukraine
Un article de blog récent de Symantec intitulé « » ( ) (s'ouvre dans un nouvel onglet) détaille les nouvelles activités du Shuckworm observées par la société de sécurité ; celles-ci ont jusqu'à présent visé l'Ukraine et semblent consister à injecter des logiciels malveillants destinés au vol d'informations dans les réseaux ciblés.
Selon Symantec, cette activité se poursuivait encore en 8 août 2022, et une grande partie des activités observées dans le cadre de cette campagne correspond à celles qui avaient été mises en évidence par le CERT-UA (s'ouvre dans un nouvel onglet) sur 26 juillet 2022.
Shuckworm : un groupe lié à la Russie continue d'exploiter #Ukraine Focus - #Gamaredon, #Armageddon : les activités malveillantes se poursuivent, #infostealer : il s'agit de la charge utile de la dernière activité. Consultez le blog pour connaître les derniers indicateurs de compromission (IoC) : symantec-enterprise-blogs.security.com/blogs/threat-i… #Russie #cyberattaques #Shuckworm
Qu'est-ce que le « Shuckworm » ?
Shuckworm (également connu sous les noms de Gamaredon ou Armageddon) est un groupe lié à la Russie qui a presque exclusivement concentré ses activités sur l'Ukraine depuis son apparition en 2014. Cette opération est généralement considérée comme une opération d'espionnage d', commanditée par l'État (s'ouvre dans un nouvel onglet), que les services secrets ukrainiens (SSU) ont mise en relation avec le FSB.
Les services de renseignement ukrainiens ont attribué à ce groupe la responsabilité d'opérations cybernétiques visant des milliers d'entités publiques, privées et gouvernementales dans le pays, dans le but de collecter des renseignements, de perturber les activités et de prendre le contrôle d'infrastructures critiques.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il y a deux thèmes importants qui méritent d’être abordés dans ce récit. » Le premier est le recours croissant aux logiciels malveillants destinés à voler des informations (communément appelés « info-stealers ») par les acteurs malveillants de tous horizons. Selon Intel 471 , depuis le début de l'année 2022, cette société spécialisée dans le renseignement sur les cybermenaces a constaté une augmentation de 150 % du nombre de logiciels de vol d'informations disponibles sur le dark web (s'ouvre dans un nouvel onglet), par rapport à la même période en 2021. Cela témoigne clairement d'une forte demande de la part des auteurs de cybermenaces pour ce type de produits, et met également en évidence le taux de réussite élevé des attaques que ces logiciels peuvent contribuer à provoquer.
Le deuxième élément notable est le fait que le rapport de Symantec indique que Shuckworm s'est jusqu'à présent limité à cibler des entités ukrainiennes. Malgré les divers rapports accessibles au public concernant les activités de ce groupe, Shuckworm ne semble pas se laisser décourager par la médiatisation, et ses opérations se poursuivent sans relâche. Shuckworm n'est peut-être pas l'acteur le plus sophistiqué au sein de la hiérarchie des acteurs malveillants soutenus par l'État russe, mais – comme l'a souligné Symantec – il compense largement ses lacunes techniques par sa ténacité, sa persévérance et l'acharnement avec lequel il s'en prend à ses victimes.
Comme pour la plupart des logiciels malveillants et des TTP utilisés par les parties au conflit russo-ukrainien, le principal risque réside dans la « propagation » vers les organisations, les réseaux et les infrastructures critiques occidentaux – une menace qui a été régulièrement détaillée par la CISA et son initiative « Shields Up ». (s'ouvre dans un nouvel onglet) »
3. UNC3890 On soupçonne des pirates informatiques iraniens de cibler les secteurs israéliens du transport maritime, de la santé, de l'administration et de l'énergie
Un rapport récent de Mandiant détaille le suivi par cette société de l'opération « UNC3890 » (s'ouvre dans un nouvel onglet), un ensemble d'activités ciblant des organisations israéliennes des secteurs du transport maritime, du gouvernement, de l'énergie et de la santé, par le biais de leurres d'ingénierie sociale et d'un éventuel « watering hole ». Mandiant estime que cet acteur est lié à l'Iran et qu'il mène probablement des activités d'espionnage au service des intérêts iraniens.
Qu'est-ce que le UNC3890 ?
- « UNC » est l'abréviation de « non classé » et désigne un ensemble d'activités. Cette opération s'appuie sur plusieurs outils accessibles au public, tels que Metasploit, Unicorn et NorthStar C2, ainsi que sur au moins deux outils spécifiques : une porte dérobée baptisée « SUGARUSH » et un programme de vol d'identifiants de navigateur nommé « SUGARDUMP ».
- Mandiant a commencé à surveiller le groupe « UNC3890 » à la fin de l'année 2021, période durant laquelle il a été observé qu'il ciblait des entités israéliennes et manifestait un intérêt pour des secteurs tels que l'administration, le transport maritime, l'énergie, l'aviation et la santé. Si la plupart des attaques semblent viser Israël, certaines des entités ciblées par le groupe dans le secteur du transport maritime étaient des entreprises internationales, ce qui pourrait avoir des répercussions dépassant les frontières d'Israël.
- Mandiant a principalement pu mettre au jour des implants utilisés par le groupe « UNC3890 » après l'exploitation, mais a également pu identifier quelques éléments susceptibles d'apporter des éclaircissements sur les méthodes d'accès initiales de ce groupe.
- Un « watering hole » potentiel de type « » (s'ouvre dans un nouvel onglet) a été identifié sur la page de connexion d'une société de transport maritime israélienne légitime, qui, selon les chercheurs, aurait probablement été compromise par UNC3890. En accédant à la page de connexion légitime, l'utilisateur enverrait une requête POST, contenant des données préliminaires sur l'utilisateur connecté, à un pirate. On pense que ce « point d'eau » aurait servi à cibler les clients et les utilisateurs de la compagnie maritime. Mandiant a constaté une nouvelle tentative d'attaque visant une autre grande compagnie maritime israélienne, perpétrée par ce groupe et s'inscrivant dans le cadre de la technique du « watering hole ».
- Plusieurs noms de domaine redirigeant vers les serveurs UNC3890’s et C2 se faisaient passer pour des services et des entités légitimes, notamment LinkedIn, Pfizer, Facebook et Office 365. Ces domaines ont probablement été utilisés pour collecter des identifiants d'accès au service légitime, pour envoyer des messages de hameçonnage de type « », ou encore pour tenter de se fondre dans le trafic réseau normal. Mandiant a également identifié un serveur UNC3890 hébergeant plusieurs fichiers ZIP contenant des données extraites des comptes Facebook et Instagram de personnes réelles.
- On constate que cette opération utilise un fichier XLS conçu pour attirer la victime à l'aide d'une fausse offre d'emploi. Ce fichier installe SUGARDUMP, un outil de collecte d'identifiants. Cette fausse offre d'emploi concerne un poste de développeur logiciel chez LexisNexis.
- Une fois l'accès initial obtenu, le groupe utilise un large éventail d'outils pour accéder à l'environnement et en prendre le contrôle.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Le leurre consistant à proposer de fausses offres d’emploi semble gagner en popularité ces derniers temps parmi les acteurs malveillants (sans compter qu’il s’agit d’une technique traditionnellement très prisée, notamment par les acteurs malveillants liés à l’Iran), et UNC3890 n’est que le dernier groupe en date à s’inscrire dans cette tendance. »
Ce qui distingue quelque peu le programme UNC3890 , c'est qu'il s'adresse aux compagnies maritimes. Comme on ignore précisément à quelles données l'auteur de la menace a pu accéder lorsqu'il aurait mis en place un « watering hole » à l'encontre d'une compagnie maritime israélienne, il est difficile de déterminer quel était exactement son objectif final. Néanmoins, l'utilisation, dans le cadre de ces opérations, d'outils sur mesure destinés à la collecte d'identifiants et de portes dérobées témoigne d'un niveau de sophistication accru de la part des attaquants.
Consultez notre bibliothèque de ressources sur la cybersécurité
Souhaitez-vous en savoir plus sur les dernières évolutions en matière de cybersécurité ? Nous vous proposons un large éventail d'articles, de billets de blog et de vidéos consacrés à la cybersécurité. Découvrez nos articles à la une.
