Un ransomware est un type de logiciel malveillant, ou malware, qui crypte les fichiers sur un appareil, les rendant ainsi inaccessibles. L’attaquant exige alors le paiement d’une rançon en échange du décryptage des fichiers. Les ransomwares existent depuis 1989 mais sont devenus plus répandus et plus sophistiqués ces dernières années.
Les premières formes de ransomware étaient relativement simples et bloquaient l’accès au système informatique. Les variantes modernes des ransomwares chiffrent des fichiers spécifiques sur le disque dur du système à l’aide d’algorithmes de chiffrement asymétriques qui génèrent une paire de clés : une clé publique pour chiffrer les fichiers et une clé privée pour les déchiffrer. La seule façon de décrypter et d’accéder à nouveau aux fichiers est d’utiliser la clé privée détenue par l’attaquant.
Les ransomwares sont souvent diffusés via des e-mails de phishing contenant des pièces jointes ou des liens malveillants. Une fois exécuté sur le système de la victime, il crypte les fichiers et affiche une demande de rançon avec des instructions sur la façon de payer pour récupérer l’accès. La rançon est généralement demandée dans une crypto-monnaie comme Bitcoin pour éviter d’être retrouvée.
Il existe deux principaux types de ransomwares :
Les ransomwares sont devenus un modèle économique criminel lucratif. De nouvelles variantes sont continuellement développées et publiées pour maximiser le montant d’argent extorqué aux victimes. La prévention grâce aux meilleures pratiques de cybersécurité telles que la sauvegarde des données et la formation des employés constituent les meilleures défenses contre les ransomwares.
Un ransomware est une forme de malware qui crypte des fichiers ou verrouille l'accès à un appareil, puis exige le paiement d'une rançon pour restaurer l'accès. Les infections par ransomware se produisent généralement de trois manières :
Déguisés en logiciels légitimes, les chevaux de Troie sont téléchargés par des utilisateurs sans méfiance et installent des ransomwares sur le système. Ceux-ci sont souvent distribués via un code malveillant intégré dans des pièces jointes à des e-mails, des cracks logiciels ou des supports piratés.
Les e-mails de phishing contiennent des liens ou des pièces jointes malveillants qui installent des ransomwares lorsqu'ils sont cliqués ou ouverts. Les e-mails sont conçus pour donner l’impression qu’ils proviennent d’une entreprise légitime afin d’inciter le destinataire à télécharger la charge utile.
Certains ransomwares profitent des vulnérabilités des systèmes réseau ou des logiciels pour se propager aux appareils connectés. Une fois qu'un appareil est infecté, le ransomware crypte les fichiers de ce système et tous les partages réseau auxquels il a accès.
Les charges utiles des ransomwares affichent généralement des messages à l’écran exigeant le paiement d’une rançon, généralement en cryptomonnaie comme Bitcoin, pour retrouver l’accès aux fichiers ou au système. Le montant de la rançon varie mais se situe souvent entre plusieurs centaines et plusieurs milliers de dollars. Le paiement de la rançon ne garantit toutefois pas que l’accès sera rétabli.
Les ransomwares sont devenus une activité lucrative pour les cybercriminels. Grâce à l’utilisation de kits malveillants et de programmes d’affiliation, même ceux qui ne disposent pas de compétences techniques avancées peuvent facilement déployer des campagnes de ransomware.
Tant que les ransomwares s’avèrent rentables, ils continueront probablement à constituer une menace pour les individus et les organisations. Maintenir des sauvegardes fiables, maintenir les logiciels à jour et informer les utilisateurs sur les cybermenaces font partie des meilleures défenses contre les ransomwares.
Il existe trois principaux types de ransomwares que les professionnels de la cybersécurité doivent connaître : les scarewares, les casiers d’écran et les ransomwares de cryptage.
Les scarewares, également connus sous le nom de ransomware trompeur, font croire aux victimes que leurs systèmes ont été verrouillés ou compromis afin d'extorquer de l'argent. Des messages affirmant qu'un contenu illégal a été détecté ou que des fichiers système ont été cryptés sont affichés pour effrayer l'utilisateur et l'amener à payer une « amende ». En réalité, aucune action de ce type n’a eu lieu. Les scarewares sont généralement faciles à supprimer à l’aide d’un logiciel antivirus.
Les casiers d'écran, ou ransomware d'écran de verrouillage, verrouillent les utilisateurs hors de leurs appareils en affichant des messages en plein écran sur l'écran de connexion. Ils empêchent l’accès au système en verrouillant l’écran, mais ne chiffrent aucun fichier. Quelques exemples bien connus sont Reveton et FbiLocker. Bien que frustrants, les casiers d’écran ne causent généralement aucun dommage permanent et peuvent souvent être supprimés à l’aide d’un outil de suppression de logiciels malveillants.
Le chiffrement des ransomwares est le type le plus grave. Il crypte les fichiers sur les systèmes infectés à l'aide d'algorithmes de cryptage difficiles à déchiffrer sans la clé de déchiffrement. Le ransomware exige un paiement, souvent en cryptomonnaie, en échange de la clé de décryptage. Si la rançon n'est pas payée, les fichiers restent cryptés et inaccessibles.
Quelques exemples tristement célèbres de ransomwares de chiffrement sont WannaCry, Petya et Ryuk. Le chiffrement des ransomwares nécessite des stratégies de prévention et de sauvegarde, car la récupération des données est très difficile sans payer la rançon.
Les ransomwares mobiles sont un type de malware qui peut infecter votre téléphone et vous empêcher d'accéder à votre appareil mobile. Une fois infecté, le malware cryptera toutes vos données et demandera une rançon afin de les restaurer. Si vous ne payez pas la rançon, le malware peut même supprimer vos données.
Pour se défendre contre les ransomwares, les organisations doivent se concentrer sur la formation des employés, des contrôles de sécurité stricts, des logiciels antivirus, la mise à jour des systèmes et la maintenance de sauvegardes de données sécurisées. Le paiement de rançons ne fait qu’encourager de nouvelles activités criminelles et ne garantit pas que les fichiers seront récupérés ; il doit donc être évité. Avec de la vigilance et des mesures défensives proactives, l’impact des ransomwares peut être minimisé.
Les attaques de ransomwares sont devenues de plus en plus courantes et dommageables ces dernières années. Plusieurs incidents majeurs mettent en évidence à quel point les organisations sont devenues vulnérables face à ces menaces.
En mai 2017, l’attaque du ransomware WannaCry a infecté plus de 200,000 150 ordinateurs dans 4 pays. Il ciblait les vulnérabilités des systèmes d’exploitation Microsoft Windows, cryptant des fichiers et exigeant le paiement de rançons en Bitcoin. Le National Health Service du Royaume-Uni a été durement touché, obligeant certains hôpitaux à refuser des patients non urgents. Le total des dommages a dépassé XNUMX milliards de dollars.
Peu de temps après WannaCry, NotPetya est apparu. Déguisé en ransomware, NotPetya était en réalité un virus wiper conçu pour détruire les données. Cela a détruit les infrastructures ukrainiennes telles que les compagnies d’électricité, les aéroports et les banques. NotPetya s'est propagé à l'échelle mondiale, infectant des entreprises comme FedEx, Maersk et Merck. NotPetya a causé plus de 10 milliards de dollars de dommages, ce qui en fait à l'époque la cyberattaque la plus coûteuse de l'histoire.
En 2019, le ransomware Ryuk a ciblé plus de 100 journaux américains. L'attaque a crypté les fichiers, perturbé les opérations d'impression et exigé une rançon de 3 millions de dollars. Plusieurs journaux ont dû publier des éditions plus petites ou passer uniquement en ligne pendant plusieurs jours. Ryuk a depuis touché d’autres secteurs comme la santé, la logistique et la finance. Les experts associent Ryuk à un groupe sophistiqué parrainé par l’État nord-coréen.
Les ransomwares sont rapidement devenus une menace pour la sécurité nationale et une menace économique. Les soins de santé, les gouvernements, les médias, le transport maritime et les services financiers semblent être des cibles privilégiées, même si toute organisation est en danger. Les demandes de rançon s'élèvent souvent à six ou sept chiffres, et même si elles sont payées, il n'y a aucune garantie de récupération des données. La seule façon pour les entreprises et les gouvernements de se défendre contre les ransomwares est la vigilance, la préparation et la coopération.
La formation des employés, la maintenance de sauvegardes hors ligne, la mise à jour des logiciels et la mise en œuvre d'un plan de réponse aux incidents peuvent contribuer à réduire la vulnérabilité. Mais tant qu’il y aura des profits à tirer des ransomwares, la bataille restera probablement un combat permanent.
À empêcher les rançongiciels infections, les organisations doivent mettre en œuvre une approche à plusieurs niveaux axée sur la formation des employés, des contrôles de sécurité robustes et des sauvegardes fiables.
Les employés sont souvent la cible d'attaques de ransomware via des e-mails de phishing contenant des liens ou des pièces jointes malveillants. Il est essentiel d’éduquer le personnel sur ces menaces et de dispenser une formation sur la détection des attaques potentielles. Les employés doivent se méfier des demandes non sollicitées d’informations ou de liens sensibles et apprendre à ne pas ouvrir les pièces jointes provenant d’expéditeurs inconnus ou non fiables. Des rappels réguliers et des campagnes de phishing simulées peuvent aider à renforcer les enseignements et à identifier les domaines nécessitant des améliorations.
La segmentation du réseau sépare les parties du réseau en réseaux plus petits pour mieux contrôler l'accès et contenir les infections. Si un ransomware pénètre dans un segment, la segmentation l’empêche de se propager à l’ensemble du réseau. Une protection robuste des points finaux, comprenant un logiciel antivirus, des systèmes de prévention des intrusions et des correctifs réguliers, aident à bloquer les ransomwares et autres logiciels malveillants. L'authentification à deux facteurs pour l'accès à distance et les comptes d'administrateur offre une couche de sécurité supplémentaire.
Des sauvegardes de données fréquentes et redondantes sont essentielles pour se remettre d’une attaque de ransomware sans payer de rançon. Les sauvegardes doivent être stockées hors ligne et hors site au cas où le réseau serait compromis. Testez régulièrement la restauration des sauvegardes pour vous assurer que le processus fonctionne et que les données sont intactes. Si le ransomware crypte les fichiers, disposer de sauvegardes accessibles évite la perte permanente de données et élimine le besoin de payer la rançon.
D'autres contrôles utiles incluent la restriction des autorisations et des privilèges des utilisateurs, la surveillance des signes de compromission comme une activité réseau inhabituelle et la planification d'une stratégie de réponse aux incidents en cas d'infection. Se tenir au courant des dernières menaces de ransomware et méthodes d'attaque, et partager ces connaissances au sein de l'organisation, aide les équipes informatiques à mettre en œuvre des défenses appropriées.
En mettant l’accent sur des contrôles stricts et sur l’éducation et la préparation, les organisations peuvent éviter d’être victimes d’attaques de ransomwares. Mais même avec les meilleures pratiques en place, les ransomwares restent une menace omniprésente. Des tests réguliers des contrôles et des réponses permettent de minimiser les dégâts en cas de réussite d'une attaque. Lorsqu’elles sont mises en œuvre ensemble, ces couches de défense offrent la meilleure protection contre les ransomwares.
Les attaques de ransomware nécessitent une réponse rapide et stratégique pour minimiser les dégâts et assurer la récupération.
Lors de la découverte d’une infection par un ransomware, la première étape consiste à isoler les systèmes infectés pour empêcher le malware de se propager davantage. Ensuite, déterminez l'étendue et la gravité de l'attaque pour identifier les systèmes et les données qui ont été touchés. Sécurisez les données de sauvegarde et déconnectez les périphériques de stockage pour les protéger du cryptage.
Les systèmes étant isolés, les professionnels peuvent s’efforcer de contenir et de supprimer le ransomware. Un logiciel antivirus et des outils de suppression de logiciels malveillants doivent être utilisés pour analyser les systèmes et supprimer les fichiers malveillants. Une restauration complète du système à partir d'une sauvegarde peut être nécessaire pour les machines gravement infectées. Pendant ce processus, surveillez les systèmes pour détecter toute réinfection.
Les variantes des ransomwares évoluent constamment pour échapper à la détection. Des outils et techniques personnalisés peuvent donc être nécessaires pour éliminer complètement une souche avancée. Dans certains cas, le cryptage d’un ransomware peut être irréversible sans payer de rançon. Cependant, le paiement de rançons finance des activités criminelles et ne garantit pas la récupération des données ; il ne doit donc être considéré qu’en dernier recours absolu.
Suite à une attaque de ransomware, un examen complet des politiques et procédures de sécurité est nécessaire pour renforcer les défenses et prévenir la réinfection. Une formation supplémentaire du personnel sur les cyber-risques et la réponse peut également être nécessaire.
Pour restaurer les données cryptées, les organisations peuvent utiliser des fichiers de sauvegarde pour écraser les systèmes infectés et récupérer les informations. Des sauvegardes de données régulières et hors ligne sont essentielles pour minimiser la perte de données due aux ransomwares. Plusieurs versions de sauvegardes au fil du temps permettent une restauration à un point antérieur à l'infection initiale.
Certaines données peuvent rester irrécupérables si les fichiers de sauvegarde ont également été cryptés. Dans ces situations, les organisations doivent déterminer si les informations perdues peuvent être recréées ou obtenues à partir d’autres sources. Ils devront peut-être accepter une perte permanente de données et envisager de reconstruire entièrement certains systèmes.
Les attaques de ransomware peuvent être dévastatrices, mais avec une réflexion rapide et les bonnes stratégies, les organisations peuvent les surmonter. Rester vigilant et se préparer à divers scénarios garantira la réponse la plus efficace en cas de catastrophe. L’évaluation et l’amélioration continues des cyberdéfenses peuvent contribuer à réduire les risques à long terme.
Les attaques de ransomwares se sont multipliées ces dernières années. Selon Cybersecurity Ventures, les coûts mondiaux des dommages causés par les ransomwares devraient atteindre 20 milliards de dollars en 2021, contre 11.5 milliards de dollars en 2019. Le rapport sur les menaces liées à la sécurité Internet de Symantec a révélé une augmentation de 105 % des variantes de ransomwares entre 2018 et 2019.
Les types de ransomwares les plus courants aujourd’hui sont les ransomwares d’écran de verrouillage, les ransomwares de chiffrement et les ransomwares de double extorsion. Le ransomware d’écran de verrouillage verrouille les utilisateurs hors de leurs appareils. Le ransomware de chiffrement crypte les fichiers et exige le paiement de la clé de décryptage. Le ransomware à double extorsion crypte les fichiers, exige un paiement et menace également de divulguer des données sensibles volées si le paiement n'est pas effectué.
Les attaques de ransomware ciblent fréquemment les établissements de santé, les agences gouvernementales et les établissements d'enseignement. Ces organisations disposent souvent de données sensibles et peuvent être plus disposées à payer des rançons pour éviter les perturbations et les violations de données. Cependant, payer des rançons encourage les cybercriminels à poursuivre et à étendre leurs opérations de ransomware.
La plupart des ransomwares sont diffusés via des e-mails de phishing, des sites Web malveillants et des vulnérabilités logicielles. Les e-mails de phishing contenant des pièces jointes ou des liens malveillants restent le vecteur d'infection le plus répandu. Alors que de plus en plus d’organisations renforcent la sécurité de leur messagerie, les attaquants exploitent de plus en plus les vulnérabilités logicielles non corrigées pour y accéder.
L’avenir des ransomwares pourrait inclure des attaques de vol de données plus ciblées, des demandes de rançon plus élevées et l’utilisation de crypto-monnaies pour éviter le suivi. Le Ransomware-as-a-Service, dans lequel les cybercriminels louent des outils et des infrastructures de ransomware à des attaquants moins qualifiés, est également en hausse et permet à un plus grand nombre de personnes de mener plus facilement des campagnes de ransomware.
Pour lutter contre la menace des ransomwares, les organisations doivent se concentrer sur la formation des employés, une sécurité renforcée de la messagerie électronique, des correctifs logiciels réguliers et des sauvegardes fréquentes des données stockées hors ligne. Grâce à des pratiques de sécurité complètes en place, l’impact des ransomwares et autres cyberattaques peut être considérablement réduit.
Les gouvernements et les organisations internationales du monde entier ont pris conscience de l’augmentation des attaques de ransomwares et des dégâts qu’elles provoquent. Plusieurs efforts sont en cours pour lutter contre les ransomwares.
L'Agence de l'Union européenne pour la cybersécurité, également connue sous le nom d'ENISA, a publié des recommandations et des stratégies pour prévenir et répondre aux attaques de ransomwares. Leurs conseils comprennent la formation des employés, les protocoles de sauvegarde des données et la coordination avec les forces de l'ordre.
Interpol, l'Organisation internationale de police criminelle, a également mis en garde contre la menace des ransomwares et a publié une « Notice violette » à ses 194 pays membres sur le mode opératoire des cybercriminels déployant des ransomwares. Interpol vise à alerter les organisations et les individus des risques liés aux ransomwares et à fournir des recommandations pour renforcer les cyberdéfenses.
Aux États-Unis, le ministère de la Justice a engagé des poursuites judiciaires contre les attaquants déployant certaines souches de ransomwares comme REvil et NetWalker. Le DOJ travaille avec des partenaires internationaux pour identifier et inculper les auteurs d'attaques de ransomware lorsque cela est possible. La Cybersecurity and Infrastructure Security Agency, ou CISA, fournit des ressources, des formations et des conseils pour aider à protéger les réseaux contre les ransomwares.
Le G7, un groupe regroupant certaines des plus grandes économies avancées du monde, a affirmé son engagement à améliorer la cybersécurité et à lutter contre les cybermenaces telles que les ransomwares. Lors de son sommet de 2021, le G7 s’est engagé à soutenir les principes de comportement responsable dans le cyberespace et de coopération sur les questions cybernétiques.
Même si les actions gouvernementales et la coopération internationale vont dans la bonne direction, les organisations des secteurs public et privé doivent également jouer un rôle actif dans la défense contre les ransomwares. La sauvegarde des données, la formation des employés et la mise à jour des systèmes sont des mesures essentielles qui, combinées aux efforts des gouvernements et des alliances mondiales, peuvent contribuer à limiter l'impact des attaques de ransomwares.
À mesure que les tactiques cybercriminelles deviennent plus sophistiquées, il est essentiel que les organisations et les individus comprennent les menaces émergentes telles que les ransomwares.
Même si les attaques de ransomware peuvent ressembler à une violation personnelle, rester calme et méthodique est la meilleure approche pour résoudre la situation avec un minimum de pertes. Avec des connaissances, une préparation et les bons outils et partenaires, les ransomwares ne signifient pas nécessairement la fin de la partie.
En restant informé des dernières souches, vecteurs d'attaque et pratiques de sécurité recommandées, vous garantirez que vous avez le pouvoir, et non les auteurs.
