Qu'est-ce qu'un ransomware ?

Les ransomwares se présentent sous deux formes principales : les ransomwares crypto et les ransomwares locker, qui sont eux-mêmes divisés en plusieurs sous-types.

Ransomware crypto
Lors d’une attaque de ransomware crypto, l’attaquant crypte les données ou les fichiers sensibles d’une victime afin qu’elle ne puisse pas y accéder à moins qu’elle ne paie la rançon demandée. En théorie, une fois que la victime a payé, l’attaquant lui remet une clé de déchiffrement qui lui donne accès aux fichiers ou aux données. Cependant, il n’y a aucune garantie. De nombreuses organisations ont définitivement perdu l’accès à leurs fichiers même après avoir payé la rançon.

Ransomware Locker
Dans les rançongiciels de verrouillage, les acteurs malveillants bloquent l'accès d'une victime à son appareil et lui présentent une note de rançon à l'écran avec des instructions sur la façon de payer une rançon pour retrouver l'accès. Cette forme de ransomware n’implique généralement pas de cryptage. Ainsi, une fois que la victime retrouve l’accès à son appareil, tous les fichiers et données sensibles sont préservés. Le ransomware Locker est couramment utilisé sur les appareils mobiles.

Ces deux principales formes de ransomware se répartissent dans les sous-types suivants :

Alarmiciel
Les alarmiciels utilisent la peur pour inciter les gens à payer une rançon. Dans ce type de cyberattaques, les acteurs malveillants se font passer pour un organisme chargé de l’application de la loi et envoient un message à la victime l’accusant d’un crime et exigeant une amende.

Doxware
Dans Doxware, les acteurs malveillants volent des informations personnelles et menacent de les révéler publiquement si une rançon n’est pas payée.

Double extorsion ransomware
Dans les rançongiciels à double extorsion, les attaquants non seulement cryptent les fichiers, mais volent également des données sensibles et menacent de les divulguer publiquement si la rançon n’est pas payée.

Essuie-glaces
Les essuie-glaces menacent de détruire les données de la victime si elle ne paie pas la rançon.

La plupart des attaques de ransomware suivent un processus en trois étapes.

1. Accéder
Les acteurs malveillants utilisent diverses méthodes pour accéder aux données sensibles d’une entreprise. L’une des méthodes les plus courantes est le phishing, qui consiste pour les cybercriminels à utiliser des e-mails, des SMS ou des appels téléphoniques pour inciter les gens à fournir leurs informations d’identification ou à télécharger des logiciels malveillants. Les acteurs malveillants ciblent également les employés et autres utilisateurs avec des sites Web malveillants qui utilisent ce qu’on appelle un kit d’exploitation pour télécharger et installer automatiquement des logiciels malveillants sur l’appareil de la victime.

2. Crypter les données
Une fois que les attaquants du ransomware ont accès aux données sensibles, ils les copient et détruisent le fichier d’origine ainsi que toutes les sauvegardes auxquelles ils ont pu accéder. Ils cryptent ensuite leur copie et créent une clé de décryptage.

3. Demander une rançon
Après avoir rendu les données inaccessibles, le ransomware envoie un message via une boîte d'alerte qui explique que les données ont été cryptées et requête de l'argent, généralement en cryptomonnaie, en échange de la clé de décryptage. Les acteurs malveillants derrière ces attaques pourraient également menacer de divulguer les données au public si la victime refuse de payer.

Au-delà de la perturbation immédiate des opérations, les conséquences d’une attaque par ransomware peuvent inclure des pertes financières importantes, des atteintes à la réputation et des défis opérationnels à long terme.

Conséquences financières
Le coût du paiement d’une rançon peut être substantiel, atteignant souvent des millions de dollars, et il n’y a aucune garantie que les attaquants fourniront la clé de déchiffrement ou qu’elle fonctionnera correctement.

Même lorsque les organisations refusent de payer la rançon, les coûts financiers peuvent être importants. La perturbation causée par une attaque de ransomware peut entraîner des temps d’arrêt prolongés, affectant la productivité et pouvant entraîner une perte de revenus. La récupération après une attaque implique des dépenses supplémentaires, notamment le coût des enquêtes médico-légales, des frais juridiques et des investissements dans des mesures de sécurité améliorées.

Atteinte à la réputation
Les clients et les partenaires pourraient perdre confiance dans une entreprise qui a été compromise, ce qui entraînerait une baisse de la fidélité des clients et une perte potentielle de contrats futurs. Les attaques très médiatisées attirent souvent l’attention des médias, ce qui peut nuire à la réputation et à l’image de marque d’une entreprise.

Défis opérationnels
Même avec des sauvegardes, il existe un risque de perte ou de corruption de données, ce qui peut avoir un impact sur la continuité des activités et l'efficacité opérationnelle. Les entreprises peuvent également être confrontées à des sanctions juridiques et réglementaires si elles ne protègent pas les données sensibles, en particulier si elles sont soumises à des réglementations sur la protection des données telles que le règlement général sur la protection des données de l'Union européenne ou la loi californienne sur la protection de la vie privée des consommateurs.

La plupart des attaques de rançongiciels les plus médiatisées menées par des humains sont menées par des groupes de rançongiciels, qui fonctionnent selon un modèle commercial de rançongiciel en tant que service.

 

• Depuis son apparition en 2019, LockBit a ciblé divers secteurs, notamment les services financiers, la santé et la fabrication. Ce ransomware est connu pour sa capacité à s'autopropager au sein des réseaux, ce qui le rend particulièrement dangereux. Les filiales de LockBit sont responsables de nombreuses attaques très médiatisées, utilisant des techniques sophistiquées pour crypter les données et exiger des rançons. 
• Les attaques de BlackByte impliquent souvent une double extorsion, où les cybercriminels cryptent et exfiltrent les données, menaçant de publier les données volées si la rançon n'est pas payée. Ce ransomware a été utilisé pour cibler des secteurs d’infrastructures critiques, notamment les services gouvernementaux et financiers.
• Le groupe à l’origine du ransomware Hive, actif entre juin 2021 et janvier 2023, recourait à la double extorsion et ciblait généralement les institutions publiques et les infrastructures critiques, notamment les établissements de santé. Dans une victoire significative contre la cybercriminalité, le FBI a infiltré le réseau de Hive en 2022, capturant des clés de décryptage et empêchant plus de 130 millions de dollars de requêtes de rançon. 
• Le ransomware Akira est un malware sophistiqué actif depuis début 2023 et ciblant les systèmes Windows et Linux. Les acteurs malveillants utilisent Akira pour obtenir un accès initial via des vulnérabilités dans les services VPN, en particulier ceux sans authentification multifacteur. Depuis son apparition, Akira a touché plus de 250 organisations et a réclamé environ 42 millions de dollars de rançongiciels.

 

Si vous êtes victime d’une attaque de ransomware, il existe des options de recours et de suppression.

Isoler les données infectées
Dès que possible, isolez les données compromises pour empêcher le ransomware de se propager à d’autres zones de votre réseau.

Exécuter un programme anti-malware
Une fois que vous avez isolé tous les systèmes infectés, utilisez un programme anti-malware pour supprimer le ransomware.

Décrypter des fichiers ou restaurer des sauvegardes
Si possible, utilisez des outils de décryptage fournis par les forces de l’ordre ou les chercheurs en sécurité pour décrypter les fichiers sans payer la rançon. Si le décryptage n’est pas possible, restaurez les fichiers à partir de vos sauvegardes.

Signaler l'attaque
Contactez les forces de l’ordre locales ou fédérales pour signaler l’attaque. Aux États-Unis, il s'agit de votre bureau local du FBI, de l'IC3 ou des services secrets. Même si cette étape ne résoudra probablement aucun de vos problèmes immédiats, elle est importante car ces autorités suivent et surveillent activement différentes attaques. Leur fournir des détails sur votre expérience pourrait être utile dans leurs efforts pour trouver et poursuivre un cybercriminel ou un groupe de cybercriminels.

Soyez prudent lorsque vous payez la rançon
Même s’il peut être tentant de payer la rançon, rien ne garantit que les cybercriminels tiendront parole et vous accorderont l’accès à vos données. Les experts en sécurité et les forces de l’ordre recommandent aux victimes d’attaques par rançongiciel de ne pas payer les rançons demandées, car cela pourrait les exposer à de futures menaces et soutiendrait activement une industrie criminelle.

Les chercheurs en sécurité s’attendent à ce que les ransomwares continuent de croître en fréquence et en complexité au cours des prochaines années. Les progrès de l’IA permettent aux cybercriminels d’automatiser et d’améliorer rapidement leurs ransomwares. De plus en plus de personnes ayant des compétences techniques limitées se lancent dans le jeu, car elles peuvent acheter des outils de ransomware basés sur l'IA sur le dark web ou s'associer à une organisation de ransomware en tant que service.

Les organisations cybercriminelles plus grandes et plus sophistiquées, y compris les acteurs étatiques, ciblent également de plus en plus les infrastructures critiques et les chaînes d’approvisionnement, entraînant des perturbations importantes des opérations municipales et commerciales. Ces entités ciblent souvent les gouvernements, les systèmes de transport et les organismes de santé dans le but de paralyser les services.

Pour contrer ces menaces en constante évolution, les organisations adoptent l’IA pour la cybersécurité afin de les aider à détecter et à répondre rapidement et efficacement aux attaques de ransomware. Ces technologies analysent de vastes quantités de données pour identifier des modèles et des anomalies qui pourraient indiquer une attaque de ransomware. Bon nombre de ces solutions peuvent également répondre automatiquement aux menaces détectées, réduisant ainsi le temps nécessaire pour atténuer une attaque.

Le modèle de sécurité Zero Trust gagne également du terrain comme moyen d’améliorer la cybersécurité et de limiter la propagation des ransomwares et autres activités malveillantes.