Livre blanc F-Secure Ransomware - le chantage qui fait déchanter

Livre blanc F-Secure Ransomware - le chantage qui fait déchanter

• 1.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 1 DES BLOQUEURS AUX CHIFFREURS Selon l’enquête de l’ISACA parue en janvier 2016, une entreprise sur cinq dans le monde aurait déjà connu un incident impliquant un ransomware. Ces chevaux de Troie empêchent les organisations d’accéder à leurs données pour mieux les faire chanter. Mais faut-il pour autant payer ? Si le principe du ransomware n’a pas changé, la méthode a quant à elle évoluée : les chiffreurs ont supplanté les bloqueurs. 1. LES BLOQUEURS ET VIRUS GENDARMERIE La première génération de ransomware bloquait l’accès ausystèmed’exploitationouaunavigateurdel’internaute pour lui demander une rançon. Avant l’arrivée du bitcoin, les victimes payaient par SMS ou effectuaient le transfert d’argent sur un porte-monnaie électronique. Beaucoup de ransomware de cette première vague utilisaient les logos d’autorités policières, parfois ceux du FBI ou de la CIA, d’où le nom de rançongiciel ou Virus Gendarmerie. Les bloqueurs ne sont plus légion sur les ordinateurs car il est désormais devenu facile de les supprimer en déconnectant le disque dur et en le branchant sur une autre machine pour effacer les fichiers contaminés. Ils font en revanche leur grand retour sur les terminaux mobiles en bloquant les applications. Le stockage de l’appareil étant majoritairement interne et non amovible sur ce type de terminal, difficile d’utiliser le même subterfuge.
• 2.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 2 2. LES CHIFFREURS OU CRYPTOVIRUS Les cryptovirus procèdent quant à eux au chiffrement des données des appareils et des fichiers partagés s’ils sont reliés à un lecteur réseau. Une clé de déchiffrement est nécessaire pour les récupérer. Celle-ci, souvent unique, est générée pour chaque appareil infecté. Les internautes touchés sont invités par une boîte de dialogue à payer la rançon par bitcoin dans un certain laps de temps. Ces cryptovirus s’introduisent de différentes manières : Attaque par phishing ou hameçonnage : l’infection se fait par l’ouverture d’une pièce jointe compromise ou par le clic vers un site malveillant utilisant un kit d’exploit. L’idée est de tromper l’utilisateur sur la légitimité de l’email ou du site. Attaque de type «watering hole» : une visite sur un site légitime, mais compromis, contamine l’appareil utilisé. Attaque par exploitation de failles de sécurité  : les logiciels non mis à jour sont des passerelles de plus en plus empruntées. La sophistication de ces malware s’est généralisée avec des méthodes de chiffrement qui rendent la plupart du temps le déchiffrement impossible : La combinaison des méthodes RSA (chiffrement asymétrique) / AES (chiffrement symétrique) qui permet une grande vitesse de chiffrement de données, jusqu’à 256 bits à l’aide de l’algorithme AES, et qui chiffre ensuite la clé AES avec l’algorithme RSA. Les algorithmes à courbes elliptiques, qui procèdent à un chiffrement encore plus complexe et tout aussi rapide. Les internautes touchés sont invités par une boîte de dialogue à payer la rançon par bitcoin dans un certain laps de temps.
• 3.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 3 LES DIFFÉRENTES FAMILLES DE RANSOMWARE 1. LES GÉNÉRALISTES CTB Locker : Apparu en 2014, ce cryptoware ne vise plus seulement les ordinateurs, mais également les sites web depuis février 2016 en chiffrant l’ensemble des fichiers de leurs répertoires avec sa variante basée sur PHP. Les cyber pirates utilisent également la blockchain pour stocker les clés de déchiffrement. CryptoWall : Ce ransomware infiltre les systèmes d’exploitation via des emails et de faux téléchargements, comme les lecteurs vidéo ou de fausses mises à jour de flash. La version 4 se diffuse notamment avec le kit d’exploit Nuclear. Locky et ses variantes Odin et Zepto : Locky est l’un des ransomware les plus agressifs de cette année 2016 : 120 000 frappes par jour au mois de juillet dernier ! Il prend une nouvelle tournure en ajoutant l’extension .odin et l’extension .zepto à vos fichiers pour les chiffrer. Reveton : Trojan:W32/Reveton se fait passer pour une autorité policière en demandant une amende à l’internaute pour restaurer l’accès à ses données. Cerber : Apparu cette année, il sème déjà la terreur : 209 millions de dollars auprès de 80 000 victimes dans 176 pays ! Il est diffusé notamment par l’exploit kit Magnitude qui s‘est lui-même développé cette année. La particularité de Cerber est qu’il vous parle pour communiquer ses exigences. Il existe aujourd’hui près de 200 variantes de ransomware en activité. Ces derniers visent tout autant les postes de travail, les appareils mobiles ainsi que les serveurs. Aucun environnement n’est épargné qu’il s’agisse de Windows, Mac ou Linux. 2. LES SPÉCIALISTES KeRanger : Depuis cette année, les MAC ne sont plus exempts de la menace ransomware. KeRanger est un cheval de Troie qui infecte les appareils sous OS X via le client BitTorrent Transmission, ouvrant ainsi la voie à une nouvelle famille de ransomware. SamSam : SamSam est un ransomware tout ce qu’il y a de plus classique. Néanmoins celui-ci se distingue en exploitant les vulnérabilités ouvertes dans les serveurs utilisant Jboss. FairWare : Plutôt que de procéder à un chiffrement sophistiqué, FairWare s’en prend aux serveurs Linux en supprimant les fichiers du système affecté. Ce qui ne l’empêche pas de demander une rançon pour restituer les données. Locky est l’un des ransomware les plus agressifs de cette année 2016.
• 4.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 4 UN BUSINESS ORGANISÉ ET LUCRATIF La recrudescence des cryptovirus de ces dernières années s’explique par l’effondrement du prix de la revente des données, dont le cours est passé de 25 € en 2011 à 6 € l’unité en 2016, par l’explosion d’un marché organisé de kits d’exploit et de ransomware-as-a-service... et par la motivation des entreprises prêtes à payer le prix fort. L’industrie rapporterait 100 000 000 d’euros par an. Pourquoi dérober les données pour les revendre puisqu’il est bien plus intéressant de les prendre en otage ? 1. UN MARCHÉ DES RANSOMWARE-AS-A-SERVICE EN EXPANSION Depuis 2015, le développement du marché des ransomware-as-a service rend la traque aux cyber pirates de plus en plus complexe. Après avoir testé leur malware dans différents pays, les auteurs ne mènent plus eux-mêmes les attaques mais mettent à disposition les ressources clé-en-main sur le réseau TOR. Des cyber pirates moins expérimentés peuvent ainsi s’approprier ces outils et devenir des affiliés moyennant une commission sur les sommes récoltées en bitcoin, 40% dans le cas de Cerber. Ce système de paiement utilisant la technologie blockchain rend confidentielle toute transaction financière. Et pour complexifier un peu plus la traçabilité de ce business, il existe parfois un maillon supplémentaire : desrevendeursquiprendrontégalementleurcommission au passage. Le créateur n’a donc plus qu’à mettre à jour ses exploit, les versions de ses malware et le service de support client. Le développement du marché des ransomware-as-a service rend la traque aux pirates de plus en plus complexe.
• 5.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 5 LES 4 PHASES DE LA CHAÎNE DE CONTAMINATION 2. UN BUSINESS PARADOXAL BASÉ SUR LA CONFIANCE Les données des entreprises sont vitales : propriété intellectuelle, informations clients, actifs de marque, rapports financiers... et les cyber pirates le savent. Ils savent que vous êtes prêts à vous exécuter pour récupérer votre précieuxcapital. Mais aussi étrange que cela puisse paraître, les cyber pirates ont bien compris que pour que les victimes payent, il faut que celles-ci soient assurées de récupérer leurs données une fois la somme versée. Les cyber pirates mettent donc en place de véritables supports clients avec des systèmes de déchiffrement de confiance. Cette tendance n’est néanmoinspassystématique. Ces derniers sont même enclins aux gestes commerciaux  : réductiondumontantetprolongationdudélaidepaiement. Le lab F-Secure a testé l’expérience utilisateur avec 5 cryptovirus : Cerber, Cryptomix, Jigsaw, Shade et Torrent. Dans 75% des cas en moyenne, les cyber pirates ont accepté de faire un discount de 29%. Et les délais de paiement,eux-aussi,ne sontpasgravésdansle marbre. Ilaégalementévaluélaqualitéduservicedecesplateformes : ergonomie, langues disponibles... Et contrairement à ce que l’on pourrait penser, ce ne sont pas forcément ceux qui paraissentlesplusprofessionnelsquisontforcémentlesplus conciliants. Le constat est donc sans appel : ces supports placent la victime en situation de client, leur faisant presque perdre de vuequec’estlepiratequil’acontraintàledevenir! CERBER CRYPTOMIX JIGSAW SHADE TORRENT LOCKER env. 530 $ env. 1900 $ 150 $ 499 $ 400 $ 5jours 3jours 1jour Pasdedeadlinespécifiée 5jours ÉVOLUTIONDESFAMILLES Rançoninitiale Deadline Familles Rançon initiale Demande la plus basse Remise en % CERBER 530 $ 530 $ 0 % CRYPTOMIX 1900 $ 635 $ 67 % JIGSAW 150 $ 125 $ 17 % SHADE 400 $ 280 $ 30 %
• 6.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 6 2. TOUTES LES ORGANISATIONS SONT CONCERNÉES Si ce sont les particuliers qui sont majoritairement visés avec des rançons qui se situent en moyenne autour des 600 euros, elles peuvent atteindre plusieurs milliers d’euros quand une organisation est directement ciblée. Les cyber pirates qui ont frappé les distributeurs de transports à San Francisco le 26 novembre 2016, ont demandé une rançon de 73 000 dollars. Mais quel que soit le montant de la rançon, les coûts indirects liés à ces incidents peuvent se montrer très impactants : Pertes liées à l’arrêt de l’activité ; Temps dépensé à se débarrasser de l’infection, à restaurer les sauvegardes ; Dommages sur l’image de l’entreprise ; Problèmes d’ordre administratif ou légal. Dansuncontexteoùlaprotectiondesdonnéesàcaractère personnel est renforcée, avec le règlement européen (RGPD) qui peut sanctionner les entreprises à hauteur de 20 millions d’euros ou 4% de son chiffre d’affaires global, mieux vaut ne pas jouer avec le feu ! Au-delà des risques financiers, il existe également des risques humains lorsque les hôpitaux sont pris pour cible et que leur système d’information se trouve bloqué. Lesmédiasontbeaucoupparléen2016degrandshôpitaux américains victimes de chantages informatiques, tels que le Hollywood Medical Presbyterian et le Kansas Heart Hospital, mais les hôpitaux français ne sont pas épargnés.
• 7.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 7 QUE FAIRE POUR SE PROTÉGER À 360° ? Renseignez-vous sur le type d’infection : le déchiffrement est-il reconnu ? Ne perdez pas de vue que vous traitez avec des malfaiteurs,aussinecommuniquezpasd’informations quipourraientaggravervotresituation. Enfin, ne faites pas confiance aux liens ou pièces jointes provenant du pirate : vous pourriez télécharger un malware supplémentaire. Malgré la supposée garantie de retrouver vos données, nous ne vous recommandons pas de payer la rançon : si vous le faites, cela incite les cyber pirates à continuer. Mais nous comprenons que cet argument ne résout pas votre problème... Si vos données en valent la peine et que le paiement de la rançon est pour vous la solution la plus économique, voici ce que nous vous recommandons de faire : PRÉDIRE : Identifiez les logiciels vulnérables qui peuvent servir de point d’entrée sur les appareils, les données et le réseau local. Identifiez les paramètres qui peuvent être configurés pour optimiser la sécurité de ces derniers. Evaluez les comportements de vos salariés, leur sensibilité à la sécurité ainsi que les vecteurs d’attaque. PRÉVENIR : Faites des sauvegardes régulières et assurez-vous de pouvoir les restaurer intégralement ; Appliquez les patchs correctifs : certains malware exploitent les failles de sécurité ; Utilisez une protection robuste et multi-couches ; Eduquez vos salariés aux bonnes pratiques en matière de sécurité et sensibilisez-les aux menaces. Sinon, voici ce qu’il est préférable de faire en amont d’une attaque et en réponse si les barrières de défense n’ont pas été suffisantes.
• 8.
  WE SEE THINGSOTHERS DON’T - fr.business.f-secure.com - 02/01/2017 AVIS D’EXPERT RANSOMWARE: LE CHANTAGEQUI VOUS FAITDÉCHANTER 8 DÉTECTER : Utilisez une solution de sécurité sophistiquée procédant à une analyse heuristique afin de détecter les comportements suspects sur n’importe quel appareil du réseau local ; Identifiez les ressources (appareils, réseau partagé) connectées à un appareil contaminé pour mesurer l’exposition potentielle ; Identifiez les modifications engendrées par la menace sur l’appareil contaminé. RÉPONDRE : Déconnectez immédiatement l’appareil d’Internet, du réseau de l’entreprise et si possible, du réseau électrique pour empêcher la communication entre le malware et son serveur et la propagation du chiffrement ; Arrêtez votre matériel, il se peut que le ransomware soit programmé pour provoquer davantagededommagesencasdedéconnexion ; Scannez tous les appareils connectés, le réseau partagé, le cloud pour récolter toutes les traces de la menace. Procédez à de l’analyse forensique et communiquez-nous le résultat de vos investigations : comment la menace a pu s’installer et se propager ? Les ransomware ne sont pas les malware les plus répandus mais sont ceux qui peuvent avoir le plus de conséquences négatives sur votre organisation. Aussi, protégez-vous et ne cédez pas aux cyber pirates qui pourraient ne pas respecter leur pacte.