Ransomware et extorsion

Module 1: Pourquoi vous êtes une cible · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous pourrez expliquer comment un ransomware s'introduit, ce qu'est la double extorsion et quelles mesures limitent les dégâts.
Notions clés : ransomware, chiffrement, double extorsion, accès initial, mouvement latéral, rançon, decryptor (No More Ransom)

Ce qu'est un ransomware

Un ransomware (rançongiciel) est un logiciel malveillant qui rend vos fichiers ou vos systèmes inutilisables puis exige une rançon. Le mot vient de l'anglais ransom : rançon. Cela se fait généralement par chiffrement : le logiciel transforme vos fichiers en données illisibles, avec une clé que seul l'attaquant possède. Vous voyez encore les fichiers, souvent avec une extension étrange ajoutée, mais vous ne pouvez plus les ouvrir. Un message s'affiche à l'écran ou dans chaque dossier : payez sous quelques jours, sinon tout disparaît.

Le chiffrement en lui-même n'a rien de malveillant. C'est la même technique qui protège votre ordinateur portable en cas de vol (leçon 5.2) et qui sécurise votre connexion à un site web. La différence réside dans qui détient la clé. Un bon chiffrement ne peut pas être cassé. C'est pourquoi « on va bien trouver un moyen de le déchiffrer » n'est presque jamais une option, sauf si les créateurs du ransomware ont commis une erreur.

Selon l'ANSSI, un ransomware touche non seulement les fichiers, mais aussi les systèmes et les sauvegardes. Ce dernier point est l'élément le plus important de cette leçon.

Comment il s'introduit

Une attaque par ransomware n'est pas un instant, mais une série d'étapes. Elle commence par l'accès initial : le premier pied dans la porte. Les voies les plus courantes :

Après le premier accès, un attaquant attend souvent. Il observe, cherche des comptes administrateurs et saute d'un ordinateur à l'autre. C'est ce qu'on appelle le mouvement latéral. Il cherche surtout deux choses : où se trouvent les données importantes et où se trouvent les sauvegardes. Ce n'est qu'une fois qu'il a trouvé les deux qu'il frappe, souvent la nuit ou le week-end, quand personne ne le remarque.

Pourquoi une sauvegarde connectée ne suffit pas

De nombreuses petites entreprises disposent d'une sauvegarde : un disque externe toujours branché au PC, ou un disque réseau (NAS) sur lequel une copie est faite chaque nuit. C'est mieux que rien en cas de disque dur défaillant. Contre un ransomware, cela ne suffit souvent pas.

La raison est simple. Un ransomware chiffre tout ce à quoi l'ordinateur infecté ou le compte compromis peut accéder. Si le disque de sauvegarde est branché au PC, le ransomware peut l'atteindre. Si la sauvegarde se trouve sur un disque réseau auquel vous vous connectez avec le même compte, le ransomware peut l'atteindre. Un attaquant qui a observé tranquillement supprime parfois même délibérément les sauvegardes avant de chiffrer.

Il en va de même pour la synchronisation. Un dossier synchronisé automatiquement avec le cloud synchronise aussi la version chiffrée. Il est parfois encore possible de revenir à une version antérieure d'un fichier, mais cela dépend du service et de la durée pendant laquelle il conserve les versions.

Une sauvegarde qui survit à un ransomware possède au moins une copie que l'attaquant ne peut pas atteindre ou modifier : un disque qui reste rangé dans un tiroir, ou une sauvegarde chez un prestataire distinct avec sa propre connexion que vous n'utilisez pas sur votre ordinateur de travail, ou un espace de stockage qui rend la modification et la suppression techniquement impossibles pendant un certain temps. Dans le module 6, vous mettrez cela en place étape par étape. Une sauvegarde que votre hébergeur réalise sur des serveurs distincts, en dehors de votre offre, constitue déjà une copie à distance pour votre site web et votre messagerie. Vérifiez toutefois sa durée de conservation et qui peut la supprimer.

Double extorsion

Autrefois, une bonne sauvegarde constituait la réponse complète au ransomware : on restaurait et le problème était réglé. Les attaquants se sont adaptés. Avec la double extorsion, ils volent d'abord une copie de vos données avant de les chiffrer. Il y a alors deux menaces :

1. Payez, sinon vous ne récupérez pas vos fichiers.
2. Payez, sinon nous publions vos données : fichiers clients, devis, données de salaires, boîtes mail.

Une sauvegarde aide contre la première menace, pas contre la seconde. L'ANSSI avertit également que les attaquants menacent parfois de publier les données volées. De plus, le vol de données personnelles constitue en soi une violation de données, avec une obligation de notification à la CNIL (leçon 8.2), indépendamment de la question de savoir si vous payez.

Parfois, un attaquant va encore plus loin et contacte directement vos clients ou partenaires commerciaux pour leur indiquer que leurs données ont été dérobées chez vous. La pression ne pèse alors plus seulement sur vous, mais aussi sur votre réputation.

Payer ou non ?

L'avis des autorités publiques et des forces de l'ordre est unanime : il vaut mieux ne pas payer. No More Ransom, l'initiative portée notamment par Europol et plusieurs forces de police, l'exprime ainsi : payer une rançon n'offre aucune garantie. Il existe de bonnes raisons à cela :

• Vous n'avez aucune garantie d'obtenir une clé fonctionnelle, ni que le déchiffrement réussisse.
• Vous n'avez aucune garantie que les données volées soient réellement supprimées ensuite.
• Vous confirmez que votre entreprise paie, ce qui fait de vous une cible attrayante pour une prochaine attaque.
• Vous financez les prochaines attaques contre d'autres personnes.
• La voie d'accès n'est pas forcément refermée. Sans enquête, cela peut se reproduire.

L'ANSSI considère la restauration depuis une sauvegarde comme la solution la plus fiable. Si cela ne fonctionne pas, vérifiez s'il existe un decryptor : un programme gratuit capable de déchiffrer les fichiers d'une famille de ransomware donnée, parce que des chercheurs ont trouvé une faille dans cette famille ou saisi des clés. No More Ransom (https://www.nomoreransom.org) rassemble ces decryptors et vous aide à déterminer quel ransomware vous a touché. Il n'existe pas de solution pour toutes les familles, loin de là, mais vérifier ne coûte rien.

Dans tous les cas, déposez plainte auprès de la police ou de la gendarmerie, et vérifiez si vous avez une obligation de notification : auprès de la CNIL si des données personnelles ont été touchées, auprès de l'ANSSI si vous relevez de la transposition française de NIS 2 (leçon 9.1), et parfois auprès d'un donneur d'ordre selon votre contrat.

Ce qui limite les dégâts

Vous pouvez réduire le risque d'attaque et limiter les dégâts si elle survient malgré tout. Un aperçu, avec la leçon où vous l'apprenez :

1. Mettre à jour, en particulier tout ce qui est exposé sur internet : VPN, routeur, NAS, site web (leçon 5.1).
2. Authentification à deux facteurs sur la messagerie, l'administration à distance et tous les comptes administrateurs (leçon 2.3 et 2.4).
3. Droits minimaux : ne pas travailler quotidiennement avec un compte administrateur, et ne pas donner accès à tout à tout le monde (leçon 7.1).
4. Une sauvegarde hors de portée de vos comptes habituels, et tester régulièrement que la restauration fonctionne (module 6).
5. Une fiche d'incident pour que chacun sache quoi faire : débrancher le réseau, ne pas éteindre sans réfléchir, appeler (leçon 8.1 et 8.3).
6. Sensibilisation : un collègue qui signale immédiatement avoir ouvert une pièce jointe suspecte vous fait gagner des heures d'avance (leçon 9.2).

En pratique : à quoi cela ressemble

Un exemple, composé à partir de situations fréquentes. Une entreprise d'installation de douze salariés disposait d'un serveur VPN pour accéder aux fichiers depuis chez soi. Le micrologiciel n'avait pas été mis à jour depuis un an et demi. Via une faille connue, un attaquant s'est introduit, a observé pendant une semaine et a trouvé le compte administrateur du disque réseau. Un samedi soir, les PC, le disque réseau et le disque USB de sauvegarde qui y était branché ont été chiffrés. Ce qui a survécu : la messagerie et le site web, hébergés chez un prestataire avec sa propre sauvegarde, et une ancienne copie de la comptabilité sur un disque que le comptable gardait chez lui. Grâce à cela, l'entreprise a pu de nouveau facturer après quelques jours. Les devis et plans des derniers mois avaient disparu.

Une mise à jour et un disque séparé dans un tiroir auraient fait la différence entre quelques jours et quelques mois.

Résumé

• Un ransomware chiffre fichiers, systèmes et sauvegardes et exige une rançon ; un bon chiffrement ne peut pas être cassé.
• Un ransomware s'introduit via le phishing, des mots de passe volés, des systèmes non mis à jour exposés sur internet, l'administration à distance ou un fournisseur ; l'attaquant observe ensuite souvent d'abord les lieux.
• Une sauvegarde branchée à l'ordinateur ou accessible avec le même compte est souvent chiffrée elle aussi.
• En cas de double extorsion, les données sont d'abord volées ; une sauvegarde n'aide alors pas contre la menace de publication, et il s'agit d'une violation de données.
• Il vaut mieux ne pas payer ; restaurez depuis une sauvegarde, consultez No More Ransom pour un éventuel decryptor et déposez plainte.

Quiz

Exercice

Exercice D1.3 : Et si cela arrivait cette nuit ? Examinez pour votre propre entreprise ce qu'un ransomware pourrait chiffrer cette nuit. Notez où se trouvent vos sauvegardes, si elles sont accessibles depuis un ordinateur de travail habituel ou avec un compte habituel, et quels systèmes sont exposés sur internet. Répondez ensuite aux questions de réflexion.

Pour aller plus loin

Les étapes des articles WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
• Guide DirectAdmin 16.1: Quelles sauvegardes propose WebOké
• ANSSI, qu'est-ce qu'un ransomware : https://cyber.gouv.fr/
• No More Ransom : https://www.nomoreransom.org/fr/index.html