Les ransomwares

Les ransomwares sont une forme de logiciel malveillant conçu pour chiffrer des données ou verrouiller des systèmes, puis exiger un paiement pour leur déblocage.

Une attaque par rançongiciel ne se résume toutefois pas au simple déploiement d'un rançongiciel. Il s'agit d'une intrusion en plusieurs étapes au cours de laquelle les attaquants obtiennent d'abord l'accès, établissent leur persistance, élèvent leurs privilèges, se déplacent latéralement entre les systèmes et exfiltrent souvent des données sensibles avant de déployer un ransomware comme dernière étape pour perturber les opérations et forcer le paiement.

Les groupes de ransomware modernes combinent le chiffrement avec le vol de données et l'extorsion, transformant la compromission à grande échelle d'un réseau en un modèle commercial criminel très lucratif.

• Infiltration: Généralement via un courriel d'hameçonnage, des identifiants de bureau à distance (RDP) compromis ou une vulnérabilité logicielle.
• Mise en scène et furtivité : Le logiciel malveillant communique avec le serveur de l'attaquant pour configurer des clés de chiffrement tout en restant invisible aux antivirus de base.
• Exfiltration de données : Avant de chiffrer les données, l'attaquant télécharge discrètement des copies de vos fichiers sensibles sur ses propres serveurs.
• Chiffrement : Le logiciel verrouille vos fichiers en modifiant leur extension (par exemple, .docx devient .locked).
• La lettre de rançon : Un message apparaît sur votre écran avec les instructions de paiement — généralement en Bitcoin — pour obtenir un outil de décryptage.

Il est fortement déconseillé de payer la rançon, car cela ne garantit pas la récupération de vos fichiers et vous identifie comme un « payeur consentant » pour de futures attaques. Le meilleur chemin vers la guérison implique :

• Sauvegardes hors site : La restauration à partir d'une sauvegarde propre et déconnectée est la seule méthode de récupération efficace à 100 %.
• Restauration EDR : Certains outils de sécurité avancés peuvent « annuler » le chiffrement en restaurant les fichiers à partir de copies locales antérieures à leur verrouillage.
• Outils de décryptage : Il arrive que des chercheurs en sécurité découvrent des failles dans le code d'un ransomware spécifique et publient des « déchiffreurs » gratuits.

Le Suivi des ransomwares WatchGuard est une base de données publique et exhaustive de renseignements sur les menaces, gérée par le WatchGuard Threat Lab. Son objectif principal est de fournir une vue en temps réel et historique du paysage mondial des ransomwares, aidant ainsi les professionnels de la sécurité et le public à comprendre les menaces actives.

Voici le détail des fonctionnalités offertes par le traqueur :

1. Catalogage actif des menaces

Le traqueur tient à jour une liste exhaustive des souches de ransomware (par exemple, Akira, RansomHub, 0mega). Pour chaque entrée, il enregistre généralement :

• Première et dernière apparition : Date de la première identification du ransomware et date de sa dernière activité.
• Statut: Que le groupe ou la souche soit actuellement « actif » ou soit entré en dormance.
• Lignée et alias : Tout lien avec d'autres familles de ransomwares ou les noms précédemment utilisés par le groupe.

2. Renseignements techniques

Pour de nombreuses variantes majeures de ransomware, l'outil de suivi fournit une analyse approfondie du fonctionnement du logiciel malveillant, ce qui peut s'avérer crucial pour la défense. Cela comprend :

• Types d'extorsion : Des détails sur l'utilisation par le groupe de la « double extorsion » (cryptage de fichiers) et (vol de données pour les divulguer ultérieurement).
• Méthodes de chiffrement : Informations sur les algorithmes spécifiques utilisés (par exemple, AES-256 ou ChaCha20) et les clés impliquées.
• Canaux de communication : Liens vers les « sites de fuites » du groupe basés sur TOR, les chaînes Telegram ou des identifiants spécifiques comme les identifiants Tox.

3. Suivi mondial des victimes

L'outil comporte un Carte de suivi des ransomwares qui visualise la fréquence des attaques par pays. Il agrège des données sur :

• Nombre total de victimes suivies : Le nombre d'organisations confirmées victimes de rançongiciels.
• Nombre total de groupes actifs : Le nombre d'organisations criminelles distinctes actuellement en activité.
• Disponibilité du déchiffreur : Il indique s'il existe un déchiffreur gratuit (souvent via le Plus de rançon projet), qui peut éviter à une victime de payer une rançon.

4. Perspectives stratégiques

Le système de suivi alimente le « Cybersecurity Hub » plus vaste de WatchGuard, reliant les données en temps réel à leurs rapports trimestriels. Rapports sur la sécurité Internet . Cela permet aux utilisateurs de visualiser les tendances, telles que :

• Que le volume de logiciels de rançon augmente ou diminue dans une région spécifique.
• Le passage des attaques basées sur le réseau aux attaques ciblées sur les terminaux.
• L’essor du « Ransomware-as-a-Service » (RaaS), où les développeurs louent leur code à d’autres criminels.