Les Ransomware

La tendance à la hausse des attaques par rançongiciel à l’encontre d’organisations publiques et privées, identifiée depuis 2018, s’est à nouveau confirmée en 2020, tant à l’échelle internationale que nationale. En 2020, l’ANSSI note ainsi une augmentation de 255% des signalements d’attaque par rançongiciel dans son périmètre par rapport à 2019. En outre, l’année 2020 s’est illustrée par trois tendances :

•le Big Game Hunting: parmi les multiples attaques observées, l’ANSSI et ses partenaires constatent qu’un nombre accru de groupes cybercriminels favorisent le ciblage d’entreprises et institutions particulières dans leurs attaques par rançongiciel;

•le ransomware-as-a-service(RaaS) : de plus en plus de rançongiciels sont disponibles sur les marchés cybercriminels par un système d’affiliation et sont utilisés à la fois de façon ciblée et lors de campagnes massives en fonction de la volonté et des capacités des groupes cybercriminels souscrivant au service. La majorité des signalement remontés à l’ANSSI en 2020 ont concerné des rançongiciels fonctionnant selon le modèle économique du RaaS;

•la double extorsion : existant depuis novembre 2019, cette tendance consiste à faire pression sur la victime en exfiltrant ses données et en la menaçant de les publier sur un site Internet, généralement en .onion, afin qu’elle paye la rançon. Il est ainsi de plus en plus fréquent qu’un chiffrement soit précédé d’une exfiltration de données.

Qu’est-ce que c’est ?

Les Ransomwares sont des virus qui infectent votre ordinateur à l’aide d’une des différentes techniques. Leurs objectif : rendre vos données inaccessible tout en bloquant l’accès à votre session, avant de demander une rançon ahurissante. Que ce soit pour un particulier ou pour une entreprise, les fichiers contenus dans un ordinateur peuvent avoir une grande valeur affective ou financière.

Certaines personnes malveillantes n’hésiteront pas à vous faire du chantage ou des menaces de dévoiler publiquement vos informations personnels et confidentielles sur lequel ils réussissent à mettre la main. Les Ransomwares utilisent bien des techniques les plus détestables qui sont malheureusement très utilisée par les pirates informatiques peu scrupuleux.

Il existe actuellement plusieurs dizaines, voire centaines, de familles de rançongiciels utilisés lors d’attaques infor-matiques plus ou moins sophistiquées. Certaines n’entrainent que le chiffrement des données d’une seule machine, d’autres sont en mesure de chiffrer l’ensemble des ressources d’un réseau, supprimer les copies cachées, voire at-teindre les systèmes de sauvegardes.

La Tendance du ransomware-as-a-service (RaaS)

Certains rançongiciels sont connus pour être employés exclusivement dans le cadre d’attaques de type « Big GameHunting ». Parmi eux, se trouvent par exemple les rançongiciels Clop opéré par le groupe cybercriminel TA505 et WastedLocker opéré par le groupe cybercriminel EvilCorp.

D’autres, disponibles sur les marchés cybercriminels par un système d’affiliation connu sous le nom de«Ransomware-as-a-Service » (RaaS), sont utilisés à la fois de façon ciblée et lors de campagnes massives en fonction de la volonté et des capacités des groupes cybercriminels souscrivant au service. En 2020, la majorité des signalements remontés à l’ANSSI a concerné un nombre limité de rançongiciels, fonctionnant tous selon le modèle économique du RaaS : Sodinokibi (alias REvil), DoppelPaymer, Maze, Netwalker et Egregor.

Le modèle du RaaS consiste à proposer l’accès sous forme d’abonnement ou de partenariat à un rançongiciel, ses infrastructures de paiement et de distribution ainsi qu’à un ensemble de services back-office (maintien en condition opérationnelle, support technique, interface de gestion d’implants, interface d’échange avec les victimes,etc.), le tout sous une forme ”prête à l’emploi”. Les cybercriminels souscrivant aux services d’un RaaS sont dit ”affiliés” à ce service. Il leur permet de mener des opérations d’extorsion efficaces à moindre coût, sans nécessairement détenir les compétences techniques pour le développement d’un rançongiciel et le maintien de son infrastructure de commande et de contrôle (C2). Ce service de RaaS peut être public (GandCrab2, Dharma ou encore Ranion par exemple), restreint (Sodinokibi3par exemple) ou privé (Nemty par exemple).

Plus d’informations sur : https://www.cert.ssi.gouv.fr/uploads/CERTFR-2021-CTI-001.pdf