Oracle Cybersécurité : Qu’est-ce qu’un ransomware ?

Qu’est-ce qu’un ransomware ?

Les attaques de ransomware sont apparues en Russie mais se sont développées dans d’autres pays, notamment en Australie, en Allemagne et aux Etats-Unis. Selon une étude de Vanson Bourne pour Sophos, 48% des responsables informatiques français interrogés ont rapporté avoir connu une attaque par ransomware en 2017.

Quels sont les types de ransomware ?

Techniquement, un ransomware se propage comme un cheval de Troie et peut se présenter de différentes façons, dans le but d’extorquer de la monnaie numérique à ses victimes :

• La victime peut recevoir un message ou une demande de rançon par courriel l'avertissant que si la somme demandée n'est pas payée à une certaine date, la clé privée requise pour déverrouiller l'appareil ou décrypter les fichiers sera détruite.
• La victime peut être dupée en croyant qu'elle fait l'objet d'une enquête officielle. Après avoir été informé que des logiciels non autorisés ou des contenus illégaux ont été trouvés sur son ordinateur, la victime reçoit des instructions sur la façon de payer une amende électronique.
• L'attaquant crypte les fichiers sur les périphériques infectés et gagne de l'argent en vendant un produit qui promet d'aider la victime à déverrouiller les fichiers et à prévenir de futures attaques de logiciels malveillants.
• L’extorsion peut être faite avec la menace non pas tant que les données ne seront pas disponibles, mais que les données seront exposées au grand public dans leur état non crypté si la rançon n'est pas payée dans un délai donné.
• Les paiements sont effectués soient par virements bancaires, SMS surtaxés, paiements en ligne ou, le plus courant, en cryptomonnaie, afin que l'identité du cybercriminel ne soit pas connue.

Des ransomwares célèbres : CryptoLocker et WannaCry

En septembre 2013, l’attaque de CryptoLocker s’est largement répandue. Ce ransomware -un cheval de Troie- utilisait le chiffrement à clé publique et exigeait un paiement en bitcoin ou en bon prépayé. La plupart des experts pensaient que la cryptographie RSA utilisée - lorsqu'elle était correctement mise en œuvre - était impénétrable. Finalement, une entreprise de sécurité est parvenue à récupérer les clefs de cryptage utilisées lors des attaques, cinq mois plus tard... L’organisation avait obtenu l'accès à un serveur de commande et de contrôle utilisé par l'attaque. Les clefs ont pu être récupérées grâce à un outil en ligne, entraînant ainsi la fin des attaques.

Plus d’un quart de millions de systèmes dans le monde ont été infectés et chiffrés lors de l’attaque WannaCry en mai 2017. Comme le logiciel malveillant exploitait un cryptage asymétrique, la victime n’avait pas la clef nécessaire, privée et non distribuée, pour décrypter les fichiers rançonnés. Afin que le cybercriminel ne soit pas identifié, ce dernier exigeait des paiements en bitcoin. Sur une semaine particulièrement virulente au cours de l’attaque WannaCry, environ 100 000 $ en bitcoin a été transféré…en vain : aucun comptes de données n’a été décrypté après paiement.

L'impact de WannaCry a été décrié dans certains cas. Par exemple, le National Health Service du Royaume-Uni a été fortement affecté et a été contraint de mettre les services hors ligne pendant l'attaque.Selon les rapports publiés, les dommages causés aux milliers d'entreprises touchées par des cyberattaques pourraient dépasser le milliard de dollars.

Des logiciels de rançon mobile existent également depuis 2015. Une application Android malveillante appelée Porn Droid a verrouillé le téléphone de l'utilisateur et changé son code PIN d'accès, exigeant un paiement de 500 $.

Comment se protéger des ransomwares ?

Les experts recommandent :

• Sauvegarder régulièrement les dispositifs IT
• Mettre à jour régulièrement les logiciels, y compris les logiciels antivirus
• Mettre en place des mesures de protection des données qui garantissent un minimum de dommage et une récupération rapide des données :
• Compartimenter les systèmes d’authentification et des domaines
• Mettre à jour les snapshots de stockage à l’extérieur du pool de stockage principal
• Contrôler le droit d’accès aux données, etc.