L'augmentation des attaques de ransomware expose les cyber-vulnérabilités des États-Unis

En mars 2018, Atlanta a été touchée par une attaque de ransomware qui a infecté près de 3 800 ordinateurs du gouvernement appartenant à la ville d'Atlanta, y compris des serveurs. Une fois le virus déployé, le ransomware a essentiellement verrouillé tous les ordinateurs infectés, les rendant impossibles d'accès. Le système judiciaire d'Atlanta est tombé en panne; la police n'a pas pu vérifier les plaques d'immatriculation; les résidents ne pouvaient pas payer leurs factures en ligne.

À peine trois semaines avant qu'Atlanta ne soit touchée, la petite ville de Leeds, en Alabama , a également subi une cyberattaque identique. Et avant Leeds en janvier, c'était le Hancock Regional Hospital dans la banlieue d'Indianapolis.

Ce que ces trois attaques ont en commun, c'est qu'elles ont toutes été touchées par le ransomware SamSam , également connu sous le nom de MSIL/Samas.A. Chaque attaque demandait à peu près le même montant – environ 50 000 $ en crypto-monnaie . Hancock Regional Hospital et Leeds, Alabama, ont payé la rançon. Cependant, la ville d'Atlanta ne l'a pas fait. Au lieu de cela, il a choisi de payer des millions pour remettre ses systèmes en ligne.

À cette époque, la ville d'Atlanta était l'une des plus importantes à être attaquées par des ransomwares, qui, selon John Hulquist, surviennent lorsqu'un cybercriminel accède à un réseau d'ordinateurs, crypte toutes les données et extorque l'entreprise pour les déverrouiller. Hulquist est vice-président de l'analyse, Mandiant Threat Intelligence chez FireEye , une société de sécurité axée sur le renseignement.

Les ransomwares n'ont rien de nouveau

Hulquist affirme que les attaques de ransomware, qui tiennent essentiellement un réseau d'entreprise "en otage" jusqu'à ce que la rançon demandée soit payée, ne sont pas nouvelles. Ils durent depuis plusieurs années (comme l'indiquent ces trois cas).

Au premier semestre 2021, le nombre d'organisations touchées par les ransomwares dans le monde a plus que doublé par rapport à 2020, selon une étude de Check Point Software Technologies. Le rapport Mandiant M-Trends 2021 de FireEye a également identifié plus de 800 tentatives d'extorsion qui ont probablement fait voler des données. Ces chiffres sont basés sur les enquêtes de Mandiant sur les attaques ciblées menées du 1er octobre 2019 au 30 septembre 2020.

Les cibles sont maintenant de plus en plus médiatisées. Aux États-Unis seulement depuis avril, des entreprises de premier plan comme Colonial Pipeline , JBS Foods , la NBA et Cox Media Group ont toutes été touchées.

Les pirates accèdent généralement aux réseaux par le biais d' attaques de phishing , qui sont des e-mails envoyés aux employés les incitant à donner des mots de passe ou à cliquer sur des liens malveillants qui téléchargeront le logiciel malveillant sur le réseau de l'entreprise. Ransomware recherche également d'autres entrées dans les réseaux d'entreprise via des mots de passe faciles à déchiffrer, comme 123qwe par exemple.

Pourquoi autant et pourquoi maintenant ?

Hulquist l'explique ainsi : à l'origine, les ransomwares étaient principalement des petits systèmes automatisés et ciblés. Il l'appelle "pulvériser et prier".

"Le ransomware sortirait et frapperait n'importe quel système qu'il pourrait obtenir", explique-t-il. Il recherchait des mots de passe vulnérables, des réseaux ouverts, des entrées faciles. "[Les attaquants] étaient connus pour être assez amicaux; ils déverrouillaient les données - même parfois offraient des remises - et continuaient leur vie." Bitcoin, dit-il, offrait une bonne plate-forme pour transférer cet argent. C'est exactement ce qui s'est passé à Leeds. Les assaillants ont exigé 60 000 $; la ville a payé 8 000 $ .

Mais ensuite, les choses ont changé, dit Hulquist. Le ransomware est passé d'un « spray et prières » automatisés à de grandes attaques dirigées contre de plus grandes entreprises avec plus d'argent. Et les rançons ont explosé. En 2020, les entreprises ont payé plus de 406 millions de dollars en crypto-monnaie en rançon aux attaquants, selon le dernier rapport de Chainanalysis , qui analyse la blockchain et la crypto-monnaie.

"Ces nouvelles cibles doivent payer parce qu'il s'agit souvent d'infrastructures critiques", a déclaré Hulquist. "Ils doivent se remettre en ligne. Les consommateurs sont en fait un facteur car ils obligent ces entreprises à prendre des décisions hâtives en ce qui concerne le paiement."

Payer ou ne pas payer?

Ce fut le cas lors de l'attaque du pipeline colonial. Le piratage a détruit le plus grand pipeline de carburant des États-Unis le 29 avril et a provoqué une thésaurisation massive de carburant sur la côte est. Le PDG de Colonial Pipeline, Joseph Blount, a déclaré au Wall Street Journal que la société avait payé la rançon – 4,4 millions de dollars en bitcoins – pour remettre le pipeline en ligne. Mais la clé de déchiffrement fournie par les adversaires n'a pas immédiatement restauré tous les systèmes du pipeline.

Et ce n'est qu'un des problèmes liés au paiement d'une rançon. L'autre grande question est de savoir si le paiement de rançons ne fait qu'encourager davantage de problèmes. "Je pense que payer des rançons conduit clairement à des attaques plus ciblées", déclare Hulquist, "mais si vous êtes une entreprise dans une situation impossible, vous devez faire ce qu'il faut pour votre organisation."

La bonne nouvelle pour Colonial est que le ministère américain de la Justice a annoncé le 7 juin avoir récupéré 63,7 bitcoins, évalués à environ 2,3 millions de dollars que Colonial a versés à ses pirates. "La décision du ministère de la Justice de récupérer les paiements de rançon auprès des opérateurs qui ont perturbé l'infrastructure critique américaine est une évolution bienvenue", a déclaré Hulquist. "Il est devenu clair que nous devons utiliser plusieurs outils pour endiguer la vague de ce grave problème."

Bien sûr, ne pas payer la rançon peut être tout aussi problématique. "Certaines de ces entreprises ne veulent pas payer, alors elles les obligent à payer en divulguant leurs données publiquement", explique Hulquist. "C'est une proposition dont beaucoup d'organisations ne veulent pas faire partie." Les fuites d'e-mails et autres informations confidentielles, dit-il, peuvent être beaucoup plus dommageables pour certaines entreprises que de simplement payer. Cela peut les exposer à des problèmes juridiques ou finir par nuire à leur marque.

D'autres pirates demandent simplement un paiement sans même installer de ransomware . C'est ce qui s'est passé lors de l'attaque des Houston Rockets en avril. Aucun ransomware n'a été installé sur le réseau de l'équipe NBA, mais le groupe de piratage Babuk a menacé de publier des contrats et des accords de non-divulgation qu'il prétend avoir volés au système de l'équipe s'il ne payait pas.

Que fait le gouvernement ?

Hulquist dit qu'il y a beaucoup plus que le gouvernement peut faire. "Nous savons que ce problème prend de l'ampleur depuis un certain temps maintenant et ils le prennent enfin au sérieux et intensifient leurs efforts", dit-il.

Il fait bien sûr référence à plusieurs nouvelles initiatives mises en place par l'administration Biden en réponse à la recrudescence des attaques de ransomware. Le 12 mai, le président Biden a signé un décret visant à améliorer la cybersécurité dans les réseaux du gouvernement fédéral. Parmi ses actions exécutives, il établira un Conseil d'examen de la sécurité en matière de cybersécurité sur le modèle du National Transportation Safety Board (NTSB). Le panel comprendra probablement des experts publics et privés qui examineront les cyberincidents de la même manière que le NTSB enquête sur les accidents.

Anne Neuberger, assistante adjointe de Biden et conseillère adjointe à la sécurité nationale pour la cybersécurité et les technologies émergentes, a également publié le 2 juin une lettre ouverte adressée aux "dirigeants d'entreprise et chefs d'entreprise".

Elle y dit que le secteur privé a la responsabilité de se protéger contre les cybermenaces et que les organisations « doivent reconnaître qu'aucune entreprise n'est à l'abri d'être la cible d'un ransomware, quelle que soit sa taille ou son emplacement... les cyberdéfenses de votre entreprise correspondent à la menace."

Comment protéger votre entreprise

Que pouvez-vous faire pour garantir la sécurité de votre réseau ? La Cybersecurity and Information Security Agency (CISA) et le FBI ont publié le 11 mai les meilleures pratiques pour empêcher les interruptions d'activité dues aux attaques de ransomware. Ils y répertorient six mesures d'atténuation que les entreprises peuvent désormais mettre en œuvre pour réduire le risque d'être compromis par un ransomware :

Hulquist dit que le but du jeu est maintenant d'atteindre une cible énorme qui est susceptible de payer – et qui doit payer. Et mettre les infrastructures critiques hors ligne n'est pas hors de question. Cela, dit-il, les États-Unis ne sont pas préparés.

"Notre sophistication est notre talon d'Achille dans cet espace", dit-il. "Cela nous rend plus vulnérables aux incidents. L'une des leçons que nous devrions tirer de tout cela est que nous ne sommes pas préparés à la cyberguerre. Nous savons qu'ils ont ciblé les soins de santé et d'autres capacités critiques. Tout le monde en tire des leçons. "

Maintenant c'est fou

Alors, qui se cache derrière toutes ces attaques de ransomware ? Vous vous souvenez de SamSam, le ransomware qui a détruit Atlanta ? En 2018, un grand jury a inculpé deux Iraniens qui étaient là pour l'argent. Trois autres ransomwares – NETWALKER, REvil et Darkside – sont connus sous le nom de RaaS (Ransomware-as-a-Service), ce qui signifie qu'ils offrent à toute personne qui propage son malware 10 à 25 % du paiement. Darkside aurait été à l'origine de l'attaque du Colonial Pipeline. Ces opérations semblent être basées en Russie.