Ransomware Actors Keep Finding Success, Why?

La menace que représentent les ransomwares reste malheureusement une réalité quotidienne pour les informaticiens et les professionnels de la sécurité. Mais avant de céder au pessimisme, il convient de reconnaître le chemin parcouru par le secteur. Je dirais qu’il n’y a pas si longtemps, la plupart des entreprises étaient vulnérables à ce que l’on pourrait qualifier d’attaque par ransomware relativement rudimentaire. Ouverture d’un e-mail → Malware → Propagation sur le réseau → Ransomware →

Grâce aux progrès réalisés principalement dans le domaine des terminaux, à la généralisation du télétravail et à l’application des principes du « zero trust », le secteur a considérablement amélioré sa capacité à se protéger contre ce type d’attaques.

Still, every week we see new articles on successful ransomware attacks. Many ransomware report trackers actually show an uptick in 2023. For instance Black Fog’s TheRapport sur la situation des ransomwaresshows an 8% uptick year over year. In addition, we see actors starting to target data storage outside of what traditionally is attacked, such as cloud storage and cloud databases.

« Si nous avons réellement fait des progrès dans la lutte contre les ransomwares, pourquoi le nombre d’attaques réussies augmente-t-il ? »

Tout est une question de priorités

En analysant ces attaques qui ont abouti, j’ai identifié deux grandes catégories de failles du système qui permettent aux acteurs malveillants de mener à bien des attaques de type « rançongiciel ».

1. Le manque d’investissement dans un programme de sécurité de l’information. À première vue, cela semble évident, et ça l’est. On en a pour son argent. Les organisations disposant d’équipes de sécurité dotées de budgets importants subissent moins d’attaques par ransomware (à l’exception des cas évoqués dans la catégorie suivante). Il est facile de jouer les grincheux et de dire : « Eh bien, les gens n’ont qu’à prendre cela plus au sérieux et à dépenser davantage en matière de sécurité ! » La réalité est que la plupart des attaques dont on entend parler dans les médias et qui résultent d’un manque d’investissement visent les services publics. Bon nombre de ces organisations n’ont tout simplement pas les moyens financiers d’investir dans le personnel, le temps et les technologies « de pointe » capables de contrer ces attaques. Je vais m’arrêter là, car cela relèverait d’un autre article consacré à la politique, aux politiques publiques et à l’unification. Les dépenses publiques ne sont pas un sujet que l’on peut passer sous silence. Mais la catégorie suivante est celle que nous, en tant que secteur, pouvons aborder plus facilement.
2. Nous avons des œillères. Je sais que c’est une affirmation forte, mais lorsque le sujet est abordé comme il se doit, j’entends souvent des gens affirmer avec conviction que c’est bien le cas.
   Quand je dis que nous avons des œillères, je veux dire que nous n’analysons pas de manière exhaustive le modèle de risque lié aux ransomwares. Nous sommes trop concentrés sur la manière dont des attaques courantes ont réussi pour voir où se trouvent les failles dans nos programmes de sécurité. Nous nous concentrons sur la protection des terminaux, des serveurs et des technologies traditionnelles de stockage de données (SAN, NAS, etc.) et, par conséquent, nous parvenons à protéger ces actifs contre les attaques.

« En fin de compte, un cybercriminel qui souhaite obtenir une rançon en échange de données n’a qu’une seule chose à faire : empêcher l’accès aux données critiques de l’entreprise. »

De nombreuses entreprises se concentrent davantage sur les mesures de prévention des attaques que sur la mise en œuvre d’une stratégie globale visant à garantir la disponibilité. En d’autres termes, il ne faut pas se limiter aux attaques par ransomware, mais privilégier une stratégie plus générale de protection de la disponibilité, incluant le « chiffrement des données à des fins d’impact » (Identifiant ATT&CK T1486.)

Par exemple, de nombreux scénarios d’attaque par ransomware reposent sur l’idée qu’un acteur pourrait exécuter une charge utile binaire et chiffrer des données. Or, avec un accès suffisant, le même résultat pourrait être obtenu simplement en échangeant les clés de chiffrement d’une base de données critique. Le degré de difficulté pour un attaquant de mener à bien cette opération varie considérablement, mais pour de nombreuses organisations, il s’agit d’une voie d’attaque viable. Ne vous empressez pas de faire remarquer que les sauvegardes natives de la base de données, la gestion des versions multiples, etc. peuvent résoudre ce problème. Ce n’est en aucun cas faux, mais la réalité est qu’en raison de leur impact sur les performances des bases de données volumineuses, ces contrôles sont souvent désactivés, que vous en soyez informé ou non. De plus, la gestion de ces méthodes de protection s’effectue souvent à l’aide des mêmes identifiants privilégiés que ceux utilisés pour les activités d’administration courantes, qui sont précisément les identifiants ciblés par les acteurs malveillants.

D’accord… mais qu’est-ce que ça veut dire…

En résumé, cela signifie que vous devriez revoir votre plan d’action contre les ransomwares et envisager d’élaborer un plan d’action de haut niveau en matière de disponibilité si vous n’en disposez pas déjà (si c’est le cas, réexaminez-le sous l’angle des ransomwares). Cette démarche doit être menée de manière transversale. L’équipe de sécurité doit effectuer une première analyse, puis se réunir avec les responsables des données, les équipes chargées de l’infrastructure et les équipes de Recovery après sinistre (DR) et de continuité des activités (BC) afin de réfléchir ensemble aux méthodes de protection et de Recovery les plus réalistes. De nombreuses méthodes de protection et de Recovery impliquent un compromis en termes de performances. La sécurité ne peut ignorer cette réalité, et le service informatique ne peut pas non plus négliger la sécurité au profit des performances. Il n’existe pas de solution universelle.

Les éléments suivants peuvent servir de point de départ, à titre indicatif, pour orienter la réflexion dans le cadre de cette démarche :

1. Maîtriser l’ensemble des référentiels de données critiques de l’entreprise, notamment :
   • Stockages de données gérés « privés », NAS, SAN
   • Appareils des employés
   • Bases de données (sur site, dans le cloud classique et « as-a-service »)
   • Stockage dans le cloud
2. Dressez une liste des tactiques, techniques et procédures susceptibles d’affecter la disponibilité de vos référentiels de données critiques et établissez une correspondance avec le modèle MITRE ATT&CK ; (https://attack.mitre.org/tactics/TA0040/)
   • Exemple 1 : Chiffrement à grande échelle des terminaux
   • Exemple 2 : Vol et suppression de bases de données critiques (dans le cloud et sur site)
3. Mettre en correspondance les stratégies avec les sources de données, puis les classer en fonction de leur probabilité de survenue.
   • Définir des priorités en fonction des risques juridiques, opérationnels et stratégiques
4. Évaluer les contrôles et les processus
   • Identifier les possibilités de mise en œuvre de mesures de prévention, de détection, d’intervention et de Recovery, par source de données.
   • Identifier les lacunes
   • Mettre en place de nouveaux processus et contrôles
5. Mettez à jour votre guide d’intervention face aux ransomwares en y intégrant des méthodes de réponse à toutes les techniques, en vous appuyant sur vos procédures d’intervention et de Recovery définies à l’étape 4.
6. Organisez simultanément un exercice de simulation sur table (TTX) et un exercice de reprise après sinistre (DR).
   • C’est un véritable défi. Combiner ces deux éléments pour mener un exercice TTX « à livre ouvert » avec quelques intrusions aléatoires permettra vraiment de voir comment les équipes réagissent face à la pression d’un véritable incident lié à un rançongiciel.

Résumé

Threat actors keep evolving to stay relevant and protect their income. Although we have gotten pretty good at protecting against traditional ransomware threats as an industry, every organization likely has a few blind spots.

• Ransomware attacks keep succeeding.
• As we get better at stopping traditional attacks, threat actors change their tactics to maintain success
• Threat actors are targeting data stores such as DBs and cloud storage
• Mettez à jour votre guide d’intervention en y intégrant des options de détection, de prévention, d’intervention et de Recovery permettant de rétablir la disponibilité en dehors des schémas traditionnels
• Mettez en œuvre des solutions de sauvegarde immuables et performantes pour les bases de données et les ressources cloud.

Comment Clumio peut vous aider

Clumiofocuses on helping customers build resilience into their cloud applications and data. When it comes to ransomware, recovery is a key backstop to maintaining your business application availability. With Clumio’s backup options for databases like Amazon RDS, MS-SQL on EC2, and DynamoDB as well as Amazon S3, EC2, EBS, and Microsoft 365, you can create performant recovery strategies to make both infrastructure and security teams happy.