Cyberside Chat : L'histoire et l'évolution des ransomwares

J'ai récemment rencontré Chris McKie, directeur des solutions de sécurité, pour discuter de l'histoire des ransomwares, des défis actuels auxquels ils posent et de la façon dont il envisage leur évolution dans les mois et les années à venir. 

Ryan : Merci de nous accorder un peu de votre temps aujourd’hui. Je pense que nous allons commencer par aborder les notions de base concernant les ransomwares et leur évolution.

Chris : Les ransomwares ne sont pas un phénomène nouveau, même si beaucoup le pensent. En réalité, ils existent depuis 1989, date à laquelle la première attaque de ransomware connue a visé le secteur de la santé. Cette attaque était pour le moins rudimentaire : elle consistait à distribuer 20 000 disquettes à des chercheurs travaillant sur le sida, en prétendant que ces disquettes contenaient un programme permettant d’analyser le risque individuel de contracter le sida à l’aide d’un questionnaire. Cependant, la disquette contenait également un logiciel malveillant qui restait initialement inactif dans les ordinateurs et ne s’activait qu’après 90 démarrages de l’ordinateur. Une fois ce seuil de 90 démarrages atteint, le logiciel malveillant affichait un message exigeant le paiement de 189 dollars, puis de 378 dollars supplémentaires pour une licence d’utilisation du logiciel. Ce « cheval de Troie du SIDA », comme on l’a surnommé, était assez facile à neutraliser car il utilisait une cryptographie symétrique simple, et des outils permettant de déchiffrer les fichiers ont rapidement été mis au point.

Cette première version a jeté les bases des logiciels malveillants, en chiffrant des fichiers et des données de valeur et en les conservant contre paiement. Au début des années 2000, cette idée a évolué vers l'utilisation d'algorithmes de chiffrement plus sophistiqués et plus difficiles à décrypter, qui ont continué à se développer pour aboutir aux attaques sophistiquées et aux ransomwares en tant que service que nous connaissons aujourd'hui.

R : Qu'en est-il des e-mails de hameçonnage ? Comment le hameçonnage a-t-il évolué pour atteindre le niveau que l'on observe aujourd'hui ?

C : Les premières tentatives d’hameçonnage utilisaient des e-mails et des sites web falsifiés comme appâts pour inciter les gens à divulguer volontairement des informations sensibles. Au début des années 2000, les hameçonneurs enregistraient des dizaines de noms de domaine ressemblant à des sites légitimes et envoyaient des e-mails frauduleux aux clients. Ces clients étaient redirigés vers des sites falsifiés et invités à mettre à jour les détails de leur carte bancaire ainsi que d’autres informations d’identification. Le succès de ces attaques a conduit à des attaques similaires visant le secteur bancaire, compromettant des millions de comptes, des paiements plus importants et des informations sensibles. Cela a également entraîné l’émergence de divers logiciels destinés à lutter contre ces attaques, notamment le traçage d’adresse IP, qui a permis de contrecarrer les attaques et de récupérer les fonds perdus.

Cependant, l'apparition de ces premières mesures de sécurité a forcé les pirates à innover et à améliorer leur jeu.

R : Parlons un peu du « ransomware as a service » (RaaS), de son essor fulgurant ces dernières années et des facteurs qui l'ont favorisé.

C : Les ransomwares ont véritablement pris leur essor avec l’apparition de CryptoLocker, vers 2013. L’une des raisons pour lesquelles nous avons assisté à une croissance astronomique des attaques par ransomware est que cette méthode fonctionne. Les cybercriminels gagnent beaucoup d’argent : selon des estimations récentes, le marché des ransomwares se chiffre en milliards, et les attaques ne cessent de se multiplier.

En outre, nous constatons que les attaques de ransomware augmentent parallèlement à l'essor des crypto-monnaies. Maintenant que les crypto-monnaies sont largement disponibles, accessibles et sans doute anonymes, la friction pour le paiement de la rançon est supprimée, ce qui rend le paiement plus facile et plus rapide que jamais.

Les modèles financiers que les cybercriminels ont créés avec les ransomwares récompensent l'innovation, et c'est pourquoi nous voyons aujourd'hui le développement de codes de ransomwares proposé à des pirates et cybercriminels moins sophistiqués par le biais de ransomwares en tant que service. Avec les réseaux d'affiliation en jeu, le ransomware en tant que service étend la portée du ransomware de sorte que presque tout le monde peut jouer un rôle dans l'écosystème criminel du ransomware et gagner de l'argent.

R : Comment envisagez-vous l'avenir du travail, en particulier pour les petites entreprises, et qu'en est-il de la protection des terminaux de leurs réseaux ?

C : L’un des défis auxquels sont confrontées les petites entreprises est la croyance erronée selon laquelle, du fait de leur taille, elles ne constitueraient pas une cible pour les pirates informatiques ou les attaques par ransomware. En réalité, les petites entreprises sont des cibles idéales pour les pirates, car elles ne disposent souvent pas de mesures de sécurité solides et, dans de nombreux cas, ne favorisent pas une culture de sensibilisation à la cybersécurité ni l’adoption des meilleures pratiques. À cela s'ajoute le fait que de nombreux employés travaillent à domicile, ce qui expose beaucoup d'entre eux à une protection minimale des terminaux et du réseau. De plus, avec un personnel dispersé, il peut être difficile de s'assurer que les ordinateurs et les applications de chacun sont à jour et correctement corrigés.

Il sera donc plus important que jamais de s'assurer que les terminaux sont protégés et patchés et que les employés sont régulièrement formés aux meilleures pratiques en matière de phishing et de sécurité du courrier électronique.

Enfin, les petites entreprises doivent s'attendre à être victimes d'une intrusion. Tôt ou tard, un logiciel malveillant se fraiera un chemin vers un point final ou un serveur. S'il s'agit d'un ransomware, la mise en place d'une solution de sauvegarde et de restauration AVANT que cela ne se produise permettra non seulement d'éviter à l'entreprise de payer une cyber-rançon, mais aussi de continuer à fonctionner sans perdre de fichiers clés.

R : Cela semble représenter beaucoup de travail pour une PME, compte tenu des difficultés qu’elles rencontrent pour gérer seules leur activité. Pensez-vous que cela puisse devenir une solution d’externalisation pour répondre à leurs besoins en matière de sécurité ?

C : Il ne fait aucun doute que les petites entreprises sont désavantagées lorsqu'il s'agit d'assurer un niveau adéquat de cybersécurité. La plupart d'entre elles ne disposent pas d'experts en cybersécurité en interne ou ne mettent pas en place de programmes de formation et d'outils de sécurité suffisants. Faute de personnel et de ressources, les petites entreprises sont confrontées à un défi de taille pour garantir leur sécurité.

C'est là qu'un MSP peut jouer un rôle essentiel. Non seulement un MSP peut fournir des services informatiques indispensables, mais beaucoup sont hautement qualifiés pour déployer des outils de gestion à distance qui maintiennent les points de terminaison patchés et à jour. En outre, de nombreux MSP sont capables de gérer la sécurité des e-mails, des terminaux et du réseau, ce qui permet d'assurer une protection complète des données, des utilisateurs et des appareils.

Enfin, la plupart des MSP peuvent fournir des services essentiels en matière de continuité des activités et de reprise après sinistre. Ce service à valeur ajoutée permet de s'assurer que lorsqu'une petite entreprise est victime d'une attaque par ransomware, d'un vol de données ou de tout autre événement susceptible de compromettre les systèmes informatiques, elle peut rapidement et efficacement reprendre ses activités habituelles.

Les pirates informatiques ne vont cesser d'améliorer leurs techniques et d'innover avec de nouvelles tactiques et techniques. Les MSP sont bien mieux placés pour se tenir au courant de ces nouveaux développements et tendances. C'est pourquoi un MSP devrait toujours être dans une position unique pour aider à protéger les petites entreprises contre les menaces les plus avancées.

R : D'où pensez-vous que viendra la prochaine attaque ? Pourquoi les attaques par ransomware persistent-elles ? Peut-on y mettre un terme ?

C : Comme je l’ai mentionné, il s’agit ici de la manière dont les criminels, qu’ils soient organisés ou non, gagnent de l’argent. Tant qu’il existera un moyen pour eux d’en tirer profit, les ransomwares persisteront. Malgré les efforts déployés pour lutter contre les nouvelles techniques et tactiques, ils continueront à s’adapter et à évoluer. Je ne vois pas ce cycle prendre fin de sitôt, même si je suis encouragé par les progrès réalisés grâce à la coopération internationale pour perturber les activités des opérateurs de ransomware et de leurs affiliés. Les entreprises deviennent plus résilientes face à ces attaques et s'efforcent de mettre en place des stratégies de sécurité plus solides.

C'est également la raison pour laquelle les MSP doivent, au minimum, avoir une compréhension de haut niveau de la sécurité et de la manière dont les solutions qu'ils utilisent affectent la sécurité des utilisateurs, des applications et des données dont ils sont responsables. C'est également là que le partenariat avec leur fournisseur de solutions doit être symbiotique afin de garantir que toutes les questions, tous les besoins, toutes les formations, etc. soient traités entièrement et en temps voulu.

Nous ne pourrons pas arrêter les attaques de ransomware à 100 %, mais avec les bonnes personnes, les bons processus et les bonnes technologies travaillant en tandem, nous pouvons mettre en place des mesures substantielles pour minimiser les risques et atténuer les effets négatifs des attaques de ransomware aujourd'hui et demain.