Qu'est-ce que le ransomware Ryuk et comment fonctionne-t-il ?

Qu'est-ce que le ransomware Ryuk ?

Ryuk est un type de ransomware qui, une fois déployé, chiffre les fichiers d'un système infecté. La rançon est généralement exigée en bitcoins ou en autres cryptomonnaies. Ryuk a pris pour cible de nombreuses grandes entreprises utilisant Microsoft Windows et des systèmes apparentés. 

Repéré pour la première fois en août 2018 et initialement considéré comme un groupe opérant depuis la Corée du Nord, on pense aujourd'hui qu'il a été développé par des pirates russes. 

70 % des fournisseurs de services gérés (MSP) indiquent que les ransomwares constituent la menace de logiciel malveillant la plus courante pour leurs clients. La protection contre Ryuk et la gestion d'une attaque constituent une fonctionnalité essentielle et un facteur clé de différenciation pour les MSP.

Quelle est la particularité du ransomware Ryuk et pourquoi a-t-il autant de succès ? 

Ryuk se distingue par le fait qu'il s'agit, selon la définition de Microsoft, d'une attaque par ransomware menée par des humains. Les pirates ont recours à des techniques de ciblage et de dissimulation très sophistiquées pour garantir un taux de réussite élevé. 

Le fait d'être piloté par l'homme signifie que les attaquants exécutent des attaques à plusieurs niveaux contre les réseaux de l'entreprise. 

Cela commence par une sélection minutieuse des cibles plutôt que par l'adoption d'une approche automatisée, "spray and pray", et nécessite une connaissance à la fois large et spécifique de l'infrastructure cible afin de réussir.

Il s'appuie ensuite sur des outils tels que Mimikatz pour voler les informations d'identification des utilisateurs, après quoi des outils tels que PowerShell Empire sont utilisés pour effectuer une reconnaissance et se déplacer latéralement dans l'environnement, pour finalement procéder à une escalade des privilèges par l'intermédiaire de Domain Administrator. 

Il ne s'agit pas d'une entrée et d'une sortie rapides. Il s'agit d'une attaque prolongée et continue, dans laquelle de véritables personnes sont actives au sein du réseau et collectent des données.

Les pirates choisissent généralement leurs cibles avec soin, s'attaquant davantage aux grandes entreprises qu'aux particuliers. Cela a non seulement propulsé le ransomware Ryuk à la une de l'actualité, mais a également permis à ses auteurs d'empocher des millions de dollars en rançons. 

Les attaques célèbres de Ryuk dans l'actualité

Parmi les victimes des attaques de Ryuk figureraient, selon certaines sources, de grandes organisations, des collectivités locales, des hôpitaux, etc. Par exemple :

• Le département des services sociaux
• Tribune Publishing, y compris le Los Angeles Times, le Chicago Tribune, le Wall Street Journal et le New York Times
• Comité de Boston pour les services d'avocats publics
• Comté de Jackson, Géorgie, (rançon de 400 000 dollars)
• Riviera Beach, Floride (rançon de 594 000 $)
• Comté de LaPorte, Indiana (rançon de 130 000 $)

Comment Ryuk est-il livré ?

Comme beaucoup d'autres souches, les attaques par ransomware Ryuk sont principalement diffusées par le biais d'un courriel d'hameçonnage. 

Selon l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA), Ryuk se propage par le biais de « campagnes d'hameçonnage contenant soit des liens vers des sites web malveillants hébergeant le logiciel malveillant, soit des pièces jointes contenant ce dernier ». 

En résumé, un utilisateur reçoit un e-mail de phishing qui semble légitime à première vue. En pièce jointe, il y a un document Microsoft Office compromis. Ce document peut s'intituler "Résultats trimestriels", ou quelque chose de tout aussi inoffensif. Cependant, dès l'ouverture du document, les attaquants utilisent la fonction macro pour commencer à exécuter du code. Une fois ce processus lancé, les attaquants utilisent une boîte à outils de produits pour se déplacer latéralement au sein de l'organisation et obtenir des privilèges d'accès de plus en plus élevés.

Ryuk a été identifié il y a plus de deux ans. Pourquoi continue-t-il à faire des ravages ? 

Les attaques de ransomware évoluent constamment. Les attaquants s'appuient sur l'automatisation pour faire muter les variantes de menaces courantes, ce qui se traduit par une augmentation massive des menaces inédites. 

Il s'agit d'une technique populaire permettant aux attaquants de contourner la plupart des solutions de sécurité - qui identifient généralement mal les variantes des menaces existantes, même si les menaces originales ont déjà leurs signatures enregistrées. Cette faiblesse permet aux attaquants de continuer à cibler les organisations, de contourner leurs solutions de sécurité existantes et de déployer leur charge utile sur le réseau de la victime. 

Combattre les dernières menaces avec les solutions de Datto contre les ransomwares > 

L'ancien Ryuk contre le nouveau Ryuk

En janvier 2021, un nouveau variant de Ryuk a été identifié. De nouveaux variants apparaissent sans cesse, mais celui-ci a eu un impact considérable car il possède des capacités de type « ver informatique » lui permettant de se propager automatiquement de manière latérale au sein des réseaux infectés. Les versions précédentes de Ryuk ne pouvaient pas se déplacer automatiquement de manière latérale au sein d’un réseau et nécessitaient l’utilisation d’un « dropper », puis une propagation manuelle. La nouvelle version s’apparente à un ver informatique qui se propage d’un appareil à l’autre sans aucune intervention humaine. 

Comment se protéger contre la prochaine variante de Ryuk, avant même de savoir qu'elle existe ?

Comme nous l'avons noté précédemment, Ryuk, comme d'autres ransomwares courants, est principalement déployé à l'aide d'un e-mail de phishing ou de spear-phishing. Le phishing est délicat et même les cyber-experts les plus expérimentés ne sont pas toujours en mesure de le détecter. C'est pourquoi, en plus d'informer les employés sur la manière d'éviter les menaces de phishing, la meilleure défense contre une telle attaque pour vous et vos clients est de vous assurer que vous utilisez une protection avancée pour le courrier électronique et d'autres outils de collaboration, une protection qui couvre le phishing ainsi que les logiciels malveillants. Lorsque vous choisissez une solution de protection, optez pour une solution qui utilise un mécanisme de détection agnostique afin de vous protéger contre les variantes inconnues de Ryuk dès leur apparition. 

En outre, comme Ryuk recherche le maillon le plus faible de la chaîne, il est fortement recommandé d'analyser en permanence votre réseau et vos systèmes à la recherche de failles de sécurité et de les corriger dès qu'elles sont détectées.  

Quelle est la demande de rançon dans les attaques de Ryuk ?

Les montants des rançons varient, mais on a enregistré des cas d'attaques par Ryuk exigeant des rançons de plusieurs millions de dollars. N'oubliez pas que le paiement de la rançon n'est pas la solution pour échapper à une attaque de ransomware.

Comment détecter et arrêter les infections par Ryuk

Avant toute chose, il est essentiel que vous disposiez, en tant que prestataire de services gérés (MSP), ainsi que vos clients, de solutions de détection et de remédiation des ransomwares. La détection des ransomwares fait partie intégrante des systèmes de sauvegarde et permet de limiter l’impact d’une attaque. En détectant rapidement une attaque, il est possible d’isoler et de restaurer rapidement les systèmes, évitant ainsi de devoir verser une rançon à l’attaquant pour le déchiffrement des données.

Par exemple, la solution de surveillance et de gestion à distance (RMM) de Datto permet aux prestataires de services gérés (MSP) de surveiller, de gérer et d'assurer le support à distance de tous les terminaux couverts par un contrat. Cela offre un niveau de sécurité supplémentaire, intégrant une détection native des ransomwares. 

Si un ransomware est détecté, Datto RMM envoie automatiquement des alertes permettant aux MSP de prendre des mesures proactives. Celles-ci comprennent l'arrêt du processus du ransomware et l'isolement de l'appareil infecté afin d'empêcher le ransomware de se propager. Cela permet de réduire les temps d'arrêt et évite aux MSP d'avoir à attendre que les clients signalent d'éventuelles infections. 

En plus de RMM, les MSP peuvent faire appel aux services de sauvegarde et de récupération de Datto, ce qui est le seul moyen d'assurer la continuité de l'activité des clients. 

Datto propose plusieurs solutions , notamment :

• Une suite complète de solutions de continuité d'activité et de reprise après sinistre (BCDR) : par exemple, Datto Unified Continuity, qui couvre l'ensemble des besoins en matière de continuité d'activité et de reprise après sinistre, notamment la protection des serveurs, des fichiers, des PC et des applications SaaS
• Datto SIRIS, une solution fiable et tout-en-un de continuité d'activité et de reprise après sinistre, conçue pour les prestataires de services gérés (MSP) afin de prévenir la perte de données et de réduire au minimum les temps d'arrêt chez les clients
• Datto ALTO, une solution de continuité d'activité et de reprise après sinistre, compacte mais performante, conçue pour les fournisseurs de services gérés (MSP) afin de réduire au minimum les temps d'arrêt et de prévenir efficacement la perte de données chez leurs clients, les petites entreprises
• Endpoint Backup , la solution de Datto pour PC, protège les ordinateurs Windows des clients des fournisseurs de services gérés (MSP) contre les temps d'arrêt et la perte de données, et permet une restauration rapide des données en cas de sinistre.
• SaaS Protection, qui propose une solution de sauvegarde de cloud à cloud fiable et sécurisée pour Microsoft 365 et Google Workspace, afin de garantir la protection des données critiques stockées dans le cloud

Ryuk a déjà démontré qu'il évoluera constamment pour échapper aux solutions de sécurité. Les MSP doivent être en mesure d'offrir à leurs clients des solutions réelles et pratiques qui répondent à cette menace permanente.