Les États intensifient leurs attaques destructrices à l'aide de rançongiciels et de logiciels d'effacement de données. Que peut-on faire pour gérer ce risque ?
En 2017, Adversaires liés à la Russie a déclenché une attaque qui est devenue plus tard connue sous le nom de Pas Petya, dans le cadre d'une campagne en cours contre l'Ukraine. Déguisé pour ressembler à Le ransomware Petya, Les conséquences de cette cyberattaque dévastatrice furent la destruction plutôt que le gain financier. Les dégâts causés par l'outil de suppression de données ont largement dépassé sa cible initiale, touchant des entreprises dans toute l'Europe et au-delà.
Près d'une décennie plus tard, les logiciels de réinitialisation de données et les rançongiciels deviennent des outils clés pour agresseurs d'États-nations interrompre les services essentiels et provoquer des perturbations.
Les 2021 Pipeline Colonial Cet incident illustre parfaitement les dégâts que peuvent causer ce type d'attaque. Attribué à DarkSide, un groupe… Liens russes — L’attaque a entraîné la fermeture du plus grand oléoduc des États-Unis, provoquant des pénuries de carburant généralisées.
En 2021, la Corée du Nord adversaires liés au gouvernement ont perpétré les attaques de ransomware de Maui contre des hôpitaux et des centres de diagnostic, dans le but de générer des revenus et de semer le chaos.
L'escalade de la situation géopolitique, notamment la guerre russo-ukrainienne et conflit iranien s’ajoutent à la menace, avec des craintes croissantes d’attaques destructrices de la part d’adversaires liés à des nations hostiles telles que la Chine, la Russie, l’Iran et la Corée du Nord (CRINK).
Cela a conduit les agences de sécurité nationale à émettre des avertissementsLe Centre national britannique de cybersécurité (NCSC) détaille des outils destinés à aider les entreprises. atténuer le risque.
Que peuvent faire les entreprises pour gérer ce problème croissant ?
L'évolution des rançongiciels
Il ne fait aucun doute que le risque d'attaques d'États-nations utilisant ransomware Dans le cadre d'objectifs géopolitiques, la cybercriminalité prend de l'ampleur. Tracey Hannan-Jones, directrice du conseil en sécurité de l'information chez UBDS Digital, estime que la frontière entre cybercriminalité et géopolitique « n'a jamais été aussi ténue ».
Ce qui était autrefois le domaine des bandes criminelles motivées par l'appât du gain est devenu, selon Hannan-Jones, un « instrument sophistiqué du pouvoir d'État ».
On constate ainsi que les rançongiciels, les logiciels malveillants et les cyberattaques destructrices sont utilisés bien au-delà de l'extorsion. « Ce sont des armes de perturbation géographique, déployées par des acteurs étatiques pour déstabiliser des gouvernements, paralyser les infrastructures et affirmer leur puissance, sans qu'un seul coup de feu ne soit tiré », explique-t-elle.
Auparavant, les attaques de rançongiciels suivaient une logique prévisible : chiffrer les données, exiger un paiement et empocher le profit.
La situation a radicalement changé, les acteurs étatiques – notamment ceux alignés sur la Russie, la Corée du Nord, la Chine et l’Iran – ayant adopté et adapté les mêmes techniques, souvent « avec des objectifs qui vont bien au-delà du simple gain financier », explique Hannan-Jones.
Saper la confiance
Gary Barlet, directeur technique du secteur public chez Illumio, partage l'analyse de Hannan-Jones. Selon lui, dans certains cas, les attaques visent à saper la confiance du public, à créer une instabilité opérationnelle et à exercer des pressions économiques.
Il explique comment de nombreux groupes de ransomware opèrent dans des environnements où ils bénéficient d'une protection indirecte ou d'une approbation tacite de la part de gouvernements qui perçoivent une valeur stratégique dans leurs activités. « Cette convergence représente un défi majeur pour les équipes de défense, qui ne sont plus confrontées à de simples activités criminelles isolées. »
Le problème actuel réside dans les menaces qui se situent dans une « zone grise » entre les attaques à motivation financière et les opérations menées par des États, selon Barlet. « Les groupes de ransomware agissent de plus en plus comme des intermédiaires, ciblant des adversaires étrangers ou contribuant à des efforts de déstabilisation plus vastes. »
Parallèlement, il est difficile d'identifier les auteurs, car les cyberopérations sont délibérément conçues pour permettre aux criminels de nier toute implication. « Une attaque peut sembler motivée par des raisons financières au premier abord, mais le moment choisi pour son exécution, la cible sélectionnée ou son impact plus large peuvent révéler une intention stratégique sous-jacente », explique Barlet.
Opportuniste vs Stratégique
Les attaques d'États peuvent être stratégiques ou opportunistes. L'appât du gain est souvent un facteur de motivation, comme en témoignent les attaques perpétrées par la Corée du Nord.
Il n'est pas rare d'observer des États adversaires « monétiser l'insécurité numérique pour générer des revenus illicites », explique Jamie Moles, responsable technique senior chez ExtraHop. « En collaborant avec des réseaux cybercriminels, les États déploient des rançongiciels et exploitent les vulnérabilités des chaînes d'approvisionnement. Cette extraction financière permet aux régimes de contourner les sanctions internationales et de financer des opérations de renseignement clandestines. »
L'opportunité peut parfois jouer un rôle, le conflit en Iran permettant à des nations comme la Russie d'agir discrètement.
Parallèlement, des attaquants parrainés par des États profitent parfois de l'écosystème de la cybercriminalité pour dissimuler leur responsabilité dans les attaques, explique Andrew Brandt, responsable principal des incidents de renseignement sur les menaces chez Huntress. « Pourquoi consacrer du temps à développer un logiciel malveillant sur mesure quand on peut simplement récupérer le code source divulgué ? » Gh0stRAT et utiliser cela à la place ?
Risques liés à la chaîne d'approvisionnement et aux infrastructures critiques
Le risque s'accroît à mesure que les chaînes d'approvisionnement s'interconnectent numériquement, créant ainsi de nouveaux points de défaillance que les attaquants exploitent rapidement. Selon Barlet d'Illumio, les cybercriminels abusent régulièrement des erreurs de configuration, des API non sécurisées et des failles d'authentification pour obtenir un premier accès avant de s'attaquer aux systèmes critiques.
Les groupes de ransomware savent également que perturber les chaînes d'approvisionnement peut s'avérer bien plus dommageable et lucratif que le vol de données. « Même une perturbation de courte durée peut avoir des répercussions sur l'ensemble des chaînes d'approvisionnement mondiales, notamment dans les environnements de production à flux tendu où les retards se répercutent rapidement en aval », explique Barlet.
Face à cette menace croissante, les modèles de sécurité traditionnels peuvent se révéler insuffisants, car ils sont conçus pour gérer des incidents plutôt que des campagnes menées par des États.
Selon Barlet, les modèles de sécurité reposent souvent sur une approche périmétrique. « Les équipes de sécurité raisonnent de manière binaire : un attaquant a-t-il réussi à s’introduire dans le système ou non ? Elles négligent souvent les conséquences de leurs actes. Cela engendre des attentes irréalistes, à savoir que toute intrusion peut être évitée. »
Cependant, lorsque les attaquants franchissent le périmètre de sécurité, ils se déplacent souvent latéralement d'un système à l'autre, augmentant ainsi leur nombre d'accès et provoquant des perturbations généralisées. « En se concentrant excessivement sur le périmètre, les organisations défendent en réalité une frontière limitée, tandis que les auteurs de ransomwares opèrent librement à l'intérieur une fois cette frontière franchie », explique Barlet.
Il dit que le Jaguar Land Rover Les attaques contre le commerce de détail l'an dernier ont suivi ce même schéma. « Les attaquants ont compromis des réseaux, ciblé des systèmes critiques pour les services et les opérations et exfiltré des informations sensibles. »
Limiter l'impact
Face à l'estompement croissant des lignes de front, il est essentiel de garantir une approche axée sur la résilience, une sensibilisation intersectorielle, une visibilité de la chaîne d'approvisionnement et une responsabilisation au plus haut niveau. Des cadres tels que ISO 27001 peut servir de base à la gestion des risques face à des menaces croissantes.
Face à la montée en puissance de la menace étatique dans un contexte de bouleversements géopolitiques mondiaux, Barlet estime que les entreprises — en particulier celles opérant dans des secteurs critiques — doivent abandonner l'idée de prévention totale et se concentrer plutôt sur la limitation de l'impact des ransomwares par le confinement des brèches.
« Une stratégie axée sur le confinement oblige les attaquants à ralentir, ce qui complique leur dissimulation et leurs déplacements entre différents systèmes », explique-t-il. « Plus important encore, elle les contraint à modifier leurs techniques et leurs procédures, offrant ainsi aux équipes de sécurité de bien meilleures chances de détecter les attaques, d'y répondre et de s'en remettre. »
Hannan-Jones, de UBDS Digital, estime qu'il faut privilégier la résilience à la prévention. « Aucune organisation ne peut garantir qu'elle ne sera pas attaquée ; il est donc impératif de se concentrer sur la résilience : la capacité à détecter les incidents, à y répondre et à s'en remettre grâce à une planification robuste de la continuité des activités et de la reprise après sinistre. »
« La préparation à la réponse aux incidents est essentielle, notamment grâce à des plans répétés comportant des procédures d’escalade claires et des protocoles de communication permettant de réduire considérablement l’impact d’une attaque réussie », explique Hannan-Jones.
Les organisations devraient également privilégier l'intégration du renseignement sur les menaces, conseille-t-elle. « Cela implique d'aller au-delà des alertes de sécurité génériques et d'exploiter un renseignement sur les menaces sectoriel et géopolitiquement contextualisé afin de comprendre quels acteurs malveillants sont actifs, leurs tactiques et leurs cibles, pour une gestion des risques proportionnée. »
Élargissez vos connaissances
Podcast: Hameçonnage à des fins malveillantes S01 E02 : Sécurité des systèmes et services publics
Blog: Le facteur de résilience : analyse de l’attaque par ransomware BridgePay
