Qu'est-ce qu’un logiciel Ransomware?

Fonctionnement des logiciels Ransomware

Il est essentiel de comprendre ce que sont les logiciels Ransomwares et comment ils fonctionnent, pour s’y préparer et s’en protéger. Un logiciel Ransomware est un logiciel malveillant qui chiffre les fichiers d’une victime et demande ensuite une rançon pour rétablir l’accès à ces fichiers. Pour réussir, le logiciel Ransomware doit accéder à un système cible, y chiffrer les fichiers et demander une rançon à la victime.

 

• Étape 1. Vecteurs d’infection et de diffusion

Comme tout logiciel malveillant, les logiciels Ransomwares peuvent accéder aux systèmes d’une entreprise de différentes manières. Cependant, les opérateurs de logiciels Ransomwares ont tendance à préférer certains vecteurs d’infection spécifiques. L’un d’entre eux est le phishing par email. Un email malveillant peut contenir un lien vers un site web hébergeant un téléchargement malveillant ou une pièce jointe intégrant une fonctionnalité de téléchargement. Lorsque le destinataire de l’email tombe dans le piège du phishing, le logiciel Ransomware est alors téléchargé et exécuté sur son ordinateur.

 

Un autre vecteur courant d’infection de logiciel Ransomware et l’exploitation de services tels que le protocole RDP (accès à distance). Avec RDP, un pirate qui a volé ou deviné les identifiants de connexion d’un employé peut les utiliser pour s’authentifier et accéder à distance à un ordinateur du réseau de l’entreprise. Avec cet accès, le pirate peut directement télécharger le malware et l’exécuter sur la machine sous son contrôle.

 

• Étape 2. Chiffrement des fichiers

Le chiffrement des fichiers d’un utilisateur est ce qui distingue les logiciels Ransomwares des autres variantes de logiciels malveillants. En chiffrant des données sensibles et précieuses, l’opérateur du logiciel Ransomware peut demander une rançon en échange de la clé de déchiffrement, en s’attendant raisonnablement à ce que la victime va payer.

 

Les logiciels Ransomwares utilisent généralement deux types de chiffrement : symétrique et asymétrique. Le chiffrement symétrique nécessite la même clé pour le chiffrement et le déchiffrement, tandis que le chiffrement asymétrique utilise une clé publique pour le chiffrement et une clé privée pour le déchiffrement.

 

Les variantes de logiciels Ransomwares intègrent une liste des types de fichiers qu’elles doivent chiffrer, qu’il s’agisse de certaines extensions de fichiers, de répertoires ou des deux. Pour chacun de ces fichiers, le logiciel malveillant utilise un chiffrement symétrique sur le fichier et enregistre un exemplaire de la clé symétrique chiffrée avec une clé publique. La clé privée correspondante, qui est nécessaire pour déchiffrer la clé symétrique utilisée pour déchiffrer les fichiers, n’est connue que de l’opérateur du logiciel malveillant.

 

• Étape 3. Demande de rançon

Une fois le chiffrement des fichiers terminé, le logiciel Ransomware est prêt à demander une rançon. Les différentes variantes de logiciels malveillants mettent cela en œuvre de différentes façons, mais il n’est pas rare de voir un fond d’écran présentant la demande de rançon ou des fichiers texte placés dans chaque répertoire chiffré contenant la demande de rançon. En général, ces notes exigent un montant fixe de cryptomonnaie en échange de l’accès aux fichiers de la victime. Si la rançon est payée, l’opérateur du logiciel Ransomware fournira soit un exemplaire de la clé privée utilisée pour protéger la clé de chiffrement symétrique, soit un exemplaire de la clé de chiffrement symétrique elle-même. Ces informations peuvent être saisies dans un programme de déchiffrement (également fourni par le cybercriminel) qui peut les utiliser pour inverser le chiffrement et rétablir l’accès aux fichiers de l’utilisateur.

Évolution des logiciels Ransomware

La première attaque connue d’un logiciel Ransomware remonte à 1989. La toute première extorsion par logiciel malveillant connue est celle du cheval de Troie AIDS, appelée également PC Cyborg. Ce logiciel malveillant de faible technicité a été distribué sur plus de 20 000 disquettes destinées à des chercheurs sur le sida. Il masquait les fichiers sur le disque et chiffrait les noms de fichiers, présentant un message à l’utilisateur indiquant que sa licence d’utilisation d’un type de logiciel spécifique avait expiré. En guise de rançon, il demandait à l’utilisateur de payer 189 dollars pour recevoir un outil de réparation. L’outil de déchiffrement pouvait facilement être extrait directement du code du cheval de Troie, ce qui permettait de ne pas payer l’extorqueur et de contourner le logiciel malveillant.

 

La plupart des variantes de logiciels Ransomwares suivent les mêmes étapes pour passer de l’infection initiale à la demande de rançon. Cependant, au cours des dernières années, l’utilisation des logiciels Ransomwares par les cybercriminels a considérablement changé.

 

• Attaques aléatoires à grande échelle

Les premières attaques de logiciels Ransomwares adoptaient l’approche de la quantité plutôt que la qualité pour sélectionner les cibles. Ces attaques étaient conçues pour infecter le plus grand nombre possible d’ordinateurs avec des logiciels Ransomwares et demander une rançon relativement faible en échange de la clé de déchiffrement.

 

Wannacry est un excellent exemple de cette approche. Il s’agit d’un logiciel Ransomware sous forme de ver qui exploite une vulnérabilité pour se propager, plutôt que de s’appuyer sur des emails de phishing ou de profiter de la faiblesse des identifiants.

 

Wannacry a profité de la vulnérabilité EternalBlue découverte par la NSA et révélée par le groupe de pirates Shadow Brokers pour infecter plus de 200 000 ordinateurs en l’espace de quatre jours. Avec une demande de rançon de 300 à 600 dollars, on peut s’attendre à ce que l’attaque a rapporté aux cybercriminels une somme d’argent importante, même si une fraction seulement des victimes a payé. En savoir plus sur l’attaque du logiciel Ransomware WannaCry.

 

• Ciblage des entreprises et des institutions

Au fil du temps, les attaques de logiciels Ransomwares se sont largement écartées des attaques aléatoires à grande échelle. L’un des problèmes de cette stratégie est que le savoir-faire nécessaire pour payer une rançon en cryptomonnaie n’est pas à la portée de tout le monde. En conséquence, les cybercriminels sont rarement payés ou doivent passer beaucoup de temps à accompagner les gens dans ce processus.

 

Aujourd’hui, la plupart des attaques de logiciels Ransomwares sont beaucoup plus ciblées. L’utilisation d’emails de phishing et de RDP comme méthodes de livraison s’est développée, afin d’améliorer la réussite des attaques. Ces attaques plus ciblées sont également assorties de demandes de rançon plus élevées puisque les cybercriminels se concentrent sur les entreprises qui ne peuvent pas se permettre de perdre leurs données et qui ont les ressources nécessaires pour payer la rançon, comme les hôpitaux, les écoles, les villes et les grandes entreprises mentionnés ci-dessus.

 

Le logiciel Ransomware Ryuk est l’une des variantes les plus célèbres, qui permet de mener ces nouvelles attaques plus ciblées. Les infections du logiciel Ransomware Ryuk sont personnalisées pour une entreprise particulière et obligent les victimes à contacter l’agresseur par email pour négocier le paiement de la rançon. Cette approche plus personnelle s’accompagne d’un prix plus élevé, Ryuk dépassant constamment le record des demandes de rançon les plus élevées à ce jour.

 

• Vols de données inclus

L’étape la plus récente dans l’évolution des logiciels Ransomwares est destinée à compenser le problème des victimes qui choisissent généralement de ne pas payer la rançon demandée. De nombreuses entreprises ont choisi d’essayer de rétablir leur activité par elles-mêmes, à un coût bien plus élevé, plutôt que de laisser les cybercriminels profiter de leurs attaques.

 

Les opérateurs de logiciels Ransomwares, comme ceux qui sont à l’origine des variantes Maze et REvil, ont réagi à cette tendance en intégrant des fonctionnalités de vol de données dans leurs logiciels Ransomwares. Avant de chiffrer les données sur un ordinateur cible, les logiciels malveillants en exfiltrent une partie pour l’utiliser comme levier contre la victime. Si la cible de l’attaque refuse de payer la rançon, ces données peuvent être divulguées publiquement ou vendues au plus offrant. Il pourrait en résulter une perte d’avantage concurrentiel ou des sanctions en vertu du Règlement général sur la protection des données (RGPD) ou de lois similaires sur la protection de la confidentialité, qui inciterait davantage les victimes à payer la rançon.

Variantes de logiciels Ransomware les plus courantes

• Cryptowall – Un logiciel Ransomware qui était initialement une imitation de CryptoLocker, puis qui l’a finalement surpassé. Après le retrait de CryptoLocker, CryptoWall est devenu l’un des logiciels Ransomwares les plus importants à ce jour. CryptoWall utilise le chiffrement AES et communique avec son serveur de commande et de contrôle via le réseau anonyme Tor. Il est largement diffusé via des kits d’exploitation de vulnérabilités, des publicités malveillantes et des campagnes de phishing.

 

• WannaCry– Un logiciel Ransomware découvert lors d’une attaque à grande échelle en mai 2017 et ciblant une vulnérabilité SMB de Windows appelée EternalBlue, afin de se propager à l’intérieur des réseaux et d’un réseau à un autre. Il a infecté plus de 100 000 ordinateurs en tirant parti d’une vulnérabilité non corrigée de Microsoft Windows.

 

• Jaff– Un logiciel Ransomware qui a commencé à être distribué par le botnet Necrus en mai 2017, via des emails de spam comprenant une pièce jointe PDF contenant un fichier DOCM. Au moment de son apparition, le logiciel malveillant s’est répandu massivement à un taux d’infection d’environ 10 000 emails envoyés par heure.

 

• Locky– Un logiciel Ransomware dont la diffusion a débuté en février 2016, qui se propage principalement via des emails de spam contenant un téléchargeur déguisé en pièce jointe au format Word ou Zip. Il télécharge et installe un logiciel malveillant chiffrant les fichiers des utilisateurs.

 

• TorrentLocker– Un logiciel Ransomware chiffrant les documents, images et autres types de fichiers de l’utilisateur. Les victimes sont priées de régler jusqu’à 4,1 bitcoins (environ 1 800 dollars) aux agresseurs pour déchiffrer leurs fichiers.

 

• Cerber – Un logiciel Ransomware hors ligne, ce qui signifie qu’il n’a pas besoin de communiquer avec son serveur de commande et de contrôle pour chiffrer des fichiers sur une machine infectée. Il se propage principalement via des campagnes de publicités malveillantes à l’aide de kits d’exploitation de vulnérabilités, mais également via des campagnes de spam. Son auteur le propose en tant que logiciel Ransomware sous forme de service, et recrute des affiliés pour le diffuser moyennant une partie de la rançon demandée.