Le Rançongiciel en tant que service (Ransomware-as-a-Service) : Le nouveau visage de la cybercriminalité industrialisée

Le modèle Rançongiciel en tant que service (RaaS) a permis d'affiner et d'industrialiser rapidement ce que des criminels moins compétents peuvent accomplir. Dans le passé, ces criminels moins expérimentés pouvaient utiliser des logiciels malveillants de base qu'ils construisaient ou achetaient pour mener des attaques de portée limitée, mais aujourd'hui, ils peuvent obtenir tout ce dont ils ont besoin, de l'accès aux réseaux aux charges utiles des rançongiciels, auprès de leurs opérateurs RaaS (moyennant finance, bien sûr). De nombreux programmes RaaS intègrent en outre une série d'offres de soutien à l'extorsion, y compris l'hébergement de sites de fuite et l'intégration dans les notes de rançon, ainsi que la négociation du décryptage, la pression du paiement et les services de transaction en crypto-monnaie.

Cela signifie que l'impact d'une attaque de rançongiciel et d'extorsion réussie reste le même, quelles que soient les compétences de l'attaquant.

L'une des façons dont les opérateurs RaaS apportent de la valeur à leurs affiliés est de leur donner accès à des réseaux compromis. Les brokers d'accès parcourent Internet à la recherche de systèmes vulnérables qu'ils peuvent compromettre et réserver pour un profit ultérieur.

Pour réussir, les attaquants ont besoin d'informations d'identification. Les informations d'identification compromises sont si importantes pour ces attaques que lorsque les cybercriminels vendent un accès au réseau, dans de nombreux cas, le prix comprend un compte administrateur garanti.

Ce que les criminels font de leur accès une fois qu'ils l'ont obtenu peut varier considérablement en fonction des groupes et de leur charge de travail ou de leurs motivations. Le temps qui s'écoule entre l'accès initial et le déploiement de type « hands-on-keyboard » peut donc varier de quelques minutes à plusieurs jours, voire plus, mais lorsque les circonstances le permettent, les dommages peuvent être infligés à une vitesse fulgurante. En fait, il a été observé que le temps écoulé entre l'accès initial et la demande de rançon complète (y compris le transfert d'un broker d'accès à un affilié RaaS) était inférieur à une heure.

Une fois que les attaquants ont accédé à un réseau, ils sont peu enclins à le quitter, même après avoir perçu leur rançon. En fait, le paiement de la rançon peut ne pas réduire le risque pour un réseau affecté et ne sert qu'à financer les cybercriminels, qui continueront à essayer de monétiser les attaques avec différents logiciels malveillants ou charges utiles de rançongiciel jusqu'à ce qu'ils soient évincés.

Le transfert qui s'opère entre les différents attaquants au fur et à mesure des transitions dans l'économie cybercriminelle signifie que de multiples groupes d'activité peuvent persister dans un environnement en utilisant des méthodes différentes des outils utilisés dans une attaque par ransomware. Par exemple, l'accès initial obtenu par un cheval de Troie bancaire conduit au déploiement de Cobalt Strike, mais l'affilié RaaS qui a acheté l'accès peut choisir d'utiliser un outil d'accès à distance tel que TeamViewer pour mener à bien sa campagne.

L'utilisation d'outils et de paramètres légitimes pour persister face à des implants de logiciels malveillants tels que Cobalt Strike est une technique populaire parmi les attaquants par rançongiciel pour éviter la détection et rester plus longtemps dans un réseau.

Une autre technique d'attaque populaire consiste à créer de nouveaux comptes d'utilisateurs, locaux ou dans Active Directory, qui peuvent ensuite être ajouté à des outils d'accès à distance tels qu'un réseau privé virtuel (VPN) ou un bureau à distance (Remote Desktop). Des attaquants par rançongiciel ont également été observés en train de modifier les paramètres des systèmes pour activer un bureau à distance, réduire la sécurité du protocole et ajouter de nouveaux utilisateurs au groupe d’utilisateurs du bureau à distance.

L'une des qualités du modèle RaaS qui rend la menace si préoccupante est qu'il s'appuie sur des attaquants humains qui peuvent prendre des décisions réfléchies et calculées et varier les schémas d'attaque en fonction de ce qu'ils trouvent dans les réseaux où ils atterrissent, s'assurant ainsi qu'ils atteignent leurs objectifs.

Microsoft a inventé le terme Rançongiciel exploité par des humains (human-operated ransomware) pour définir cette catégorie d'attaques comme une chaîne d'activités qui aboutit à une charge utile de rançongiciel, et non comme un ensemble de charges utiles de logiciels malveillants à bloquer.

Si la plupart des campagnes d'accès initial reposent sur une reconnaissance automatisée, une fois que l'attaque passe à la phase « hands-on-keyboard », les attaquants utilisent leurs connaissances et leurs compétences pour tenter de déjouer les produits de sécurité présents dans l'environnement.

C’est la perspective de profits faciles qui motive les attaquants par rançongiciels. Pour contrarier les projets des cybercriminels, il est primordial de les contraindre à redoubler d’efforts en renforçant les dispositifs de sécurité en place. Cette prise de décision humaine signifie que même si les produits de sécurité détectent des phases d'attaque spécifiques, les attaquants eux-mêmes ne sont pas complètement évincés ; ils tentent de continuer s'ils ne sont pas bloqués par un contrôle de sécurité. Dans de nombreux cas, si un outil ou une charge utile est détecté(e) et bloqué(e) par un produit antivirus, les attaquants utilisent simplement un autre outil ou modifient leur charge utile.

Les attaquants sont également conscients des délais de réponse des centres des opérations de sécurité (SOC) et des capacités et limites des outils de détection. Lorsque l'attaque atteint le stade de la suppression des sauvegardes ou des clichés instantanés, il ne reste plus que quelques minutes avant le déploiement d'un rançongiciel. La personne mal intentionnée aurait probablement déjà effectué des actions nuisibles telles que l'exfiltration de données. Ces connaissances sont essentielles pour les SOC qui répondent aux rançongiciels : enquêter sur des détections telles que Cobalt Strike avant la phase de déploiement des rançongiciels et effectuer des actions de correction rapides et des procédures de réponse aux incidents (RI) sont essentielles pour contenir un adversaire humain.