Ransomware : la menace prend son envol

Par David Maciejak, expert sécurité chez Fortinet

Aux Etats-Unis, le FBI a récemment publié un rapport affirmant que les victimes de ransomware auraient réglé plus de 209 millions de dollars sur le seul 1er trimestre 2016, contre 24 millions de dollars sur l'ensemble de 2015. Les chiffres s'envolent et le ransomware est rapidement devenu un logiciel malveillant à la mode ciblant de nombreux pays et profils d'utilisateurs. Le racket qui en découle est malheureusement une réalité de tous les jours pour nombre de victimes.

Qu'est-ce qu'un ransomware ?

Le ransomware (ou rançongiciel en français) est un logiciel malveillant qui verrouille l'accès à un système, empêche l'exécution de certaines fonctionnalités, voire chiffre les données présentes. Le retour à la normale exige que la victime règle une rançon. Ce logiciel malveillant se décline en deux principales familles : le crypto-ransomware qui chiffre les données pour les rendre inutilisables, et le ransomware bloquant qui empêche un système/PC de fonctionner correctement.

Etat des lieux de la menace

Le ransomware n'est guère nouveau et existe, selon certains experts, depuis 1989, avec l'apparition du cheval de troie "AIDS". Cependant, il faut attendre 2005 pour voir une variante de ce logiciel malveillant utiliser un chiffrement asymétrique pour la première fois. Depuis, le ransomware est devenu une arme de prédilection pour les cybercriminels. Notons que depuis 2013, la généralisation du Bitcoin joue le rôle de catalyseur, en offrant aux cybercriminels le moyen de recevoir des fonds de manière parfaitement anonyme.

Parallèlement, c'est l'utilisation de Tor et de réseaux décentralisés similaires qui rend la tâche plus simple : les cybercriminels déploient des plateformes dédiées à des infections de masse, dans un modèle de type Ransomware-as-a-service (RaaS), et optimisent les gains détournés auprès de leurs victimes (même après redistribution de 20% ou plus des revenus aux affiliés qui participent aux campagnes RaaS).

Le ransomware a ainsi évolué au fil du temps, et cette évolution donne certaines perspectives sur le futur de ce malware.

L'omniprésence annoncée des ransomware

Comme mentionné, il existe deux grandes familles de ransomware, mais on note que les différences tendent à s'estomper. À titre d'exemple, un crypto-ransomware récemment identifié empêche, s'il chiffre les données, également d'accéder à certains sites Web à partir du PC infecté, jusqu'au paiement de la rançon.

Le distinguo tend également à s'atténuer alors que les ransomware se veulent compatibles à de nouvelles plateformes, au-delà des PC, à savoir les dispositifs mobiles. Les ransomware ciblent ainsi le système d'exploitation Android, et nous avons identifié des variantes (comme FLocker) qui s'en prennent aux objets connectés comme les Smart TV. FLocker exige une carte cadeau iTunes d'une valeur de $200 avant de permettre au téléspectateur de pouvoir accéder à nouveau à sa TV et ses programmes.

Selon l'analyste Gartner, il y a aura 6,4 milliards d'objets connectés d'ici la fin de 2016, et 21 milliards d'entre eux à l'horizon fin 2020. Le nombre de victimes potentielles s'annonce ainsi considérable !

Le ransomware, à l'image d'une pandémie, évolue et trouve en permanence de nouveaux vecteurs d'infection et d'attaque. De nouvelles variantes apparaissent, toujours plus sophistiquées et réinventant les techniques d'infection. Le souci est que cette évolution ne marque aucun temps d'arrêt.

Pour les familles SamSam et ZCryptor par exemple, nous avons récemment identifié une propension à se propager de manière latérale, au sein du périmètre interne du réseau, reprenant ainsi à leur compte le comportement des vers pour proliférer sur un réseau.

Il faut dire que l'évolution du ransomware est, à vrai dire, plutôt proche de la théorie de Darwin sur le sujet ! Ainsi, un ransomware qui s'étend à partir d'une seule machine peut être vu comme un arthropode primaire qui émerge de la mer pour la première fois. Cette étape majeure est en réalité intervenue il n'y a que quelques mois, ce qui nous amène à nous interroger : mais comment le ransomware peut-il évoluer si rapidement ? !

En premier lieu, les victimes sont nombreuses à régler la rançon demandée (près d'un tiers des français se disent prêt à payer cette rançon), ce qui encourage les cybercriminels à poursuivre leurs exactions et capitaliser sur un business toujours plus lucratif. Sans rentrer dans le débat de savoir s'il faut payer ou non, la récupération de certaines données critiques chiffrées plaide parfois en faveur de ce paiement. Mais attention, ce règlement n'est pas une garantie de pouvoir récupérer ses données. La valeur du Bitcoin étant particulièrement volatile, il semblerait, selon certains rapports, que des entreprises se soient procurées des bitcoins pour se préparer à une possible infection par ransomware. Il est intéressant de constater que la demande de bitcoins est à la hausse, avec un taux de change qui a presque doublé au cours des trois derniers mois, pour atteindre 768 dollars.

On imagine que les auteurs de ransomware gèrent leur business à l'image d'une entreprise classique, réinvestissant une part conséquente de leurs fonds détournés dans la recherche et développement. À l'instar d'un éditeur de logiciel, on imagine qu'ils disposent de chefs de projets, d'une roadmap produit et d'ingénieurs capables de restaurer les bugs ou d'enrichir le panel fonctionnel de leur ransomware.

Quelles sont les perspectives ?

Le ransomware est devenu tellement omniprésent qu'on peut s'interroger sur sa marge de progression. Et pourtant, de nouveaux territoires d'infection sont à envisager…

Systèmes de contrôle industriels / SCADA

Il reste encore un univers qui est, pour l'instant, à l'abri du ransomware : les systèmes de contrôle industriels au sein des environnements de production : usine chimique, centrales nucléaires, centrales électriques, etc. Ces systèmes sont pourtant des proies idéales pour le ransomware.

Aucune information, tout du moins publique, ne permet à ce jour de conclure à l'existence de cas d'infection au sein des environnements industriels. Cependant, la question est légitime car toute stratégie de sécurité est susceptible de présenter des lacunes…

Ces systèmes industriels sont peu protégés et plutôt fragiles. C'est un fait connu. Certaines variantes actuelles de ransomware pourraient donc se contenter de frapper à la bonne porte, ce qui laisse penser qu'il est probable que la menace émergera tôt ou tard au sein de ces environnements industriels. Nous constatons déjà que le ransomware cible certains profils de victimes, comme les acteurs de soins de santé, qui doivent s'acquitter d'une rançon élevée car nombre de ces acteurs ont déjà accepté, dans le passé, de payer la rançon. Quid des gouvernements ? Seraient-ils prêts à céder au chantage pour prévenir toute problématique au sein d'une centrale nucléaire ?

C'est pour répondre à ces défis que Fortinet a imaginé son architecture ISFW (Internal Segmentation Firewall) qui empêche les assaillants de se mouvoir latéralement au sein des réseaux industriels ou d'entreprise.

Cloud

Face à un ransomware qui prolifère presque à sa guise, quelles sont les perspectives ?

Compte tenu de son historique, on imagine facilement que le ransomware continuera à proliférer. Car pour survivre et se développer, le ransomware suit les données où qu'elles se trouvent. Les données migrent vers le cloud, qui devient ainsi un terrain particulièrement fertile pour les ransomware.

Apple a récemment annoncé que son service gratuit icloud passait de 20 à 150 Go de stockage, faisant du stockage de données privées et personnelles dans le cloud la nouvelle norme. Les cybercriminels pourraient tirer parti d'une API pour chiffrer des données stockées en ligne. Car, après tout, le Cloud repose sur des systèmes appartenant à une personne ou entité.

Plus que jamais, il est essentiel que des sauvegardes soient réalisées de manière régulière, quelle que soit la plateforme cloud utilisée. Pour mieux accompagner les organisations, Fortinet étudie en permanence les menaces liées au ransomware et repense les approches capables de neutraliser les nouveaux vecteurs et variantes. Nous renforçons notre capacité à détecter et neutraliser les menaces, et à concevoir des mesures de rétorsion en se focalisant sur des nouveaux modèles de prévention.

Les humains

Sans verser dans la science-fiction, on est néanmoins en droit de s'interroger : compte tenu des risques associés à l'Internet des Objets, est-il possible le fait que le ransomware passe un jour du monde numérique vers nos systèmes biologiques ?

Que se passerait-il si un ransomware vous empêchait d'utiliser votre prothèse de bras ou vos dispositifs et implants médicaux (pacemaker par exemple ? ). Ces risques ne doivent pas être écartés !

Fort heureusement, il s'agit encore à ce jour de spéculation, mais, pour autant, sommes-nous si loin de la réalité ? La science-fiction a nourri nombre de nos inventions …

L'évolution étant un processus permanent, nous pouvons nous attendre à l'émergence de nouveaux vecteurs et cibles. Et si, demain, les ransomware implantaient des modules de contrôle au sein de votre voiture sans conducteur, venaient perturber une opération chirurgicale assistée par robot ou vous empêchaient d'accéder à votre propre maison connectée ? Et que dire des dispositifs infectés capables de déployer et gérer d'autres dispositifs ? Sommes-nous vraiment si éloignés d'une situation, aujourd'hui encore fictive, avec des machines qui prendrait le contrôle sur les humains ?

Nous sommes particulièrement enthousiastes face aux promesses que nous dévoile le futur. Mais nous devons être encore plus enthousiastes à protéger ce monde à venir.