Rançongiciel GandCrab

Des attaques de ransomware plus sophistiquées et plus dévastatrices arrivent

Les autorités biélorusses ont arrêté un homme de 31 ans soupçonné d'être à l'origine du ransomware GandCrab, qui a extorqué plus de 1 000 victimes entre 2017 et 2018. Le pirate exigeait des paiements en bitcoins , allant de 400 à 1 500 dollars. Les transactions en bitcoins étant généralement intraçables en ligne, elles étaient particulièrement vulnérables au piratage. Ce pirate attaquait ses victimes en envoyant des millions de courriels d'hameçonnage . Ces attaques de ransomware ne se sont pas limitées au Bélarus. Des systèmes ont également été infectés aux États-Unis, au Royaume-Uni, en Ukraine, en France, en Italie et en Russie. Les autorités soupçonnent ce pirate d'être un cybercriminel professionnel qui tirait ses revenus du piratage de particuliers et d'entreprises. Il a été établi qu'il utilisait non seulement le ransomware GandCrab, mais qu'il créait et vendait également des logiciels malveillants sur des forums clandestins.

Qu'est-ce que GandCrab ?

Internet a permis la création de nombreux produits « as-a-Service », tels que le logiciel en tant que service (SaaS) , l'infrastructure en tant que service (IaaS) et la plateforme en tant que service (PaaS) . Salesforce, Slack et Microsoft 365 en sont des exemples courants. La communauté des hackers a également adopté ce modèle. Des forums clandestins du Dark Web permettent d'échanger et de vendre des outils de piratage, des identifiants et des conseils en la matière. GandCrab s'inscrit pleinement dans ce modèle. Ce service de ransomware en tant que service (RaaS) élimine la difficulté de développer, de déployer et d'exploiter ses propres outils de piratage. Les opérateurs de GandCrab prennent en charge la majeure partie du travail. Ils perçoivent des frais, généralement de 30 %, à l'instar d'Apple et de Google sur leurs plateformes SaaS respectives.

Les auteurs de GandCrab ont fermé leur offre RaaS en 2019, se vantant que leurs « affiliés » avaient engrangé plus de 2 milliards de dollars, et des centaines de millions pour les opérateurs eux-mêmes. Les auteurs de GandCrab ont publié cette déclaration expliquant leur fermeture : 

« Au cours de l'année passée à travailler avec nous, nos employés ont gagné plus de 2 milliards de dollars. […] Mais […] toutes les bonnes choses ont une fin. Nous partons pour une retraite bien méritée. Nous avons prouvé qu'en commettant de mauvaises actions, on ne subit pas de représailles. »

Ransomware REvil et MAZE

Sophos estime que les auteurs de GandCrab n'ont pas abandonné leurs activités, mais ont continué à développer de nouveaux services de ransomware encore plus dévastateurs. Traditionnellement, les ransomwares chiffraient les fichiers, compromettant ainsi la disponibilité des données. Cependant, des sauvegardes robustes permettaient aux entreprises d'ignorer les demandes d'extorsion en restaurant leurs fichiers. Les experts pensent que les créateurs de GandCrab l'ont mis de côté pour concevoir une nouvelle attaque de ransomware axée sur la confidentialité des données. CyberHoot a évoqué un ransomware plus dangereux, appelé MAZE, en avril dernier. MAZE exporte les données critiques des entreprises et menace de les diffuser publiquement sur Internet. De même, Sophos affirme que les auteurs de GandCrab ont développé et diffusé le ransomware REvil dans le même but. En juin 2020, GSMLAW a été victime de cette nouvelle attaque de ransomware REvil, qui menaçait de vendre aux enchères des informations personnelles concernant des célébrités et des organisations populaires, notamment Mariah Carey, LeBron James, Nicki Minaj, MTV et Universal.

Les ransomwares REvil et MAZE représentent une augmentation significative des menaces que représentent les ransomwares pour les entreprises. Les sauvegardes ne constituent plus un moyen de se protéger contre ces attaques. Les entreprises doivent adopter une nouvelle approche pour se protéger. CyberHoot estime que les entreprises doivent d'abord adopter une approche qui réduise le risque d'infection. 

Que faire?

La meilleure façon de se prémunir contre la plupart des cybermenaces consiste à sensibiliser son personnel et ses clients. Colin Bastable, PDG de Lucy Security, a commenté la récente attaque de ransomware contre Garmin.

« Toutes les technologies de sécurité du monde ne suffiront pas à protéger contre des attaquants déterminés. 97 % des pertes proviennent d’attaques d’ingénierie sociale et plus de 90 % sont initiées par courrier électronique. »

Avec ces statistiques en tête, la première étape pour sécuriser votre entreprise devrait être évidente : former vos utilisateurs. 

Les attaques par rançongiciels gagnent en fréquence, en sophistication et en impact, obligeant de plus en plus d'entreprises à payer la rançon. Tant que les entreprises continueront à payer, les pirates informatiques continueront de développer des attaques toujours plus dévastatrices. CyberHoot aide les entreprises à sensibiliser leurs équipes et à réduire le risque d'infection par ces rançongiciels.

En plus de la formation de sensibilisation à CyberHoot, effectuez ces actions supplémentaires pour protéger votre entreprise et réduire les risques d'être victime de ce vecteur d'attaque trop courant :

• Adopter authentification à deux facteurs sur tous les services critiques accessibles sur Internet
• Suivez l' Méthode de sauvegarde 3-2-1 pour sécuriser toutes vos données critiques et sensibles
• Employés de Phish Test pour les garder sur leurs gardes en inspectant chaque e-mail
• Avoir un documenté et testé Plan de continuité des activités et de reprise après sinistre (BCDR)
• Gouverner les employés avec politiques de cybersécurité

Sources:

Ransomware GrandCrab – Sophos

Ventes aux enchères d'informations REvil – Sophos

Lectures supplémentaires :

Attaque de ransomware Garmin

Principaux comptes Twitter piratés

Ransomware MAZE : une menace multipliée par trois pour la sécurité des données

Pour en savoir plus sur les ransomwares, regardez cette courte vidéo de 3 minutes :

https://www.youtube.com/watch?v=0WrdL1TDy6Y