Malgré un récent déclin, les ransomwares constituent toujours une menace sérieuse. Voici tout ce que vous devez savoir sur ces logiciels malveillants qui cryptent les fichiers et sur leur fonctionnement.

Définition des ransomwares

Un ransomware est une forme de logiciel malveillant qui crypte les fichiers d'une victime. L'attaquant exige ensuite une rançon de la victime pour rétablir l'accès aux données moyennant paiement.

Les utilisateurs reçoivent des instructions sur la manière de payer une somme pour obtenir la clé de décryptage. Les frais peuvent aller de quelques centaines de dollars à des milliers, payables aux cybercriminels en bitcoins.

Il existe un certain nombre de vecteurs que les ransomwares peuvent emprunter pour accéder à un ordinateur. L'un des systèmes de diffusion les plus courants est le spam de phishing, c'est-à-dire des pièces jointes qui parviennent à la victime dans un courrier électronique et qui se font passer pour un fichier auquel elle devrait faire confiance. Une fois téléchargées et ouvertes, elles peuvent prendre le contrôle de l'ordinateur de la victime, en particulier si elles intègrent des outils d'ingénierie sociale qui incitent les utilisateurs à autoriser un accès administratif. D'autres formes plus agressives de ransomware, comme NotPetya, exploitent les failles de sécurité pour infecter les ordinateurs sans avoir besoin de tromper les utilisateurs.

Une fois qu'il a pris le contrôle de l'ordinateur de la victime, le logiciel malveillant peut faire plusieurs choses, mais l'action la plus courante consiste à crypter tout ou partie des fichiers de l'utilisateur. Si vous souhaitez obtenir des détails techniques, l'Infosec Institute propose une analyse approfondie de la manière dont plusieurs types de ransomware cryptent les fichiers. Mais la chose la plus importante à savoir est qu'à la fin du processus, les fichiers ne peuvent être décryptés sans une clé mathématique connue uniquement de l'attaquant. L'utilisateur reçoit un message expliquant que ses fichiers sont désormais inaccessibles et ne seront décryptés que si la victime envoie un paiement en bitcoins intraçable à l'attaquant.

Dans certaines formes de logiciels malveillants, l'attaquant peut prétendre être un organisme d'application de la loi qui ferme l'ordinateur de la victime en raison de la présence de pornographie ou de logiciels piratés sur celui-ci, et exige le paiement d'une "amende", peut-être pour que les victimes soient moins enclines à signaler l'attaque aux autorités. Mais la plupart des attaques ne s'embarrassent pas de cette prétention. Il existe également une variante, appelée "leakware" ou "doxware", dans laquelle l'attaquant menace de rendre publiques les données sensibles contenues sur le disque dur de la victime à moins qu'une rançon ne soit payée. Mais comme la recherche et l'extraction de ces informations sont très délicates pour les attaquants, les ransomwares de chiffrement sont de loin les plus courants.

Qui est la cible d'un ransomware ?

Les attaquants choisissent de différentes manières les organisations qu'ils ciblent avec un ransomware. Parfois, c'est une question d'opportunité : par exemple, les attaquants peuvent cibler les universités parce qu'elles ont tendance à avoir des équipes de sécurité plus petites et une base d'utilisateurs disparates qui partagent beaucoup de fichiers, ce qui facilite la pénétration de leurs défenses.

D'autre part, certaines organisations sont des cibles tentantes car elles semblent plus susceptibles de payer rapidement une rançon. Par exemple, les agences gouvernementales ou les établissements médicaux ont souvent besoin d'un accès immédiat à leurs fichiers. Les cabinets d'avocats et d'autres organisations détenant des données sensibles peuvent être prêts à payer pour garder le silence sur une compromission - et ces organisations peuvent être particulièrement sensibles aux attaques par logiciels de fuite.

Mais ne vous sentez pas en sécurité si vous n'appartenez pas à ces catégories : comme nous l'avons indiqué, certains ransomwares se propagent automatiquement et sans discernement sur Internet.

Comment prévenir les ransomwares

Il existe un certain nombre de mesures défensives que vous pouvez prendre pour éviter l'infection par un ransomware. Il s'agit bien entendu de bonnes pratiques de sécurité en général, et leur application améliore vos défenses contre toutes sortes d'attaques :

Maintenez votre système d'exploitation corrigé et mis à jour pour vous assurer que vous avez moins de vulnérabilités à exploiter.
N'installez pas de logiciel et ne lui donnez pas de privilèges administratifs si vous ne savez pas exactement de quoi il s'agit et ce qu'il fait.
Installez un logiciel antivirus, qui détecte les programmes malveillants tels que les ransomwares dès leur arrivée, et un logiciel de liste blanche, qui empêche les applications non autorisées de s'exécuter.
Et, bien sûr, sauvegardez vos fichiers, fréquemment et automatiquement ! Cela n'empêchera pas une attaque de logiciels malveillants, mais cela peut rendre les dommages causés par une telle attaque beaucoup moins importants.

Blog

 

Suppression d'un ransomware

Si votre ordinateur a été infecté par un ransomware, vous devez reprendre le contrôle de votre machine. Les étapes importantes sont les suivantes :

Redémarrer Windows 10 en mode sans échec
Installer un logiciel anti-malware
Analyser le système pour trouver le programme ransomware.
Restaurer l'ordinateur dans un état antérieur.

Mais voici ce qu'il faut garder à l'esprit : si le fait de suivre ces étapes peut supprimer le logiciel malveillant de votre ordinateur et vous en redonner le contrôle, cela ne décryptera pas vos fichiers. Leur transformation en fichiers illisibles a déjà eu lieu, et si le logiciel malveillant est un tant soit peu sophistiqué, il sera mathématiquement impossible pour quiconque de les décrypter sans avoir accès à la clé que détient l'attaquant. En fait, en supprimant le logiciel malveillant, vous avez exclu la possibilité de restaurer vos fichiers en payant aux attaquants la rançon qu'ils ont demandée.

Faits et chiffres sur les ransomwares

Les rançongiciels représentent un marché important. Il y a beaucoup d'argent dans les ransomwares, et le marché s'est rapidement développé depuis le début de la décennie. En 2017, les ransomwares ont entraîné des pertes de 5 milliards de dollars, tant en termes de rançons versées que de dépenses et de temps perdu pour se remettre des attaques. C'est 15 fois plus qu'en 2015. Au premier trimestre 2018, un seul type de logiciel de ransomware, SamSam, a collecté un million de dollars de rançon.

Certains marchés sont particulièrement enclins aux ransomwares - et au paiement de la rançon. De nombreuses attaques de ransomware très médiatisées ont eu lieu dans des hôpitaux ou d'autres organisations médicales, qui constituent des cibles tentantes : les attaquants savent que, avec des vies littéralement dans la balance, ces entreprises sont plus susceptibles de simplement payer une rançon relativement faible pour faire disparaître un problème. On estime que 45 % des attaques par ransomware visent les organismes de santé et, inversement, que 85 % des infections par des logiciels malveillants dans ces organismes sont des ransomwares. Un autre secteur tentant ? Le secteur des services financiers, qui est, comme l'a fait remarquer Willie Sutton, celui où se trouve l'argent. On estime que 90 % des institutions financières ont été visées par une attaque de ransomware en 2017.

Votre logiciel anti-malware ne vous protégera pas nécessairement. Les ransomwares sont constamment écrits et modifiés par leurs développeurs, de sorte que leurs signatures ne sont souvent pas détectées par les programmes antivirus classiques. En fait, jusqu'à 75 % des entreprises victimes de ransomwares utilisaient une protection des points d'accès à jour sur les machines infectées.

Les ransomwares ne sont plus aussi répandus qu'avant. Si vous voulez une bonne nouvelle, c'est celle-ci : le nombre d'attaques par ransomware, après avoir explosé au milieu des années 10, a amorcé un déclin, même si les chiffres initiaux étaient suffisamment élevés pour que cela soit encore le cas. Mais au premier trimestre 2017, les attaques par ransomware représentaient 60 % des charges utiles de logiciels malveillants ; aujourd'hui, elles ne représentent plus que 5 %.

Les ransomwares sont en déclin ?

Qu'est-ce qui se cache derrière cette forte baisse ? À bien des égards, il s'agit d'une décision économique fondée sur la monnaie de prédilection des cybercriminels : le bitcoin. L'extraction d'une rançon auprès d'une victime a toujours été aléatoire ; celle-ci peut décider de ne pas payer ou, même si elle le souhaite, ne pas être suffisamment familiarisée avec le bitcoin pour savoir comment le faire.

Comme le souligne Kaspersky, le déclin des ransomwares s'est accompagné d'une augmentation des logiciels malveillants dits de cryptomining, qui infectent l'ordinateur de la victime et utilisent sa puissance de calcul pour créer (ou miner, dans le jargon des crypto-monnaies) des bitcoins à l'insu de leur propriétaire. Il s'agit d'un moyen ingénieux d'utiliser les ressources de quelqu'un d'autre pour obtenir des bitcoins, qui contourne la plupart des difficultés liées à l'obtention d'une rançon, et qui n'a fait que gagner en attractivité en tant que cyberattaque avec la flambée du prix du bitcoin fin 2017.

Cela ne signifie pas que la menace est terminée, cependant. Il existe deux types différents d'attaquants de ransomware : les attaques "de commodité" qui tentent d'infecter les ordinateurs sans discernement par leur simple volume et comprennent des plateformes dites "ransomware as a service" que les criminels peuvent louer ; et les groupes ciblés qui se concentrent sur des segments de marché et des organisations particulièrement vulnérables. Vous devez être sur vos gardes si vous faites partie de cette dernière catégorie, même si le grand boom des ransomwares est passé.

Avec la chute du prix du bitcoin au cours de l'année 2018, l'analyse coûts-avantages pour les attaquants pourrait revenir en arrière. En fin de compte, l'utilisation de ransomwares ou de logiciels malveillants de cryptomonnaie est une décision commerciale pour les attaquants, explique Steve Grobman, directeur de la technologie chez McAfee. "Au fur et à mesure que les prix des crypto-monnaies baissent, il est naturel de voir un retour [aux ransomwares]."

 

Faut-il payer la rançon ?

Si votre système a été infecté par un logiciel malveillant et que vous avez perdu des données essentielles que vous ne pouvez pas restaurer à partir d'une sauvegarde, devez-vous payer la rançon ?

En théorie, la plupart des organismes d'application de la loi vous recommandent de ne pas payer les attaquants de ransomware, car cela ne fait qu'encourager les pirates à créer davantage de ransomware. Cela dit, de nombreuses organisations qui sont victimes de logiciels malveillants cessent rapidement de penser en termes de "bien commun" et commencent à faire une analyse coûts-avantages, en mettant en balance le prix de la rançon et la valeur des données cryptées. Selon une étude de Trend Micro, si 66 % des entreprises déclarent qu'elles ne paieront jamais de rançon par principe, dans la pratique, 65 % d'entre elles paient effectivement la rançon lorsqu'elles sont touchées.

Les attaquants de ransomware maintiennent des prix relativement bas - généralement entre 700 et 1 300 dollars, un montant que les entreprises peuvent généralement se permettre de payer dans un délai très court. Certains logiciels malveillants particulièrement sophistiqués détectent le pays où se trouve l'ordinateur infecté et adaptent la rançon à l'économie de ce pays, en exigeant davantage des entreprises des pays riches et moins de celles des régions pauvres.

Des remises sont souvent proposées aux personnes qui agissent rapidement, afin d'encourager les victimes à payer rapidement avant de trop réfléchir. En général, le prix est fixé de manière à ce qu'il soit suffisamment élevé pour que le criminel en ait pour son argent, mais suffisamment bas pour qu'il soit souvent moins cher que ce que la victime devrait payer pour restaurer son ordinateur ou reconstituer les données perdues. Dans cette optique, certaines entreprises commencent à intégrer la nécessité potentielle de payer une rançon dans leurs plans de sécurité : par exemple, certaines grandes entreprises britanniques, qui n'ont par ailleurs aucun lien avec les crypto-monnaies, gardent quelques bitcoins en réserve spécifiquement pour le paiement de rançons.

Il y a quelques points délicats à retenir ici, en gardant à l'esprit que les personnes auxquelles vous avez affaire sont, bien sûr, des criminels. Tout d'abord, ce qui ressemble à un rançongiciel peut ne pas avoir crypté vos données ; assurez-vous que vous n'avez pas affaire à un "scareware" avant d'envoyer de l'argent à qui que ce soit. Ensuite, le fait de payer les attaquants ne garantit pas que vous récupérerez vos fichiers. Parfois, les criminels prennent l'argent et s'enfuient, sans même avoir intégré de fonction de décryptage dans le logiciel malveillant. Mais ces logiciels malveillants se font rapidement une réputation et ne génèrent pas de revenus, de sorte que dans la plupart des cas - Gary Sockrider, technologue principal en sécurité chez Arbor Networks, estime qu'il y a environ 65 à 70 % des cas - les escrocs s'en sortent et vos données sont restaurées.