Journal d'une attaque par ransomware : dans les coulisses de l'incident de Colonial Pipeline

Une attaque par ransomware porte un coup dévastateur à toute organisation. Les pertes financières sont la première chose qui vient à l’esprit, mais d’autres aspects de l’incident peuvent être tout aussi graves, voire pires. Les perturbations causées par une seule attaque par ransomware se répercutent sur l’ensemble des activités et créent un effet domino pouvant avoir des conséquences de grande envergure. L'incident lié au ransomware qui a touché Colonial Pipeline en mai 2021 illustre bien comment cet effet domino se manifeste.

Les entreprises victimes d’un rançongiciel perdent en moyenne six jours ouvrés, et 37 % d’entre elles subissentune interruption d’activité d’une semaine ou plus. C’est un luxe que personne ne peut se permettre, surtout en cette période où les budgets sont très serrés dans un contexte économique incertain. La perturbation subie par Colonial Pipeline a non seulement affecté sa productivité, mais a également eu des répercussions sur la vie quotidienne de nombreux Américains, mettant ainsi en lumière le danger que représentent les cyberattaques visant des infrastructures ou des services essentiels. La plupart des attaques par rançongiciel sont des opérations complexes et obscures, dont les détails précis sont rarement révélés. Mais l’incident de Colonial Pipeline a fait l’objet d’enquêtes, de recherches et de reportages approfondis, ce qui offre un aperçu rare du déroulement d’une attaque par rançongiciel.

5 faits à retenir sur les ransomwares et leur impact sur les entreprises

• La menace liée aux ransomwares a explosé au cours du premier semestre 2021, avec environ304,7 millions de tentatives d'attaques par ransomware.
• 50 % des professionnels de l'informatiqueestiment que leur entreprise n'est pas prête à repousser une attaque par ransomware.
• 70 % des responsables informatiques estiment que leur entreprise sera touchée par des attaques par e-mail au cours de l'année à venir.
• Le coût global d'un incident lié à un rançongiciel, incluant l'enquête, la remédiation et la restauration,devrait dépasser les 265 milliards de dollars d'ici 2031.
• Près d'un tiers (32 %) des PME ayant répondu àune étude réalisée en 2020ont cité le manque de budget comme le principal obstacle à la sécurité numérique.

L'histoire de l'incident du Colonial Pipeline

Mise en place de l'opération

Le groupe de ransomwareDarkSides’est fait connaître pour avoir mené avec succès une attaque contre Colonial Pipeline, empochant une rançon estimée à un peu plus de 4 millions de dollars. Mais cette opération n’a pas été menée directement par les développeurs et les opérateurs de DarkSide. L’attaque contre Colonial Pipeline a en effet été perpétrée par un affilié de cette vaste organisation, à l’aide du logiciel malveillant propriétaire de DarkSide.  Cette filiale a recruté ses propres sous-traitants viades forums du dark webet s’est procuré les ressources nécessaires sur les marchés de données et les dépôts du dark web pour mener à bien son projet.

C’est alors que le groupe de pirates « Satellite » a déclenché son piège, prenant Colonial Pipeline pour cible lors d’une attaque dévastatrice qui a paralysé le plus grand oléoduc des États-Unis. Le point d’entrée du groupe a été un simple mot de passe d’employé piraté, qui leur a ouvert les portes du royaume. À l’aide de ce mot de passe volé, l’affilié de DarkSide s’est faufilé à l’intérieur du système de sécurité numérique de Colonial Pipeline – dont les failles étaient d’ailleurs reconnues – et a livré sa « cargaison », le ransomware propriétaire de DarkSide, afin de chiffrer les systèmes et les données de Colonial Pipeline. La suite n’a été qu’une formalité : l’affilié a programmé un compte à rebours pour le déploiement du logiciel malveillant, a formulé sa demande de rançon, puis s’est contenté d’attendre que l’argent lui soit versé.

Déclencher le piège

Un peu plus d'une semaine après l'intrusion initiale, l'infection par le rançongiciel a commencé, marquant le début de la phase finale de l'opération menée par le complice.  Un employé qui commençait sa journée de travail dans la salle de contrôle centrale de Colonial Pipeline a vu s'afficher sur son ordinateur une demande de rançon exigeant le paiement en cryptomonnaie et a appelé son supérieur. C'est alors que la course contre la montre a commencé pour Colonial Pipeline, qui a tenté de devancer l'infection afin de préserver ses systèmes et ses données. Après avoir fermé le pipeline pour tenter de limiter les dégâts et d'empêcher les pirates de s'infiltrer davantage, Colonial a dû se démener pour faire appel à des experts.

Les pirates ont paralysé Colonial Pipeline, provoquant des conséquences dévastatrices et perturbant l’approvisionnement en essence dans tout l’est des États-Unis. Le battage médiatique autour de cette attaque a poussé des consommateurs inquiets à faire la queue pendant des heures dans les stations-service, craignant une pénurie de carburant imminente et potentiellement durable qui, en réalité, ne s’est jamais véritablement concrétisée. Mais cela n’avait aucune importance. Tous les grands médias ont couvert cet événement majeur et la cybersécurité est devenue le sujet de prédilection de tous, notamment en ce qui concerne son utilisation dans le cadre de la guerre et du piratage d'État, bien qu'il ait finalement été établi qu'il ne s'agissait pas d'une opération menée par des acteurs étatiques, mais simplement par des cybercriminels cupides.

En récolter les bénéfices (et en subir les conséquences)

Outre les rançons versées pour le déchiffrement, le groupe a dérobé environ 100 gigaoctets de données susceptibles d’être hautement sensibles. Cela leur a offert une opportunité supplémentaire de tirer profit de la situation, que Colonial Pipeline choisisse ou non de payer la rançon. De plus, payer les attaquants ne garantit pas que les données de la victime seront restituées dans leur intégralité, ni qu’elles ne seront pas dupliquées ou utilisées dans le cadre d’une autre opération de cybercriminalité. Il n’y a jamais de garantie que le gang n’ait pas déjà copié et vendu vos données, et vous ne pouvez jamais être sûr qu’il dit la vérité lorsqu’il affirme ne pas l’avoir fait. En réalité,moins de 60 %des entreprises qui paient la rançon parviennent à récupérer ne serait-ce qu’une partie de leurs données, et 39 % des entreprises qui paient une rançon ne retrouvent jamais aucune de leurs données.

À tous égards, l’attaque menée par un affilié de DarkSide a été un succès retentissant. Les pirates ont empoché une somme colossale et mis la main sur une mine de données précieuses. Colonial Pipeline a versé aux attaquants au moins une rançon de 4,4 millions de dollars en très peu de temps. Le groupe principal DarkSide a lui aussi engrangé des bénéfices : selon les chercheurs de FireEye, les affiliés de DarkSide sont tenus de reverser environ 25 % des rançons inférieures à 500 000 dollars, et 10 % de toute rançon perçue supérieure à 5 millions de dollars, à la hiérarchie du groupe principal.

Les cybercriminels à l’origine de cette opération ont fait sensation sur la scène internationale et dans les milieux du piratage informatique. Ils ont accumulé des ressources qui leur permettront de mener de futures opérations de cybercriminalité. Ils ont renforcé leur réputation et celle de leur groupe à certains égards, tout en créant un problème qui a finalement conduit à la chute de DarkSide. Une enquête de grande envergure et dotée de moyens importants, portant sur les circonstances et les acteurs de l'attaque contre Colonial Pipeline, a contraint DarkSide à entrer dans la clandestinité et l'organisation s'est officiellement dissoute. Une partie de la rançon a ensuite été récupérée par le FBI lors d'une opération d'infiltration visant la cybercriminalité.

Les ransomwares sont très rentables, en particulier la variante à double chiffrement privilégiée par DarkSide. Avant que le groupe ne disparaisse des radars à la suite de l’incident du Colonial Pipeline, DarkSide avait perçu 90 millions de dollars en bitcoins au titre de rançons au cours de sa brève existence, selon les analystes de la blockchain chezElliptic. Ces derniers ont par ailleurs estimé que le montant moyen des rançons versées dans le cadre d’une opération de DarkSide s’élevait à environ 1,9 million de dollars. Sur le butin total récolté par les opérations de DarkSide, ces experts estiment que 15,5 millions de dollars sont allés au développeur de DarkSide, tandis que 74,7 millions de dollars ont été versés à ses affiliés.

Les prévisions ne sont pas bonnes

Cette attaque a placé les ransomwares au cœur d’un débat culturel plus large sur la manière de protéger les ressources importantes et de se prémunir contre la cybercriminalité dans le monde numérique. À la suite de cette attaque, le gouvernement fédéral américain a lancé un site « Ransomware One-Stop » afin de regrouper en un seul et même endroit toutes les ressources gouvernementales disponibles et d’apporter ainsi son soutien aux entreprises dans la lutte contre la cybercriminalité. Cette ressource arrive à point nommé : les attaques par ransomware ont continué de frapper de plein fouet les entreprises, atteignant au deuxième trimestre 2021 des niveaux sans précédent.

• Les ransomwares représentent désormais 69 % de l'ensemble des attaques impliquant des logiciels malveillants

• Cela représente une hausse de 30 % par rapport au même trimestre de 2020. Cette augmentation comprend

• On a constaté une hausse spectaculaire de 45 % des attaques par ransomware rien qu’en avril 2021

• Des chercheurs britanniques ont constaté que 22 % des attaques survenues au premier trimestre 2021 étaient des attaques par rançongiciel.

L'avenir des risques liés aux ransomwares

À quoi pouvons-nous nous attendre en matière d'évolution des ransomwares et de la cybercriminalité dans un avenir proche ? Voici trois de nos prévisions.

1. Recours accru aux ransomwares comme arme

En décembre 2020, le gouvernement américain et de nombreuses grandes entreprises ont pris la mesure de l’impact réel d’uneattaque massive et très ciblée menée par un État,à la suite d’une faille de sécurité chez SolarWinds, géant des logiciels de cybersécurité. Un enchevêtrement complexe de portes dérobées, de faux correctifs, d’usurpation de messagerie professionnelle, de codes malveillants, d’hameçonnage et bien d’autres techniques a été démêlé, révélant le fait alarmant que des pirates informatiques, probablement soutenus par la Russie, avaient infiltré depuis des mois les systèmes du gouvernement américain et des agences de défense, accédant ainsi à toutes sortes d’informations. Ce même groupe de pirates a également été mis en cause dans des attaques visant Microsoft, Cisco, FireEye et d’autres grands acteurs du secteur technologique. Il s’agit là de l’une des plus importantes démonstrations à ce jour de l’utilisation des ransomwares comme outil d’espionnage, voire de guerre.

2.Le risque de hameçonnage ne cesse d'augmenter

Le risque de hameçonnage explose, avec une hausse de près de 300 % en 2021 par rapport aux chiffres records de 2020. Une partie de cette augmentation peut être attribuée aux mesures de confinement liées à la pandémie, qui ont prolongé le télétravail et favorisé l'adoption de nouveaux modèles de travail hybrides. Malheureusement, on estimeque 74 % des entreprises aux États-Unisont subi au moins une attaque de hameçonnage en 2020, et 80 % des personnes interrogées dans le cadre d'une enquête menée au Royaume-Uni ont déclaré avoir également constaté une augmentation du nombre d'attaques de hameçonnage auxquelles leur entreprise a été confrontée.

3.Augmentation du nombre d'attaques stratégiques d'une précision extrême

Les chercheurs ont constaté que les ransomwares ciblés ont connu une hausse vertigineuse de767 %, éclipsant largement tous les autres types d’attaques. Cette augmentation des messages malveillants, fruit d’une ingénierie sociale minutieuse, s’est particulièrement fait sentir dans la région APAC. Les chiffres récentsrecueillis par des chercheurs britanniquesbrossent également un tableau inquiétant, avec une hausse record de 11 % en glissement annuel des attaques visant des cibles britanniques au premier trimestre 2021. Les entreprises britanniques ont subi en moyenne 172 079 cyberattaques chacune entre janvier et mars 2021, soit l’équivalent de 1 912 par jour. Les cybercriminels choisissent leurs cibles avec soin afin de tirer le maximum de profit de chaque attaque et de minimiser les risques d’enquêtes policières susceptibles de les mettre dans une situation délicate.

Découvrez le secret d'une défense efficace contre les ransomwares

Pour lutter contre les ransomwares, il faut d'abord mettre un terme au hameçonnage. Mettez en place en un clin d'œil une défense intelligente contre les menaces de ransomwares grâce à la sécurité automatisée des e-mails, optimisée par l'IA, proposée parKaseya 365 User. Solution idéale pour lutter contre le flot d'e-mails de hameçonnage dangereux qui inondent toutes les entreprises,Kaseya 365 User renforce la sécurité grâce à trois boucliers puissants pour une protection accrue.

• TrustGraph utilise plus de 50 points de données distincts pour analyser de manière exhaustive les messages entrants avant de les autoriser à parvenir dans les boîtes de réception des employés. TrustGraph tire également des enseignements de chaque analyse qu’il effectue, en ajoutant ces informations à sa base de connaissances afin d’affiner en permanence votre protection et de continuer à apprendre sans intervention humaine.

• EmployeeShield ajoute un encadré clair et bien visible aux messages potentiellement dangereux, afin d'alerter les collaborateurs sur les communications inattendues qui pourraient être indésirables et de leur permettre de signaler ces messages en un seul clic pour qu'ils soient examinés par un administrateur.

• Phish911 permet aux employés de signaler instantanément tout message suspect qu'ils reçoivent. Lorsqu'un employé signale un problème, l'e-mail en question n'est pas seulement supprimé de sa boîte de réception : il est supprimé de toutes les boîtes de réception et automatiquement mis en quarantaine pour être examiné par un administrateur.

Le choix est clair : une solution de sécurité des e-mails intelligente et automatisée est la bonne décision pour les entreprises en 2021 et au-delà. Laissez-nous vous aider à faire profiter votre entreprise des avantages considérables d’une sécurité automatisée à un prix abordable, sans pour autant renoncer à la fonctionnalité ni à l’innovation, en choisissantKaseya 365 User.Réservez une démonstration dès aujourd’hui.