Qu’est-ce que la chaîne de rançongiciel ?

La chaîne de rançongiciel est une version spécifique de la chaîne de cyberattaque qui détaille les différentes étapes d’une infection par rançongiciel typique. Cette vue peut être utile pour les défenseurs cybernétiques car elle peut aider à identifier les points potentiels où la menace peut être détectée et éliminée avant que le vol de données et le chiffrement ne commencent.

Les différents groupes de rançongiciels ont des tactiques, techniques et procédures (TTP) différentes qu’ils utilisent, ce qui signifie que la chaîne de rançongiciel n’est pas « taille unique ». Cependant, cartographier les campagnes d’attaque sur des cadres comme la chaîne de cyberattaque de Lockheed Martin ou le cadre MITRE ATT&CK peut fournir des informations précieuses.

Points clés

• La chaîne de rançongiciel décompose une attaque en étapes afin que les défenseurs puissent la perturber avant que le chiffrement ne se produise.
• De nombreuses campagnes de rançongiciel modernes incluent la découverte, l’escalade de privilèges et le mouvement latéral avant l’impact final.
• La double extorsion ajoute une phase distincte d’exfiltration de données qui peut se produire avant le chiffrement.
• Les contrôles réseau et d’accès peuvent réduire le risque de rançongiciel en bloquant les destinations malveillantes connues, en détectant les exploits, en limitant l’accès et en empêchant le transfert de données sensibles.
• Briser n’importe quelle étape peut réduire le rayon d’impact, les coûts de réponse et le temps d’arrêt des affaires.

Comment la chaîne de rançongiciel est-elle différente de la chaîne de cyberattaque traditionnelle ?

Lockheed Martin a défini la chaîne de cyberattaque comme un modèle à usage général pour les cyberattaques. La chaîne de rançongiciel se concentre sur les spécificités des attaques par rançongiciel, en mettant souvent l’accent sur les mécanismes d’intrusion et les impacts des rançongiciels sur l’exfiltration de données et le chiffrement.

En conséquence, ces chaînes de rançongiciel peuvent introduire des étapes supplémentaires spécifiques aux logiciels malveillants dans le processus. Par exemple, la chaîne de rançongiciel de Cisco comprend les étapes suivantes :

• Reconnaissance
• Étape 4
• Lancement
• Exploitation
• Installation
• Rappeler
• Persister

Bien que ce soit un modèle de haut niveau, les chaînes d’attaques de ransomware varient. Par exemple, certains attaquants peuvent effectuer des actions supplémentaires entre l’obtention d’un accès initial et la recherche d’impact.

Pourquoi les défenseurs utilisent-ils des modèles en plusieurs étapes ?

Les défenseurs utilisent couramment des modèles en plusieurs étapes car ils facilitent la réflexion sur une attaque et l’identification des opportunités potentielles pour interrompre et contenir une attaque. Idéalement, cela implique de détecter et d’éliminer la menace tôt dans son cycle de vie, car cela réduit le coût et la complexité de la remédiation. De plus, les modèles en plusieurs étapes facilitent le développement de manuels d’intervention (IR) et de SOC répétables qui s’appliquent généralement à plusieurs opérateurs de ransomware plutôt qu’à une campagne spécifique.

Les étapes principales de la chaîne de destruction des ransomwares

Les attaques de ransomware peuvent varier considérablement d’un acteur de menace à un autre et même entre les campagnes. De plus, différents fournisseurs de cybersécurité ont différents modèles de la chaîne de destruction des ransomwares. Cependant, que le modèle contienne quatre étapes ou neuf, décomposer le processus présente des avantages.

Dans cet article, nous utiliserons les étapes suivantes pour la chaîne de destruction des ransomwares :

1. Accès initial et infection : Le logiciel malveillant est installé et exécuté sur un système cible
2. Mouvement latéral et propagation : Le ransomware se propage à travers le réseau vers des systèmes de grande valeur
3. Blocage des communications de commandement et de contrôle Le logiciel malveillant établit une communication avec l’attaquant pour des instructions et l’exfiltration de données
4. Exfiltration de données : Des données sensibles sont exfiltrées du réseau lors d’attaques à double extorsion
5. Chiffrement Les données sont cryptées pour inciter les victimes à payer une rançon

Comment les attaquants obtiennent généralement un accès initial lors des campagnes de ransomware

Les attaquants peuvent utiliser une variété de méthodes pour obtenir un accès initial à un environnement cible. Certaines des techniques les plus courantes incluent les attaques de phishing, les sites web malveillants, l’exploitation de services exposés et les identifiants volés.

Bien que les campagnes de ransomware puissent varier considérablement, la plupart des attaquants utilisent l’une de ces techniques. La raison en est que celles-ci sont souvent des cibles faciles, exploitant la confiance, une authentification faible ou des systèmes non corrigés pour obtenir un accès initial.

À quoi ressemble un compromis initial dans la télémétrie de sécurité

Après avoir obtenu un premier accès, l’objectif de l’attaquant est de faire fonctionner son logiciel malveillant sur le système infecté. De plus, le logiciel malveillant établit généralement une connexion avec l’infrastructure de commande et de contrôle pour recevoir des instructions et exfiltrer des données volées. Cette combinaison d’actions produit souvent les indicateurs de compromission (IoCs) suivants :

• Requêtes DNS pour des domaines suspects ou connus comme malveillants
• Connexions sortantes inhabituelles
• Nouveaux processus inconnus
• Exécution inattendue de divers outils

Bien que ceux-ci puissent être des signes d’alerte d’une infection par ransomware, ils ne constituent pas une preuve absolue. Par exemple, un nouveau processus inconnu pourrait être un nouveau logiciel légitime qu’un utilisateur a installé et exécuté sur son système.

Que se passe-t-il après un accès initial, et pourquoi les opérateurs de ransomware se concentrent sur la découverte et le mouvement latéral

Les opérateurs de ransomware obtiennent rarement un accès immédiat à leurs systèmes cibles. Par exemple, une attaque de phishing compromet probablement le poste de travail d’un utilisateur, tandis que le ransomware est le plus efficace sur un système de grande valeur comme une base de données importante ou un serveur de fichiers.

Pour cette raison, les attaquants tenteront souvent de se déplacer latéralement à travers le réseau, effectuant des analyses et explorations réseau pour identifier des cibles potentielles et travaillant à s’y déplacer. Par exemple, un attaquant pourrait essayer de voler des identifiants supplémentaires d’utilisateur qui leur permettraient de s’authentifier à un nouveau système.

Objectifs courants des attaquants au milieu de la chaîne de destruction par ransomware

Au milieu de la chaîne de destruction par ransomware, les objectifs des attaquants sont de passer de leur point d’entrée initial à des cibles de grande valeur. Les actions courantes qu’ils pourraient entreprendre pour y parvenir incluent :

• Collecte d’identifiants et élévation de privilèges
• Cartographie des chemins réseau et des actifs critiques
• Désactivation des défenses et préparation de l’encryption à grande échelle

Où s’inscrit l’exfiltration de données dans la chaîne de destruction par ransomware, et comment la double extorsion la modifie

Le ransomware traditionnel axé sur le chiffrement des fichiers est moins efficace si la victime dispose de sauvegardes à partir desquelles elle peut restaurer. Pour cette raison, de nombreux opérateurs de ransomware ont adopté des techniques de double extorsion, volant des données avant de les chiffrer et menaçant de les divulguer si la rançon n’est pas payée. Certains acteurs de la menace intègrent également des tactiques d’extorsion supplémentaires, telles que des attaques par déni de service distribué (DDoS).

Indicateurs et contrôles défensifs qui comptent le plus pendant l’exfiltration

Avec l’exfiltration de données, les organisations ont l’opportunité d’identifier et de bloquer une attaque avant qu’elle ne passe à l’étape de chiffrement des données. Cela nécessite une surveillance et une application des politiques conçues pour identifier et bloquer l’exfiltration de données sensibles et les comportements anormaux, tels que le téléchargement en masse de données et l’exfiltration.

Comment les contrôles de sécurité peuvent-ils perturber la chaîne de destruction par ransomware à plusieurs étapes ?

La cartographie des infections par ransomware à un modèle multi-étapes permet de perturber à différentes étapes du processus. Certaines façons dont les contrôles de sécurité peuvent aider à atténuer les attaques par ransomware incluent :

• Filtrage DNS: Identifie et bloque les tentatives d’accès aux domaines malveillants et aux destinations de phishing.
• Système de prévention des intrusions (IPS) Détecte et bloque le trafic d’exploitation et l’activité malveillante en ligne.
• Accès réseau Zero trust (ZTNA) Limite l’accès aux ressources par des politiques d’autorisation explicites et le principe du moindre privilège. Réduit les chemins de mouvement latéral.
• Prévention de la perte de données (DLP) Réduit le risque que des données sensibles quittent l’organisation.

Comment le filtrage DNS perturbe les activités précoces de la chaîne de destruction par ransomware

Le DNS est utilisé pour convertir les noms de domaine en adresses IP et est important à plusieurs étapes de la chaîne de destruction par ransomware. Des recherches DNS peuvent être nécessaires pour le téléchargement initial de logiciels malveillants, lors de l’établissement de connexions avec des systèmes de commande et de contrôle, et pour l’exfiltration de données. Bloquer les tentatives d’accès à des domaines suspects et connus comme malveillants empêche ces actions de réussir et peut mettre fin à l’attaque tôt dans la chaîne de destruction.

Comment l’IPS aide à bloquer les exploits et ralentit la propagation

L’IPS est un contrôle de sécurité en ligne conçu pour bloquer le contenu malveillant et les tentatives d’exploitation. Il peut être utilisé pour prévenir les exploits de vulnérabilités pour un accès initial et le transfert de ransomware vers l’environnement cible.

Comment le ZTNA contient l’accès et limite le mouvement latéral

Le ZTNA met en œuvre des contrôles d’accès au moindre privilège, qui réduisent les privilèges au minimum nécessaire pour un rôle et exigent que chaque demande d’accès soit explicitement validée et approuvée. Cela peut entraver les tentatives de mouvement latéral en limitant la portée des comptes compromis et en permettant à l’organisation d’identifier et de bloquer les demandes anormales et suspectes de données ou de ressources d’entreprise.

Comment le DLP réduit le risque d’exfiltration de données

Le DLP vise à empêcher le partage de données sensibles avec des destinataires non autorisés. Dans un contexte de ransomware, cela peut aider à prévenir les attaques de double extorsion si la solution DLP peut identifier et bloquer l’exfiltration tentée de données volées.

Ce que les équipes de sécurité devraient mesurer pour valider la perturbation de la chaîne de destruction par ransomware

Lorsqu’il s’agit de perturber les attaques par ransomware plus tôt dans la chaîne de destruction, certaines mesures courantes incluent :

• Temps moyen de détection (MTTD)
• Temps moyen de remédiation (MTTR)
• Réduction du rayon d’explosion de l’attaque (points de terminaison affectés, comptes, données, etc.)

Exemples de catégories de mesure

Les organisations peuvent également mettre en œuvre des métriques spécifiques à chaque étape conçues pour identifier quand elles réussissent à détecter et à traiter une infection par ransomware, y compris :

• des menaces Blocages aux étapes d’accès initial et d’exploitation
• Confinement: Les tentatives de mouvement latéral sont arrêtées ou segmentées
• Sécurité des données: Tentatives d’exfiltration détectées ou empêchées
• Réduction de l’impact: Moins de propagation du chiffrement et récupération plus rapide

Comment la chaîne de destruction des ransomwares améliore-t-elle la réponse aux incidents et le renforcement post-incident ?

La chaîne de destruction des ransomwares aide à améliorer la réponse aux incidents et le renforcement post-incident en offrant une décomposition plus concrète et granulaire de l’attaque pour lier les scénarios et les leçons apprises. Par exemple, un retour d’expérience post-incident pourrait examiner si la menace a été détectée à différentes étapes (accès initial, mouvement latéral, exfiltration de données, etc.) et comment l’organisation peut mettre en œuvre ou ajuster des contrôles supplémentaires pour traiter les lacunes de visibilité ou de confinement identifiées.

Chaîne de destruction des ransomwares : Comment utiliser le cadre pour réduire l’impact des ransomwares au fil du temps

La chaîne de destruction des ransomwares offre un cadre pour réfléchir à ces attaques et planifier des contrôles de sécurité et des actions de réponse aux incidents. Quelques façons dont les organisations peuvent utiliser le cadre incluent :

• Construire des détections et des contrôles basés sur les étapes
• Organiser des exercices de simulation alignés sur les étapes
• Examiner les incidents par étape et ajuster les contrôles

Questions fréquentes

Quelles sont les étapes typiques de la chaîne de destruction des ransomwares ?

Les modèles de la chaîne de destruction des ransomwares peuvent varier selon les étapes incluses. Quelques étapes courantes incluent l’accès initial, le mouvement latéral, le commandement et le contrôle, l’exfiltration de données et le chiffrement des données.

L’exfiltration de données fait-elle toujours partie des ransomwares ?

Non, les ransomwares se concentraient à l’origine uniquement sur le chiffrement des données, et non sur l’exfiltration. Cependant, les attaques par double extorsion sont devenues plus courantes pour empêcher les victimes d’éviter de payer la rançon en restaurant à partir de sauvegardes.

Comment la chaîne de destruction des ransomwares est-elle liée à la Cyber Kill Chain ?

La Cyber Kill Chain est un modèle à usage général conçu pour décomposer les étapes communes d’une large gamme d’attaques potentielles. La chaîne de destruction des ransomwares utilise une décomposition similaire mais se concentre sur la menace des ransomwares.

Quels contrôles peuvent interrompre les ransomwares avant le chiffrement ?

Certains contrôles de sécurité qui peuvent interrompre les attaques de ransomwares avant qu’elles n’atteignent l’étape de chiffrement incluent le filtrage DNS, la prévention des exploits en ligne, les contrôles d’accès et les contrôles de données. Par exemple, le filtrage DNS peut bloquer l’accès aux pages web servant des malwares et des infrastructures de commandement et de contrôle.

Que devraient prioriser les équipes si elles ne peuvent pas couvrir chaque étape ?

Si les organisations ne peuvent pas couvrir chaque étape de la chaîne de destruction des ransomwares, elles devraient tenter de prioriser les étapes antérieures et celles où elles ont une plus grande visibilité et contrôle. Par exemple, une organisation peut limiter l’accès des utilisateurs conformément au principe du moindre privilège pour réduire la capacité d’un attaquant à se déplacer latéralement à travers le réseau vers des cibles de grande valeur.