La cha\u00eene de ran\u00e7ongiciel est une version sp\u00e9cifique de la cha\u00eene de cyberattaque qui d\u00e9taille les diff\u00e9rentes \u00e9tapes d’une infection par ran\u00e7ongiciel typique. Cette vue peut \u00eatre utile pour les d\u00e9fenseurs cybern\u00e9tiques car elle peut aider \u00e0 identifier les points potentiels o\u00f9 la menace peut \u00eatre d\u00e9tect\u00e9e et \u00e9limin\u00e9e avant que le vol de donn\u00e9es et le chiffrement ne commencent.<\/p>\n\n\n\n
Les diff\u00e9rents groupes de ran\u00e7ongiciels ont des tactiques, techniques et proc\u00e9dures (TTP) diff\u00e9rentes qu’ils utilisent, ce qui signifie que la cha\u00eene de ran\u00e7ongiciel n’est pas \u00ab\u00a0taille unique\u00a0\u00bb. Cependant, cartographier les campagnes d’attaque sur des cadres comme la cha\u00eene de cyberattaque de Lockheed Martin ou le cadre MITRE ATT&CK peut fournir des informations pr\u00e9cieuses.<\/p>\n\n\n\n
Lockheed Martin a d\u00e9fini la cha\u00eene de cyberattaque comme un mod\u00e8le \u00e0 usage g\u00e9n\u00e9ral pour les cyberattaques. La cha\u00eene de ran\u00e7ongiciel se concentre sur les sp\u00e9cificit\u00e9s des attaques par ran\u00e7ongiciel, en mettant souvent l’accent sur les m\u00e9canismes d’intrusion et les impacts des ran\u00e7ongiciels sur l’exfiltration de donn\u00e9es et le chiffrement.<\/p>\n\n\n\n
En cons\u00e9quence, ces cha\u00eenes de ran\u00e7ongiciel peuvent introduire des \u00e9tapes suppl\u00e9mentaires sp\u00e9cifiques aux logiciels malveillants dans le processus. Par exemple, la cha\u00eene de ran\u00e7ongiciel de Cisco comprend les \u00e9tapes suivantes :<\/p>\n\n\n\n
Bien que ce soit un mod\u00e8le de haut niveau, les cha\u00eenes d’attaques de ransomware varient. Par exemple, certains attaquants peuvent effectuer des actions suppl\u00e9mentaires entre l’obtention d’un acc\u00e8s initial et la recherche d’impact.<\/p>\n\n\n\n
Les d\u00e9fenseurs utilisent couramment des mod\u00e8les en plusieurs \u00e9tapes car ils facilitent la r\u00e9flexion sur une attaque et l’identification des opportunit\u00e9s potentielles pour interrompre et contenir une attaque. Id\u00e9alement, cela implique de d\u00e9tecter et d’\u00e9liminer la menace t\u00f4t dans son cycle de vie, car cela r\u00e9duit le co\u00fbt et la complexit\u00e9 de la rem\u00e9diation. De plus, les mod\u00e8les en plusieurs \u00e9tapes facilitent le d\u00e9veloppement de manuels d’intervention (IR) et de SOC r\u00e9p\u00e9tables qui s’appliquent g\u00e9n\u00e9ralement \u00e0 plusieurs op\u00e9rateurs de ransomware plut\u00f4t qu’\u00e0 une campagne sp\u00e9cifique.<\/p>\n\n\n\n
Les attaques de ransomware peuvent varier consid\u00e9rablement d’un acteur de menace \u00e0 un autre et m\u00eame entre les campagnes. De plus, diff\u00e9rents fournisseurs de cybers\u00e9curit\u00e9 ont diff\u00e9rents mod\u00e8les de la cha\u00eene de destruction des ransomwares. Cependant, que le mod\u00e8le contienne quatre \u00e9tapes ou neuf, d\u00e9composer le processus pr\u00e9sente des avantages.<\/p>\n\n\n\n
Dans cet article, nous utiliserons les \u00e9tapes suivantes pour la cha\u00eene de destruction des ransomwares :<\/p>\n\n\n\n
Les attaquants peuvent utiliser une vari\u00e9t\u00e9 de m\u00e9thodes pour obtenir un acc\u00e8s initial \u00e0 un environnement cible. Certaines des techniques les plus courantes incluent les attaques de phishing, les sites web malveillants, l’exploitation de services expos\u00e9s et les identifiants vol\u00e9s.<\/p>\n\n\n\n
Bien que les campagnes de ransomware puissent varier consid\u00e9rablement, la plupart des attaquants utilisent l’une de ces techniques. La raison en est que celles-ci sont souvent des cibles faciles, exploitant la confiance, une authentification faible ou des syst\u00e8mes non corrig\u00e9s pour obtenir un acc\u00e8s initial.<\/p>\n\n\n\n
Apr\u00e8s avoir obtenu un premier acc\u00e8s, l’objectif de l’attaquant est de faire fonctionner son logiciel malveillant sur le syst\u00e8me infect\u00e9. De plus, le logiciel malveillant \u00e9tablit g\u00e9n\u00e9ralement une connexion avec l’infrastructure de commande et de contr\u00f4le pour recevoir des instructions et exfiltrer des donn\u00e9es vol\u00e9es. Cette combinaison d’actions produit souvent les indicateurs de compromission (IoCs) suivants :<\/p>\n\n\n\n
Bien que ceux-ci puissent \u00eatre des signes d’alerte d’une infection par ransomware, ils ne constituent pas une preuve absolue. Par exemple, un nouveau processus inconnu pourrait \u00eatre un nouveau logiciel l\u00e9gitime qu’un utilisateur a install\u00e9 et ex\u00e9cut\u00e9 sur son syst\u00e8me.<\/p>\n\n\n\n
Les op\u00e9rateurs de ransomware obtiennent rarement un acc\u00e8s imm\u00e9diat \u00e0 leurs syst\u00e8mes cibles. Par exemple, une attaque de phishing compromet probablement le poste de travail d’un utilisateur, tandis que le ransomware est le plus efficace sur un syst\u00e8me de grande valeur comme une base de donn\u00e9es importante ou un serveur de fichiers.<\/p>\n\n\n\n
Pour cette raison, les attaquants tenteront souvent de se d\u00e9placer lat\u00e9ralement \u00e0 travers le r\u00e9seau, effectuant des analyses et explorations r\u00e9seau pour identifier des cibles potentielles et travaillant \u00e0 s’y d\u00e9placer. Par exemple, un attaquant pourrait essayer de voler des identifiants suppl\u00e9mentaires d’utilisateur qui leur permettraient de s’authentifier \u00e0 un nouveau syst\u00e8me.<\/p>\n\n\n\n
Au milieu de la cha\u00eene de destruction par ransomware, les objectifs des attaquants sont de passer de leur point d’entr\u00e9e initial \u00e0 des cibles de grande valeur. Les actions courantes qu’ils pourraient entreprendre pour y parvenir incluent :<\/p>\n\n\n\n
Le ransomware traditionnel ax\u00e9 sur le chiffrement des fichiers est moins efficace si la victime dispose de sauvegardes \u00e0 partir desquelles elle peut restaurer. Pour cette raison, de nombreux op\u00e9rateurs de ransomware ont adopt\u00e9 des techniques de double extorsion, volant des donn\u00e9es avant de les chiffrer et mena\u00e7ant de les divulguer si la ran\u00e7on n’est pas pay\u00e9e. Certains acteurs de la menace int\u00e8grent \u00e9galement des tactiques d’extorsion suppl\u00e9mentaires, telles que des attaques par d\u00e9ni de service distribu\u00e9 (DDoS).<\/p>\n\n\n\n
Avec l’exfiltration de donn\u00e9es, les organisations ont l’opportunit\u00e9 d’identifier et de bloquer une attaque avant qu’elle ne passe \u00e0 l’\u00e9tape de chiffrement des donn\u00e9es. Cela n\u00e9cessite une surveillance et une application des politiques con\u00e7ues pour identifier et bloquer l’exfiltration de donn\u00e9es sensibles et les comportements anormaux, tels que le t\u00e9l\u00e9chargement en masse de donn\u00e9es et l’exfiltration.<\/p>\n\n\n\n
La cartographie des infections par ransomware \u00e0 un mod\u00e8le multi-\u00e9tapes permet de perturber \u00e0 diff\u00e9rentes \u00e9tapes du processus. Certaines fa\u00e7ons dont les contr\u00f4les de s\u00e9curit\u00e9 peuvent aider \u00e0 att\u00e9nuer les attaques par ransomware incluent :<\/p>\n\n\n\n