L’agence municipale des transports de San Francisco n’a pas seulement été piratée. Il a été retenu contre rançon.
En novembre, des attaquants ont pris le contrôle d’une partie du réseau de l’agence. Le jour de Thanksgiving, les kiosques de billetterie du tramway sont devenus éteints. Les écrans de l’agence n’affichaient ni codes d’erreur ni avis de maintenance. Ils ont affiché un message effrayant : “Vous avez piraté, TOUTES les données sont cryptées. Contact pour la clé ([email protected]) ID : 681, Entrée. ”
La demande était forte. 100 bitcoins. Environ 73 000 $ à l’époque. Date limite? Mardi.
Cela ressemble au titre d’un roman dystopique. Pourtant, la chose la plus frappante dans la violation de la SFMTA n’est pas le chaos. C’est à quel point cela semble inévitable. Nous traitons ces incidents comme des anomalies. Ce n’est pas le cas. Ils constituent la nouvelle référence en matière de sécurité numérique.
Зміст
L’économie des ransomwares
Les ransomwares sont passés du statut de nuisance à celui de principale source de revenus pour les cybercriminels. Andrew Howard, CTO chez Kudelski Security, le dit sans détour : les attaquants ont fait passer cette technique d’une parmi de nombreuses options à l’un des outils les plus efficaces de leur boîte à outils.
Pourquoi ce changement ?
D’autres logiciels malveillants existent toujours. Des chevaux de Troie. Logiciel espion. Mais il leur manque des retombées financières directes. Les ransomwares changent la donne en supprimant les intermédiaires.
Joe Opacki, vice-président de la recherche sur les menaces chez PhishLabs, souligne la simplicité. “Au lieu de devoir voler des données et les vendre ou louer des botnets… les ransomwares proposent un paiement direct.”
Infecter la machine. Verrouillez les fichiers. Demandez de l’argent. Pas de blanchiment de données. Pas de revendeurs au marché noir. Juste une transaction directe, généralement en Bitcoin ou MoneyPak, qui sont plus difficiles à retracer que la monnaie physique.
Le volume est stupéfiant. La sécurité intérieure des États-Unis estime qu’il y a eu en moyenne 4 000 attaques de ransomware par jour en 2016. Cela représente une augmentation de 300 % par rapport à l’année précédente.
Qui paie ?
On pourrait penser que les entreprises sont la principale cible. Ils sont. Mais les utilisateurs à domicile sont touchés de manière disproportionnée.
Une étude réalisée en 2016 par Kaspersky Labs a révélé que sur les 2,3 millions d’utilisateurs ayant été confrontés à un ransomware entre avril 2015 et mars 2016, près de 87 % étaient chez eux. Les rançons ? Souvent seulement quelques centaines de dollars.
Le produit total pour les seuls trois premiers mois de 2016 était estimé à 209 millions de dollars. Nous ne savons pas exactement combien de personnes ont payé. Mais lorsque le coût de la récupération est nul si vous payez, et élevé si vous ne le faites pas, le calcul fonctionne pour l’attaquant.
À plus grande échelle, l’impact est physique. En février 2016, le Hollywood Presbyterian Medical Center de Los Angeles a tenu près de deux semaines avant de payer 40 bitcoins (environ 17 000 dollars) pour déverrouiller ses systèmes.
Ils n’ont pas perdu les dossiers des patients. Les pirates n’y ont jamais accédé. Mais le personnel a été contraint de remplir des formulaires et de mettre à jour les dossiers avec un crayon et du papier pendant 13 jours. Les soins ont ralenti. La confusion grandit. L’hôpital a payé pour revenir à la normale.
Pourquoi les défenses échouent
Nolen Scaife, doctorant à l’Université de Floride, décrit les ransomwares comme un « adversaire coriace ».
Se défendre contre cela est difficile. Chaque attaque varie légèrement. Cela ressemble à une activité normale d’administration du système jusqu’à ce qu’il soit trop tard. Le cryptage est rapide.
L’équipe de Scaife a développé CryptoDrop, un programme de détection conçu pour repérer le processus de cryptage et l’arrêter. L’objectif est simple : moins le malware chiffre de données, plus vite vous pourrez restaurer à partir d’une sauvegarde.
Mais inverser le cryptage ? C’est presque impossible avec la cryptographie moderne.
“La fiabilité d’une bonne cryptographie effectuée correctement et la montée en puissance des cryptomonnaies ont créé une tempête parfaite pour les ransomwares”, écrit Scaife. Si le ransomware est bien conçu et que vous n’avez aucune sauvegarde, payer est souvent le seul moyen de récupérer vos fichiers.
Ce n’est pas un nouveau concept. Le cheval de Troie SIDA de 1989 utilisait des disquettes infectées envoyées par courrier postal. Il a chiffré le répertoire racine d’un PC. Elle fut rapidement vaincue. Mais des décennies de perfectionnement ont rendu les mécanismes de transmission invisibles et le cryptage incassable.
La victime parfaite
Les hôpitaux sont des cibles idéales. Jérôme Segura, un expert en sécurité, a déclaré à CBC News que leurs systèmes sont souvent obsolètes, qu’ils détiennent des données confidentielles et qu’ils ne peuvent pas se permettre de temps d’arrêt. Si les dossiers des patients se bloquent, ils ne peuvent pas simplement l’ignorer.
Les forces de l’ordre ne sont pas plus sûres. En 2015, cinq services de police du Maine ont été victimes d’un ransomware. Au moins l’un d’eux exécutait DOS, un système d’exploitation obsolète.
Les services de police sont des cibles populaires. Et ils paient.
Un chef de la police du New Hampshire a eu un moment de génie. Il a payé la rançon, obtenu la clé et annulé le paiement. Lorsque son département a été à nouveau touché deux jours plus tard, il n’a pas tenté l’affaire. Il vient de débourser les 500 $.
L’ironie n’échappe à personne. Les institutions chargées de faire respecter les lois confient leur sécurité à des criminels.
Nous nous retrouvons avec un système dans lequel le cryptage est utilisé comme une arme contre ceux qui en ont le plus besoin. Le piratage de la SFMTA n’était pas une exception. C’était un avant-goût. Et nous attendons toujours que le reste du pays rattrape son retard.
L’élément humain est le maillon le plus faible
Début 2016, le bilan financier des ransomwares s’alourdissait déjà. Un district scolaire de Caroline du Sud a émis un chèque de 8 500 $ en février. L’Université de Calgary a abandonné 16 000 $ en juin, invoquant la nécessité de protéger les recherches de classe mondiale stockées sur ses réseaux. En novembre, quelques semaines seulement avant le piratage de la San Francisco Municipal Transportation Agency (SFMTA), un comté de l’Indiana a payé 21 000 $ pour débloquer les systèmes de sa police et de ses pompiers.
L’incident de la SFMTA était différent. Les rapports suggèrent que le ransomware a été lancé de l’intérieur. Selon le chercheur Opacki, l’attaquant a exploité une vulnérabilité connue du logiciel WebLogic d’Oracle. Ils étaient probablement en train de rechercher sur Internet cette faille spécifique et sont tombés par hasard sur le système de SFMTA.
Mais la plupart des attaques ne reposent pas sur des bugs logiciels. La vulnérabilité réside généralement chez les personnes.
Opacki note que nous surestimons systématiquement notre capacité à détecter une escroquerie par phishing. Une étude de 2016 a montré que 30 % des personnes ouvrent des e-mails de phishing, et 13 % cliquent sur le lien ou la pièce jointe malveillante. Beaucoup pensent encore que les e-mails de phishing sont des spams mal conçus et contenant un anglais approximatif. Ils craquent pour les feuilles de calcul « paie des employés » envoyées par le soi-disant personnel des ressources humaines. Le phishing a évolué au-delà des princes nigérians. Les e-mails sont désormais personnalisés, utilisant de vrais détails extraits des réseaux sociaux.
Andrew Howard du Groupe Kudelski affirme que même dans les organisations très soucieuses de la sécurité, 3 à 5 % des employés tombent dans le piège d’escroqueries mal construites. Dans les environnements moins surveillés, le taux de défaillance est beaucoup plus élevé.
«C’est plutôt décourageant», admet-il.
Piratage pour les idiots
La montée des ransomwares n’est pas seulement due à la crédulité ou aux logiciels malveillants sophistiqués. C’est une question de facilité. Lancer une escroquerie par ransomware est aussi complexe que d’agresser quelqu’un dans la rue, mais avec beaucoup moins de risques.
Nolen Scaife affirme que les pirates n’ont pas besoin de beaucoup de compétences. Le logiciel n’est pas sophistiqué. C’est rapide à créer et à déployer. Plus important encore, les pirates n’ont pas besoin de le créer eux-mêmes. Ils l’achètent sur le dark web.
Les marchés de logiciels malveillants vendent d’innombrables variantes. Celles-ci se présentent souvent sous forme d’applications tout-en-un. Les vendeurs fournissent un service client et une assistance technique pour aider les opérateurs inexpérimentés à gérer les escroqueries en douceur. Dan Turkel de Business Insider met en avant ce système de support. Certains produits offrent même des garanties de remboursement. Beaucoup incluent des services d’appel ou de courrier électronique pour guider les victimes dans les paiements. Au moins une famille de ransomwares propose un service client par chat en direct.
Les développeurs font même appel à des distributeurs pour vendre leurs produits. Le marché est robuste.
Cela n’augure rien de bon pour quiconque dirige l’arnaque. Les experts en cybersécurité s’accordent sur une solution : sauvegarder vos données. Sans sauvegardes, payer la rançon pourrait être le seul moyen de récupérer vos fichiers.
Même dans ce cas, vous risquez de ne pas récupérer vos données. Une étude de Trend Micro a révélé que 20 % des entreprises britanniques ayant payé une rançon en 2016 n’ont jamais reçu de clé de déchiffrement.
SFMTA n’a pas payé. Un porte-parole a déclaré à Fortune que l’agence n’y avait jamais pensé. Les systèmes ont été restaurés à partir de sauvegardes. La plupart étaient de retour en ligne dans les deux jours. Les San Franciscains ont emprunté le tramway gratuitement pendant cette période.
Deux jours plus tard, des pirates ont piraté le compte de messagerie du pirate informatique du tramway. Cela a révélé des paiements de ransomware estimés à 100 000 $ depuis août.
C’est pratique
Certains pirates ransomware acceptent les cartes-cadeaux Amazon.
