Qu’est-ce que le ransomware à double extorsion ?

La double extorsion est une tactique utilisée par les attaquants au ransomware : ils chiffrent les données et menacent aussi de les divulguer. Ce guide explique son fonctionnement, ses conséquences pour les victimes et les stratégies de prévention.

Découvrez l’importance des sauvegardes de données et de la planification de la réponse aux incidents. Comprendre la double extorsion est essentiel pour protéger les informations sensibles de votre organisation.

La double extorsion illustre la sophistication croissante des cybermenaces. Elle souligne la nécessité d’une approche globale de la cybersécurité, qui associe des défenses solides contre les ransomwares, une protection vigilante des données, et des stratégies de et des stratégies de efficaces..

La double extorsion en bref

La double extorsion est une cybermenace sophistiquée qui a transformé les attaques par ransomware ces dernières années. Les cybercriminels ne se contentent pas de chiffrer les données de la victime : ils volent aussi des informations sensibles avant le chiffrement et les prennent en otage. Si la victime refuse de payer pour déchiffrer ses données, les attaquants menacent de publier ou de vendre les informations volées. Les conséquences potentielles de l’attaque s’aggravent.

La double extorsion est devenue une tendance notable parmi les attaques par ransomware vers 2019, avec l’apparition de souches telles que Maze et REvil. Ces groupes cybercriminels ont compris la valeur considérable des données compromises. Ils ont commencé à exiger des rançons supplémentaires, généralement en cryptomonnaie, sous la menace de divulguer ces données. Cette tactique a fortement accru la pression financière sur les victimes et la probabilité qu’elles cèdent aux exigences des attaquants.

Aujourd’hui, les attaques à double extorsion sont devenues très fréquentes. Les cybercriminels ciblent des organisations de toutes tailles, des petites entreprises aux grandes entreprises, ainsi que les institutions publiques. Les données volées comprennent souvent des informations sensibles sur les clients, de la propriété intellectuelle et des documents internes confidentiels. Leur divulgation peut donc avoir de lourdes conséquences.

Pour se défendre contre la double extorsion, les organisations doivent adopter une stratégie de cybersécurité complète. Celle-ci comprend une détection et une prévention efficaces des menaces, des sauvegardes régulières, la formation des collaborateurs à la reconnaissance des tentatives de phishing et un plan de réponse aux incidents (IRP) clairement défini.

Comprendre le fonctionnement de la double extorsion

La double extorsion est une technique de cyberattaque complexe et insidieuse qui associe le vol de données aux tactiques classiques des ransomwares. Sur le plan technique, elle comporte plusieurs étapes distinctes:

Accès initial et reconnaissance

Les attaquants utilisent diverses méthodes, comme les e-mails de phishing, l’exploitation de vulnérabilités logicielles ou le vol d’identifiants pour accéder au réseau de la victime. Une fois à l’intérieur, ils effectuent une reconnaissance pour repérer les cibles de grande valeur et les emplacements des données sensibles.

Techniques d’exfiltration des données

Les attaquants emploient des techniques avancées, comme l’injection SQL, l’inclusion de fichiers distants ou le détournement d’outils légitimes, pour exfiltrer les données sensibles du réseau de la victime. Ils peuvent compresser, chiffrer ou masquer les données pour échapper à la détection.

Classification et extraction des données

À l’aide de scripts automatisés ou de méthodes manuelles, les attaquants classent et extraient les informations sensibles. Ces données peuvent comprendre des informations permettant d’identifier une personne (PII), des documents financiers, de la propriété intellectuelle ou des documents confidentiels. Les attaquants peuvent analyser et indexer les données pour repérer efficacement celles qui ont de la valeur.

Stockage temporaire et dissimulation des données

Les données exfiltrées sont stockées temporairement dans des zones cachées ou moins surveillées du réseau pour éviter toute détection. Les attaquants peuvent recourir au chiffrement ou à la stéganographie pour dissimuler les données volées et rester discrets.

Chiffrement des données avec des algorithmes puissants

Après l’exfiltration, les attaquants lancent le ransomware. Ils utilisent des algorithmes de chiffrement puissants, comme AES-256, pour chiffrer les fichiers et systèmes critiques du réseau de la victime. Ce chiffrement est généralement asymétrique : une clé publique sert à chiffrer les données et l’attaquant détient la clé privée nécessaire à leur déchiffrement.

Demande de rançon et paiement en cryptomonnaie

Les attaquants déposent une demande de rançon sur les systèmes de la victime, souvent sous forme de fichier texte ou d’image. Elle précise le montant exigé, les instructions de paiement et la date limite. Les attaquants demandent généralement un paiement en cryptomonnaie, comme Bitcoin ou Monero, pour préserver leur anonymat.

Notification de double extorsion

Dans une attaque à double extorsion, les attaquants informent aussi la victime qu’ils ont exfiltré des données sensibles. Ce message, qui accompagne la demande de rançon habituelle, souligne les conséquences d’un refus de paiement. Les attaquants peuvent fournir des preuves du vol, comme des listes ou des extraits de fichiers, pour étayer leurs affirmations.

Menaces de divulgation des données

Les attaquants menacent de publier les données volées sur Internet ou sur des forums clandestins si la rançon n’est pas payée dans le délai imparti. Cette menace accentue fortement la pression sur la victime : la divulgation des données peut entraîner des poursuites judiciaires, des sanctions réglementaires et une atteinte à sa réputation.

Vérification du paiement et communication

Pour faciliter le suivi du paiement et le déchiffrement, les attaquants fournissent à la victime une adresse de portefeuille Bitcoin unique à laquelle envoyer la rançon. Une fois le paiement reçu, ils le vérifient sur la blockchain et communiquent avec la victime par des canaux chiffrés.

Remise de la clé de déchiffrement

Une fois le paiement vérifié, les attaquants remettent la clé de déchiffrement à la victime. Cette clé est nécessaire pour déchiffrer les fichiers et les systèmes chiffrés lors de la phase de ransomware. Les attaquants peuvent fournir des outils de déchiffrement ou des instructions d'utilisation de la clé.

Effacement des traces après l'attaque

Après avoir reçu la rançon, les attaquants peuvent effacer leur présence du réseau de la victime en supprimant leurs outils, leurs portes dérobées et toute trace de l'attaque. Rien ne garantit toutefois qu'ils ne reviendront pas pour mener d'autres attaques ou tentatives d'extorsion.

Réponse et atténuation

Face à une attaque par double extorsion, les organisations doivent prendre une décision cruciale : payer la rançon ou chercher d'autres options. Elles doivent aussi signaler l'incident aux autorités et lancer leurs procédures de réponse aux incidents, notamment restaurer les systèmes et renforcer les mesures de sécurité pour prévenir de futures attaques.

Améliorez votre veille sur les menaces

Découvrez comment WatchTower, le service de chasse aux menaces de SentinelOne, peut vous apporter de meilleures informations et vous aider à déjouer les attaques.

En savoir plus

Exemples de double extorsion

Les attaques par double extorsion sont devenues une menace préoccupante pour la cybersécurité. Les entreprises renforcent leurs défenses pour réduire les risques liés à cette tactique. Voici des exemples concrets de double extorsion, leur portée et les mesures prises par les entreprises pour s'en protéger :

L'attaque du ransomware Maze

Les opérateurs du ransomware : les opérateurs de ce ransomware ont été parmi les premiers à pratiquer la double extorsion. Ils ciblaient des entreprises, chiffraient leurs données, puis menaçaient de publier des informations sensibles en ligne si elles ne payaient pas la rançon. ont été des pionniers de la technique de double extorsion. Ils ciblaient des entreprises, chiffraient leurs données, puis menaçaient de publier des informations sensibles en ligne à moins qu’une rançon ne soit payée.

• Portée – Cette attaque a attiré une grande attention sur la double extorsion et mis en évidence les conséquences possibles d'un refus de payer.
• Mesures de sécurité – Depuis, les entreprises accordent davantage d'attention à la cybersécurité. Elles adoptent des stratégies de sauvegarde complètes, surveillent les fuites de données et renforcent leurs capacités de réponse aux incidents pour contrer les menaces similaires à Maze.

Le groupe de ransomware REvil

REvil est connu pour ses tactiques agressives de double extorsion. Le groupe a notamment attaqué un grand cabinet d'avocats, volant des données sensibles sur ses clients et menaçant de les divulguer.

• Portée – Cette attaque a montré que même les secteurs généralement peu associés aux risques de cybersécurité élevés, comme les services juridiques, sont vulnérables à la double extorsion. Elle a souligné la nécessité de mesures de cybersécurité complètes dans tous les secteurs.
• Mesures de sécurité – Les cabinets d'avocats et les entreprises similaires investissent davantage dans la sensibilisation de leurs collaborateurs à la cybersécurité, adoptent l'authentification multifacteur (MFA) et renforcent la sécurité des endpoints pour se protéger des attaques similaires à celles de REvil.

La campagne de ransomware Ragnar Locker

Ragnar Locker a ciblé de grandes organisations, notamment dans le secteur de la santé. Ses opérateurs ont chiffré des fichiers et volé des données de patients, exigeant une rançon élevée.

• Portée – Le secteur de la santé subissait déjà les pressions liées à la pandémie de COVID-19. Ces attaques ont pesé davantage sur ses ressources et soulevé des inquiétudes concernant la confidentialité des données des patients et la sécurité des infrastructures de santé critiques.
• Mesures de sécurité – Les organisations de santé ont renforcé leur posture de cybersécurité en améliorant la segmentation de leurs réseaux, en mettant en place des contrôles d'accès stricts et en évaluant régulièrement leur cybersécurité pour déjouer les tentatives de double extorsion.

L'attaque DarkTequila

DarkTequila était un cheval de Troie bancaire qui a évolué pour intégrer des fonctions de ransomware et de vol de données. Les attaquants ont ciblé des institutions financières et des réseaux d'entreprise, chiffrant des fichiers et exfiltrant des données sensibles.

• Portée – Cette attaque a montré la capacité des cybercriminels à adapter leurs tactiques au fil du temps. Les institutions financières, en particulier, ont dû faire face à la menace croissante de la double extorsion.
• Mesures de sécurité – Les institutions financières mettent en place des plateformes de partage de renseignements sur les menaces, renforcent leurs programmes de formation des collaborateurs et organisent des exercices de simulation pour se préparer à d'éventuelles attaques par double extorsion.

Le groupe de ransomware Cl0p

Le groupe Cl0p a ciblé diverses organisations, dont des universités. Il a chiffré des fichiers et menacé de divulguer en ligne des données sensibles issues de la recherche universitaire.

• Portée – Les attaques contre les établissements d'enseignement montrent la diversité des cibles de la double extorsion. Dans ce cas, la perte potentielle de précieuses données de recherche était particulièrement préoccupante.
• Mesures de sécurité – Les universités et les instituts de recherche renforcent leurs défenses de cybersécurité. Ils améliorent le filtrage des e-mails, chiffrent leurs données et planifient leur réponse aux incidents pour protéger leur propriété intellectuelle des attaques similaires à celles de Cl0p.

Pour se protéger des risques de double extorsion, les entreprises prennent plusieurs mesures proactives :

• Stratégies de sauvegarde complètes – Des sauvegardes régulières des données, isolées du réseau, sont essentielles. Elles garantissent aux organisations la récupération de leurs données sans payer de rançon.
• Formation des collaborateurs – La sensibilisation à la cybersécurité apprend aux collaborateurs à reconnaître les tentatives de phishing et les autres techniques d’ingénierie sociale utilisées dans les attaques par double extorsion.
• Sécurité des endpoints – Des solutions de sécurité des endpoints performantes sont essentielles pour détecter et prévenir les infections par des malwares.
• Contrôles d’accès – L’application du principe du moindre privilège (PoLP) garantit que les utilisateurs disposent uniquement des accès nécessaires à leurs fonctions.
• Plans de réponse aux incidents – Des plans de réponse aux incidents bien définis aident les entreprises à répondre efficacement aux attaques par double extorsion et à en limiter l’impact.
• Partage de renseignements sur les menaces – La collaboration avec d’autres acteurs du secteur et le partage de renseignements sur les menaces permettent aux entreprises de suivre l’évolution des menaces et des techniques d’attaque.

Conclusion

Les attaques par double extorsion, où les cybercriminels chiffrent les données et menacent de divulguer des informations sensibles si aucune rançon n’est payée, aggravent les enjeux dans le paysage actuel des menaces. Elles exploitent la crainte des organisations face aux violations de données et aux atteintes à leur réputation, poussant nombre d’entre elles à payer une rançon même lorsqu’elles disposent de sauvegardes.

Les cas réels de double extorsion montrent à quel point la cybersécurité est essentielle aux entreprises de tous les secteurs. Les attaquants perfectionnent sans cesse leurs techniques. Les organisations doivent rester vigilantes, adapter leurs mesures de sécurité et agir en amont pour protéger leurs données, leur réputation et leurs résultats financiers.