Les chercheurs en sécurité tirent la sonnette d'alarme sur une tactique qui rend le syndicat du rançongiciel Akira particulièrement difficile à détecter : l'abus de logiciels légitimes de surveillance et de gestion à distance (RMM). Plutôt que de s'appuyer uniquement sur des logiciels malveillants personnalisés, les affiliés d'Akira se tournent de plus en plus vers des outils largement approuvés comme TeamViewer et AnyDesk pour conserver un point d'appui dans les réseaux compromis tout en échappant aux systèmes de détection et de réponse aux points de terminaison (EDR).
Ce n'est pas un concept nouveau dans le monde de la cybercriminalité, mais l'utilisation continue et affinée qu'en fait Akira souligne un problème plus large : les logiciels sur lesquels les organisations comptent pour le support informatique légitime peuvent tout aussi facilement devenir une porte dérobée pour les attaquants, et les outils de sécurité traditionnels ne sont souvent pas conçus pour faire la différence.
Pourquoi les outils d'accès à distance légitimes constituent des vecteurs d'attaque idéaux
Les outils RMM existent pour une bonne raison. Les services informatiques et les fournisseurs de services gérés les utilisent chaque jour pour dépanner des machines, déployer des mises à jour et soutenir les employés à distance. C'est précisément cette légitimité qui les rend si précieux pour les opérateurs de rançongiciels.
Lorsque les affiliés d'Akira installent ou détournent des outils comme TeamViewer et AnyDesk sur le réseau d'une victime, les connexions qui en résultent ressemblent souvent à une activité administrative normale plutôt qu'à un trafic de commande et de contrôle malveillant. Les logiciels de sécurité qui signalent des exécutables inconnus ou des balises réseau inhabituelles peuvent simplement laisser passer ces connexions, car les outils eux-mêmes sont signés numériquement, largement déployés et rarement bloqués d'office par les politiques d'entreprise.
Cette approche est parfois appelée technique de « living off the land », bien que dans ce cas, les attaquants ne se contentent pas d'utiliser des outils déjà présents sur un système. Ils déploient activement des logiciels tiers de confiance pour se fondre dans les opérations commerciales normales, ce qui leur donne un canal persistant et peu visible pour revenir dans le réseau, même après qu'une intrusion initiale a été découverte et partiellement corrigée.
Persistance, pas seulement accès initial
Ce qui rend cette tendance particulièrement préoccupante, c'est l'angle de la persistance. Les groupes de rançongiciels ne passent pas toujours immédiatement de la compromission initiale au chiffrement. Les affiliés d'Akira ont montré un schéma d'établissement de multiples points d'appui, et les outils RMM leur offrent un moyen fiable de maintenir l'accès dans le temps, même si un point d'entrée est fermé.
Cela importe parce que cela change le calcul de la réponse aux incidents pour les organisations. Supprimer simplement un logiciel malveillant connu ne suffit pas si les attaquants disposent toujours d'un outil d'accès à distance d'apparence légitime installé discrètement sur un serveur ou une station de travail, prêt à être réactivé. Les équipes de sécurité doivent traiter les installations inattendues ou non autorisées de logiciels d'accès à distance comme un signal d'alarme sérieux, et non comme une simple violation de politique.
La sophistication technique du groupe pour échapper à la détection a déjà été documentée. Dans un cas couvert dans notre rapport sur la tentative d'un affilié d'Akira d'échapper à l'EDR qui a fait échouer sa propre attaque, les chercheurs de Huntress ont découvert que les propres efforts d'un attaquant pour désactiver la protection des points de terminaison se sont retournés contre lui, perturbant involontairement l'attaque même qu'il tentait de mener. Cet incident rappelle que si les méthodes d'Akira sont avancées, elles ne sont pas infaillibles, et que les défenseurs qui surveillent de près peuvent détecter les erreurs que les attaquants commettent en cours de route.
Les enjeux de confidentialité pour les particuliers et les entreprises
Bien que le rançongiciel Akira cible principalement les organisations plutôt que les consommateurs individuels, les implications en matière de confidentialité en aval sont importantes. Lorsqu'Akira chiffre et exfiltre avec succès des données d'une entreprise, ces données incluent souvent des dossiers clients, des informations sur les employés, des détails financiers et d'autres données personnelles appartenant à des personnes qui n'ont joué aucun rôle direct dans la violation.
Les groupes de rançongiciels comme Akira associent de plus en plus le chiffrement au vol de données, menaçant de divulguer les fichiers volés si une rançon n'est pas payée. Cela signifie que quiconque dont les informations personnelles se trouvent dans les systèmes d'une organisation compromise, que ce soit en tant que client, patient ou employé, peut voir ses données privées exposées, quelle que soit la solidité de ses propres habitudes de sécurité personnelles.
Ce que cela signifie pour vous
Si vous travaillez dans l'informatique ou les opérations de sécurité, ce développement est un appel direct à auditer les outils d'accès à distance autorisés sur votre réseau et à surveiller les installations non autorisées de logiciels comme TeamViewer ou AnyDesk. L'apparition inexpliquée d'outils d'accès à distance sur les points de terminaison doit déclencher le même niveau d'examen que les logiciels malveillants inconnus.
Pour les utilisateurs quotidiens et les consommateurs, la conclusion est plus indirecte mais reste importante. Étant donné que les attaques du rançongiciel Akira peuvent exposer des données personnelles détenues par les entreprises avec lesquelles vous interagissez, il vaut la peine de prêter attention aux notifications de violation provenant des entreprises avec lesquelles vous faites affaire et d'agir rapidement si vos informations sont impliquées.
Points à retenir concrets
Les organisations devraient restreindre les outils d'accès à distance autorisés sur le réseau et alerter sur tout autre outil. La surveillance des logiciels RMM installés en dehors des flux de travail informatiques approuvés est essentielle, car les attaquants comptent sur ces outils pour se fondre dans le trafic normal. L'authentification multifacteur sur les comptes d'accès à distance, les audits réguliers des logiciels installés et l'examen attentif des connexions sortantes inhabituelles contribuent tous à réduire le risque qu'Akira ou des groupes similaires puissent maintenir silencieusement un accès. Pour les particuliers, rester attentif aux notifications de violation et utiliser des mots de passe uniques sur tous les comptes reste l'un des moyens les plus simples de limiter les dégâts lorsqu'une entreprise dont vous dépendez devient une cible.
