CISA confirme un changement majeur dans les tactiques de BianLian
L’Agence de cybersécurité et de sécurité des infrastructures (CISA) a confirmé que BianLian, un groupe de ransomware autrefois connu pour verrouiller les réseaux hospitaliers, a cessé totalement de chiffrer les fichiers depuis janvier 2024. Au lieu de brouiller les données et d’exiger une rançon pour une clé de déchiffrement, le groupe se concentre désormais uniquement sur le vol de données sensibles et menace de les divulguer si les victimes ne paient pas.
Cette confirmation est importante, car elle signale un changement plus large dans la manière dont les opérateurs de ransomware mènent leurs activités. Pendant des années, le scénario classique consistait à chiffrer les fichiers de la victime, à déposer une note de rançon et à forcer les organisations à choisir entre payer pour une clé de déchiffrement ou reconstruire à partir des sauvegardes. Le virage de BianLian par rapport à ce modèle montre que le vol de données à lui seul, sans l’étape supplémentaire du chiffrement, peut être tout aussi rentable et considérablement moins compliqué à exécuter.
Du chiffrement à l’extorsion : pourquoi ce changement est important
Chiffrer tout un réseau prend du temps, des ressources informatiques et un niveau d’accès qui augmente les chances d’être détecté avant la fin de l’attaque. Se contenter de copier des fichiers hors d’un réseau et de repartir discrètement est plus rapide, plus difficile à repérer en temps réel et offre toujours aux attaquants un levier puissant. Si un groupe peut exfiltrer des dossiers de patients, des documents financiers ou des communications internes, la menace de publier ces données publiquement suffit souvent à pousser une victime à payer.
Cette approche contourne également certaines des défenses que les organisations ont mises en place contre les attaques basées sur le chiffrement. De nombreuses entreprises ont lourdement investi dans des systèmes de sauvegarde et de récupération précisément pour atténuer l’impact des ransomwares qui verrouillent les fichiers. Ces sauvegardes ne font rien pour arrêter un groupe qui n’a jamais touché à l’intégrité des fichiers : ils ont simplement copié les données et sont partis. La confirmation de ce changement par la CISA rejoint une tendance que l’agence suit de près, notamment des cas où des groupes de ransomware se sont mis à exploiter à grande échelle des failles de haute gravité dès qu’elles sont rendues publiques, comme on l’a vu lorsque la CISA a confirmé que des gangs de ransomware exploitaient la faille BlueHammer à grande échelle plutôt que de la réserver à des attaques étroites et ciblées.
Les organisations de santé restent dans la ligne de mire
L’historique de BianLian en matière de ciblage des réseaux hospitaliers mérite toute notre attention, même avec le changement de tactique du groupe. Les organisations de santé détiennent certaines des données personnelles les plus sensibles qui existent, notamment les antécédents médicaux, les informations d’assurance et les dossiers de traitement. Cette sensibilité explique précisément pourquoi l’extorsion par vol de données fonctionne si bien dans ce secteur. Un hôpital confronté à la perspective de voir les dossiers de ses patients publiés ou vendus a tout intérêt à payer rapidement, que ses systèmes aient été chiffrés ou non.
Obtenir un accès initial à ces réseaux dépend souvent encore de l’exploitation de vulnérabilités connues, une tendance que la CISA a documentée à maintes reprises dans son catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities). Le récent signalement par l’agence d’une faille d’élévation de privilèges Linux déjà exploitée dans la nature illustre comment les attaquants continuent de s’appuyer sur des systèmes non corrigés comme point d’entrée, peu importe ce qu’ils font une fois à l’intérieur.
Ce que cela signifie pour vous
Si votre organisation manipule des données sensibles, qu’il s’agisse d’un hôpital, d’une petite entreprise ou de toute entité stockant des informations clients, ce changement modifie ce que doit être la « protection contre les ransomwares ». Les stratégies de sauvegarde restent importantes, mais elles ne suffisent plus à elles seules. Les attaques par vol de données comme la nouvelle approche de BianLian exigent des organisations qu’elles se concentrent tout autant sur la prévention des accès non autorisés et la surveillance des transferts de données sortants inhabituels, puisque les dégâts se produisent au moment où les fichiers quittent le réseau, et non lorsqu’ils sont chiffrés.
Pour les particuliers, la leçon est plus personnelle. Si une organisation détenant vos dossiers médicaux, vos informations financières ou vos données personnelles est victime d’une attaque par vol de données, vous ne verrez peut-être jamais de note de rançon ni n’entendrez parler de systèmes chiffrés. Le premier signe de problème pourrait être simplement une lettre de notification de violation, ou pire, la découverte de vos informations en vente ou divulguées en ligne.
Mesures concrètes à adopter
Les organisations devraient donner la priorité aux outils de surveillance réseau capables de signaler les transferts de données volumineux ou inhabituels, et pas seulement les alertes de chiffrement spécifiques aux ransomwares. Corriger rapidement les vulnérabilités connues reste essentiel, car l’accès initial dépend encore généralement de l’exploitation de systèmes non corrigés. Les particuliers doivent rester attentifs aux notifications de violation provenant des prestataires de soins de santé et des institutions financières, et envisager des services de surveillance du crédit ou de protection contre le vol d’identité s’ils en reçoivent une. À mesure que les groupes de ransomware comme BianLian continuent d’adapter leurs méthodes, rester informé de ces évolutions, plutôt que de supposer que les défenses d’hier couvrent encore les menaces d’aujourd’hui, constitue la meilleure protection disponible.
