Un outil cloud familier transformé en canal d'exfiltration

Lorsque les intervenants en réponse à incident de Sygnia ont enquêté sur une attaque de ransomware à double extorsion, ils ont découvert quelque chose qui devrait inquiéter quiconque s'appuie sur le stockage cloud pour ses opérations professionnelles : les attaquants derrière l'intrusion, identifiés comme étant le groupe de ransomware Vice Society, avaient utilisé Microsoft OneDrive comme principal canal pour voler des données d'entreprise. Plutôt que de déployer des logiciels malveillants d'exfiltration sur mesure qui pourraient déclencher des alertes, les acteurs de la menace se sont appuyés sur un outil que presque toutes les organisations font déjà confiance et mettent sur liste blanche.

La double extorsion est devenue le scénario par défaut des grandes opérations de ransomware. Les attaquants ne se contentent pas de chiffrer des fichiers et d'exiger une rançon pour la clé de déchiffrement. Ils volent également des données sensibles au préalable, puis menacent de les divulguer publiquement si la victime ne paie pas une seconde fois. Cette tactique est apparue à plusieurs reprises lors d'incidents récents, y compris la campagne de double extorsion LockBit 5.0 toujours en cours qui continue de toucher des organisations dans le monde entier. Ce qui rend le cas Vice Society remarquable, ce n'est pas le modèle d'extorsion en lui-même, mais la méthode utilisée pour déplacer discrètement les données volées vers l'extérieur.

Pourquoi se cacher dans le trafic OneDrive fonctionne si bien

La plupart des outils de sécurité d'entreprise sont conçus pour signaler les connexions sortantes inhabituelles, les adresses IP inconnues ou les applications non reconnues qui se connectent à Internet. OneDrive ne déclenche pas ces alertes car c'est un service Microsoft légitime et largement déployé que les équipes de sécurité autorisent généralement par défaut. En acheminant les fichiers volés via l'activité de synchronisation OneDrive, les opérateurs de Vice Society ont pu fondre leur trafic d'exfiltration dans l'utilisation cloud normale et quotidienne.

C'est la leçon principale de l'investigation forensique de Sygnia : les attaquants réussissent de plus en plus non pas en innovant techniquement, mais en abusant de la confiance que les organisations placent déjà dans les plateformes grand public. C'est un schéma que l'on retrouve ailleurs dans le paysage des menaces. Une dynamique similaire s'est produite lorsque du code malveillant caché dans une extension VS Code compromise a conduit au vol de milliers de dépôts, là encore parce qu'un outil de développement de confiance était le vecteur plutôt qu'un élément manifestement suspect. Lorsque le mécanisme de livraison semble ordinaire, la détection devient beaucoup plus difficile et la fenêtre d'action des attaquants sans être détectés s'allonge.

Luna Moth : Une menace différente, mais le même ciblage des données d'entreprise

L'équipe de Sygnia a également signalé un autre acteur de menace qu'il convient de comprendre en soi : Luna Moth. Contrairement à l'approche ransomware-et-fuite de Vice Society, les tactiques de Luna Moth ressemblent davantage à des arnaques par fausses souscriptions, le genre d'ingénierie sociale qui trompe les victimes en leur faisant croire qu'elles ont souscrit à un prélèvement récurrent qu'elles doivent annuler. Mais l'objectif final revient à la même cible qui rend les groupes de ransomware si dangereux : les données d'entreprise. Luna Moth utilise ce point d'entrée trompeur pour accéder à des informations commerciales sensibles, même sans nécessairement déployer de logiciel de chiffrement.

Cette distinction importe pour les défenseurs. Tous les incidents graves de vol de données ne ressemblent pas à une attaque de ransomware classique avec une note de rançon et des fichiers verrouillés. Certains groupes omettent entièrement le chiffrement et passent directement à l'extorsion basée uniquement sur les données volées, ce qui signifie que les équipes de sécurité ne peuvent pas se fier uniquement à la détection du comportement de chiffrement pour repérer une brèche active.

Ce que cela signifie pour vous

Pour les équipes informatiques et de sécurité, ce cas rappelle que mettre un service comme OneDrive sur liste blanche ne revient pas à le sécuriser. La surveillance doit s'étendre aux volumes inhabituels de données transitant par des applications cloud approuvées, pas seulement aux destinations inconnues. Les outils de prévention contre la perte de données, la détection d'anomalies adaptée au comportement de synchronisation cloud et les contrôles d'accès stricts concernant qui peut déplacer de grandes quantités de données sont tous plus pertinents que jamais, surtout alors que les attaquants affinent leurs tactiques, de la même manière que l'IA remodèle déjà les opérations de ransomware, forçant les fournisseurs de services gérés à repenser la cyber-récupération dans son ensemble.

Pour les particuliers et les petites organisations, la conclusion est plus large : chiffrer les fichiers sensibles avant qu'ils n'atteignent le stockage cloud, utiliser une authentification forte sur les comptes cloud et rester sceptique face aux e-mails ou invites liés aux abonnements peut réduire l'exposition à la fois aux groupes de ransomware et aux opérations d'ingénierie sociale comme celle de Luna Moth. Chiffrer le trafic et les données en transit, que ce soit via un VPN réputé ou des outils de chiffrement intégrés, ajoute une couche de protection, même si cela n'arrêtera pas un attaquant qui a déjà obtenu un accès légitime à un compte. Des défenses en couches, et non un outil unique, sont ce qui limite réellement les dégâts.

Points clés

  • Vice Society a exfiltré des données volées via OneDrive, exploitant la confiance que les organisations placent dans les services cloud grand public plutôt que de s'appuyer sur des logiciels malveillants sur mesure.
  • Luna Moth opère différemment, utilisant des tactiques ressemblant à des arnaques par fausses souscriptions pour atteindre le même objectif : le vol de données d'entreprise.
  • Surveiller le comportement des applications cloud pour détecter des volumes de données inhabituels, et pas seulement des destinations inconnues, est essentiel pour repérer ce type d'exfiltration.
  • La double extorsion reste le modèle de ransomware dominant, ce qui signifie que les données volées présentent un risque même si les sauvegardes vous permettent d'éviter de payer pour le déchiffrement.
  • Chiffrer les données sensibles avant qu'elles n'atteignent le cloud et appliquer des contrôles d'accès stricts réduit l'exposition, quelle que soit la technique utilisée par les attaquants.

Alors que les groupes de ransomware continuent de trouver des moyens de se cacher à la vue de tous, rester informé sur la façon dont ces techniques évoluent est l'une des étapes les plus simples que les organisations et les individus puissent prendre pour une meilleure protection.