Le ransomware INC imprime des notes de rançon sur les imprimantes des hôpitaux

Un gang de ransomware qui imprime ses propres demandes

La plupart des groupes de ransomware laissent leurs notes d’extorsion sous forme de fichiers texte disséminés dans les dossiers chiffrés de la victime. Le ransomware INC adopte une approche plus dérangeante : selon une analyse technique de Picus Security, le logiciel malveillant tente également d’envoyer directement sa note de rançon à toutes les imprimantes et télécopieurs connectés sur un réseau compromis, imprimant physiquement la demande pour que tout le monde dans le bâtiment puisse la voir.

C’est un petit détail, mais il en dit long sur le mode opératoire d’INC. Ce groupe cherche à exercer une pression psychologique maximale sur ses victimes, et il a constaté que les réseaux de santé et d’éducation, souvent remplis d’imprimantes héritées, de lignes de fax partagées et d’appareils connectés que les équipes informatiques auditent rarement, constituent un terrain fertile pour ce type de perturbation.

Pourquoi les secteurs de la santé et de l’éducation sont-ils constamment ciblés ?

Le ransomware INC, considéré comme une opération de ransomware-as-a-service depuis son apparition, a ciblé à plusieurs reprises les hôpitaux, les cliniques et les écoles, aux côtés d’autres secteurs comme le commerce de détail et la finance. Les raisons ne sont pas mystérieuses. Les réseaux de santé fonctionnent avec des dispositifs médicaux interconnectés, une infrastructure vieillissante et des systèmes qui ne peuvent pas toujours être corrigés ou mis hors ligne sans mettre en danger les soins aux patients. Les réseaux éducatifs, quant à eux, desservent souvent des milliers d’étudiants et de membres du personnel sur une infrastructure partagée avec des budgets de sécurité limités et des contrôles d’accès incohérents.

Les deux secteurs détiennent également le type de données qui rend le ransomware à double extorsion rentable : dossiers de patients, antécédents médicaux, détails financiers et informations personnelles sur les mineurs. INC, comme de nombreuses opérations de ransomware modernes, ne se contente pas de chiffrer les fichiers. Il vole d’abord les données et menace de les divulguer publiquement si la rançon n’est pas payée, donnant aux victimes deux raisons distinctes de céder.

Ce mode opératoire a fait des hôpitaux une cible particulièrement à haut risque. Lorsque le ransomware verrouille les dossiers médicaux électroniques ou les systèmes de planification, les conséquences ne se limitent pas à un simple désagrément. Cela peut retarder les traitements, forcer le détournement des ambulances et mettre directement en danger la sécurité des patients, ce qui explique pourquoi la cybersécurité des soins de santé est devenue une priorité stratégique bien au-delà des services informatiques.

Le problème des points d’accès

Les groupes de ransomware ont besoin d’un moyen d’entrer dans un réseau avant de pouvoir déployer quoi que ce soit, et INC a montré qu’il était prêt à exploiter toute vulnérabilité lui offrant un point d’appui. Un cas récent l’illustre bien : SonicWall a confirmé que deux vulnérabilités zero-day critiques dans ses appliances de la série SMA 1000 ont été activement exploitées par le groupe de ransomware INC pendant 22 jours avant qu’un correctif ne soit disponible. Ce genre de fenêtre, près de trois semaines d’exploitation active avant l’existence d’un correctif, est exactement le type d’opportunité recherché par les opérateurs de ransomware, en particulier contre les organisations qui peuvent être plus lentes à appliquer des correctifs sur les appliances d’accès à distance en raison de contraintes de personnel ou d’exigences opérationnelles.

Cette tendance souligne une vérité plus large sur les ransomware en général et sur INC en particulier : la brèche initiale provient rarement de quelque chose d’exotique. Elle vient de logiciels non corrigés, d’outils d’accès à distance exposés ou d’identifiants qui n’ont jamais été renouvelés. Une fois à l’intérieur, le groupe se déplace latéralement, identifie les données précieuses à exfiltrer, déploie sa charge utile de chiffrement et, dans le cas d’INC, tente de faire imprimer son message pour une visibilité maximale.

Ce que cela signifie pour vous

Si vous travaillez dans ou interagissez avec des systèmes de santé ou d’éducation, que ce soit en tant qu’employé, patient, étudiant ou parent, le ransomware INC vous rappelle que les données que ces institutions détiennent sur vous constituent une cible réelle, et non hypothétique. Les dossiers médicaux et les données des étudiants sont attrayants précisément parce qu’ils sont difficiles à remplacer et souvent liés à des opportunités de fraude financière ou médicale.

Pour les équipes informatiques et de sécurité, la leçon pratique concerne la fréquence des correctifs et la segmentation du réseau. Les appliances d’accès à distance, les imprimantes connectées et les passerelles de fax sont souvent considérées comme des périphériques à faible priorité, mais le comportement d’INC montre que les attaquants utiliseront chaque appareil d’un réseau, aussi banal soit-il, pour atteindre leurs objectifs. Segmenter les imprimantes et les périphériques de type IoT des systèmes centraux, et appliquer rapidement des correctifs aux appliances exposées à Internet lorsque les fournisseurs divulguent des vulnérabilités, réduit considérablement la surface d’attaque.

Pour les particuliers, les mesures concrètes sont plus familières mais méritent d’être répétées : surveillez les notifications de violation de la part de votre prestataire de soins ou de votre district scolaire, utilisez des mots de passe uniques pour les portails qui stockent des informations personnelles ou médicales, et méfiez-vous des tentatives d’hameçonnage consécutives qui s’appuient souvent sur les incidents de ransomware une fois que les données volées commencent à circuler.

Garder une longueur d’avance sur les campagnes de ransomware ciblées

Le ransomware INC n’est pas le seul à cibler les soins de santé et l’éducation, mais sa volonté d’imprimer physiquement les notes de rançon montre jusqu’où ces groupes sont prêts à aller pour forcer le paiement. Les organisations de ces secteurs doivent traiter chaque appareil exposé à Internet, aussi anodin soit-il, comme un point d’entrée potentiel, et les particuliers doivent rester attentifs aux avis de violation liés aux institutions qui détiennent leurs données sensibles. La sensibilisation et l’application rapide des correctifs restent les défenses les plus efficaces contre une menace qui ne montre aucun signe de ralentissement.