Comment des identifiants VPN volés sont devenus le point d’entrée de ransomwares et de wipers

Kaspersky a publié de nouvelles recherches identifiant trois clusters de menaces distincts ciblant des entreprises russes, et le fil conducteur qui les traverse tous est inquiétant par sa simplicité : des identifiants VPN compromis. Plutôt que de s’appuyer uniquement sur des exploits zero-day ou sur le développement complexe de malwares, les attaquants derrière ces campagnes auraient utilisé des identifiants de connexion VPN volés ou détournés pour franchir la porte d’entrée des réseaux d’entreprise. À partir de là, ils ont déployé un mélange de backdoors, de ransomwares et de malwares wipers destructeurs.

Ce schéma reflète une tendance plus large que les chercheurs en sécurité signalent dans l’ensemble du secteur. Une attaque par identifiants VPN compromis n’exige pas la sophistication d’un nouvel exploit. Elle ne nécessite qu’un seul nom d’utilisateur et mot de passe valides, souvent obtenus par hameçonnage, bourrage d’identifiants ou achat sur des marchés souterrains. Une fois que l’attaquant dispose de cet accès, un VPN conçu pour tenir les intrus à l’extérieur devient au contraire un tunnel de confiance directement vers le réseau, indiscernable du trafic légitime d’un employé en télétravail.

Ce que les trois clusters de menaces révèlent sur les failles de sécurité des VPN d’entreprise

Selon les conclusions de Kaspersky, chacun des trois clusters poursuivait des objectifs finaux différents, allant de l’établissement d’un accès backdoor persistant au chiffrement de données contre rançon, jusqu’au déploiement de wipers conçus purement pour détruire des systèmes plutôt que pour extorquer un paiement. Ce qui les relie n’est pas un outillage partagé ni une attribution à un seul groupe, mais une méthode partagée d’accès initial : des identifiants VPN qui n’auraient jamais dû être utilisables par un tiers extérieur.

Ce chevauchement compte. Il suggère que les entreprises russes, comme les organisations ailleurs, font face à la même faiblesse structurelle : l’accès VPN est souvent traité comme un événement d’authentification ponctuel plutôt que comme une relation de confiance surveillée en continu. Une fois qu’un ensemble d’identifiants est valide, de nombreuses configurations VPN accordent un accès réseau étendu sans vérification supplémentaire, segmentation ou surveillance comportementale. Les attaquants qui exploitent cette faille n’ont pas besoin de franchir un pare-feu au sens traditionnel. Ils ont juste besoin d’un mot de passe qui n’a pas été renouvelé, signalé ou protégé par une authentification multifacteur.

Ce type d’intrusion fondée sur les identifiants passe souvent sous le radar par rapport aux violations qui font les gros titres. Comme l’explique un récent récapitulatif des affaires d’espionnage Zimbra en Russie et d’extorsion visant Stadler Rail, beaucoup des attaques les plus lourdes de conséquences ne font jamais la une, même lorsqu’elles reposent sur les mêmes faiblesses au niveau de l’infrastructure que celles décrites dans le rapport de Kaspersky. Les attaques fondées sur les identifiants et les accès sont souvent sous-déclarées précisément parce qu’elles n’ont pas le caractère spectaculaire d’un exploit unique, mais elles sont tout aussi dommageables.

Pratiques d’hygiène des identifiants qui préviennent les violations via VPN

La bonne nouvelle est qu’une attaque par identifiants VPN compromis est l’une des catégories d’intrusion les plus évitables, à condition que les organisations traitent l’accès VPN avec la même rigueur que tout autre système privilégié. Quelques pratiques réduisent systématiquement ce risque :

  • Imposer l’authentification multifacteur à chaque connexion VPN, pas seulement pour les comptes administrateurs
  • Renouveler régulièrement les identifiants et immédiatement après tout incident d’hameçonnage suspecté
  • Surveiller les journaux VPN pour détecter les connexions depuis des emplacements, appareils ou moments inhabituels qui s’écartent du comportement normal des employés
  • Segmenter l’accès réseau afin qu’une seule connexion VPN n’accorde pas une circulation étendue et non restreinte dans les systèmes internes
  • Supprimer rapidement les comptes VPN inutilisés ou dormants, car les identifiants oubliés sont souvent ceux que les attaquants trouvent les plus faciles à exploiter

Aucune de ces mesures n’est exotique. Ce sont des pratiques standard de gestion des identités et des accès que beaucoup d’organisations connaissent déjà mais ne parviennent pas à appliquer de manière cohérente, en particulier dans les environnements de télétravail où l’usage du VPN s’est rapidement développé ces dernières années.

Ce que cela signifie pour vous

La plupart des lecteurs de ce site n’exploitent pas d’infrastructure VPN d’entreprise, mais la leçon de la recherche de Kaspersky s’applique tout aussi directement à l’usage personnel d’un VPN. Si vous réutilisez des mots de passe entre services, si vous ignorez l’authentification multifacteur ou si vous conservez d’anciens comptes VPN que vous n’utilisez plus, vous êtes exposé à la même faiblesse fondamentale qui a permis à ces trois clusters de menaces d’entrer dans des réseaux d’entreprise russes. Un VPN n’est sûr que tant que les identifiants qui le protègent le sont.

Pour les entreprises, ce rapport rappelle que la sécurité VPN n’est pas un outil que l’on configure une fois pour toutes. Elle exige une gestion active des identifiants, une surveillance et des revues périodiques, d’autant plus que le travail à distance et hybride continue de dépendre fortement de l’accès VPN pour les opérations quotidiennes.

Points clés à retenir

  • Activez l’authentification multifacteur sur tout compte VPN que vous utilisez, personnel ou professionnel
  • Utilisez un gestionnaire de mots de passe pour éviter de réutiliser des identifiants VPN sur plusieurs services
  • Auditez et supprimez régulièrement les comptes ou appareils VPN que vous n’utilisez plus
  • Si vous gérez des systèmes d’entreprise, traitez les anomalies de connexion VPN aussi sérieusement que toute autre alerte d’intrusion
  • Tenez-vous informé des tendances d’attaques fondées sur les identifiants, car une attaque par identifiants VPN compromis cause souvent autant de dégâts qu’un exploit sophistiqué, avec bien moins de bruit