LockBit 5.0 continue de frapper activement les organisations du monde entier, et les affiliés du groupe ont perfectionné leur approche en une attaque à deux volets qui s'avère difficile à contrer pleinement. Selon des renseignements récents sur les menaces, les campagnes de double extorsion de LockBit 5.0 reposent désormais moins sur le seul chiffrement par force brute, et davantage sur une combinaison calculée de vol de données et de perturbation, conçue pour maximiser la pression sur les victimes afin qu'elles paient.

Il ne s'agit pas d'une nouvelle famille de rançongiciels surgissant de nulle part. LockBit a une longue histoire bien documentée en tant que l'une des opérations de ransomware-as-a-service les plus prolifiques au monde, et sa résurgence après l'opération de démantèlement Cronos des forces de l'ordre a été suivie de près par les chercheurs en sécurité. Pour les lecteurs qui souhaitent connaître l'historique complet de la manière dont le groupe s'est reconstruit et a évolué vers sa forme actuelle, notre explication de LockBit 5.0 couvre cette histoire en profondeur. Cet article se concentre sur ce qui se passe actuellement : les mécanismes de la campagne en cours et ce que les organisations peuvent faire pour y faire face.

Comment fonctionne l'attaque de double extorsion de LockBit 5.0

Le schéma d'attaque utilisé par les affiliés suit une séquence délibérée. Avant que le moindre fichier ne soit chiffré, les attaquants exfiltrent d'abord les données du réseau cible à l'aide d'outils comme Rclone, un utilitaire de transfert de fichiers légitime détourné pour déplacer discrètement de grands volumes de données volées vers un stockage externe, ou des logiciels malveillants de vol conçus sur mesure spécifiquement pour cette tâche.

Ce n'est qu'une fois ces données copiées que la phase de chiffrement commence, et elle est conçue pour être rapide. Les affiliés utilisent des routines de chiffrement rapides et intermittentes, ce qui signifie que les fichiers sont verrouillés par rafales plutôt que d'un seul coup au cours d'un processus continu unique. Cette approche permet aux attaquants de chiffrer un grand nombre de fichiers rapidement, tout en rendant la détection par les outils de surveillance traditionnels plus difficile. Les fichiers chiffrés reçoivent également des extensions de fichier aléatoires, ce qui complique les efforts de récupération et rend plus difficile pour les défenseurs d'identifier rapidement l'étendue de ce qui a été touché.

Il en résulte une double contrainte pour les victimes. Même si une organisation peut restaurer les systèmes chiffrés à partir de sauvegardes et éviter de payer pour une clé de déchiffrement, les attaquants détiennent toujours les données volées et peuvent menacer de les divulguer ou de les vendre. Ce second levier est précisément la raison pour laquelle ce modèle est resté efficace pour les groupes de rançongiciels dans tout le secteur, et pourquoi les affiliés de LockBit continuent de s'y appuyer dans les environnements Windows, Linux et virtualisés.

Pourquoi l'exfiltration de données est désormais la véritable menace, et pas seulement le chiffrement

Il est tentant de considérer les rançongiciels principalement comme un problème de chiffrement de fichiers, quelque chose que l'on résout en maintenant de bonnes sauvegardes. Cette réflexion passe à côté de l'endroit où se situe désormais le véritable levier. Une fois que les données ont quitté le réseau, les sauvegardes n'annulent pas l'exposition. Les fichiers volés, qu'il s'agisse de dossiers clients, de données financières, de communications internes ou de propriété intellectuelle, sont déjà entre les mains des attaquants, que l'organisation victime paie ou non la rançon.

Ce changement est important car il modifie ce que signifie réellement la « récupération ». La restauration des systèmes à partir d'une sauvegarde propre résout le problème des temps d'arrêt opérationnels, mais ne fait rien pour empêcher la publication d'informations sensibles sur un site de fuite ou leur vente à d'autres acteurs de la menace. Les organisations doivent traiter l'exfiltration de données comme le risque principal à prévoir, et non comme une considération secondaire après le chiffrement.

Mesures de renforcement : sauvegardes, segmentation et contrôles d'accès

Compte tenu de ce schéma d'attaque, quelques priorités défensives se distinguent comme particulièrement pertinentes par rapport au mode de fonctionnement des affiliés de LockBit 5.0 :

  • Sauvegardes chiffrées et hors ligne. Les sauvegardes doivent être chiffrées au repos et conservées isolées du réseau principal, idéalement avec des copies immuables ou isolées, de sorte que même si les attaquants obtiennent un accès étendu, ils ne puissent pas atteindre ou altérer les données de récupération.
  • Segmentation du réseau. Étant donné que les affiliés exfiltrent les données avant de les chiffrer, limiter la distance qu'un intrus peut parcourir à travers un réseau une fois à l'intérieur réduit à la fois le volume de données à risque et le nombre de systèmes pouvant être touchés lors de la phase de chiffrement.
  • Surveillance des transferts de données inhabituels. Étant donné que les outils d'exfiltration comme Rclone sont des logiciels légitimes détournés, les équipes de sécurité doivent surveiller les volumes de transfert sortant anormaux ou l'utilisation inhabituelle d'utilitaires de synchronisation de fichiers, et pas seulement les signatures de logiciels malveillants.
  • Contrôles d'accès stricts. Limiter les comptes et les systèmes pouvant accéder aux données sensibles réduit le volume d'informations disponibles à voler, même si un attaquant compromet un compte de point d'ancrage.
  • Planification de la réponse aux incidents qui suppose un vol de données. Les plans de réponse doivent explicitement tenir compte de la possibilité que des données aient été copiées avant qu'un chiffrement ne soit détecté, afin que les obligations légales, de communication et réglementaires ne soient pas une considération après coup.

Aucune de ces mesures n'est exotique. Ce qui importe, c'est de les appliquer en gardant à l'esprit le schéma spécifique de LockBit 5.0 : un chiffrement rapide et intermittent précédé d'un vol de données discret.

Ce que cela signifie pour vous

Si vous gérez l'informatique ou la sécurité pour une organisation de toute taille, le point pratique à retenir est que la défense contre les rançongiciels ne peut pas s'arrêter à la prévention du chiffrement. Un événement de double extorsion LockBit 5.0 réussit même contre les organisations ayant de solides pratiques de sauvegarde, car le vol se produit en premier et le levier ne dépend pas uniquement du chiffrement. Revoir comment les données sensibles sont segmentées, qui peut y accéder et si les transferts sortants sont surveillés est au moins aussi important que l'hygiène des sauvegardes à ce stade.

Pour les particuliers, l'exposition est plus indirecte mais toujours réelle. Si une entreprise à laquelle vous avez partagé des données personnelles est frappée par ce type de campagne, vos informations pourraient se retrouver exposées, que cette organisation paie ou non une rançon. C'est un bon rappel d'être sélectif quant aux données personnelles que vous partagez avec les services et de surveiller les notifications de violation liées aux entreprises que vous utilisez.

Points clés à retenir

L'activité continue de LockBit 5.0 rappelle que les opérations de ransomware-as-a-service s'adaptent rapidement, et que les défenses doivent suivre le rythme. Pour réduire le risque lié à ce type de campagne :

  • Maintenez des sauvegardes chiffrées, hors ligne ou immuables que les attaquants ne peuvent pas atteindre ou corrompre
  • Segmentez les réseaux afin qu'un seul compte compromis ne puisse pas atteindre l'ensemble de l'environnement
  • Surveillez les transferts de données sortants inhabituels, pas seulement les signatures de logiciels malveillants
  • Appliquez des contrôles d'accès stricts, selon le principe du besoin d'en connaître, aux données sensibles
  • Élaborez des plans de réponse aux incidents qui supposent que l'exfiltration de données s'est produite avant la détection

Pour plus de contexte sur la manière dont LockBit a reconstruit son opération après la perturbation par les forces de l'ordre et ce qui a changé dans sa dernière version, lisez notre explication complète sur l'évolution de LockBit 5.0.