Une attaque par ransomware BitLocker qui se passe de malware
Les chercheurs en sécurité ont identifié un nouveau groupe d’extorsion qui a trouvé un raccourci troublant dans le développement traditionnel des rançongiciels : au lieu d’écrire un logiciel malveillant de chiffrement personnalisé, les attaquants utilisent BitLocker, la fonction de chiffrement de disque déjà intégrée à Windows, pour empêcher les victimes d’accéder à leurs propres fichiers. Une fois les disques verrouillés, le groupe annonce l’attaque de la manière la plus analogique possible, en envoyant directement une note de rançon à l’imprimante du bureau.
Cette combinaison d’une fonctionnalité Windows de confiance et d’une méthode de notification physique, indéniable, marque un changement notable dans le mode opératoire des groupes d’extorsion. Elle soulève également des questions difficiles pour les équipes informatiques qui ont passé des années à renforcer les terminaux contre les exécutables malveillants, pour constater aujourd’hui qu’elles doivent faire face à des attaquants qui utilisent des outils qui n’ont jamais été signalés comme dangereux à l’origine.
Comment les attaquants transforment BitLocker en arme pour verrouiller les victimes
BitLocker est un outil de chiffrement légitime fourni par Microsoft, conçu pour protéger les données en cas de perte ou de vol d’un ordinateur portable ou d’un disque. Il est intégré à la plupart des installations Windows modernes et bénéficie de la confiance des services informatiques du monde entier. C’est précisément cette confiance qui en fait une arme utile pour des attaquants ayant déjà obtenu un accès administrateur sur un réseau.
Plutôt que de déployer une charge utile de chiffrement sur mesure que l’antivirus pourrait détecter, ce groupe d’extorsion se contente d’activer BitLocker sur les disques de la victime et de prendre en otage la clé de récupération. Le résultat est fonctionnellement identique à une infection par rançongiciel : les fichiers deviennent inaccessibles, les systèmes sont paralysés et l’organisation se retrouve à négocier une clé qu’elle aurait dû maîtriser en permanence. Étant donné que BitLocker est un composant Microsoft natif, signé numériquement, les outils de sécurité qui reposent sur la détection de signatures malveillantes n’ont guère de raison d’intervenir.
Pourquoi l’impression des notes de rançon annonce une nouvelle tactique d’extorsion
Les groupes de rançongiciel traditionnels déposent généralement un fichier texte sur le bureau ou affichent un écran de verrouillage réclamant un paiement. Ce groupe, au contraire, envoie sa demande de rançon directement à une imprimante réseau, produisant un document physique que les employés découvrent dans la salle de pause ou sur leur bureau.
Cette tactique relève moins de la sophistication technique que de la psychologie. Une note imprimée est plus difficile à ignorer qu’une fenêtre contextuelle, et elle signale à chaque employé du bâtiment, et pas seulement au personnel informatique, que l’organisation a été compromise. Il s’agit d’une escalade publique et tangible conçue pour pousser les victimes à payer plus rapidement, et elle fait écho à une tendance plus large où les groupes d’extorsion expérimentent des tactiques de pression non conventionnelles qui dépassent le cadre du clavier. Le FBI avait déjà mis en garde contre des approches tout aussi créatives, notamment des cas où le groupe Silent Ransom s’est physiquement fait passer pour du personnel informatique dans des cabinets d’avocats afin d’obtenir l’accès nécessaire avant même de débuter l’extorsion.
Le risque des attaques « living off the land » qui contournent les outils antivirus
Les professionnels de la sécurité appellent cette approche le « living off the land » : utiliser des logiciels et utilitaires déjà présents sur le système cible au lieu d’introduire de nouveaux malwares détectables. L’utilisation abusive de BitLocker en est un exemple typique. Comme l’outil est signé par Microsoft et censé s’exécuter sur les machines d’entreprise, son activité ne déclenche souvent pas les mêmes alarmes qu’un exécutable inconnu.
C’est précisément ce qui rend cette tactique dangereuse pour les organisations qui s’appuient principalement sur un antivirus à signature ou sur une détection des terminaux conçue pour repérer les fichiers manifestement malveillants. Si les attaquants disposent déjà des privilèges administrateur nécessaires pour activer le chiffrement et retenir les clés de récupération, l’attaque peut se dérouler en utilisant uniquement les fonctionnalités standard de Windows, ce qui la rend bien plus difficile à distinguer d’une activité informatique légitime jusqu’à ce qu’il soit trop tard.
Comment renforcer les systèmes Windows contre l’utilisation abusive des outils intégrés
Pour se défendre contre ce type d’attaque, il faut passer de la question « quel logiciel est en cours d’exécution » à « qui dispose des autorisations pour l’exécuter ». Quelques mesures pratiques sont importantes ici. Les organisations doivent restreindre étroitement les comptes autorisés à activer ou modifier les paramètres de BitLocker, et s’assurer que les clés de récupération sont automatiquement déposées dans l’Active Directory ou Azure AD plutôt que d’être accessibles uniquement à quiconque détient des droits d’administrateur local. La surveillance des événements d’activation inattendue de BitLocker, en particulier en dehors des fenêtres de maintenance habituelles, peut également permettre de détecter une attaque en cours avant que le chiffrement ne s’achève sur l’ensemble du parc de machines.
Au-delà de BitLocker proprement dit, la leçon sous-jacente porte sur la gestion des privilèges. Limiter les accès administrateur permanents, segmenter les réseaux et conserver des sauvegardes hors ligne et testées réduisent tous le rayon de dégâts lorsqu’un attaquant prend pied, quel que soit l’outil qu’il utilise finalement pour verrouiller les fichiers.
Ce que cela signifie pour vous
Pour les utilisateurs quotidiens, cette attaque BitLocker particulière concerne principalement les entreprises, car elle suppose que les attaquants disposent déjà d’un accès administrateur au réseau. Elle rappelle toutefois que les outils de chiffrement conçus pour votre protection peuvent être retournés contre vous si la sécurité des comptes est faible. Pour les administrateurs informatiques et les propriétaires de petites entreprises, le message est plus direct : examinez qui peut gérer les paramètres de chiffrement de vos systèmes, vérifiez que les clés de récupération sont sauvegardées dans un endroit hors de portée des attaquants, et traitez les événements de chiffrement inattendus avec la même urgence qu’une alerte de malware.
Points clés à retenir
Cet incident s’inscrit dans une tendance où les groupes d’extorsion délaissent les logiciels malveillants personnalisés pour abuser d’outils légitimes et de tactiques de pression non conventionnelles, une tendance également visible dans les cas où le groupe Silent Ransom s’est fait passer pour du personnel informatique afin d’obtenir un accès de confiance avant de frapper. Que le point d’entrée soit un faux appel téléphonique ou un compte administrateur compromis, la défense reste la même : des contrôles d’accès stricts, une surveillance des activités administratives et des sauvegardes qui ne dépendent pas de la bonne volonté de l’attaquant. Passer en revue dès maintenant la gestion des clés BitLocker et la surveillance des terminaux de votre organisation est bien plus judicieux que d’attendre qu’une note de rançon sorte de l’imprimante.
