Une manière plus discrète d’aveugler vos défenses

Les opérateurs de ransomware tentent depuis longtemps de neutraliser les logiciels de sécurité avant de lancer une attaque, en désactivant les antivirus, les agents de détection et de réponse sur les terminaux (EDR) et les services de sauvegarde afin que rien ne fasse obstacle au chiffrement. Mais une nouvelle génération d’outils, parfois appelés « tueurs de ransomware », adopte une approche plus subtile. Au lieu de mettre fin purement et simplement à un processus de sécurité, ces outils écrasent chirurgicalement la mémoire du processus tout en laissant l’application techniquement en cours d’exécution.

Cette distinction est plus importante qu’il n’y paraît. Lorsqu’un processus de sécurité est arrêté, il disparaît généralement de la liste des processus du système, et de nombreuses organisations ont mis en place une surveillance spécifiquement conçue pour signaler ce type de disparition. Un service de surveillance, une console de gestion ou une règle d’alerte peut détecter le moment où un processus antivirus cesse de répondre et déclencher l’alarme. En écrasant plutôt la mémoire de ce processus, les attaquants peuvent neutraliser sa capacité à détecter ou à répondre aux menaces, tandis que le processus lui-même semble toujours actif pour quiconque jette un coup d’œil au gestionnaire de tâches ou à un contrôle de santé de base.

Pourquoi l’écrasement de mémoire est plus difficile à détecter

Cette technique exploite un écart entre ce que les outils de sécurité sont conçus pour surveiller et ce qui indique réellement une compromission. La plupart des couches défensives reposent sur l’hypothèse qu’un agent de sécurité fonctionnel signifie que la protection est intacte. Si le processus est présent et en cours d’exécution, on suppose qu’il fait son travail. Les tueurs de ransomware qui manipulent directement la mémoire sapent cette hypothèse sans déclencher le signal évident – un plantage ou un arrêt du processus – sur lequel reposent de nombreux systèmes de détection.

Il s’agit d’une évolution naturelle d’une tendance qui a déjà remodelé le mode de fonctionnement des groupes de ransomware. Comme l’a montré un récent examen des frameworks de ransomware neutralisant l’EDR, les attaquants ont cessé de se précipiter pour chiffrer les fichiers avant que les défenses ne puissent réagir, pour se concentrer sur la désactivation méthodique de ces défenses. Les techniques d’écrasement de mémoire représentent l’étape suivante dans le même schéma : au lieu de simplement désactiver un outil, les attaquants apprennent à donner l’impression qu’il ne s’est rien passé.

Pour les équipes de sécurité, cela pose un problème pratique. Les stratégies de détection qui utilisent « le processus de sécurité est-il toujours en cours d’exécution ? » comme indicateur de « le terminal est-il toujours protégé ? » peuvent être contournées silencieusement. Cela ne signifie pas que ces outils sont inutiles, mais cela signifie que les organisations ont besoin de signaux supplémentaires, comme vérifier qu’un processus se comporte effectivement normalement, et pas seulement qu’il existe, pour détecter ce type de manipulation.

Un schéma plus large d’évasion des EDR et des antivirus

Cette évolution s’inscrit dans un schéma plus large où les groupes de ransomware considèrent les logiciels de sécurité comme le premier obstacle à éliminer, et non comme une pensée secondaire. Les attaquants ont de plus en plus construit des outils dédiés uniquement à la désactivation ou au contournement des produits de détection avant de déployer la charge utile du ransomware. Le passage à la manipulation de la mémoire, plutôt qu’à l’arrêt pur et simple, suggère que ces groupes s’adaptent activement à des défenseurs qui sont devenus meilleurs pour repérer la version rudimentaire de cette attaque. Alors que les défenses en couches, comme l’exigent les frameworks de ransomware neutralisant l’EDR, deviennent des conseils standard, les attaquants peaufinent leurs méthodes pour contourner précisément ces couches.

Ce que cela signifie pour vous

Pour les utilisateurs individuels, ce type d’attaque est peu susceptible d’apparaître directement, car il cible l’infrastructure de sécurité des entreprises plutôt que les appareils personnels. Mais la leçon sous-jacente s’applique largement : la présence d’un outil de sécurité sur votre système ne garantit pas qu’il fonctionne correctement. Les tueurs de ransomware rappellent que les attaquants se concentrent de plus en plus sur la désactivation discrète de la protection plutôt que sur le déclenchement d’alarmes visibles, ce qui fait qu’il vaut la peine de prêter attention à savoir si votre logiciel de sécurité se comporte réellement normalement, et non seulement s’il est installé et en cours d’exécution.

Pour les équipes informatiques et de sécurité, cette technique souligne la nécessité d’aller au-delà des simples vérifications « le processus est-il vivant ? ». La surveillance doit inclure la vérification comportementale des outils de sécurité eux-mêmes, en vérifiant qu’ils analysent, mettent à jour et rapportent effectivement comme prévu, et pas seulement qu’ils occupent une place dans la liste des processus. Les défenses en couches, la surveillance redondante et la vérification hors bande de la santé des outils de sécurité deviennent toutes plus importantes à mesure que les attaquants apprennent à simuler la normalité.

Points à retenir concrets

  • Ne vous fiez pas uniquement à la présence d’un processus pour prouver que le logiciel de sécurité fonctionne ; vérifiez le comportement, pas seulement l’existence.
  • Assurez-vous que les outils de sécurité disposent de contrôles d’intégrité ou de fonctions de protection contre les altérations activées lorsque cela est possible.
  • Mettez en place une surveillance qui signale toute activité mémoire inhabituelle autour des processus de sécurité critiques, et pas seulement les plantages ou les arrêts.
  • Maintenez les outils de détection des terminaux à jour, car les éditeurs corrigent souvent les techniques d’évasion connues au fur et à mesure de leur découverte.
  • Considérez tout signalement d’outils de type « tueur de ransomware » comme un signal pour examiner comment votre organisation vérifie la santé de ses propres défenses, et pas seulement si elles sont techniquement en cours d’exécution.

Alors que les groupes de ransomware continuent d’affiner leurs méthodes de neutralisation des outils de sécurité sans déclencher d’alarmes évidentes, rester informé de ces techniques d’évasion est l’un des moyens les plus simples de garder une longueur d’avance.