Comment fonctionne le marché des accès de la compromission au ransomware

Un pirate russophone a infiltré des organisations partout dans le monde, volé des identifiants de connexion et conditionné ces accès volés pour les vendre à des groupes de ransomware, selon un nouveau rapport. Le même acteur aurait également surveillé des sites web militaires ukrainiens, mêlant cybercriminalité motivée par l’argent et activités de renseignement apparemment liées au conflit en cours.

Ce cas illustre clairement comment les attaques par ransomware modernes débutent réellement. Les grands titres se concentrent souvent sur le logiciel malveillant qui chiffre finalement les fichiers d’une entreprise, mais la porte d’entrée est généralement ouverte par quelqu’un d’autre : un courtier en accès initial. Ces spécialistes excellent dans un seul domaine. Ils pénètrent dans les réseaux, vérifient que l’accès fonctionne, puis le vendent, souvent sur des forums clandestins, à des opérateurs de ransomware qui gèrent la phase d’extorsion. Cette division du travail a rendu les campagnes de ransomware plus rapides, plus évolutives et plus difficiles à relier à un seul groupe.

Ce marché d’accès de la compromission au ransomware signifie qu’un seul mot de passe compromis peut parcourir un long chemin. La personne qui le vole ne déploiera peut-être jamais elle-même de ransomware. Elle agit plutôt comme un fournisseur, et les dégâts réels – un système hospitalier mis hors ligne, les opérations d’un fabricant paralysées, les données d’un district scolaire chiffrées – sont infligés par un acheteur complètement distinct en aval.

Quels identifiants et accès réseau ont été volés et vendus

Selon le rapport, l’activité du pirate consistait principalement à collecter des identifiants auprès d’organisations mondiales, puis à préparer ces accès à la revente. Plutôt que d’exploiter immédiatement chaque système compromis, l’acteur semble avoir traité les identifiants dérobés comme un stock : quelque chose à cataloguer, valider et remettre à des acheteurs spécialisés dans la phase suivante d’une attaque. Parallèlement à cette activité commerciale, le pirate a également été observé surveillant des sites web militaires ukrainiens, un détail qui suggère des motivations superposées allant au-delà du pur profit.

Ce schéma, où le vol d’identifiants motivé par l’argent côtoie une surveillance à caractère géopolitique, est devenu de plus en plus courant chez les acteurs de la menace russophones. Cela souligne également pourquoi les défenseurs ne peuvent pas considérer un incident de vol d’identifiants comme un simple problème de criminalité financière. Le même accès volé qui finit par être vendu à une équipe de ransomware pourrait tout aussi bien être utilisé à des fins d’espionnage, ou les deux.

Pourquoi les identifiants VPN et d’accès à distance volés sont des cibles de choix pour les courtiers d’accès

Les courtiers d’accès se tournent vers les identifiants qui déverrouillent le plus de territoire avec le moins d’effort. Les connexions VPN, les comptes de bureau à distance et les autres outils d’accès à distance figurent en tête de cette liste car ils sont conçus pour faire passer un utilisateur du monde extérieur directement dans le réseau interne. Un seul identifiant VPN valide peut contourner entièrement les défenses périmétriques, offrant à un attaquant une prise d’apparence légitime qui ne déclenche pas les mêmes alarmes qu’une intrusion classique.

C’est précisément pourquoi les fournisseurs de VPN et les données d’identifiants qu’ils détiennent sont devenus des cibles attrayantes en soi. Les passerelles VPN d’entreprise ne sont pas les seules à risque. Les services VPN grand public ont également vu leurs bases de données internes exposées, soulevant des questions inconfortables sur la solidité des promesses de « non-conservation des journaux » face à un examen minutieux. La violation de SplitVPN en est un bon exemple : une vaste base de données prétendument liée au fournisseur a fait surface sur un forum criminel, sapant les allégations de confidentialité de l’entreprise et rappelant aux utilisateurs que la posture de sécurité d’un VPN importe autant que le chiffrement qu’il affiche.

Comment l’hygiène des VPN, de l’authentification à deux facteurs et des identifiants réduit le risque de déplacement latéral

La bonne nouvelle, c’est que la plupart des frictions de cette chaîne d’attaque peuvent être rétablies par les organisations et les particuliers prêts à adopter quelques mesures cohérentes. L’authentification multifacteur est le moyen de protection le plus efficace contre le vol d’identifiants, car un mot de passe seul devient bien moins utile à un acheteur s’il ne peut pas être associé à une seconde étape de vérification. Changer régulièrement ses identifiants, éviter de réutiliser les mots de passe d’un service à l’autre et surveiller l’apparition de connexions exposées via des services de notification de violations réduit la fenêtre pendant laquelle un accès volé garde de la valeur pour un courtier.

Pour l’accès à distance en particulier, choisir un fournisseur VPN doté d’une politique vérifiable et auditée de non-conservation des journaux, plutôt que d’une simple allégation marketing, réduit le risque que vos propres identifiants deviennent le prochain lot de données à vendre. Associer cela à une 2FA sur chaque point d’accès à distance et segmenter les réseaux de façon qu’un seul compte compromis ne puisse pas tout atteindre limite la marge de manœuvre d’un attaquant, même s’il parvient à entrer.

Ce que cela signifie pour vous

Si vous gérez l’informatique d’une entreprise, ce cas vous rappelle que le vol d’identifiants par un courtier d’accès initial est souvent le véritable point de départ d’un incident de ransomware, pas le ransomware lui-même. Investir dans l’hygiène des identifiants, l’authentification multifacteur et la surveillance des accès à distance contribue davantage à stopper ces attaques que n’importe quel outil antimalware. Si vous êtes un utilisateur individuel, c’est une incitation à vérifier si votre fournisseur de VPN ou d’accès à distance a fait ses preuves en matière de protection de ses propres données, car vos identifiants ne sont jamais plus en sécurité que le service qui les stocke.

Mesures à prendre :

  • Activez l’authentification multifacteur sur chaque compte VPN, bureau à distance et administrateur, pas seulement sur la messagerie.
  • Évitez de réutiliser les mots de passe d’un service à l’autre, en particulier pour les outils d’accès à distance.
  • Renseignez-vous sur l’historique de sécurité et les audits indépendants d’un fournisseur VPN avant de faire confiance à ses promesses de non-conservation des journaux.
  • Surveillez l’apparition de vos identifiants dans les bases de données de violations et changez-les immédiatement s’ils sont découverts.
  • Segmentez les réseaux de manière qu’un seul identifiant volé ne puisse pas offrir un accès latéral étendu.