Un avis hebdomadaire sur les menaces récemment publié, couvrant la période du 7 au 13 septembre, a signalé un niveau d'activité cyberattaque coordonnée que les chercheurs qualifient de « changement durable de la ligne de base ». Le rapport a suivi 33 clusters APT (menaces persistantes avancées) opérant simultanément durant la semaine, un nouveau sommet, et la troisième semaine consécutive où l'activité est restée élevée au-dessus des normes historiques.

Bien que les avis de ce type soient généralement rédigés pour les équipes d'exploitation de la sécurité et les RSSI, les chiffres sous-jacents importent pour quiconque utilise Internet pour ses opérations bancaires, ses achats, son travail ou ses communications. Lorsque le volume d'infrastructures de menaces actives augmente aussi fortement et reste élevé, les probabilités que les utilisateurs ordinaires rencontrent des pages d'hameçonnage, des téléchargements malveillants ou des réseaux compromis augmentent en conséquence.

Ce que les chiffres montrent réellement

Le chiffre phare de l'avis, 33 clusters APT simultanés, désigne des groupes distincts et simultanément actifs d'acteurs liés à des États ou de cybercriminels organisés menant des campagnes en même temps. Les chercheurs ont noté qu'une orientation antérieure avait établi un seuil : si ce nombre dépassait 15 lors de la semaine de référence, il serait traité comme la preuve d'un changement durable plutôt que d'un pic temporaire. La semaine en question a atteint 33, soit plus du double de ce seuil, ce qui explique pourquoi les analystes parlent désormais d'un changement de ligne de base confirmé plutôt que d'une anomalie.

Outre le décompte des clusters, le rapport a recensé 57 981 indicateurs de compromission (IOC) uniques, les empreintes numériques, adresses IP malveillantes, hachages de fichiers et domaines que les défenseurs utilisent pour détecter et bloquer les attaques. Un seul « opérateur C2 persistant », désignant un acteur de menace exploitant une infrastructure de commande et contrôle de longue durée, représentait à lui seul plus de 53 000 de ces IOC. Cette concentration suggère qu'une opération particulièrement active et bien dotée en ressources génère une large part du volume global, plutôt que l'augmentation soit répartie uniformément entre de nombreux acteurs plus petits.

L'avis a également enregistré une augmentation de 5,5x de l'activité de rançongiciels par rapport aux niveaux de base. Les campagnes de rançongiciels sont notables parce qu'elles commencent fréquemment par les mêmes tactiques qui touchent les utilisateurs du quotidien : courriels d'hameçonnage, points d'accès distants exposés et vulnérabilités logicielles non corrigées. Une forte hausse des opérations de rançongiciels est souvent corrélée à une augmentation des campagnes massives d'hameçonnage et de vol d'identifiants qui alimentent ces opérations.

Pourquoi un « changement durable de la ligne de base » diffère d'un pic

Les chercheurs en sécurité distinguent les pics à court terme, qui reviennent à la normale en une ou deux semaines, des changements de ligne de base, qui représentent un nouveau niveau d'activité soutenu. Le langage de cet avis est délibéré : trois semaines consécutives d'activité élevée, combinées à un décompte de clusters bien supérieur au seuil précédemment établi, sont interprétées comme la preuve que l'environnement de menaces lui-même a changé, et non qu'il s'agissait d'une semaine exceptionnellement chargée.

Pour les lecteurs, l'implication pratique est simple. Les conseils de sécurité qui supposent que les attaques sont des événements rares et isolés sont de plus en plus déconnectés de la réalité. Les infrastructures persistantes, comme l'opérateur C2 responsable de la majorité des IOC de cette semaine, ont tendance à perdurer et à être réutilisées dans de multiples campagnes, ce qui signifie que les mêmes domaines et serveurs malveillants peuvent réapparaître dans des tentatives d'hameçonnage ou de distribution de logiciels malveillants pendant des semaines ou des mois après leur première identification.

Ce type d'infrastructure soutenue aggrave également le risque lorsqu'elle est associée à des vulnérabilités logicielles récemment divulguées. Par exemple, la faille d'élévation de privilèges MiniPlasma récemment divulguée montre comment les attaquants peuvent obtenir un accès complet au niveau SYSTEM sur des machines Windows même après l'application des correctifs standards. Lorsque les opérateurs C2 persistants disposent à la fois d'une infrastructure durable et d'un accès à de nouveaux exploits comme celui-ci, la combinaison leur donne davantage de moyens pour atteindre et contrôler les appareils victimes sur une période plus longue.

Ce que cela signifie pour vous

Vous n'avez pas besoin d'être un professionnel de la sécurité pour être affecté par un tel changement. Une activité élevée des APT et des rançongiciels se traduit généralement par davantage de courriels d'hameçonnage, davantage de publicités malveillantes et de fausses pages de connexion, et une probabilité accrue que les appareils non corrigés soient ciblés de manière opportuniste, même si vous n'êtes pas la cible spécifique d'un groupe étatique quelconque.

La bonne nouvelle est que les fondamentaux de la cybersécurité personnelle ne changent pas simplement parce que le volume de menaces a augmenté. Ce qui change, c'est l'importance de la constance : maintenir les logiciels à jour, se montrer sceptique face aux liens et pièces jointes inattendus, et utiliser des mots de passe forts et uniques avec l'authentification multifacteur restent les défenses les plus efficaces contre les tactiques sur lesquelles les acteurs de menaces persistants s'appuient le plus.

Points à retenir concrets

  • Configurez votre système d'exploitation et vos applications en mise à jour automatique, car l'activité APT soutenue exploite souvent des vulnérabilités connues mais non corrigées.
  • Traitez les courriels, liens et invites de connexion inattendus avec une prudence accrue pendant les périodes d'activité élevée confirmée comme celle-ci.
  • Activez l'authentification multifacteur sur vos comptes les plus importants, en particulier la messagerie, les services bancaires et le stockage cloud.
  • Sauvegardez régulièrement vos fichiers importants et conservez au moins une copie hors ligne, compte tenu de la forte hausse de l'activité de rançongiciels signalée dans cet avis.
  • Suivez les avis de sécurité de sources réputées afin de comprendre quand les niveaux de menace sont réellement élevés plutôt que du bruit de fond routinier.

Les avis hebdomadaires sur les menaces comme celui-ci portent finalement sur la reconnaissance de schémas dans le temps, et non sur un incident isolé. Un changement durable de la ligne de base, confirmé sur trois semaines consécutives et étayé par près de 58 000 indicateurs de compromission uniques, est un signal qui mérite votre attention. Se tenir à jour sur l'hygiène de sécurité de base reste le moyen le plus fiable de rester protégé à mesure que cette ligne de base continue d'évoluer.