Le ransomware sabote la récupération avant même de chiffrer quoi que ce soit
La plupart des gens imaginent une attaque par ransomware comme un événement unique et soudain : des fichiers sont chiffrés, une demande de rançon apparaît, et l’organisation se précipite pour réagir. En réalité, la partie la plus destructrice d’une attaque par ransomware se produit souvent avant qu’un seul fichier ne soit verrouillé. Les attaquants détruisent délibérément les sauvegardes et les options de récupération en premier, afin que lorsque le chiffrement frappe enfin, les victimes n’aient plus aucun filet de sécurité sur lequel s’appuyer.
C’est l’idée centrale derrière un axe de plus en plus important dans les opérations de sécurité : l’ingénierie de détection conçue spécifiquement pour repérer le sabotage précédant le chiffrement. Deux comportements se démarquent comme des signes d’alerte précoces fiables. Le premier est la suppression des clichés instantanés, où les attaquants effacent les clichés instantanés de volume Windows, les instantanés intégrés qui permettent aux administrateurs de revenir à une version antérieure et propre d’un système. Le second est l’abus des objets de stratégie de groupe (GPO) pour diffuser des charges utiles malveillantes sur l’ensemble d’un réseau d’un seul coup, transformant un compte compromis en mécanisme de distribution massive.
Ces deux actions sont discrètes comparées au chiffrement lui-même. Elles ne bloquent immédiatement l’accès à rien pour personne. C’est précisément pour cela qu’elles sont dangereuses : elles se produisent dans la fenêtre avant que quiconque ne remarque qu’un problème existe, et elles sont spécifiquement conçues pour rendre la récupération impossible une fois que l’attaque devient évidente.
Pourquoi l’ingénierie de détection change la chronologie
La surveillance de sécurité traditionnelle a tendance à se concentrer sur le moment de l’impact, le point où les fichiers sont chiffrés et où les systèmes s’éteignent. À ce stade, les dégâts sont en grande partie faits. L’ingénierie de détection inverse cette chronologie en créant des alertes autour des étapes préparatoires que les attaquants franchissent avant que le chiffrement ne commence.
Déclencher une alerte sur la suppression des clichés instantanés signifie la traiter comme un événement intrinsèquement suspect plutôt que comme une maintenance de routine. Les administrateurs légitimes ont rarement besoin de supprimer des clichés instantanés en masse sur plusieurs systèmes dans une courte fenêtre de temps. Lorsque ce schéma apparaît, c’est un signal fort que quelque chose travaille activement à retirer la capacité d’une organisation à se rétablir par ses propres moyens.
De même, surveiller les modifications de GPO qui poussent de nouveaux scripts ou exécutables à l’échelle de l’organisation permet de prendre les attaquants au moment exact où ils tentent d’étendre leur accès. Les GPO sont un outil administratif puissant précisément parce qu’ils peuvent atteindre chaque machine d’un domaine. Ce pouvoir est aussi ce qui en fait une cible attrayante pour les attaquants cherchant à distribuer une charge utile de ransomware aussi largement et rapidement que possible.
En construisant des règles de détection autour de ces comportements d’attaquant spécifiques et bien compris, les équipes de sécurité ont une chance d’intervenir avant que le chiffrement ne commence, et non après. C’est un changement significatif, passant d’une réponse réactive aux incidents à une perturbation proactive.
Les enjeux de confidentialité derrière la destruction des sauvegardes
Il vaut la peine de s’arrêter sur pourquoi la destruction des sauvegardes compte autant au-delà du casse-tête opérationnel immédiat. Lorsque les options de récupération sont détruites, les organisations sont poussées vers un ensemble de choix beaucoup plus restreint, et l’un des plus courants est de payer la rançon. Les recherches sur les issues des ransomwares ont montré qu’une part significative des organisations choisit encore de payer, même si cela ne garantit rien. Notre couverture précédente sur 34 % des entreprises australiennes et néo-zélandaises paient encore des rançons a constaté que le paiement est loin d’être une solution fiable, et cette décision est souvent prise sous exactement le type de pression que crée la destruction des sauvegardes.
Il y a aussi une dimension de confidentialité ici. Lorsque les sauvegardes disparaissent et que la négociation devient la seule voie possible, les organisations sont également plus susceptibles de faire face à un risque d’exposition des données. Les attaquants associent fréquemment le chiffrement au vol de données, menaçant de divulguer des informations sensibles sur les clients ou les employés si le paiement n’est pas effectué. Détruire les sauvegardes supprime l’option de simplement restaurer et refuser de négocier, ce qui augmente les chances que des données personnelles volées finissent par servir de monnaie d’échange. Repérer l’attaque plus tôt, avant que les sauvegardes ne soient effacées, préserve plus que la simple infrastructure informatique. Cela préserve la capacité d’une organisation à dire non à une demande de rançon sans risquer les données personnelles des personnes qu’elle sert.
Ce que cela signifie pour vous
Si vous gérez des systèmes informatiques pour une entreprise, c’est un rappel que la défense contre les ransomwares ne peut pas s’arrêter à l’antivirus sur les points de terminaison ou à la détection des fichiers chiffrés. Le véritable point de levier se situe souvent des heures ou des jours plus tôt, dans les modifications administratives silencieuses qui précèdent l’attaque visible. Si vous êtes simplement un consommateur ou un employé dont les données se trouvent dans ces systèmes, la conclusion est plus indirecte mais tout aussi importante : les organisations qui investissent dans l’ingénierie de détection précoce sont moins susceptibles de se retrouver dans une position où elles sont forcées de payer une rançon ou de négocier avec des attaquants détenant vos informations personnelles.
Points à retenir concrets
Pour les équipes de sécurité, quelques étapes concrètes découlent directement de cela : créer des alertes spécifiquement pour les événements de suppression de clichés instantanés plutôt que de les traiter comme un bruit de fond, surveiller les modifications de GPO pour détecter une portée ou un calendrier inhabituels, et conserver au moins une copie de sauvegarde isolée du domaine entier afin qu’un seul compte administrateur compromis ne puisse pas y accéder. Pour tout le monde, c’est une bonne raison de demander aux organisations qui détiennent vos données à quoi ressemble réellement leur plan de récupération, et s’il dépend de sauvegardes qu’un attaquant pourrait supprimer en quelques minutes.
