veille

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

====== **🔒 Évolution Inquiétante des menaces RaaS!** ======

Le ransomware est aujourd’hui la menace cyber **la plus active**. Initialement limité au chiffrement de données, il s’est transformé en opérations complexes ciblant entreprises et infrastructures critiques, avec des coûts de récupération en hausse constante (Coveware, Q3 2024).

====== 1. RaaS et extorsion multiple ======

La professionnalisation du crime via le modèle Ransomware-as-a-Service (RaaS) repose sur une répartition des rôles : des développeurs créent les malwares, tandis que des affiliés infiltrent les réseaux, en échange d’une part de la rançon (Recorded Future, 2024). Ce modèle facilite largement l’accès au cybercrime.
Face à l’efficacité des sauvegardes, les groupes adoptent désormais la multi-extorsion:
    
1. Exfiltration de données sensibles à l’aide d’outils légitimes comme RClone (Mandiant, M-Trends 2024).
    
2. Chiffrement des systèmes.
    
3. Extorsion pour empêcher la publication des données sur des sites dédiés du Dark Web.

Certains groupes vont jusqu’à la triple extorsion, en ciblant directement clients ou partenaires pour accroître la pression (CrowdStrike, 2024).
Méthodes d’accès initial
Les attaquants privilégient aujourd’hui l’accès ciblé plutôt que le phishing massif. Les principales méthodes sont:
    
1. Exploitation de vulnérabilités exposées : failles affectant VPN, pare-feu ou appliances, exploitées très rapidement après divulgation (CISA).
    
2. Compromission RDP/VPN : utilisation d’identifiants volés ou de configurations mal sécurisées, permettant un accès direct au réseau (Microsoft Security, 2024).
    
3. Attaques de la supply chain : compromission d’éditeurs ou de prestataires MSP, permettant d’infecter de nombreuses victimes simultanément (ENISA, 2023).

====== Techniques furtives ======

Les "rançongiciels" modernes optimisent la furtivité pour éviter la détection :
    
1. Chiffrement intermittent : seuls certains blocs de fichiers sont chiffrés, accélérant l’attaque et contournant les mécanismes de détection basés sur l’activité disque (Sophos).
    
2. Living Off the Land (LOTL) : utilisation d’outils légitimes du système (PowerShell, PsExec) pour les déplacements latéraux et le déploiement, rendant les actions difficiles à distinguer d’opérations normales (MITRE ATT&CK).

====== Mesures de défense ======

Pour contrer ces menaces, les organisations doivent privilégier :
    
1. le patching (l'action de modifier le code pour enlever ce bug) rapide des systèmes exposés,
    
2. la segmentation réseau pour limiter la propagation,
    
3. une approche Zero Trust,
    
4. des sauvegardes immuables garantissant la récupération (ANSSI).

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Attribution-Share Alike 4.0 International