Logiciels malveillants et rançongiciels

Un logiciel malveillant (malware) est un programme conçu pour nuire : voler des données, prendre le contrôle d'une machine, la rendre inutilisable ou rançonner son propriétaire. Le rançongiciel (ransomware) en est la forme la plus destructrice pour une organisation : il chiffre les données et exige une rançon pour les rendre. Ce chapitre présente les familles de logiciels malveillants, le déroulement d'une attaque par rançongiciel, les mesures qui l'empêchent ou la rendent supportable, et la conduite à tenir quand elle arrive.

Les familles de logiciels malveillants

Les frontières sont floues : un même programme peut être à la fois un cheval de Troie (pour entrer), une porte dérobée (pour revenir) et un voleur d'informations. À l'examen, nomme le comportement observé.

Comment un logiciel malveillant arrive sur une machine

• Une pièce jointe ou un lien dans un courriel d'hameçonnage : faux document Office, archive protégée par mot de passe (pour échapper à l'antivirus de la messagerie), lien vers une fausse page de téléchargement.
• Un logiciel piraté ou téléchargé hors du site de l'éditeur : générateur de clés, version « crackée ».
• Une publicité malveillante qui imite le site d'un logiciel connu en tête des résultats d'un moteur de recherche.
• Une faille non corrigée sur un service exposé à Internet : VPN, messagerie, serveur web.
• Une clé USB trouvée ou offerte.
• Une mise à jour piégée d'un logiciel légitime dont l'éditeur a été compromis (attaque de la chaîne d'approvisionnement).

C'est quoi un rançongiciel ?

Un rançongiciel chiffre les fichiers de la victime avec une clé que seul l'attaquant connaît. Les fichiers restent présents mais illisibles ; un message explique comment payer, en cryptomonnaie, pour obtenir l'outil de déchiffrement.

Les attaques visant les organisations suivent aujourd'hui un modèle bien rodé :

• Rançongiciel en tant que service (RaaS, Ransomware as a Service). Un groupe développe le logiciel et l'infrastructure de paiement ; des « affiliés » mènent les intrusions et partagent les gains.
• Double extorsion. Avant de chiffrer, l'attaquant copie les données. Il menace de les publier sur son site si la victime ne paie pas : même avec de bonnes sauvegardes, la victime subit une violation de données.
• Destruction des sauvegardes. L'attaquant cherche les serveurs de sauvegarde, les NAS et les clichés instantanés (shadow copies) de Windows et les supprime avant de lancer le chiffrement, souvent la nuit ou un week-end.

Une attaque par rançongiciel touche donc la disponibilité (fichiers chiffrés), la confidentialité (données exfiltrées) et souvent l'intégrité et la preuve (sauvegardes et journaux effacés).

Faut-il payer la rançon ?

Les autorités françaises (ANSSI, Cybermalveillance.gouv.fr, forces de l'ordre) recommandent de ne pas payer, pour plusieurs raisons :

• rien ne garantit que l'outil de déchiffrement sera fourni, ni qu'il fonctionnera sur toutes les données ;
• payer ne supprime pas la copie des données volées, que l'attaquant peut revendre ou publier quand même ;
• une organisation qui a payé est connue comme solvable et risque d'être attaquée à nouveau ;
• la rançon finance les groupes criminels et leurs prochaines attaques.

Avant tout, une victime doit vérifier si un outil de déchiffrement gratuit existe pour la famille de rançongiciel en cause : le projet No More Ransom, porté par Europol et des entreprises de sécurité, en recense sur nomoreransom.org.

Depuis la loi du 24 janvier 2023 (dite LOPMI), une entreprise victime ne peut être indemnisée par son assurance cyber que si elle a porté plainte au plus tard 72 heures après avoir eu connaissance de l'attaque (article L. 12-10-1 du Code des assurances).

Les sauvegardes, dernière ligne de défense

Contre un rançongiciel, la sauvegarde est la mesure qui transforme une catastrophe en incident pénible. Encore faut-il qu'elle survive à l'attaque. La règle de base est la règle 3-2-1 :

• 3 copies des données (l'original et deux sauvegardes) ;
• sur 2 supports différents (disque du serveur, NAS, bande, stockage en ligne) ;
• dont 1 hors site (dans un autre bâtiment ou chez un prestataire).

Face aux rançongiciels, on la complète souvent en 3-2-1-1-0 : au moins 1 copie hors ligne ou immuable (une bande retirée du lecteur, un stockage qui interdit toute modification pendant une durée fixée), et 0 erreur lors des tests de restauration.

Le RPO et le RTO appliqués au rançongiciel

Le RPO (perte de données maximale admissible) dépend de la fréquence des sauvegardes ; le RTO (durée maximale d'interruption admissible) dépend de la vitesse de restauration.

Exemple : Soléane sauvegarde le serveur de fichiers chaque soir à 21 h. Le rançongiciel est déclenché le jeudi à 16 h. Si la sauvegarde de mercredi soir est saine, Soléane perd tout ce qui a été produit entre mercredi 21 h et jeudi 16 h, soit 19 heures de travail. Si la direction n'accepte de perdre que 4 heures de données, il faut des sauvegardes (ou des clichés) plus fréquents.

Attention : si l'attaquant était présent depuis dix jours et a altéré des données, la dernière sauvegarde « saine » est peut-être bien plus ancienne. Conserver plusieurs générations de sauvegardes (par exemple 7 quotidiennes, 4 hebdomadaires, 12 mensuelles) permet de remonter avant la compromission.

Prévenir : les mesures qui comptent

Réagir : les premiers gestes

Le guide de l'ANSSI « Attaques par rançongiciels, tous concernés » et les fiches de Cybermalveillance.gouv.fr donnent la même conduite à tenir :

1. Isoler les machines touchées du réseau (câble, Wi-Fi), sans les éteindre si possible : la mémoire contient des traces utiles à l'enquête. Couper aussi les accès à distance.
2. Alerter le support informatique et le responsable de la sécurité, puis la direction. Activer la cellule de crise si elle existe.
3. Ne pas payer, et ne pas entrer en contact avec l'attaquant sans conseil.
4. Préserver les preuves : journaux, message de rançon, fichier chiffré d'exemple, copie des disques si possible.
5. Porter plainte (police, gendarmerie) et se faire assister : un prestataire référencé via 17Cyber, le CSIRT régional, ou l'ANSSI pour les organisations les plus sensibles.
6. Notifier la CNIL dans les 72 heures si des données personnelles ont pu être volées ou rendues indisponibles (article 33 du RGPD).
7. Reconstruire depuis des sauvegardes saines, après avoir trouvé et fermé la porte d'entrée, sinon l'attaquant revient.

Le chapitre 11 détaille les acteurs à contacter et les obligations légales.

Le même raisonnement en SLAM et en SISR

En SLAM, le code est aussi une porte d'entrée. Une dépendance npm ou Composer compromise peut embarquer un voleur d'informations dans l'application ; un secret (clé d'API, mot de passe de base de données) poussé par erreur sur un dépôt Git public donne un accès direct. Les parades : fichier de verrouillage des versions (package-lock.json, composer.lock), audit des dépendances (npm audit), secrets dans des variables d'environnement et jamais dans le dépôt, sauvegarde de la base de l'application avec la même règle 3-2-1 (sauvegarder une base MySQL).

En SISR, les parades se règlent dans l'infrastructure : stratégies de groupe qui bloquent les macros et l'exécution depuis les dossiers temporaires, mots de passe administrateur locaux uniques (Windows LAPS), comptes de sauvegarde hors du domaine, sauvegardes immuables, supervision des chiffrements massifs de fichiers sur le serveur de fichiers.

Pour aller plus loin. La réaction à une attaque par rançongiciel, heure par heure, est déroulée dans le chapitre Attaque par rançongiciel du cours Réponse à incident.

Exercices

Exercice 1 sur 4 Identifier le logiciel malveillant Réussi À revoir

Nomme la famille de logiciel malveillant.

1. Un logiciel de retouche photo « gratuit » téléchargé sur un forum installe en douce un programme qui permet à un inconnu de piloter le poste.
2. Un programme se répand seul sur tous les serveurs Windows non à jour du réseau, en exploitant une faille du partage de fichiers.
3. Un salarié découvre que des achats ont été faits avec son compte de paiement ; l'analyse montre qu'un programme a envoyé les mots de passe enregistrés dans son navigateur à un serveur étranger.
4. Toutes les données du serveur sont détruites, sans demande de rançon.

Voir la réponseMasquer la réponse de l'exercice 1

1. Un cheval de Troie qui installe un outil d'accès à distance (RAT, porte dérobée).
2. Un ver : il se propage sans action de l'utilisateur.
3. Un voleur d'informations (infostealer).
4. Un effaceur (wiper) : le but est le sabotage.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Critiquer une stratégie de sauvegarde Réussi À revoir

Soléane sauvegarde chaque nuit ses serveurs sur un NAS situé dans la même salle serveur, joint au domaine Active Directory. La sauvegarde n'a jamais été restaurée.

1. Cette stratégie respecte-t-elle la règle 3-2-1 ? Justifie.
2. Pourquoi est-elle inefficace contre un rançongiciel ?
3. Propose une stratégie corrigée.

Voir la réponseMasquer la réponse de l'exercice 2

1. Non. Il y a 2 copies (l'original et le NAS) au lieu de 3, et aucune copie hors site : un incendie de la salle serveur détruit tout.
2. Le NAS est joint au domaine et accessible en permanence : un attaquant qui obtient un compte d'administrateur du domaine le chiffre ou l'efface avec le reste. Et faute de test, rien ne prouve que la restauration fonctionne.
3. Par exemple : garder la sauvegarde nocturne sur le NAS (restauration rapide), le sortir du domaine avec un compte dédié ; ajouter une copie hors site (stockage en ligne ou NAS sur le site de Grenoble) avec immutabilité de 30 jours ; ou une copie hors ligne hebdomadaire sur disque ou bande retiré ; tester une restauration chaque mois et consigner le résultat. Cela donne 3 copies, 2 supports, 1 hors site, 1 hors ligne ou immuable, 0 erreur au test.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Calculer la perte de données Réussi À revoir

Le service comptable de Soléane travaille de 8 h à 18 h. L'ERP est sauvegardé chaque jour à 12 h 30 et à 20 h. Un rançongiciel chiffre le serveur le mardi à 11 h 15.

1. Quelle est la sauvegarde la plus récente utilisable, si elle est saine ?
2. Combien d'heures de saisie comptable sont perdues ?
3. La direction exige un RPO d'une heure. Que proposes-tu ?

Voir la réponseMasquer la réponse de l'exercice 3

1. La sauvegarde du lundi à 20 h (celle du mardi 12 h 30 n'a pas encore eu lieu).
2. Entre lundi 20 h et mardi 11 h 15, les comptables n'ont travaillé que de 8 h à 11 h 15 : 3 h 15 de saisie perdues. Toute la journée de lundi est protégée par la sauvegarde de 20 h.
3. Un RPO d'une heure impose une sauvegarde au moins toutes les heures pendant les heures de travail : sauvegardes incrémentales horaires, ou journaux de transactions de la base sauvegardés en continu, ou réplication vers un second serveur. Elles doivent elles aussi être protégées de l'attaquant (copie isolée).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Ordonner la réaction Réussi À revoir

Remets ces actions dans l'ordre où elles doivent être faites quand un poste de Soléane affiche un message de rançon : porter plainte ; débrancher le poste du réseau ; restaurer les fichiers depuis la sauvegarde ; prévenir le support informatique ; identifier par où l'attaquant est entré.

Voir la réponseMasquer la réponse de l'exercice 4

1. Débrancher le poste du réseau (sans l'éteindre), pour stopper la propagation.
2. Prévenir le support informatique, qui évalue l'étendue de l'attaque et alerte la direction.
3. Porter plainte (dans les 72 heures si l'entreprise veut être indemnisée par son assurance cyber).
4. Identifier par où l'attaquant est entré et fermer cette porte.
5. Restaurer depuis une sauvegarde saine. Restaurer avant d'avoir fermé la porte, c'est offrir à l'attaquant de recommencer.

Tu avais trouvé ?

Oui, j'avais bonPas encore