Vendredi 27 septembre 2024. 17 H 30, entreprise Actson

Distrait depuis quelques minutes par un reportage radiophonique sur l’usage de la « vidéosurveillance algorithmique » lors des JO¹, Dylan, comptable chez Actson, une PME de services installée non loin d’Angers (Maine et Loire, France)², constate avec stupeur qu’il n’a plus la main sur ses logiciels métiers.

Un message s’affiche en rouge sur fond noir : « All your files have been encrypted ! ». En contrepartie d’une clé de déchiffrement, une rançon de 0,3743 bitcoins (15 000 euros) est exigée. Un compte à rebours égrène le temps qui reste : 34 h 58m 40s, 34 h 58m 39s…

Nous sommes manifestement en présence d’une cyberattaque que l’Agence nationale de la sécurité des systèmes d’information (ANSSI), l’autorité́ française en matière de cybersécurité́ et de cyberdéfense³, définit comme une attaque qui vise à « porter atteinte à un ou plusieurs systèmes informatiques dans le but de satisfaire des intérêts malveillants »⁴. Cette action individuelle ou collective délibérée consiste à compromettre l’intégrité, la confidentialité ou la disponibilité d’un système informatique d’une personne, d’une entreprise publique, une entreprise privée lucrative ou non (association), un État⁵.

Spontanément, Dylan consulte sa fiche « rançongiciel » affichée à proximité de son poste de travail⁶ puis déconnecte son ordinateur du réseau et d’internet afin d’éviter la propagation d’un potentiel virus malveillant et appelle son patron qui contacte à son tour le responsable informatique ainsi que l’équipe des techniciens. Muni de son plan de reprise d’activité (PRA), des procédures organisationnelles, techniques et de sécurité, misent à jour régulièrement, qui permettent de rétablir le système d’information, le chef d’entreprise, rapidement sur site, a également en main le plan de continuité d’activité (PCA) décrivant la stratégie à adopter pour maintenir l’activité durant des circonstances inhabituelles⁷. Il faut garder la tête froide, s’entourer de personnes de confiance, compétentes, et agir avec méthode. La tension est palpable, il règne un mélange de sidération et de colère, le tout imprégné d’un sentiment de violation. Ce ressenti persistera chez certaines personnes sous la forme d’une frustration, une perte de confiance. En cas extrême, cette expérience peut produire un syndrome post traumatique qui va se traduire par des mécanismes d’hypervigilance et de défense exacerbées⁸, une réminiscence ravageante pour le sujet. L’oppression est renforcée par le compte à rebours qui vise à déstabiliser les responsables de l’entreprise en vue d’obtenir le paiement⁹.

Dans l’immédiat, il faut appeler le prestataire informatique et l’ANSSI afin d’identifier au plus vite la nature de la souche virale.

I / Cadres législatif et réglementaire

Dans le cadre du Règlement général sur la protection des données (RGPD) (art. 33), il faut notifier l’attaque à la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures si des données personnelles sont en jeu (le plus souvent). Lorsque les responsables de l’entreprise ont une clause cyber avec son assureur, depuis le 25 avril 2023, avec la loi d’orientation et de programmation du ministère de l’Intérieur (LOMPI) du 24 janvier 2023 (art. 5), ils doivent également déposer une plainte auprès du procureur de la République dans les 72 heures après connaissance de l’atteinte pour obtenir une indemnisation¹⁰. Si pour certains experts, la cyberassurance s’inscrit dans la résilience économique face au risque cyber¹¹, pour d’autres, elle entre en contradiction avec l’investissement dans la sécurité qui a pour objectif de réduire la « surface de vulnérabilité » des entreprises. L’assurance cyber donnerait l’impression aux entreprises qu’elles peuvent payer la rançon, les frais étant pris en charge par l’assurance, ce qui favoriserait en retour un relâchement en matière de prévention¹². La prise en charge de la rançon par l’assurance ne va-t-elle pas générer un « effet d’aubaine » chez les cyberattaquants, encourager le passage à l’acte en ayant la certitude qu’ils vont être payés ?

L’ANSSI, quant à elle, préconise de ne pas négocier avec les cyberdélinquants et a fortiori de ne pas payer la rançon¹³. Dans le cas d’un rançongiciel en tant que service (ransomware as a service /RaaS), un business model dans lequel le développeur n’est pas l’attaquant, rien ne garantit en effet l’intégrité des données restituées.  40 % des entreprises ayant subi une attaque de type ransomware en 2022 n’auraient pas récupéré leurs données. Il faut préciser par ailleurs que le paiement de la rançon n’empêche pas d’être ciblé à nouveau. En 2022, 36 % des entreprises qui avaient payé la rançon avaient été frappées une deuxième fois¹⁴. S’il y a une réticence naturelle à communiquer sur une cyberattaque en raison de l’impact négatif sur le business, l’entreprise doit cependant le faire rapidement pour rassurer. Il est suggéré de prévenir dans l’ordre ses collaborateurs, les parties prenantes (actionnaires), ses partenaires économiques, les prestataires, les clients et la presse. L’objectif : couper l’herbe sous le pied aux fuites, reprendre la main, un certain contrôle¹⁵.

II / Mode opératoire

Dans le cas d’Actson, on peut faire l’hypothèse que l’intrusion dans le « système d’information » s’est faite par le biais du « facteur humain ». Il faut distinguer le système d’information du système informatique. Le système d’information est plus global et incorpore le système technique, informatique, mais aussi le structurel, c’est-à-dire l’humain dans ses dimensions individuelle (psychologique) et organisationnelle¹⁶.

Comme dans un grand nombre de cas, la cyberintrusion est associée ici à un hameçonnage ciblé d’un collaborateur grâce à des informations « blanches », c’est-à-dire disponibles sur internet.

L’action a consisté, par exemple, à usurper l’identité du chef d’entreprise, figure de confiance, puis aiguiser la curiosité d’un membre du personnel au moyen d’un mail contenant une demande intrigante enjoignant d’ouvrir une pièce jointe infectée de type Word : « Pourriez-vous prendre connaissance de ce document et le valider ? ». Au travers une technique dite d’« ingénierie sociale »¹⁷, il s’agit d’ouvrir une brèche dans le dispositif informationnel en utilisant une vulnérabilité humaine (curiosité, mais aussi conformité, biais cognitif)¹⁸. Le cybercriminel peut aussi agir de manière impersonnelle grâce à une ingénierie sociale de type « 2.0 » automatisée. Que l’attaque soit ciblée ou non, en ouvrant un courrier et en cliquant sur un fichier infecté, la personne participe à son corps défendant à l’introduction de lignes de code dans le système informatique qui vont contribuer à télécharger le rançongiciel (ransomware). Juste retour des choses, la psychologie du cybercriminel est elle-même instrumentalisée pour prédire la menace et contre-attaquer¹⁹

III / Origines des rançongiciels

Contre-intuitivement, l’extorsion numérique n’est pas historiquement associée au Web (une application d’internet née en 1989, qui a lui-même été inventé en 1983). Elle a été préfigurée par l’envoi de 20 000 disquettes aux participants de la conférence de l’Organisation mondiale de la santé sur le SIDA qui se tenait à Stockholm en 1989²⁰. Développées par Joseph Popp (1950-2006), un anthropologue et zoologue docteur de l’Université d’Harvard, ces disquettes comprenaient un logiciel contenant une base de données interactive sous forme de questionnaire sur le SIDA et une fonction cachée nommée AIDS Troyan (cheval de Troie). Après quatre-vingt-dix démarrages, ce dispositif masquait les répertoires et cryptait les noms des fichiers, rendant le système inutilisable. Un message enjoignait l’utilisateur à renouveler sa licence moyennant l’envoi de 189 dollars à la société PC Cyborg Corporation située au Panama. Interpellé à Amsterdam, relâché, puis à nouveau arrêté aux États-Unis et extradé au Royaume-Uni, Joseph Popp sera finalement reconnu inapte à suivre un procès²¹.

IV / Contexte cyber

Avec l’interconnectivité généralisée, l’hypermédiatisation, l’interpénétration des systèmes d’information et informatique, le développement du télétravail, les failles techniques et humaines des entreprises et autres organisations se démultiplient et avec elles la « surface de vulnérabilité ». A cela, il faut ajouter la « démocratisation » de la cyberdélinquance avec des attaques menées par de jeunes pirates (script kiddies) qui utilisent des outils prêts à l’emploi avec des connaissances limitées (rançongiciel en tant que service) ainsi que le développement des crypto-monnaies²².

En 2021, le cumul de l’extorsion numérique, du sabotage et de l’espionnage aurait rapporté 6000 milliards de dollars. Avec une augmentation annuelle de 15 %, cette somme pourrait atteindre 10 000 milliards de dollars en 2025²³, soit l’équivalent de la troisième économie mondiale derrière les États-Unis – 21 000 milliards de dollars – et la Chine – 14 000 milliards de dollars²⁴. A lui seul, l’usage des rançongiciels aurait permis de gagner 457 milliards de dollars en 2022²⁵.

Dans le cadre de l’opération « Endgame », entre le 27 et 29 mai, Europol aurait démantelé plus de 100 serveurs et procédé à quatre interpellations en Arménie et en Ukraine. L’Unité de coopération judiciaire de l’Union européenne (Eurojust), chargée de renforcer la coopération judiciaire entre les États membres (enquêtes, poursuites), précise que les suspects avaient amassé au moins 69 millions d’euros en cryptomonnaie depuis 2022 en déployant des rançongiciels²⁶.

En écho avec le conflit russo-ukrainien, la porosité entre acteurs étatiques et cybercriminalité et l’usage de rançongiciels se recoupent à des fins de déstabilisation (ransomware Asov)²⁷ et d’espionnage stratégique (exfiltration de données).

Entre juillet et septembre, les Jeux Olympiques et Paralympiques ont généré un regain d’attaques du fait de l’extension de la surface d’exposition pour couvrir l’évènement. Une surface d’exposition constituée de l’interconnexion d’un patchwork de systèmes d’information d’acteurs aux niveaux de sécurité hétérogènes²⁸.

V / L’analyse forensique (J+1)

Revenons à Actson. L’analyse forensique (du latin « lieu de jugement »), autrement nommée investigation numérique, effectuée par le prestataire informatique, qui vise à rechercher et analyser des indices, a permis d’identifier la présence d’un crypto rançongiciel nommé Ryuk. Est-ce un clin d’œil au dieu de la mort (shinigami) dans le manga Death Note ? Bien qu’il ne soit plus d’actualité, c’est à dessein que nous avons utilisé Ryuk car il est emblématique et bien documenté. Depuis mars, la menace s’est renouvelée avec Eldorado²⁹.

Utilisé contre les entreprises privées lucratives, les collectivités territoriales (communes, départements, régions), les hôpitaux, Ryuk aurait généré, entre février 2018 et octobre 2019, entre 61³⁰ et 150 millions de dollars en 2021 selon le FBI³¹. Observé pour la première fois en 2018, il serait une variante d’Hermes 2.1, un logiciel d’extorsion vendu 300 dollars sur le forum exploit.in par le groupe criminel CrypoTech³². Doté d’une capacité de déplacement latéral qui lui permet de passer d’un « actif » à un autre³³, Ryuk injecte des lignes de codes qui vont exécuter la « charge utile », ici un chiffrement³⁴. Lorsque la signature virale est connue, le site No More Ransom permet parfois d’obtenir des outils de déchiffrement³⁵.

A ce stade de l’enquête (J+1), selon le prestataire informatique, rien ne permet de dire qu’il s’agisse d’une cyberattaque de type rançongiciel en tant que service. De même, l’exfiltration de données sensibles pouvant donner lieu à un chantage par affichage sur le darknet n’a pas été constatée. Comment anticiper la menace ? L’Agence nationale de la sécurité des systèmes d’information (ANSSI) préconise l’« hygiène informatique ».

VI / Hygiènes informatique, informationnelle et intelligence artificielle

Non exhaustives, voici quelques règles simples à appliquer pour anticiper la menace³⁶.

• Réaliser une cartographie du système informatique comprenant le matériel, les logiciels et les données afin de prendre conscience de la surface de vulnérabilité
• Formaliser et maintenir à jour les habilitations individuelles
• Afficher des fiches réflexes du type ANSSI portant sur les rançongiciels, l’hameçonnage, le déni de service qui auront été utilisées lors d’exercices
• Effectuer des sauvegardes automatiques externes des données
• Mettre à jour automatiquement des correctifs logiciels
• Déployer et mettre à jour automatiquement l’antivirus (messagerie), le pare feu (internet) et le VPN (chiffrement des communications)
• Utiliser des mots de passe robustes (9 à 12 caractères). A cet égard, pourquoi ne pas utiliser un générateur automatique ?
• Mettre en place un accès cloisonné au système informatique (avec privilèges)
• Contractualiser une couverture assurantielle ; pré remplir la plainte
• Anticiper une cellule de crise
• Réaliser un plan de continuité d’activité (PCA) et de reprise d’activité (PRA), les mettre à jour régulièrement, les tester sous la forme d’exercices

Dans une dimension informationnelle, il faut en effet anticiper la menace en organisant des serious game permettant une confrontation directe non seulement aux failles techniques, informatiques mais aussi structurelles, psychologiques, tester les plans de reprise d’activité (PRA) et de continuité d’activité (PCA) de manière réaliste afin de travailler la perception technique et émotionnelle du risque, produire des réflexes³⁷.

Outre « l’hygiène informatique » et informationnelle, la réplique s’incarne également avec l’intelligence artificielle et l’EDR pour Endpoint detection and response. Fonctionnant par points de référence, ce dispositif se distingue des antivirus basés sur la détection de signatures connues en repérant et contrant des activités suspectes furtives comme des « déplacements dits latéraux » liés à des « menaces persistantes avancées » (Advanced Persistent Threat/APT), c’est-à-dire des attaques discrètes qui visent à s’implanter durablement dans le système informatique pour surveiller et exfiltrer des données. Le 19 juillet dernier, une mise à jour défectueuse de l’EDR de l’éditeur Crowdstrike a provoqué une panne informatique à l’échelle planétaire sur les systèmes Microsoft Windows³⁸. Une situation de crise immédiatement exploitée par des cyberattaquants sous la forme d’un hameçonnage, de fausses pages d’informations et d’incitations à l’installation de logiciels malveillants³⁹.

* Bien qu’étayé par des documents émanant de sources fiables, ce scénario reste une fiction. Aussi, pour une information complémentaire, il faut consulter le site de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) : https://www.ssi.gouv.fr/