Des groupes prolifiques de ransomwares activent intentionnellement le chiffrement à distance pour les attaques, selon Sophos

Les attaquants augmentent leur utilisation des ransomwares à distance de 62 % chaque année, sur la base des attaques détectées et stoppées par la technologie Sophos CryptoGuard.

OXFORD, Royaume-Uni, 20 décembre 2023 (GLOBE NEWSWIRE) — Sophos, un leader mondial de l'innovation et de la fourniture de cybersécurité en tant que service, a publié aujourd'hui un rapport intitulé « CryptoGuard : Une approche asymétrique de la bataille contre les ransomwares », qui révèle que Certains des groupes de ransomwares les plus prolifiques et actifs, notamment Akira, ALPHV/BlackCat, LockBit, Royal et Black Basta, activent délibérément le cryptage à distance pour leurs attaques. Dans les attaques de chiffrement à distance, également appelées ransomwares à distance, les adversaires exploitent un point de terminaison compromis et souvent sous-protégé pour chiffrer les données sur d'autres appareils connectés au même réseau.

Sophos CryptoGuard est la technologie anti-ransomware acquise par Sophos en 2015* et incluse dans toutes les licences Sophos Endpoint. CryptoGuard surveille le cryptage malveillant des fichiers et offre des capacités de protection et de restauration immédiates, y compris lorsque le ransomware lui-même n'apparaît jamais sur un hôte protégé. La technologie anti-ransomware unique constitue une dernière ligne de défense dans la protection des points de terminaison par couches de Sophos, ne s'activant que si un adversaire la déclenche plus tard dans la chaîne d'attaque. CryptoGuard a détecté une augmentation de 62 % d’une année sur l’autre des attaques intentionnelles de chiffrement à distance depuis 2022.

« Les entreprises peuvent avoir des milliers d’ordinateurs connectés à leur réseau, et avec les ransomwares à distance, il suffit d’un seul appareil sous-protégé pour compromettre l’ensemble du réseau. Les attaquants le savent, c’est pourquoi ils recherchent ce « point faible » – et la plupart des entreprises en ont au moins un. Le chiffrement à distance va rester un problème récurrent pour les défenseurs et, sur la base des alertes que nous avons vues, la méthode d'attaque est en constante augmentation », a déclaré Mark Loman, vice-président de la recherche sur les menaces chez Sophos et co-créateur de CryptoGuard. .

Étant donné que ce type d'attaque implique le chiffrement de fichiers à distance, les méthodes de protection anti-ransomware traditionnelles déployées sur les appareils distants ne « voient » pas les fichiers malveillants ni leur activité, ne parvenant pas à les protéger contre un chiffrement non autorisé et une perte potentielle de données. La technologie Sophos CryptoGuard adopte cependant une approche innovante pour arrêter les ransomwares à distance, comme expliqué dans l'article Sophos X-Ops : analyser le contenu des fichiers pour voir si des données ont été chiffrées pour détecter l'activité du ransomware sur n'importe quel appareil d'un réseau, même si il n'y a aucun malware sur l'appareil.

En 2013, CryptoLocker a été le premier ransomware prolifique à utiliser le chiffrement à distance avec chiffrement asymétrique, également connu sous le nom de cryptographie à clé publique. Depuis lors, les adversaires ont pu intensifier l’utilisation des ransomwares, en raison des failles de sécurité omniprésentes et persistantes dans les organisations du monde entier et de l’avènement des cryptomonnaies.

« Lorsque nous avons remarqué pour la première fois que CryptoLocker profitait du cryptage à distance il y a 10 ans, nous avions prévu que cette tactique allait devenir un défi pour les défenseurs. D'autres solutions se concentrent sur la détection de binaires malveillants ou sur leur exécution. Dans le cas du chiffrement à distance, le logiciel malveillant et son exécution résident sur un ordinateur différent (non protégé) de celui sur lequel les fichiers sont chiffrés. La seule façon de l’arrêter est de surveiller les fichiers et de les protéger. C'est pourquoi nous avons innové CryptoGuard », a déclaré Loman.

« CryptoGuard ne recherche pas les ransomwares ; au lieu de cela, il se concentre sur les cibles principales : les fichiers. Il applique un examen mathématique aux documents, détectant les signes de manipulation et de cryptage. Notamment, cette stratégie autonome ne dépend délibérément pas d’indicateurs de violation, de signatures de menaces, d’intelligence artificielle, de recherches dans le cloud ou de connaissances préalables pour être efficace. En nous concentrant sur les fichiers, nous pouvons modifier le rapport de force entre les attaquants et les défenseurs. Nous augmentons le coût et la complexité pour les attaquants de réussir à chiffrer les données, de sorte qu'ils abandonnent leurs objectifs. Cela fait partie de notre stratégie d’approche de défense asymétrique.

« Les ransomwares à distance constituent un problème majeur pour les organisations et contribuent à la longévité des ransomwares en général. Étant donné que la lecture des données sur une connexion réseau est plus lente que sur un disque local, nous avons vu des attaquants, comme LockBit et Akira, chiffrer stratégiquement seulement une fraction de chaque fichier. Cette approche vise à maximiser l’impact en un minimum de temps, réduisant encore davantage la fenêtre permettant aux défenseurs de remarquer l’attaque et de répondre. L'approche de Sophos en matière de technologie anti-ransomware bloque à la fois les attaques à distance et celles qui chiffrent seulement 3 % d'un fichier. Nous espérons informer les défenseurs de cette méthode d'attaque persistante, afin qu'ils puissent protéger correctement les appareils.

Pour plus d’informations, lisez « CryptoGuard : Une approche asymétrique de la bataille contre les ransomwares » sur Sophos.com.

*Note éditoriale

En savoir plus sur

À propos de Sophos

Sophos est un leader mondial et un innovateur en matière de solutions avancées de cybersécurité, notamment des services gérés de détection et de réponse (MDR) et de réponse aux incidents, ainsi qu'un large portefeuille de technologies de sécurité des points finaux, des réseaux, de la messagerie électronique et du cloud qui aident les organisations à vaincre les cyberattaques. En tant que l'un des plus grands fournisseurs de cybersécurité, Sophos défend plus de 500 000 organisations et plus de 100 millions d'utilisateurs dans le monde contre les adversaires actifs, les ransomwares, le phishing, les logiciels malveillants et bien plus encore. Les services et produits Sophos se connectent via sa console de gestion Sophos Central basée sur le cloud et sont optimisés par Sophos X-Ops, l'unité de veille sur les menaces inter-domaines de l'entreprise. L’intelligence Sophos X-Ops optimise l’ensemble de l’écosystème de cybersécurité adaptative Sophos, qui comprend un lac de données centralisé qui exploite un riche ensemble d’API ouvertes disponibles pour les clients, partenaires, développeurs et autres fournisseurs de cybersécurité et de technologies de l’information. Sophos propose une cybersécurité en tant que service aux organisations qui ont besoin de solutions de sécurité clé en main entièrement gérées. Les clients peuvent également gérer leur cybersécurité directement avec la plateforme d'opérations de sécurité de Sophos ou utiliser une approche hybride en complétant leurs équipes internes avec les services de Sophos, notamment la recherche des menaces et la remédiation. Sophos vend ses produits par l'intermédiaire de partenaires revendeurs et de fournisseurs de services gérés (MSP) dans le monde entier. Sophos a son siège à Oxford, au Royaume-Uni. De plus amples informations sont disponibles sur www.sophos.com.

CONTACT : Contact : Samantha Powers,