2021 risque d’être encore l’année du rançongiciel chiffrant et exfiltrant

Le concept de la prise d’otage informatique ne date pas d’hier, car beaucoup l’attribuent au Dr Joseph L. Popp, un biologiste américain qui, à ses heures perdues s’est lancé dans l’extorsion informatique en écrivant un logiciel malveillant en 1989 permettant de prendre en otage le PC contaminé par son fameux Trojan AIDS (également connu sous le nom de PC Cyborg) [1] et demandait une rançon de 189$ pour obtenir l’outil de réparation servant à restaurer le système d’exploitation. Pour un biologiste qui a fait de la prévention sur le virus du sida, c’était plutôt malin (ou pas) de le diffuser via une disquette intitulée « AIDS Information Introductory Diskette ». Après exécution, son logiciel malveillant pour DOS chiffrait le nom de l’ensemble des fichiers contenus sur le disque C:\ . À l’époque, le bitcoin n’existait pas et le Dr Popp a été rapidement arrêté. Jugé inapte mentalement lors de son procès, il a promis de reverser son butin pour financer la recherche contre le virus du sida.

Si depuis 2013, le rançongiciel chiffrant est vraiment « entré dans les mœurs », ces deux dernières années nous aurons vu l’explosion des rançongiciels qui chiffrent et exfiltrent les données de leurs victimes.
Le chantage est passé de « sors ton porte-monnaie si tu veux espérer récupérer tes données », à « sors ton porte-monnaie si tu ne veux pas que je publie les données que je t’ai chiffrées et volées ».
D’un côté, celui qui n’a pas de sauvegardes n’a plus qu’à attendre que les attaquants publient ses données pour les récupérer…

Trêve de plaisanterie, quelques jours avant Noël, le CERT-FR de l’ANSSI publiait un rapport [2] et des IOCs [3] sur le rançongiciel Egregor qui a déjà fait pas mal de victimes en France, même chez nous les bougnats, puisqu’une entreprise de montluçonnaise et une entreprise de Cournon ont vu leurs données chiffrées et rendues publiques. Aucun secteur n’est épargné, industrie, presse, énergie, cabinet comptable, hôtelerie, informatique, assurance… comme la santé, puisque les attaquants ne semblent pas avoir de scrupules à publier les données siphonnées à cet établissement de santé saoudien :

On retrouve bien évidemment des données de santé, mais aussi des copies de pièces d’identité de patients :

On notera, une fois de plus que les attaquants, dés lors qu’ils ont un pied dans le SI, visent directement le saint Graal : l’annuaire Active Directory ! En complément des informations publiées par l’ANSSI, je vous recommande le rapport d’Intrinsec sur le sujet [4].

Les « confrères » de chez Conti, ne se privent pas, eux non plus pour publier des données de santé soustraites à un important groupe de cliniques américain :

Ou encore des informations relatives au personnel de l’établissement :

Avec des informations sensibles telles que la présence d’informations sur le casier judiciaire des employés :

Le tout en accès libre sur le serveur d’un hébergeur français.

L’écosystème « ransomware as a service » se porte bien et les victimes ne manquent pas… Encore récemment, le CH d’Albertville [5], la société pharmaceutique Fareva [6] mais aussi la société Econocom [7] en ont fait les frais...

[1] https://en.wikipedia.org/wiki/AIDS_(Trojan_horse)

[2] https://www.cert.ssi.gouv.fr/cti/CERTFR-2020-CTI-012/

[3] https://www.cert.ssi.gouv.fr/ioc/CERTFR-2020-IOC-006/

[4] https://www.intrinsec.com/egregor-prolock/

[5] https://www.francebleu.fr/infos/societe/l-hopital-d-albertville-est-victime-d-une-cyberattaque-1608729976

[6] https://www.zdnet.fr/actualites/sante-le-fabricant-pharmaceutique-fareva-bloque-par-une-cyberattaque-39915609.htm

[7] https://www.lemondeinformatique.fr/actualites/lire-babuk-ouvre-le-bal-des-ransomwares-2021-81560.html