Un ransomware peut crypter les données du cloud

Les ransomwares sont aussi petits qu’un grain de sable : ils sont partout. Et ils peuvent chiffrer bien plus que vous ne le pensez. La destruction de vos fichiers personnels est une grande perte, mais lorsque Ransomware attaque vos copies, cette douleur augmente encore plus.

Il existe plusieurs variantes de ransomwares qui attaquent non seulement les disques durs mais également d’autres lecteurs système, et les lecteurs cloud ne sont pas non plus hors de leur vue. Il est donc temps pour vous de vérifier exactement ce que sont les sauvegardes de fichiers ainsi que l'endroit où les copies sont conservées.

Des attaques de ransomware partout

Nous savons qu’une attaque de ransomware peut être dévastatrice. Les ransomwares constituent un obstacle particulier car leurs fichiers cibles sont des images, de la musique, des films et des documents de toutes sortes. Votre disque dur contient des fichiers personnels, professionnels et professionnels qui sont des cibles privilégiées pour le cryptage. Une fois crypté, vous verrez un message de rançon exigeant un paiement – ​​généralement en Bitcoin difficile à retracer – pour la libération en toute sécurité de vos fichiers.

Et même dans ce cas, rien ne garantit que vous recevrez le mot de passe de cryptage ou l'outil de décryptage.

CryptoLocker

CryptoLocker est une variante du ransomware de chiffrement qui peut chiffrer plusieurs de vos disques durs. Il est apparu pour la première fois en 2013, se propageant via des pièces jointes infectées. Lorsque CryptoLocker est installé sur un ordinateur, il peut analyser le disque dur à la recherche d'une liste spécifique d'extensions de fichiers. De plus, il analyse tous les lecteurs connectés à la machine, qu'ils soient USB ou réseau.

Un lecteur réseau avec accès en lecture/écriture sera crypté tout comme un disque dur. C'est un défi pour les entreprises où les employés accèdent à des dossiers réseau partagés.

Heureusement, les chercheurs en sécurité ont publié une copie de la base de données des victimes de CryptoLocker et ont fait correspondre chaque cryptage. Ils ont créé le portail Decrypt CryptoLocker pour aider les victimes à décrypter leurs fichiers.

Évolution : CryptoFortress

CryptoLocker est apparu et a affirmé avoir fait 500 000 victimes. Selon Keith Jarvis de Dell SecureWorks, CryptoLocker pourrait avoir reçu 30 millions de dollars au cours des 100 premiers jours suivant l'opération d'extorsion (ce montant irait jusqu'à 150 millions de dollars si chaque victime payait 300 dollars de rançon). Cependant, la suppression de CryptoLocker ne constitue pas le début de la prévention des ransomwares de mappage de pilotes réseau.

CryptoFortress a été découvert en 2015 par le chercheur en sécurité Kafein. Il a l'apparence et l'approche de TorrentLocker mais l'une des avancées clés ; il peut chiffrer les pilotes réseau non mappés.

Généralement, un ransomware récupère une liste de lecteurs réseau mappés, par exemple C:, D:, E:, etc. Il analyse ensuite les lecteurs, compare les extensions de fichiers puis les chiffre. Chiffrez les fichiers correspondants. De plus, CryptoFortress énumère tous les partages réseau SMB (Server Message Block) ouverts et crypte tous ceux qu'ils trouvent.

Verrouillage

Locky est une autre variante du ransomware, célèbre pour changer des fichiers individuels en .locky, ainsi qu'en wallet.dat - le portefeuille de Bitcoin. Locky cible également les fichiers sur les ordinateurs ou les fichiers sur des partages réseau non mappés, modifiant ainsi les fichiers au cours du processus. Ce chaos rend le processus de rétablissement plus difficile.

De plus, Locky n'a pas de décodeur.

Ransomwares sur le Cloud

Les ransomwares contournent la mémoire physique du réseau et de l’ordinateur, et transcendent également les données du cloud. C'est un problème important. Le stockage dans le cloud est souvent présenté comme l'une des options de sauvegarde les plus sûres, gardant vos données sauvegardées à l'écart des partages réseau internes, créant ainsi une isolation contre les dangers environnants. Mais malheureusement, les variantes du ransomware ont contourné cette sécurité.

Selon le rapport State of the Cloud de RightScale, 82 % des entreprises utilisent une stratégie multi-cloud. Et une autre étude (ebook Slideshare) réalisée par Intuit montre que d'ici 2020, 78 % des petites entreprises utiliseront les fonctionnalités du cloud. Ce changement radical de la part des entreprises, grandes et petites, fait des services cloud une cible privilégiée pour les fournisseurs de ransomwares.

Ransom_Cerber.cad

Les fournisseurs de logiciels malveillants trouveront un moyen de contourner ce problème. L’ingénierie sociale et le phishing par courrier électronique sont des outils clés qui peuvent être utilisés pour contourner les contrôles de sécurité robustes. Les chercheurs en sécurité de Trend Micro ont découvert une variante spéciale du ransomware appelée RANSOM_CERBER.CAD. Il est destiné aux utilisateurs particuliers et professionnels de Microsoft 365, du cloud computing et des plateformes de productivité.

La variante Cerber peut crypter 442 types de fichiers en utilisant une combinaison d'AES-265 et RSA, modifier les paramètres de la zone Internet Explorer sur l'ordinateur, supprimer les clichés instantanés, désactiver la réparation du démarrage de Windows et mettre fin aux programmes Outlook, The bat !, Thunderbird et Microsoft Word.

De plus, et c'est un comportement présenté par d'autres variantes de ransomware, Cerber interroge l'emplacement géographique du système affecté. Si le système hôte est membre de la Communauté des États indépendants (pays de l’ancienne Union soviétique comme la Russie, la Moldavie et la Biélorussie), le ransomware se terminera automatiquement.

Le cloud comme outil de contamination

Le ransomware Petya est apparu pour la première fois en 2016. Quelques éléments notables à propos de cette variante sont tout d'abord que Petya peut crypter l'intégralité du Master Boot Record (MBR) d'un ordinateur personnel, provoquant le crash du système. Cela rend l’ensemble du système inutilisable. Puis, au redémarrage, la demande de rançon Petya s'est affichée à la place, avec une image d'un crâne et une demande de paiement en Bitcoin.

Deuxièmement, Petya s'est propagé sur plusieurs systèmes via un fichier infecté stocké sur Dropbox, se faisant passer pour un résumé. Le lien est déguisé en détails de l'application, alors qu'il renvoie en réalité à un fichier exécutable auto-extractible pour installer le ransomware.

Heureusement, un programmeur anonyme a trouvé un moyen de déchiffrer le cryptage de Petya. Cette méthode est capable de détecter la clé de cryptage nécessaire pour déverrouiller le MBR et libérer les fichiers capturés.

L’utilisation de services cloud pour propager des ransomwares est compréhensible. Les utilisateurs ont été encouragés à utiliser des solutions de stockage cloud pour sauvegarder les données, car elles offrent une couche de sécurité supplémentaire. La sécurité est la clé du succès des services cloud. Pourtant, la confiance des utilisateurs dans la sécurité du cloud peut être exploitée à de mauvaises fins.

En bref

Le stockage dans le cloud, les pilotes réseau mappés ou non et les fichiers système restent vulnérables aux ransomwares. Ce n’est plus une nouveauté. Cependant, les distributeurs de logiciels malveillants ciblent activement les fichiers de sauvegarde, augmentant ainsi le niveau d'anxiété des utilisateurs. Au contraire, des précautions supplémentaires doivent être prises .

Les utilisateurs particuliers et professionnels doivent sauvegarder leurs fichiers importants sur des disques durs amovibles. Agir maintenant est l’action qui vous aidera à récupérer votre système après une infection indésirable par un ransomware provenant d’une source non fiable.