Des plateformes fournissent les cybercriminels en logiciels d'attaque, moyennant un abonnement mensuel

Un travail d'équipe

Si certaines pratiques cybercriminelles sont "interdites", c'est parce que les cybercriminels travaillent rarement seuls. Et que la collectivité décide des pratiques illégales "encouragées" ou non.

Le ransomware est par exemple l'une des pratiques les plus utilisées par les cybercriminels en Belgique. "Le nombre d'attaques a augmenté de 11 % l'année dernière par rapport à 2023", précise en effet Check Point. Cette pratique consiste à voler des données personnelles afin de les crypter et de demander une rançon contre la clef de décryptage. Et les groupes ransomware dépendent fortement de leur réputation. "Les victimes doivent croire qu'elles récupéreront leurs données si elles paient. Mais si le déverrouillage échoue, cette confiance disparaît et les futures victimes sont moins susceptibles de payer la rançon", explique Check Point. C'est pour cela que les cybercriminels font appel à des opérateurs, appelés plateformes de Ransomware-as-a-Service (RaaS).

Ces plateformes écrivent les logiciels malveillants qui permettent de voler et crypter les données de victimes. Et les cybercriminels, abonnés à ces plateformes comme un particulier le serait à une plateforme de streaming, disposent du droit de lancer des attaques à l'aide de ces logiciels. Le prix de l'affiliation varie, mais la société de logiciels IBM parle d'abonnements à 40 dollars par mois. Parmi ces opérateurs, on compte Ryuk. Responsable de près d'un tiers des infections par ransomware, il a permis de dérober environ 150 millions de dollars à des victimes. REvil est également une source particulièrement virulente de ransomware, "concurrent" direct de Ryuk en matière de gravité des attaques.

"Avec le RaaS, il suffit donc de souscrire à un service pour lancer des attaques de ransomware, même sans disposer de connaissances techniques pointues", explique IBM. "Des kits RaaS permettent à des cybercriminels qui n'ont pas les compétences ou le temps nécessaires pour développer leurs propres variantes de ransomware, d'être opérationnels rapidement, à un coût abordable. Ils sont proposés sur le Dark Web à grand renfort de publicités, semblables à celles que l'on peut voir sur le Web légitime pour des produits classiques."

Ces opérateurs de Ransomware-as-a-Service (RaaS) seraient responsables de 20 % de tous les cybercrimes recensés en 2024 dans le monde par IBM, et ce, dans 130 pays observés. Ils dictent également les pratiques encouragées ou interdites. Le groupe de ransomware ALPHV, notamment, "a ouvertement encouragé ses affiliés à cibler précisément les hôpitaux" après avoir subi "une opération des forces de l'ordre".

Évolution des pratiques

En Belgique, le secteur des soins de santé a été le deuxième secteur le plus attaqué au cours des six derniers mois (2 668 attaques par semaine), après les fournisseurs de logiciels (3 314 attaques par semaine). "En troisième position, on retrouve les institutions financières (2 535 attaques par semaine)", complète Check Point dans son rapport. Ajoutant que "les attaquants changent de tactique".

Si le ransomware "traditionnel" utilise le chiffrement de fichiers pour demander une rançon en échange de leur déverrouillage, ce processus pose de plus en plus de problèmes aux cybercriminels. "Le chiffrement est techniquement complexe et attire l'attention des systèmes de sécurité, ce qui augmente le risque de détection. En outre, les groupes de ransomware doivent gérer des clés uniques pour plusieurs victimes et fournir un 'service client' pour la récupération des données. Un processus long et coûteux", explique encore Check Point.

Les cybercriminels se concentrent donc désormais "sur le vol de données sensibles et la menace de les divulguer, plutôt que sur le chiffrement des fichiers". C'est ce que l'on nomme des extorsions basées uniquement sur l'exfiltration de données (DXF). "Le passage à l'extorsion de fuites de données entraîne un risque encore plus insidieux : les organisations ne sont plus seulement confrontées à des perturbations opérationnelles, mais aussi à l'exposition publique de données sensibles", déplore Omer Dembinsky, responsable du groupe de recherche sur les données chez Check Point.