Défendre la surface d'attaque en expansion: Rapport semestriel sur la cybersécurité Trend Micro 2022

Les détections d'Emotet ont été multipliées par plus de 10 au premier semestre 2022 par rapport au premier semestre de l'année précédente, probablement car des acteurs malveillants prolifiques l'utilisent dans le cadre de leurs opérations.
Source : Trend Micro Smart Protection Network

Les pays possédant le plus grand nombre de détections d'Emotet au premier semestre 2022
Source : Trend Micro Smart Protection Network

En plus de monter la barre en utilisant des schémas MaaS dans leurs attaques, les acteurs malveillants étendent également en permanence la portée de leurs attaques en ciblant l'un des systèmes d'exploitation les plus puissants utilisés dans les plateformes et serveurs cloud du monde entier : Linux.

En octobre 2021, LockBit Linux-ESXi Locker version 1.0 commencé à cibler et à chiffrer les serveurs ESXi. Cette année, nous avons découvert une nouvelle variante de ransomware, nommée Cheerscrypt, qui ciblait également les serveurs ESXi. Une infection réussie de ces serveurs, qui sont largement utilisés par les entreprises, pourrait entraîner d'importants problèmes de sécurité dans des infrastructures stratégiques. L'émergence de ces nouvelles familles de ransomware Linux correspond parfaitement à ce que nous avons prévu dans nos données SPN du premier semestre : une augmentation de 75 % des attaques de ransomware ciblant les systèmes Linux au premier semestre 2022 par rapport au premier semestre 2021.

Une comparaison semestrielle des nombres de détection de ransomware pour les machines basées sur Linux
Source : Trend Micro Smart Protection Network

Plus rationalisé que les modèles de ransomware classiques, le système RaaS permet aux acteurs malveillants, y compris ceux qui n'ont pas de connaissances techniques importantes, de déployer des attaques de ransomware de manière plus simple et rapide. D'après les données SPN, trois familles de ransomware ont dominé l'arène RaaS en matière de détections : les fameuses familles de ransomware LockBit et Conti, et BlackCat, une famille de ransomware écrite dans le langage de programmation Rust qui a émergé fin 2021.

LockBit, Conti et BlackCat ont fait l'objet d'une augmentation significative des détections au cours du premier semestre 2022, par rapport au premier semestre de l'année précédente : Les nombres de détections pour LockBit, Conti et BlackCat
Source : Trend Micro Smart Protection Network

Dans nos prédictions de sécurité pour cette année, nous avions prévu que les familles de ransomware s'attaqueraient à des cibles plus importantes en utilisant des méthodes d'extorsion plus avancées. Cette prévision correspond à la facture des familles notables de ransomware, dont nous avons fait état au premier semestre 2022.

L'une de ces familles de ransomware est Black Basta, qui a vu le jour en avril 2022 et dont le groupe d'exploitation a affirmé être à l'origine de pas moins de 50 violations depuis juin. Black Basta utilise une routine de cryptage sophistiquée qui consiste à supprimer le service appelé Fax et à en créer un nouveau en utilisant le chemin du malware, puis en l'ajoutant au registre pour assurer sa persistance. Il utilise également une technique de double extorsion qui implique de siphonner les données critiques et confidentiels avant de les chiffrer, dans le but de menacer les victimes et de les persuader de payer le montant de la rançon. Fait intéressant, la note de rançon de Black Basta est codée en dur dans le malware lui-même, ce qui suggère l'utilisation possible de binaires uniques pour chacune de ses victimes.

Le fond d'écran créé par Black Basta à l'aide du fichier .jpg déposé dans le dossier %temp%

Une autre famille notable de ransomware, nommée Nokoyawa, a fait surface au premier semestre de cette année et a ciblé des victimes dans la région sud-américaine, plus précisément en Argentine. Nokoyawa partage des outils et des techniques communs avec Hive, une famille notoire de ransomware qui a été utilisée pour lancer des attaques de ransomware sur plus de 300 organisations de soins de santé aux États-Unis en 2021. Après avoir analysé les détails techniques de Nokoyawa, nous avons pu observer les distinctions entre ces deux familles de ransomware : Leurs binaires étaient compilés en utilisant différents langages, et Nokoyawa n'a utilisé aucun paquet tandis que Hive utilisait UPX.