Analyse détaillée de la manière de réagir à une attaque par ransomware et d'y survivre

L'anatomie d'une attaque par ransomware

Le directeur des opérations d'un grand cabinet de services professionnels a pu constater à quel point les ransomwares sont désormais insidieux. Le cabinet effectuait des sauvegardes. Il disposait d'une stratégie de reprise après sinistre (DR) efficace. Pourtant, un rançongiciel a infecté son entreprise et a failli la paralyser. Ce n’est que grâce à l’utilisation de HYCU par son entreprise et aux efforts de l’équipe d’assistance de HYCU que celle-ci a pu se remettre de cette attaque par rançongiciel quasi dévastatrice.

Le contexte

Le directeur des opérations (COO) pensait que sa grande société de services professionnels était prête à faire face à tout type d’attaque, y compris une attaque par ransomware. Il travaillait au sein de l’entreprise depuis plus de 20 ans et maîtrisait parfaitement son environnement informatique, notamment sa stratégie de sauvegarde et sa préparation aux sinistres.

Basée dans le sud-est des États-Unis, l’entreprise fonctionnait sur la plateforme Nutanix Enterprise Cloud. Elle hébergeait la plupart de ses applications sur Nutanix et gérait plus de 50 serveurs, plus de 10 millions de fichiers et plus de 30 To de données. Spécialisée dans le domaine médical, elle stockait également de nombreux dossiers soumis à la réglementation HIPAA.

Pour protéger ces données et ces applications, l’entreprise a adopté une double approche. En amont, elle utilisait des logiciels de cybersécurité pour détecter et prévenir les attaques par rançongiciel. Pour les sauvegardes, elle utilisait HYCU for Nutanix afin d’effectuer des sauvegardes incrémentielles quotidiennes et des sauvegardes complètes hebdomadaires.

L’entreprise répliquait également l’ensemble de ses données vers un deuxième centre de données situé à plus de 100 miles de là. Cette architecture garantissait à l’entreprise une bascule et une reprise rapides, tant au niveau local qu’à distance. Le directeur des opérations était loin de se douter à quel point un rançongiciel pouvait contourner ces défenses, voire les retourner contre lui.

Signes avant-coureurs d’une attaque par rançongiciel

L’attaque par rançongiciel contre l’entreprise n’a présenté que peu de signes avant-coureurs jusqu’à ce qu’elle se déclenche. Les premières alertes sont apparues dans ses journaux le vendredi précédant le début de l’attaque. Le logiciel de cybersécurité dont disposait l’entreprise a détecté des signes d’activité suspecte. Cependant, aucune de ces alertes n’a atteint un niveau suffisant pour attirer l’attention de quiconque ou déclencher une réaction.

Des enquêtes menées par la suite ont révélé la cause première de l’attaque. Un fichier Word joint à un e-mail a été introduit dans l’entreprise. Une macro y était intégrée. Une fois ouvert, ce fichier Word a introduit le virus RYUK dans l’environnement, déclenchant ainsi une attaque à deux volets.

La première phase de l’attaque a propagé le logiciel malveillant à travers tout le réseau de l’entreprise en infectant les serveurs de fichiers et les serveurs Windows. Cette infection a implanté un fichier exécutable qui s’est déclenché au cours de la deuxième phase. Le virus d’origine s’est ensuite auto-supprimé. Cela a compliqué le diagnostic ultérieur de la source de l’attaque et a contribué à dissimuler les origines et l’identité du virus.

C’est le chaos total… un dimanche

Le monde du directeur des opérations a commencé à s’écrouler vers 11 heures, un dimanche matin, lorsque le virus RYUK s’est activé. Alors que personne ne se trouvait au bureau, il s’est exécuté en reprenant les mêmes droits d’accès que l’utilisateur sur chaque appareil. Cela a permis au virus d’accéder largement aux ressources de ce système ainsi qu’au réseau.

« L’attaque par rançongiciel n’a laissé qu’un seul fichier lisible. Celui-ci comprenait un lien vers l’adresse e-mail du pirate informatique afin de négocier le paiement d’une rançon. »

L’attaque s’est poursuivie en détectant et en chiffrant les disques connectés au réseau et les disques locaux auxquels elle pouvait accéder. Elle a ensuite chiffré tous les fichiers et toutes les données présents sur le serveur local ou le PC. Sur chaque appareil infecté, ce rançongiciel n’a laissé qu’un seul fichier lisible : un fichier HTML. Ce fichier contenait un lien vers l’adresse e-mail du pirate, que la victime pouvait contacter pour négocier le paiement d’une rançon.

Aucune issue favorable en vue

Lorsque le bipeur du directeur des opérations s’est mis à sonner, il semblait déjà trop tard. Tous les PC Windows, ordinateurs portables, serveurs et fichiers réseau avaient été chiffrés. Pour aggraver la situation, les processus mis en place par l’entreprise avaient répliqué les données chiffrées vers son site de reprise après sinistre. Cela a empêché l’entreprise d’effectuer une restauration à distance.

Puis, pour comble de malheur, le rançongiciel a chiffré tous les fichiers de sauvegarde stockés sur les disques réseau partagés. Malgré un sentiment de désespoir grandissant, le directeur des opérations a exploré les quatre seules pistes qui s’offraient à lui.

« Une enquête plus approfondie a révélé que le prestataire qui s’était proposé pour aider à déchiffrer les données pourrait bien servir de façade aux pirates informatiques qui avaient chiffré ses données. »

1. Il a contacté l’adresse e-mail du pirate informatique à partir de sa propre adresse e-mail anonyme afin de vérifier le montant de la rançon demandée.
2. Il a vérifié ses bandes de sauvegarde afin de déterminer quelles données, le cas échéant, il pourrait récupérer.
3. Il a fait appel à un prestataire qui affirmait aider les entreprises à se remettre d’une attaque par rançongiciel en les aidant à déchiffrer leurs données.
4. Il a contacté son fournisseur de solutions de sauvegarde, HYCU, afin de savoir si celui-ci
   pouvait aider son entreprise à récupérer ses données.

Des pistes qui ne mènent nulle part

Les réponses obtenues concernant les trois premières pistes ont confirmé ses pires craintes. Les pirates ont répondu à son e-mail en exigeant une rançon de 92 bitcoins (environ 1 million de dollars américains). Bien que le directeur des opérations fût presque prêt à payer une certaine somme, 1 million de dollars n’entrait pas en ligne de compte.

Les bandes de sauvegarde offraient un certain espoir, mais pas beaucoup. L’entreprise ne sauvegardait environ 60 % de ses données sur bande, et ce uniquement une fois par mois. De plus, il faudrait des semaines pour récupérer les données à partir des bandes et reconstruire les applications. Le directeur des opérations considérait le recours aux bandes comme un moyen de récupération de dernier recours, sans grande certitude quant à son efficacité.

Le prestataire chargé du déchiffrement n’apportait aucun réconfort et soulevait certaines inquiétudes. Il demandait au minimum 10 000 dollars pour déchiffrer les données, en supposant que son logiciel de déchiffrement fonctionne. Cependant, une enquête plus approfondie a révélé que ce prestataire pouvait très bien servir de façade aux pirates informatiques qui avaient chiffré ses données. Il a donc écarté cette option.

HYCU : une première lueur d’espoir

La première lueur d’espoir est apparue tard dimanche soir, lorsque son équipe a découvert un fichier non chiffré sur la machine virtuelle HYCU. Le rançongiciel avait chiffré toutes les sauvegardes stockées sur les systèmes de stockage en réseau. Cependant, HYCU avait conservé un seul fichier généré par le système sur sa machine virtuelle hôte, que le rançongiciel n’avait ni infecté ni chiffré.

Le directeur des opérations et son équipe ont contacté HYCU peu après avoir détecté ce fichier non chiffré. Ils souhaitaient savoir s’il existait un moyen d’utiliser ce fichier pour la restauration.

Une nuit difficile

Une fois contactée, l’équipe d’assistance d’HYCU a traité ce problème en priorité. La difficulté résidait dans le fait que le fichier stocké sur la machine virtuelle HYCU n’était initialement ni destiné ni formaté pour la restauration.

Le logiciel de sauvegarde HYCU utilisait ce fichier pour mettre les données en cache avant de créer les fichiers de sauvegarde stockés sur le serveur réseau. Bien qu’il ne fût pas chiffré, il n’était pas certain, au départ, que HYCU puisse y accéder et l’utiliser à des fins de restauration.

Alors que le personnel d’assistance de HYCU s’attelait au problème, les minutes se transformèrent en heures. En coulisses, HYCU a transmis le problème d’une équipe d’assistance à l’autre à travers le monde. De cette manière, le problème était toujours examiné par de nouveaux yeux. HYCU a également fait appel à des membres de son équipe d’ingénieurs pour diagnostiquer le problème.

« Le directeur des opérations n’a jamais vu l’équipe d’assistance HYCU baisser les bras. Au contraire, il a été témoin de leur détermination à travailler sur le problème avec son équipe jusqu’à ce qu’il soit résolu. »

Lorsque le lundi est arrivé, HYCU avait diagnostiqué et résolu le problème. HYCU a réussi à décompresser ce fichier, à accéder aux données qu’il contenait et à restaurer toutes les machines virtuelles de l’entreprise.

Une gratitude éternelle

Le directeur des opérations ne savait pas par où commencer pour exprimer toute sa gratitude. HYCU avait réussi un véritable tour de force et aidé à récupérer les données de son entreprise. Il a reconnu à quel point il était essentiel qu’HYCU lui ait permis d’accéder à ce fichier pour la restauration. Sans cela, il aurait fallu des mois à son entreprise pour se remettre complètement et reconstruire son environnement informatique.

Même si l’entreprise aurait survécu, cela aurait constitué un revers considérable. Il ne pouvait même pas commencer à chiffrer les pertes potentielles de l’entreprise en termes d’argent et de temps.

Le directeur des opérations n’a jamais vu l’équipe d’assistance d’HYCU baisser les bras. Au contraire, il a été témoin de leur détermination à travailler et à se consacrer pleinement au problème aux côtés de son équipe jusqu’à ce qu’il soit résolu. Une fois l’intervention d’HYCU terminée, le directeur des opérations a reconnu : « C’était un miracle de récupérer l’ensemble de nos systèmes et de nos données. »

À propos de DCIG

DCIG apporte aux acteurs du secteur informatique des analyses exploitables qui permettent aux collaborateurs des entreprises de mener des évaluations technologiques. DCIG fournit des analyses et des commentaires éclairés et pertinents, réalisés par un tiers, sur les technologies de l’information. DCIG développe de manière indépendante ses « Guides d’achat DCIG » et ses « Rapports Top 5 », dont elle accorde l’accès sous licence. Elle élabore également du contenu sur commande sous forme d’articles de blog, de livres blancs destinés aux dirigeants, de podcasts, de rapports de veille concurrentielle, de webinaires, de livres blancs et de vidéos. Pour plus d’informations, rendez-vous sur www.dcig.com.