L’économie de l’extorsion

De même que de nombreux secteurs d'activité se sont tournés vers les travailleurs temporaires pour des raisons d'efficacité, les cybercriminels louent ou vendent leurs outils de rançongiciel en échange d'une partie des bénéfices, plutôt que d'effectuer eux-mêmes les attaques.

Le modèle Ransomware as a Service (RaaS) permet aux cybercriminels d'acheter l'accès aux charges utiles des rançongiciels et aux fuites de données, ainsi qu'aux infrastructures de paiement. Les "gangs" de rançongiciels sont en réalité des programmes RaaS tels que Conti ou REvil, utilisés par de nombreux acteurs qui passent d'un programme ou d’une charge utile RaaS à l’autre.

RaaS abaisse la barrière à l'entrée et obfusque l'identité des attaquants à l'origine de la demande de rançon. Certains programmes comptent plus de 50 « affiliés », c'est-à-dire les utilisateurs de leurs services, dont les outils, les techniques et les objectifs varient. De même que toute personne possédant une voiture peut conduire pour un service de covoiturage, toute personne disposant d'un ordinateur portable et d'une carte de crédit et désireuse de rechercher sur le dark web des outils de test d’intrusion ou des logiciels malveillants prêts à l'emploi peut rejoindre cette économie.

Cette industrialisation de la cybercriminalité a créé des rôles spécialisés, comme les répartiteurs d'accès qui vendent l'accès aux réseaux. Une seule compromission implique souvent plusieurs cybercriminels à différents stades de l'intrusion.

Les kits RaaS sont faciles à trouver sur le dark web et sont annoncés de la même manière que les marchandises sur Internet.

Un kit RaaS peut inclure un service d'assistance à la clientèle, des offres groupées, des avis d'utilisateurs, des forums et d'autres fonctionnalités. Les cybercriminels peuvent payer un prix fixe pour un kit RaaS, tandis que d'autres groupes qui vendent des RaaS dans le cadre du modèle d'affiliation prennent un pourcentage des bénéfices.

Les attaques par rançongiciel impliquent des décisions basées sur des configurations de réseaux et diffèrent pour chaque victime, même si la charge utile du rançongiciel est la même. Le point culminant d'une attaque de rançongiciel peut inclure l'exfiltration de données et d'autres conséquences. En raison de la nature interconnectée de l'économie cybercriminelle, des intrusions apparemment sans rapport les unes avec les autres peuvent se renforcer mutuellement. Les logiciels malveillants qui volent les mots de passe et les cookies sont traités avec moins de sévérité, mais les cybercriminels vendent ces mots de passe pour permettre d'autres attaques.

Ces attaques suivent un modèle d'accès initial via l'infection par un logiciel malveillant ou l'exploitation d'une vulnérabilité, puis le vol d'informations d'identification pour élever les privilèges et se déplacer latéralement. L'industrialisation permet à des attaquants sans expérience ni compétences avancées de mener des attaques prolifiques et percutantes par rançongiciel. Depuis la fermeture de Conti, nous avons observé des changements dans le paysage des rançongiciels. Certains affiliés qui déployaient Conti sont passés à des charges utiles provenant d'écosystèmes RaaS établis tels que LockBit et Hive, tandis que d'autres déploient simultanément des charges utiles provenant de plusieurs écosystèmes RaaS.

De nouveaux RaaS comme QuantumLocker et Black Basta comblent le vide laissé par la fermeture de Conti. Étant donné que la plupart des articles sur les rançongiciels se concentrent sur les charges utiles plutôt que sur les acteurs, ce changement de charge utile risque de semer la confusion dans l'esprit des gouvernements, des forces de l'ordre, des médias, des chercheurs en sécurité et des défenseurs quant à l'identité des auteurs de ces attaques.

Les rapports sur les rançongiciels peuvent sembler être un problème infini ; cependant, la réalité est un ensemble fini d'acteurs utilisant l'ensemble des techniques.