Les gangs de rançongiciels évoluent avec de nouveaux modèles d'affiliation pour attirer les cybercriminels

Le paysage des rançongiciels continue d'évoluer rapidement, et une étude récente de Secureworks révèle que les acteurs malveillants adoptent une approche plus corporative face à la cybercriminalité. Deux groupes de rançongiciels, DragonForce et Anubis, proposent désormais des programmes d'affiliation étendus qui imitent les structures commerciales légitimes, avec des offres de services, une flexibilité de marque et des systèmes d'assistance.

Ces développements marquent une tendance inquiétante dans le monde du ransomware-as-a-service (RaaS), un modèle qui a déjà permis aux attaquants moins qualifiés de lancer des campagnes de ransomware dévastatrices de manière alarmante.

DragonForce se transforme en cartel de cybercriminalité

DragonForce, une opération RaaS apparue pour la première fois en août 2023, s'est récemment rebaptisée « cartel », une démarche qui souligne son évolution vers une structure plus décentralisée. Selon l'unité de lutte contre les menaces (CTU) de Secureworks, le groupe propose désormais un modèle d'affiliation unique permettant aux cybercriminels de créer leurs propres marques de ransomware.

Plutôt que d'obliger ses affiliés à utiliser son rançongiciel, DragonForce leur donne accès à son infrastructure, comprenant des panneaux d'administration et des interfaces client, des outils de chiffrement, des systèmes de négociation de rançon, des solutions de stockage de données, un site de fuites basé sur Tor et un service client. Cette flexibilité est intéressante pour les attaquants possédant leurs propres logiciels malveillants, mais qui ont besoin d'aide en matière de logistique, d'infrastructure ou d'interaction avec les victimes.

Si ce modèle peut attirer un plus large éventail de cybercriminels, il présente également des risques. Si une filiale est compromise, d'autres, connectées à l'infrastructure partagée, pourraient également être exposées, démantelant potentiellement des réseaux entiers d'attaques coordonnées.

Anubis propose trois types de partenariats contre les ransomwares

Anubis, un autre opérateur RaaS, innove également en introduisant trois modèles d'affiliation distincts. Chacun offre une voie différente aux criminels cherchant à monétiser leurs attaques :

1. Une configuration RaaS classique, avec les affiliés conservant 80 % des paiements de rançon.
2. Un modèle de « rançon de données » où des analyses détaillées des victimes sont publiées sur un site protégé par mot de passe pour faire pression sur les victimes afin qu'elles paient.
3. Un modèle de « monétisation d’accès » qui aide les affiliés à extorquer des victimes précédemment compromises, en offrant 50 % du produit de la rançon.

La méthode de rançon des données se distingue par sa ressemblance avec une forme de marketing de contenu criminel. Les opérateurs d'Anubis publient un « article d'enquête » sur les données volées de la victime, puis le partagent en privé avec celle-ci, l'avertissant que le défaut de paiement entraînera la divulgation des informations. Ils ont même utilisé leur présence sur les réseaux sociaux pour accentuer la pression et menacer de les divulguer aux clients et aux organismes de réglementation.

Les opérateurs de ransomware fonctionnent désormais comme des entreprises

Ces modèles d'affiliation montrent que les groupes de ransomware modernes gèrent de plus en plus leurs opérations comme des entreprises légitimes. De l'assistance technique à la personnalisation de la marque, les stratégies sont conçues pour attirer un plus large éventail d'attaquants potentiels. De fait, l'offre de DragonForce ressemble beaucoup à celle d'un fournisseur de services gérés, la légalité en moins.

Selon Rafe Pilling, directeur du renseignement sur les menaces chez Secureworks, les défenseurs devraient commencer à considérer les groupes de rançongiciels comme des entités commerciales. Ces acteurs malveillants s'adaptent rapidement, en quête de revenus et réagissant aux évolutions de l'écosystème de la cybercriminalité, notamment aux mesures de répression et à la baisse des paiements de rançon.

Comment les organisations peuvent rester protégées

La barrière à l'entrée des attaques par rançongiciel s'abaissant, les entreprises doivent prendre des mesures proactives pour renforcer leurs défenses. L'équipe CTU de Secureworks recommande les mesures de sécurité suivantes :

• Corriger régulièrement les systèmes connectés à Internet
• Mettre en œuvre une authentification multifactorielle résistante au phishing
• Maintenir des sauvegardes sécurisées et hors ligne des données critiques
• Surveillez les points de terminaison et les réseaux pour détecter tout comportement inhabituel
• Développer et tester un plan détaillé de réponse aux incidents

La sophistication croissante des réseaux de rançongiciels et de leurs modèles d'affiliation représente une menace croissante pour la cybersécurité mondiale. Comprendre le fonctionnement de ces opérations – et s'y préparer comme on se prépare à affronter un concurrent averti – pourrait être la clé pour garder une longueur d'avance.