La triple extorsion

• Sam Harper / @acetum

La menace de diffuser les documents volés n’étant pas suffisante à leurs yeux, certains groupes de rançongiciel ont ajouté le déni de service à leur arsenal. Une compagnie de Québec vient de l’apprendre. Le groupe Avaddon a revendiqué récemment une attaque contre cette compagnie spécialisée dans le développement informatique.

Il est maintenant coutume pour les pirates d’appliquer ce qu’on appelle la « double extorsion ». Cette méthode implique que les malfaiteurs commencent par exfiltrer les données auxquelles ils ont réussi à avoir accès. Ensuite, ils vont chiffrer les systèmes de leur victime. Les fichiers sont rendus inutilisables à moins de payer pour obtenir la clé nécessaire pour les déchiffrer.

Les entreprises ayant des sauvegardes récentes et fiables sont en mesure de se relever plus rapidement d’une attaque de ce genre. Pour accroître la pression sur les victimes et les forcer à payer, le groupe Maze a été le premier à menacer de diffuser publiquement les données volées. Peu de temps après, plusieurs groupes leur emboîtaient le pas.

Le site de nouvelles bleepingcomputer.com avait rapporté en octobre 2020 que les groupes SunCrypt et RagnarLocker avaient commencé à ajouter le déni de service distribué (DDoS — Distributed Denial of Service) à leur arsenal.

Le DDoS est une forme d’attaque ou le serveur de la victime est bombardé d’une quantité importante de requêtes. On dit qu’il est distribué, car les requêtes proviennent d’une multitude de sources différentes. N’étant pas capable de soutenir un tel volume de données bidon, le serveur devient inaccessible.

Le groupe Avaddon vient de s’ajouter à la liste des groupes utilisant cette méthode afin de forcer leur victimes à négocier. Sur leur site, on peut voir une liste des entreprises qui sont affectées par un déni de service.

Le matin du 27 avril, le site web de la compagnie de Québec était effectivement inaccessible. Contactée, la compagnie préfère ne pas se prononcer sur les événements. L’entrepreneur, qui nous a demandé de garder l’anonymat, nous a dit qu’il « n’y a pas un guide clair sur le rôle de la sécurité informatique dans l’évolution de la création d’une PME » et que bien que l’investissement en sécurité puisse sembler être une dépense importante, surtout au début, « une évaluation des risques doit mener à la conclusion que de pareilles dépenses sont moins importantes que les dommages potentiels. »

Il reste à voir si d’autres groupes vont maintenant se mettre à pratiquer cette « triple extorsion ».

crédit photo couverture: Ben Elwood - licence CC BY-NC