Gouvernement fédéral : méfiez-vous des attaques du ransomware AvosLocker contre les infrastructures critiques

Gouvernement fédéral : méfiez-vous des attaques du ransomware AvosLocker contre les infrastructures critiques

Horodatage: 13 octobre 2023 4h25
Nœud source: 2934065

Les autorités américaines ont émis un avertissement cette semaine concernant les cyberattaques potentielles contre les infrastructures critiques provenant de l'opération de ransomware-as-a-service (RaaS) AvosLocker.

In un avis de sécurité conjoint, la Cybersecurity Infrastructure and Security Agency (CISA) et le FBI ont averti qu'AvosLocker avait ciblé plusieurs secteurs critiques aux États-Unis pas plus tard qu'en mai, en utilisant une grande variété de tactiques, techniques et procédures (TTP), notamment double extorsion et l'utilisation de logiciels natifs et open source fiables.

L'avis AvosLocker a été émis dans un contexte de augmentation des attaques de ransomwares dans plusieurs secteurs. Dans un rapport publié le 13 octobre, la société de cyber-assurance Corvus a constaté une augmentation de près de 80 % des attaques de ransomware par rapport à l'année dernière, ainsi qu'une augmentation de plus de 5 % de l'activité d'un mois à l'autre en septembre.

Ce que vous devez savoir sur le groupe AvosLocker Ransomware

AvosLocker ne fait aucune distinction entre les systèmes d'exploitation. Jusqu'à présent, il a compromis Windows, Linux, et environnements VMWare ESXi dans des organisations ciblées.

Ce qui est peut-être le plus remarquable, c'est le nombre d'outils légitimes et open source qu'il utilise pour compromettre les victimes. Ceux-ci inclus RMM comme AnyDesk pour l'accès à distance, Chisel pour le tunneling réseau, Cobalt Strike pour le commandement et le contrôle (C2), Mimikatz pour le vol d'informations d'identification et l'archiveur de fichiers 7zip, parmi bien d'autres.

Le groupe aime également utiliser des tactiques de vie à l'extérieur (LotL), en utilisant des outils et des fonctions Windows natifs tels que Notepad++, PsExec et Nltest pour effectuer des actions sur des hôtes distants.

Le FBI a également observé que les affiliés d'AvosLocker utilisaient des shells Web personnalisés pour permettre l'accès au réseau et exécutaient des scripts PowerShell et bash pour les mouvements latéraux, l'élévation des privilèges et la désactivation des logiciels antivirus. Et il y a quelques semaines à peine, l'agence a prévenu que les pirates ont fait double emploi: utiliser AvosLocker et d’autres souches de ransomwares en tandem pour stupéfier leurs victimes.

Après une compromission, AvosLocker verrouille et exfiltre les fichiers afin de permettre une extorsion ultérieure, si la victime se montre peu coopérative.

"Pour être honnête, c'est un peu la même chose que ce que nous avons observé au cours de la dernière année", déclare Ryan Bell, responsable du renseignement sur les menaces chez Corvus, à propos des TTP d'AvosLocker et d'autres groupes RaaS. « Mais ils deviennent de plus en plus efficaces. Au fil du temps, ils s’améliorent, de plus en plus vite.

Ce que les entreprises peuvent faire pour se protéger contre les ransomwares

Pour se protéger contre AvosLocker et ses semblables, CISA a fourni une longue liste de moyens par lesquels les fournisseurs d'infrastructures critiques peuvent se protéger, notamment en mettant en œuvre les meilleures pratiques standard en matière de cybersécurité, telles que la segmentation du réseau, l'authentification multifactorielle et les plans de récupération. CISA a ajouté des restrictions plus spécifiques, telles que la limitation ou la désactivation des services de bureau à distance, des services de partage de fichiers et d'imprimantes, ainsi que des activités et autorisations de ligne de commande et de script.

Les organisations feraient bien d’agir maintenant, car les groupes de ransomwares ne feront que devenir plus prolifiques dans les mois à venir.

« En général, les groupes de ransomwares prennent un peu de vacances d’été. Nous oublions que ce sont aussi des personnes », déclare Bell, citant un nombre de ransomwares inférieur à la moyenne au cours des derniers mois. Selon lui, l'augmentation de 5.12 % des cyberattaques par ransomware en septembre est le canari dans la mine de charbon.

« Ils vont augmenter les attaques jusqu’au quatrième trimestre. C’est généralement le plus élevé que nous observons tout au long de l’année, comme en 2022 et 2021, et nous constatons que cela reste vrai même maintenant », prévient-il. "Les choses grimpent définitivement dans tous les domaines."

Horodatage:

Plus de Lecture sombre