Qu’est-ce qu’un Malware ?

La cybercriminalité est une industrie colossale.Selon une estimation (lien externe à ibm.com), elle serait la troisième économie mondiale derrière les États-Unis et la Chine, et devrait représenter 10,5 billions de dollars américains d’ici 2025.  

Dans ce secteur, les pirates développent constamment de nouvelles souches de logiciels malveillants dotés de nouvelles caractéristiques et fonctionnalités.Ces souches engendrent de nouvelles variantes au fil du temps afin de mieux échapper aux logiciels de sécurité. On estime (lien externe à ibm.com) que plus d’un milliard de souches et de variantes de logiciels malveillants ont été créées depuis les années 1980, ce qui complique la tâche des professionnels de la cybersécurité.

Les pirates partagent souvent leurs logiciels malveillants en créant un code en open source ou en le vendant à d’autres criminels. Les développeurs de ransomwares ont souvent recours à des accords de MaaS (logiciel malveillant en tant que service), de sorte que même les criminels ayant peu d’expertise technique peuvent tirer profit de la cybercriminalité.

Bien que le paysage soit en constante évolution, les souches de logiciels malveillants peuvent être classées en quelques catégories communes.

Les termes « logiciel malveillant » et « virus informatique » sont souvent utilisés comme synonymes, mais techniquement, un virus est un type particulier de logiciel malveillant. Plus précisément, un virus est un code malveillant qui détourne un logiciel légitime pour causer des dommages et diffuser des copies de lui-même.

Les virus ne peuvent pas agir seuls. Ils cachent des extraits de leur code dans d’autres programmes exécutables. Lorsqu’un utilisateur démarre le programme, le virus s’exécute également. Les virus sont généralement conçus pour supprimer des données importantes, perturber le fonctionnement normal de l’ordinateur et diffuser des copies d’eux-mêmes à d’autres programmes sur l’ordinateur infecté.

La plupart des premières menaces étaient des virus. Elk Cloner, peut-être le premier logiciel malveillant à se propager par le biais d’appareils publics, était un virus ciblant les ordinateurs Apple.

Un botnet est un réseau d’appareils connectés à Internet et infectés par des logiciels malveillants, sous le contrôle d’un pirate. Les botnets peuvent inclure des PC, des appareils mobiles, des appareils connectés (IdO), et bien plus encore. Souvent, les victimes ne se rendent pas compte que leurs appareils font partie d’un botnet. Les pirates utilisent souvent ces réseaux de bots pour lancer des attaques DDoS, qui bombardent un réseau cible avec une telle quantité de trafic qu’il ralentit ou s’arrête complètement.

Mirai, l’un des botnets les plus connus, était responsable d’une attaque massive menée en 2016 contre le fournisseur de systèmes de noms de domaine Dyn.Cette attaque avait mis hors service des sites Web connus comme Twitter et Reddit, utilisés par des millions d’internautes aux États-Unis et en Europe (lien externe à ibm.com).

Un cryptojacker est un logiciel malveillant qui prend le contrôle d’un appareil et l’utilise pour miner de la crypto-monnaie, comme le bitcoin, à l’insu de son propriétaire.Les cryptojackers créent essentiellement des botnets de minage de cryptomonnaies.

Le minage de crypto-monnaies est une tâche extrêmement coûteuse et gourmande en ressources informatiques. Les cybercriminels en tirent profit tandis que les utilisateurs des ordinateurs infectés subissent des ralentissements et des pannes. Les cryptojackers ciblent souvent l’infrastructure cloud d’entreprises, ce qui leur permet de rassembler plus de ressources pour le minage de cryptomonnaies que de cibler les ordinateurs de particuliers. 

Les logiciels malveillants sans fichier sont un type d’attaque qui utilise les vulnérabilités de logiciels légitimes tels que les navigateurs Web et les traitements de texte pour injecter du code malveillant directement dans la mémoire d’un ordinateur.Comme le code s’exécute en mémoire, il ne laisse aucune trace sur le disque dur.Et comme il utilise des logiciels légitimes, il passe souvent inaperçu.

De nombreux logiciels malveillants sans fichier utilisent PowerShell, une interface de ligne de commande et un outil de script intégré au système d’exploitation Microsoft Windows.Les pirates peuvent exécuter des scripts PowerShell pour modifier des configurations, voler des mots de passe ou faire d’autres dégâts.

Les macros malveillantes sont un autre vecteur courant des attaques sans fichier. Des applications telles que Microsoft Word et Excel permettent aux utilisateurs de définir des macros, des ensembles de commandes qui automatisent des tâches simples telles que la mise en forme de texte ou l’exécution de calculs. Les pirates peuvent stocker des scripts malveillants dans ces macros, et lorsqu’un utilisateur ouvre le fichier, ces scripts s’exécutent automatiquement.

Les vers sont des programmes malveillants auto-répliquants qui peuvent se propager entre les applications et les appareils sans interaction humaine (contrairement à un virus, qui ne peut se propager que si un utilisateur exécute un programme compromis). Si certains vers ne font que se propager, beaucoup ont des conséquences plus graves. Par exemple, le ransomware WannaCry, qui a causé des dommages estimés à 4 milliards d’USD, était un ver qui a maximisé son impact en se propageant automatiquement entre les appareils connectés.

Les chevaux de Troie se déguisent en programmes utiles ou se cachent dans des logiciels légitimes pour inciter les utilisateurs à les installer. Un cheval de Troie d’accès à distance ou « RAT » (pour « remote access Trojan ») crée une porte dérobée secrète sur l’appareil infecté. Un autre type de cheval de Troie, appelé « dropper », installe d’autres logiciels malveillants une fois qu’il s’est implanté. Ryuk, l’une des souches récentes de ransomware les plus dévastatrices, a utilisé le cheval de Troie Emotet pour infecter des appareils.

Les rootkits sont des logiciels malveillants qui permettent aux pirates d’obtenir un accès privilégié, de niveau administrateur, au système d’exploitation d’un ordinateur ou à d’autres actifs. Les pirates peuvent ensuite utiliser ces autorisations élevées pour faire pratiquement tout ce qu’ils veulent, comme ajouter et supprimer des utilisateurs ou reconfigurer des applications. Les pirates utilisent souvent les rootkits pour dissimuler des processus malveillants ou désactiver les logiciels de sécurité qui pourraient les détecter.

Les scarewares effraient les utilisateurs et les incitent à télécharger des logiciels malveillants ou à transmettre des informations sensibles à un fraudeur. Les scarewares se présentent souvent sous la forme de fenêtres pop-up soudaines contenant un message urgent, avertissant généralement l’utilisateur qu’il a enfreint la loi ou que son appareil est infecté par un virus. La pop-up l’incite à payer une amende ou à télécharger un faux logiciel de sécurité qui s’avère être un logiciel malveillant.

Les logiciels espions se cachent sur un ordinateur infecté, recueillent secrètement des informations sensibles et les transmettent au pirate. Un type courant de logiciel espion, baptisé keylogger ou enregistreur de frappe, enregistre toutes les frappes de l’utilisateur. Cela permet aux pirates de récupérer les noms d’utilisateur, les mots de passe, les numéros de compte bancaire et de carte de crédit, les numéros de sécurité sociale et d’autres données sensibles.

Les adwares diffusent des publicités intempestives sur l’appareil. Ils sont souvent inclus dans des logiciels gratuits, à l’insu de l’utilisateur. Lorsque l’utilisateur installe le programme, il installe aussi, sans le savoir, le logiciel publicitaire. La plupart des adwares ne sont guère plus qu’une gêne, mais certains recueillent des données personnelles, redirigent les navigateurs Web vers des sites malveillants, voire téléchargent d’autres logiciels malveillants sur l’appareil de l’utilisateur s’il clique sur l’une des fenêtres pop-up.

Les attaques par ransomware les plus basiques rendent les actifs inutilisables jusqu’au paiement de la rançon, mais les cybercriminels peuvent utiliser d’autres tactiques pour accroître la pression sur les victimes.

Dans le cas d’une double extorsion, les cybercriminels volent des données et menacent de les divulguer s’ils ne sont pas payés. Dans le cas d’une triple extorsion, les pirates chiffrent les données de la victime, les volent et menacent de mettre les systèmes hors service par le biais d’une attaque par déni de service distribué (DDoS).

Les demandes de rançon peuvent aller de quelques dizaines de milliers à des millions de dollars américains. Selon un rapport (lien externe à ibm.com), le paiement moyen d'une rançon s'élève à 812 360 USD. Même si les victimes ne paient pas, les ransomwares sont coûteux. Le rapport d'IBM sur le Rapport sur le coût d’une violation de données a révélé que l'attaque moyenne par ransomware coûtait 4,38 millions de dollars avec l'intervention des forces de l'ordre et 5,37 millions de dollars sans l'intervention des forces de l'ordre. Ces chiffres n'incluant pas la rançon proprement dite.

Les pirates utilisent des logiciels malveillants d’accès à distance pour accéder à des ordinateurs, des serveurs ou d’autres appareils en créant ou en exploitant des portes dérobées.Selon le rapport X-Force Threat Intelligence Index, la création de portes dérobées est l’objectif le plus courant des pirates, représentant 21 % des attaques.

Les portes dérobées permettent aux cybercriminels de faire beaucoup de choses.Ils peuvent voler des données ou des identifiants, prendre le contrôle d’un appareil ou installer des logiciels malveillants encore plus dangereux comme les ransomwares.Certains pirates utilisent des logiciels malveillants d’accès à distance pour créer des portes dérobées qu’ils vendent à d’autres pirates, et qui peuvent rapporter plusieurs milliers de dollars chacune.

Certains logiciels malveillants d’accès à distance, comme Back Orifice ou CrossRAT, sont délibérément conçus à des fins malveillantes. Les pirates peuvent également modifier ou détourner des logiciels légitimes pour accéder à distance à un appareil.On sait notamment que les cybercriminels utilisent des identifiants Microsoft Remote Desktop Protocol (RDP) volés pour créer des portes dérobées. 

Les attaques de logiciels malveillants sont inévitables, mais les organisations peuvent prendre certaines mesures pour renforcer leurs défenses. Notamment :

Sensibilisation à la sécurité : De nombreuses infections par des logiciels malveillants résultent du fait que les utilisateurs téléchargent de faux logiciels ou se laissent piéger par des escroqueries par hameçonnage.Les formations de sensibilisation à la sécurité peuvent aider les utilisateurs à repérer les attaques d’ingénierie sociale, les sites Web malveillants et les fausses applications.La formation de sensibilisation à la sécurité peut également informer les utilisateurs sur ce qu’il faut faire et qui contacter s’ils soupçonnent la présence d’un logiciel malveillant.

Politiques de sécurité : Exiger des mots de passe forts, une authentification multifacteur et des VPN lors de l’accès à des actifs sensibles via un Wi-Fi non sécurisé peut aider à limiter l’accès des pirates aux comptes des utilisateurs.La mise en place d’un calendrier régulier de gestion des correctifs, d’évaluation des vulnérabilités et de tests d’intrusion peut également aider à détecter les vulnérabilités des logiciels et des appareils avant que les cybercriminels ne les exploitent.Les politiques de gestion des appareils BYOD (bring your own device) et de prévention du shadow IT peuvent aider à empêcher les utilisateurs d’introduire à leur insu des logiciels malveillants sur le réseau de l’entreprise.

Sauvegardes : Conserver des sauvegardes à jour des données sensibles et des images système, idéalement sur des disques durs ou d’autres appareils pouvant être déconnectés du réseau, peut faciliter la récupération après des attaques de logiciels malveillants.

Architecture réseau Zero Trust : Le Zero Trust est une approche de la sécurité réseau dans laquelle les utilisateurs ne sont jamais dignes de confiance et sont toujours vérifiés. Le Zero Trust met notamment en œuvre le principe du moindre privilège, la microsegmentation du réseau et l’authentification adaptative continue. Cela permet de s’assurer qu’aucun utilisateur ou appareil ne peut accéder à des données sensibles ou à des actifs auxquels il ne devrait pas avoir accès. Si un logiciel malveillant s’introduit dans le réseau, ces contrôles peuvent limiter son mouvement latéral.

Plans de réponse aux incidents : La création à l’avance de plans de réponse aux incidents pour différents types de logiciels malveillants peut aider les équipes de cybersécurité à éradiquer plus rapidement les infections par des logiciels malveillants. 

Outre les tactiques manuelles décrites plus tôt, les équipes de cybersécurité peuvent utiliser des solutions de sécurité pour automatiser certains aspects de la suppression, de la détection et de la prévention des logiciels malveillants.Les outils les plus courants sont les suivants :

Les logiciels antivirus : Également appelés logiciels « anti-malware », les programmes antivirus analysent les systèmes à la recherche de signes d’infection. En plus d’alerter les utilisateurs, de nombreux programmes antivirus peuvent isoler et supprimer automatiquement les logiciels malveillants lorsqu’ils sont détectés.

Les pare-feux : Les pare-feux peuvent empêcher une partie du trafic malveillant d’atteindre le réseau. Si des logiciels malveillants parviennent à pénétrer dans un appareil du réseau, les pare-feux peuvent aider à empêcher les communications sortantes vers les pirates, comme un enregistreur de frappe qui renvoie les frappes de clavier à l’attaquant. 

Les plateformes de gestion des informations et des événements de sécurité (SIEM) : Les SIEM collectent des informations provenant d’outils de sécurité internes, les regroupent dans un journal central et signalent les anomalies. Comme les SIEM centralisent les alertes provenant de sources multiples, ils peuvent faciliter la détection de signes subtils de logiciels malveillants.

Les plateformes d’orchestration, d’automatisation et de réponse en matière de sécurité (SOAR) : Les plateformes SOAR intègrent et coordonnent des outils de sécurité disparates, ce qui permet aux équipes de sécurité de créer des protocoles partiellement ou entièrement automatisés pour lutter contre les logiciels malveillants en temps réel.

Les plateformes de détection et d’intervention aux terminaux (EDR) : Les plateformes EDR surveillent les points de terminaison, tels que les smartphones, les ordinateurs portables et les serveurs, à la recherche de signes d’activité suspecte et peuvent réagir automatiquement aux logiciels malveillants détectés.

Les plateformes de détection et de réponse étendues (XDR) : Les XDR intègrent les outils et les opérations de sécurité à travers toutes les couches de sécurité : utilisateurs, points de terminaison, e-mails, applications, réseaux, workloads cloud et données. Les XDR peuvent aider à automatiser les processus complexes de prévention, de détection, d’investigation et de réponse aux logiciels malveillants, y compris la traque proactive des menaces.

Les outils de gestion de la surface d’attaque (ASM) : Les outils ASM découvrent, analysent, remédient et surveillent en permanence tous les actifs du réseau d’une organisation. L’ASM peut aider les équipes de cybersécurité à repérer les applications et appareils non autorisés du shadow IT susceptibles de véhiculer des logiciels malveillants.

La gestion unifiée des terminaux (UEM) : Les logiciels UEM surveillent, gèrent et sécurisent tous les appareils des utilisateurs finaux d’une organisation, y compris les ordinateurs de bureau, les ordinateurs portables et les appareils mobiles. De nombreuses organisations utilisent des solutions UEM pour contribuer à s’assurer que les appareils BYOD des employés n’introduisent pas de logiciels malveillants dans le réseau de l’entreprise.