Le rapport d'analyse du ransomware LockBit 3.0 a été publié.

Durant les trois semaines allant du 24 mars à la première semaine d'avril de cette année, le cyberespace vietnamien a enregistré des attaques ciblées consécutives sous forme de rançongiciels contre de grandes entreprises vietnamiennes opérant dans des secteurs importants tels que la finance, les valeurs mobilières, l'énergie, les télécommunications... Ces attaques ont entraîné la suspension des systèmes des entreprises pendant un certain temps, causant des dommages économiques et de réputation importants aux entités dont les systèmes ont été ciblés par des groupes cybercriminels.

Lors de l'analyse et de l'enquête menées sur les causes et les groupes de personnes ayant récemment attaqué les systèmes d'information d'entreprises vietnamiennes, les autorités ont constaté que ces incidents étaient le fait de plusieurs groupes de pirates informatiques différents, tels que LockBit, BlackCat et Mallox. En particulier, concernant l'attaque par rançongiciel survenue le 24 mars à 10h00 contre le système VNDIRECT, qui a chiffré toutes les données des trois premières entreprises de la bourse vietnamienne, les autorités ont identifié le groupe LockBit et son logiciel malveillant LockBit 3.0 comme étant à l'origine de cet incident.

W-tan-cong-ma-hoa-du-lieu-0-1-1.jpg
Le Centre national de cybersécurité, département A05 ( ministère de la Sécurité publique ), a confirmé que l'attaque contre le système de l'entreprise de sécurité VNDIRECT en mars 2024 a été menée par LockBit 3.0.

Le groupe Lockbit a lancé de nombreuses attaques de rançongiciels à travers le monde , ciblant de grandes entreprises et organisations. Par exemple, en juin et octobre 2023, ce groupe tristement célèbre a attaqué respectivement le fabricant de semi-conducteurs TSMC (Taïwan, Chine) et la société de produits et services informatiques CDW, exigeant des rançons allant jusqu'à 70 à 80 millions de dollars américains.

Dans le but d'aider les agences, les organisations et les entreprises vietnamiennes à mieux comprendre le niveau de danger et comment prévenir et minimiser les risques liés aux attaques de ransomware en général, ainsi qu'aux attaques du groupe LockBit, le Centre national de surveillance de la cybersécurité (NCSC), relevant du Département de la sécurité de l'information (Ministère de l'Information et des Communications), vient de synthétiser des sources d'information sur le cyberespace et de publier le « Rapport d'analyse sur le ransomware LockBit 3.0 ».

Le groupe de ransomware le plus dangereux au monde

Le nouveau rapport du NCSC se concentre sur quatre points principaux : des informations sur le groupe d’attaques de ransomware LockBit ; les clusters LockBit actifs ; une liste des indicateurs de cyberattaques enregistrés liés à LockBit 3.0 ; et comment prévenir et minimiser les risques liés aux attaques de ransomware.

Le rapport du NCSC désigne LockBit comme l'un des groupes de ransomware les plus dangereux au monde. Il indique également que, depuis son apparition en 2019, LockBit a mené de nombreuses attaques contre des entreprises et des organisations de divers secteurs. Le groupe opère selon un modèle de « ransomware à la demande » (RaaS), permettant aux cybercriminels de déployer des ransomwares et de partager les profits avec les fournisseurs du service.

ransomware lockbit.jpg
D'après les experts, LockBit est l'un des groupes de ransomware les plus dangereux au monde. Illustration : Bkav

En septembre 2022, le code source de LockBit 3.0, incluant certains noms susceptibles d'avoir servi à développer ce ransomware, a fuité sur la plateforme X (anciennement Twitter) sous le pseudonyme d'« ali_qushji ». Cette fuite a permis aux experts d'analyser plus en détail un échantillon du ransomware LockBit 3.0. Depuis, des cybercriminels ont créé une vague de nouvelles variantes de ransomware basées sur ce code source.

Outre l'analyse des méthodes d'attaque des clusters actifs de ransomware LockBit tels que TronBit, CriptomanGizmo ou Tina Turner, le rapport du NCSC fournit également aux unités une liste d'indicateurs de cyberattaques enregistrés liés à LockBit 3.0. « Nous mettrons à jour en continu les informations relatives aux indicateurs de compromission (IOC) sur la page alert.khonggianmang.vn du portail national de la cybersécurité », a déclaré un expert du NCSC.

Un élément particulièrement important du rapport d'analyse du ransomware LockBit 3.0 concerne les conseils aux agences, organisations et entreprises sur la prévention et la minimisation des risques liés aux attaques de ransomware. Le Département de la sécurité de l'information a formulé des recommandations importantes à l'intention des unités de soutien au Vietnam en matière de prévention et de réponse aux attaques de ransomware dans le « Manuel sur certaines mesures de prévention et de minimisation des risques liés aux attaques de ransomware », publié le 6 avril et dont la mise en œuvre continue d'être recommandée par les experts du NCSC.

W-anti-ransomware-1.jpg
La surveillance continue pour détecter les intrusions système précoces est l'une des neuf mesures que le département de la sécurité de l'information recommande aux organisations de mettre en œuvre pour prévenir les attaques par rançongiciel. Photo d'illustration : Khanh Linh

D'après les experts, les attaques de type ransomware exploitent souvent les failles de sécurité des agences et organisations. Les attaquants s'infiltrent dans le système, y maintiennent leur présence, étendent leur intrusion, prennent le contrôle de l'infrastructure informatique et paralysent le système, afin de contraindre les victimes à payer une rançon pour récupérer leurs données chiffrées.

S'adressant aux journalistes de VietNamNet au moment de l'attaque contre le système VNDIRECT il y a 5 jours, un représentant du Département de la sécurité de l'information a commenté, du point de vue de l'unité participant à la coordination des activités de soutien en cas d'incident : « Cet incident est une leçon importante pour sensibiliser les organisations et les entreprises au Vietnam à la sûreté et à la sécurité des réseaux. »

Par conséquent, les agences, les organisations et les entreprises, en particulier celles qui opèrent dans des secteurs importants tels que la finance, la banque, les valeurs mobilières, l'énergie, les télécommunications, etc., doivent revoir et renforcer de toute urgence et de manière proactive leurs systèmes de sécurité existants et leur personnel qualifié, et élaborer simultanément des plans d'intervention en cas d'incident.

« Les organisations doivent se conformer strictement aux réglementations, exigences et directives en matière de sécurité de l'information et de sécurité des réseaux. Il est de la responsabilité de chaque organisation et entreprise de se protéger, ainsi que ses clients, contre les cyberattaques potentielles », a souligné un représentant du Département de la sécurité de l'information.

Le ransomware LockBit était initialement connu sous le nom d'ABCD, d'après l'extension des fichiers chiffrés. Quelques mois plus tard, une variante d'ABCD est apparue sous le nom actuel de Lockbit. Un an plus tard, le groupe a publié une version améliorée, LockBit 2.0 (également connue sous le nom de LockBit Red), intégrant un autre malware appelé StealBit, destiné au vol de données sensibles. LockBit 3.0, aussi appelé LockBit Black, est la dernière version, sortie en 2022, avec de nouvelles fonctionnalités et des techniques d'évasion renforcées.
Pourquoi le système PVOIL peut-il se rétablir rapidement après une attaque de ransomware ?

Pourquoi le système PVOIL peut-il se rétablir rapidement après une attaque de ransomware ?

Outre la taille raisonnable du système, un facteur important qui a permis à PVOIL de corriger rapidement l'attaque de ransomware et de rétablir les opérations en quelques jours seulement est la présence de données de sauvegarde.
Mettre en place une culture de sécurité pour renforcer les défenses contre les attaques de ransomware

Mettre en place une culture de sécurité pour renforcer les défenses contre les attaques de ransomware

Selon CDNetworks Vietnam, en investissant dans la formation des employés, en instaurant une culture de la sécurité et en favorisant la coopération entre les équipes des ressources humaines et de la sécurité, les entreprises peuvent renforcer leurs défenses contre les cyberattaques, notamment les attaques par rançongiciel.
Le paiement de rançons pour la récupération de données encouragera les pirates informatiques à intensifier les attaques par rançongiciel.

Le paiement de rançons pour la récupération de données encouragera les pirates informatiques à intensifier les attaques par rançongiciel.

Les experts s'accordent à dire que les organisations victimes d'attaques par rançongiciel ne doivent pas payer de rançon aux pirates. Cela inciterait ces derniers à s'en prendre à d'autres cibles ou encouragerait d'autres groupes de pirates à poursuivre leurs propres attaques.