Le « ransomware » fait actuellement des ravages dans les systèmes d’information des entreprises. Ces logiciels malveillants bloquent les ordinateurs des victimes et réclament ensuite le paiement d’une « rançon » pour leur déverrouillage. Ils travaillent en tâche de fond et infectent tout ce qui est relié par réseau au PC Infecté. L’infection arrive le plus souvent par des PJ aux mails, y compris à des mails provenant d’émetteurs connus (souvent présentés comme l’envoi d’une facture, d’un devis, d’une réponse à une demande…), dont l’identité est usurpée.

A ce jour, la dernière attaque « Locky » est l’une des plus importantes jamais enregistrées. Et le phénomène risque d’aller en s’amplifiant.
Les racketteurs s’attaquent aussi et surtout petites entreprises, qui sont très vulnérables. Les rançons sont à payer en bitcoins (1 btc = 380 €). Pour les petites entreprises elles sont souvent peu importantes (2 à 10 btc) mais on doit payer avec une CB et on n’a aucune garantie de ne pas être rançonnés périodiquement.

Il devient vital de s’en protéger…

Quelques conseils :

Pour les utilisateurs

1-  La seule prévention efficace : des sauvegardes très régulières des données sur des appareils non rattachés au réseau.   Réalisez régulièrement des sauvegardes sur un support externe comme par exemple sur un disque dur ou sur une clé USB, qui ne sera connecté que pendant le temps de la sauvegarde, ou dans un cloud. Toujours prévoir deux niveaux de sauvegarde : la sauvegarde courante, en permanence, et la sauvegarde sécurisée, réalisée régulièrement sur un media séparé et déconnecté du réseau.

2- Pour l’usage courant, utiliser un compte utilisateur standard, non administrateur. Gardez la fonction « contrôle du compte de l’utilisateur » (UAC, User Account Control,) activée. Ce mécanisme de protection intégré dans Windows vous avertit lorsque des modifications sont sur le point d’être faites sur le système et requièrent des droits d’Administrateur.

Pour activer ou désactiver le Contrôle de compte d’utilisateur

  • Pour ouvrir Paramètre de contrôle de compte d’utilisateur, cliquez sur le bouton Démarrer, puis sur Panneau de configuration. Dans la zone de recherche, tapez « contrôle de compte d’utilisateur », puis cliquez sur « Modifier les paramètres de contrôle de compte d’utilisateur ».
  • Effectuez l’une des opérations suivantes :
    • Pour désactiver le contrôle de compte d’utilisateur, déplacez le curseur sur la position Ne jamais m’avertir, puis cliquez sur OK.  Si vous êtes invité à fournir un mot de passe administrateur ou une confirmation, fournissez le mot de passe ou la confirmation. Vous devrez redémarrer votre ordinateur pour que la désactivation du contrôle de compte d’utilisateur prenne effet.
    • Pour activer le contrôle de compte d’utilisateur, déplacez le curseur pour choisir le moment où vous souhaitez être averti, puis cliquez sur OK.  Si vous êtes invité à fournir un mot de passe administrateur ou une confirmation, fournissez le mot de passe ou la confirmation.

3. Utilisez une solution de sécurité avec des analyses en temps réel, ainsi que des modules anti-malware, anti-exploit et antispam. Conservez les paramétrages optimaux et mettez constamment à jour cette solution (par exemple KASPERSKY, MALWAREBYTE…)

4. Sur les appareils mobiles, n’installez pas d’application provenant de sources inconnues ou depuis des stores non-officiels. Installez également une solution de protection anti-malwares sur chaque appareil.

5. Ne pas ouvrir de PJ douteux à des mails, y compris à des mails provenant d’émetteurs connus, dont l’identité peut être usurpée. Evitez les sites douteux, ne cliquez pas sur des liens suspicieux. Utiliser par exemple Mailwasher (version gratuite) qui permet de voir les mails sur le serveur extérieur et de les trier avant de les importer sur le PC. Utilisez un filtre antispam pour réduire le nombre de mails malveillants. Pour les plus aguerris, vous pouvez opter pour une extension de navigateur qui bloque le JavaScript (telle que NoScript).

6. Utilisez un bloqueur de publicité pour limiter les publicités malveillantes. Se méfier également des économiseurs d’écran.

7. identifier les fichiers à protéger en priorité (Distinguer par exemple les archives mortes, stockées une fois pour toutes, les fichiers importants vivants, à sauvegarder régulièrement, les autres…) et les sauvegarder très régulièrement, en vérifiant les sauvegardes et en ne connectant le matériel de sauvegarde que le temps de cette sauvegarde.

8.  Virtualisez Flash si possible ou désactivez le car il est souvent utilisé comme vecteur d’infection, pensez au minimum à toujours le mettre à jour (certains sites gèrent maintenant le HTML5 pour les vidéos).

9. Ajustez les réglages de sécurité de votre navigateur pour en améliorer le niveau de protection.

10. Maintenez votre système d’exploitation à jour ainsi que vos programmes et vos extensions de navigateur, en particulier Java, Adobe Reader et Microsoft Silverlight. Les exploits utilisent leurs failles pour installer automatiquement des malwares.

6 conseils pour les entreprises

Avec la démocratisation du BYOD et BYOA (Bring Your Own Device/Application), les appareils et outils des employés passent souvent inaperçus aux yeux de la DSI – cela fait partie du Shadow IT.

Afin de limiter les risques d’infection qui pourraient être fatals (un cryptoware est capable de chiffrer le réseau complet d’une entreprise), voici quelques conseils à suivre pour les décideurs IT :

1. Mettez en garde les employés sur les nouvelles menaces et expliquez-leur comment déceler un e-mail de spear phishing et d’autres attaques d’ingénierie sociale.

2. Installez, configurez et maintenez à jour la solution de sécurité de votre entreprise.

3. Bloquez l’exécution de certains programmes vecteurs d’infections, comme par exemple des logiciels de téléchargement illégal ou de P2P au bureau.

4. Utilisez un pare-feu pour bloquer les connections entrantes vers des services qui n’ont pas lieu d’être publiquement accessibles via Internet.

5. Assurez-vous que les utilisateurs aient les droits les plus faibles possible pour accomplir leurs missions. Lorsqu’une application requiert des droits d’administrateur, assurez-vous que l’application soit légitime.

6. Activez la restauration système afin de retrouver les versions précédentes des fichiers qui ont été chiffrés,  une fois que la désinfection a eu lieu.

Certains prestataires offrent des serveurs sécurisés contre les ransomwares.

Nota : si vous avez besoin d’un appui, consulter les partenaires de l’association

Voir aussi

 

Fiche ANSSI pour les administrateurs

ANSSI1

Bonnes pratiques en cybersécurité (fiche ANSSI)

ANSSI Fiche_des_bonnes_pratiques_en_cybersecurite