Pourquoi les entreprises doivent-elles se protéger contre le ransomware Ryuk ?

Les ransomwares sont des malwares qui permettent aux pirates informatiques d’utiliser des techniques de chiffrement pour infecter des réseaux entiers (y compris les fichiers et appareils associés), les rendant inaccessibles à l’entreprise cible jusqu’au paiement d’une rançon. La rançon est généralement exigée sous forme de cryptomonnaie, telle que le bitcoin, et peut s’élever à des milliers, voire des millions de dollars. Le montant moyen d’une rançon a atteint 12 762 dollars en 2019, et le coût moyen des temps d’arrêt liés à un incident s’est élevé à 64 645 dollars par entreprise au cours d’un seul trimestre.

Les pirates ciblent régulièrement les grandes organisations ou les entreprises disposant d’actifs critiques très sensibles, comme les hôpitaux. C’est une technique appelée la « chasse au gros gibier ». En outre, contrairement à d’autres ransomwares, les cybercriminels qui recourent au malware Ryuk ciblent des personnes spécifiques et infiltrent manuellement les réseaux de l’entreprise. À l’aide d’outils open source disponibles sur le réseau, les pirates récoltent des données sensibles et accèdent à autant de secteurs de l’entreprise que possible, acquérant ainsi une connaissance approfondie de ses opérations internes.

Basé sur Hermes, un ransomware plus ancien, le ransomware Ryuk a été identifié pour la première fois en 2018. On estime souvent qu’il a été adapté et développé par une organisation de cybercriminels basée en Russie. Depuis 2019, des associations criminelles ont multiplié les attaques et extorqué des millions de dollars de rançon à des institutions financières, des hôpitaux et même des administrations locales.

Tout comme le ransomware Locky, le ransomware Cerber et le ransomware REvil/Sodinokibi, une fois que le facteur de menace a pénétré votre réseau et contourné la sécurité de votre serveur à l’aide du ransomware Ryuk, il interrompt jusqu’à 180 services et 40 processus nécessaires au fonctionnement de votre système, ce qui entraîne le chiffrement de vos informations critiques.

Une fois vos fichiers chiffrés, le ransomware Ryuk supprime les copies originales et tous les clichés instantanés à l’aide d’un fichier .BAT. Il déjouera ainsi toutes les tentatives des victimes de récupérer leurs données.

Ryuk utilise à la fois des algorithmes de chiffrement symétrique et asymétrique pour coder les fichiers, une approche similaire à celle des ransomwares Petya et Mischa, qui recourent à plusieurs méthodes différentes pour chiffrer les données des utilisateurs.

Le ransomware Ryuk a ainsi un impact sur tous les fichiers et applications du réseau. Une fois qu’il a atteint ses objectifs, il dépose dans chaque dossier un fichier texte appelé « RyukReadMe.txt », qui présente les détails de la demande de rançon. Les cybercriminels prétendent que si une rançon est payée, une copie de la clé de chiffrement permettra de récupérer les fichiers.

Alors que le nombre d’attaques menées au moyen du ransomware Ryuk ne cesse d’augmenter, les gouvernements et les entreprises doivent rester vigilants. Parmi les attaques de Ryuk les plus médiatisées depuis 2018, on peut citer :

• Hôpitaux aux États-Unis, en Allemagne et au Royaume-Uni (2019-2020) : plusieurs hôpitaux basés dans ces pays ont subi des attaques répétées du malware Ryuk. En septembre 2020, Universal Health Services (UHS), qui gère des établissements au Royaume-Uni et aux États-Unis, a été touchée par le malware Ryuk. L’incident lui a coûté 67 millions de dollars et il a fallu un mois pour que toutes ses opérations reprennent. Un réseau de plus de 400 hôpitaux situés aux États-Unis et au Royaume-Uni a également été touché par le malware Ryuk en septembre 2020. Les 250 établissements américains ont subi l’une des plus importantes attaques médicales de Ryuk à ce jour. Le malware Ryuk aurait été à l’origine de 75 % des attaques menées à l’encontre du secteur de la santé aux États-Unis en octobre 2020.
• Lake City, États-Unis (2019) : suite à l'ouverture d'un e‑mail contenant une forme de malware Ryuk, les systèmes informatiques de la ville ont été pris en otage en échange d’une rançon de 460 000 dollars. Le maire de Lake City a confirmé que la ville avait payé la rançon demandée pour pouvoir reprendre ses opérations.
• Ville d’Onkaparinga, Australie-Méridionale (2019) : en décembre 2019, les systèmes informatiques de la mairie d’Onkaparinga à Adélaïde ont été infectés par le ransomware Ryuk, ce qui a entraîné une perte de productivité d’une semaine.
• EMCOR (2020) : au mois de février cette année-là, la société EMCOR, qui figure au classement Fortune 500, a confirmé que plusieurs de ses systèmes informatiques avaient été touchés par une attaque de type Ryuk. L’entreprise n’a pas confirmé si une rançon avait été payée.