Qu’est-ce qu’un ransomware ?

• Un ransomware est un type de logiciel malveillant utilisé par les acteurs de la menace pour infecter des ordinateurs et crypter des fichiers informatiques jusqu’au paiement d’une rançon. (Voir Protection contre les codes malveillants pour plus d’informations sur les logiciels malveillants). Après l’infection initiale, le ransomware tente de se propager aux systèmes connectés, y compris aux disques de stockage partagés et aux autres ordinateurs accessibles.
• Si les demandes de rançon de l’acteur de la menace ne sont pas satisfaites (c’est-à-dire si la victime ne paie pas la rançon), les fichiers ou les données cryptées restent généralement cryptés et ne sont pas disponibles pour la victime.
• Même après le paiement d’une rançon pour déverrouiller des fichiers cryptés, les acteurs de la menace exigent parfois des paiements supplémentaires, suppriment les données de la victime, refusent de décrypter les données ou de fournir une clé de décryptage fonctionnelle pour rétablir l’accès de la victime.
• Le gouvernement fédéral n’est pas favorable au paiement des demandes de rançongiciels.

Comment fonctionne un ransomware ?

• Le ransomware identifie les lecteurs d’un système infecté et commence à crypter les fichiers de chaque lecteur.
• Le ransomware ajoute généralement une extension aux fichiers cryptés, telle que .aaa, .micro, .encrypted, .ttt, .xyz, .zzz, .locky, .crypt, .cryptolocker, .vault ou .petya, pour montrer que les fichiers ont été cryptés – l’extension de fichier utilisée est unique au type de ransomware.
• Une fois que le ransomware a terminé le cryptage des fichiers, il crée et affiche un ou plusieurs fichiers contenant des instructions sur la manière dont la victime peut payer la rançon. Si la victime paie la rançon, l’acteur de la menace peut fournir une clé cryptographique que la victime peut utiliser pour déverrouiller les fichiers et les rendre accessibles.

Comment les ransomwares sont-ils diffusés ?

• Les ransomwares sont généralement diffusés par des courriels d’hameçonnage ou par des “téléchargements à la demande”.
• Les courriels de phishing ont souvent l’apparence d’avoir été envoyés par une organisation légitime ou une personne connue de la victime et incitent l’utilisateur à cliquer sur un lien malveillant ou à ouvrir une pièce jointe malveillante.
• Un “drive-by download” est un programme qui est automatiquement téléchargé depuis l’internet sans le consentement de l’utilisateur ou souvent à son insu. Il est possible que le code malveillant s’exécute après le téléchargement, sans interaction de l’utilisateur. Après l’exécution du code malveillant, l’ordinateur est infecté par un ransomware.

Que puis-je faire pour protéger mes données et mes réseaux ?

• Sauvegardez votre ordinateur. Effectuez des sauvegardes fréquentes de votre système et d’autres fichiers importants, et vérifiez régulièrement vos sauvegardes. Si votre ordinateur est infecté par un ransomware, vous pouvez restaurer votre système dans son état antérieur à l’aide de vos sauvegardes.
• Stockez vos sauvegardes séparément. La meilleure pratique consiste à stocker vos sauvegardes sur un périphérique distinct auquel il est impossible d’accéder depuis un réseau, par exemple sur un disque dur externe. Une fois la sauvegarde terminée, veillez à déconnecter le disque dur externe ou le dispositif séparé du réseau ou de l’ordinateur.
• Formez votre organisation. Les organisations doivent s’assurer qu’elles dispensent une formation de sensibilisation à la cybersécurité à leur personnel. Idéalement, les organisations organisent régulièrement des sessions obligatoires de sensibilisation à la cybersécurité pour s’assurer que leur personnel est informé des menaces de cybersécurité actuelles et des techniques des acteurs de la menace. Pour améliorer la sensibilisation du personnel, les organisations peuvent tester leur personnel avec des évaluations de phishing qui simulent des e-mails de phishing réels.

Que puis-je faire pour prévenir les infections par ransomware ?

• Mettez à jour et corrigez votre ordinateur. Assurez-vous que vos applications et systèmes d’exploitation (SE) ont été mis à jour avec les derniers correctifs. Les applications et systèmes d’exploitation vulnérables sont la cible de la plupart des attaques par ransomware. (Voir Comprendre les correctifs et les mises à jour logicielles).
• Soyez prudent avec les liens et lorsque vous saisissez des adresses de sites Web. Soyez prudent lorsque vous cliquez directement sur des liens dans des e-mails, même si l’expéditeur semble être quelqu’un que vous connaissez.
• Essayez de vérifier indépendamment les adresses de sites Web (par exemple, contactez le service d’assistance de votre organisation, recherchez sur Internet le site Web de l’organisation expéditrice ou le sujet mentionné dans le courriel).
• Faites attention aux adresses de sites Web sur lesquelles vous cliquez, ainsi qu’à celles que vous saisissez vous-même.
• Les adresses de sites web malveillants semblent souvent presque identiques à celles de sites légitimes, avec souvent une légère variation dans l’orthographe ou un domaine différent (par exemple, .com au lieu de .net). (Voir la section Faire preuve de prudence avec les pièces jointes des e-mails).
• Ouvrez les pièces jointes des e-mails avec prudence. Méfiez-vous des pièces jointes, même si elles proviennent d’expéditeurs que vous pensez connaître, en particulier lorsqu’il s’agit de fichiers compressés ou de fichiers ZIP.
• Protégez vos informations personnelles. Vérifiez la sécurité d’un site Web pour vous assurer que les informations que vous soumettez sont cryptées avant de les fournir. (Voir Protection de votre vie privée).
• Vérifiez les expéditeurs des courriels. Si vous n’êtes pas sûr qu’un courriel soit légitime, essayez de le vérifier en contactant directement l’expéditeur. Ne cliquez pas sur les liens contenus dans l’e-mail. Si possible, utilisez un courriel précédent (légitime) pour vous assurer que les coordonnées de l’expéditeur sont authentiques avant de le contacter.
• Informez-vous. Tenez-vous informé des récentes menaces de cybersécurité et des techniques de ransomware. Vous pouvez trouver des informations sur les attaques de phishing connues sur le site du groupe de travail Anti-Phishing.
• Utilisez et maintenez des programmes logiciels préventifs. Installez des logiciels antivirus, des pare-feu et des filtres de courrier électronique – et tenez-les à jour – pour réduire le trafic réseau malveillant. (Voir Comprendre les pare-feu pour les particuliers et les petits bureaux).

Comment réagir à une infection par ransomware ?

• Analysez vos sauvegardes. Si possible, analysez vos données de sauvegarde à l’aide d’un programme antivirus pour vérifier qu’elles sont exemptes de logiciels malveillants.
• Que dois-je faire si mon ordinateur est infecté par un ransomware ?
• Organisations : signalez immédiatement tout incident lié à un ransomware à votre service d’assistance informatique ou à votre bureau de sécurité.
• Tous les utilisateurs : changez tous les mots de passe du système une fois que le ransomware a été supprimé.