FBI : Attention au rançongiciel LockBit 2.0, voici comment réduire les risques pour votre réseau
Activez l'authentification multifacteur et utilisez des mots de passe forts, prévient le FBI.
Le Federal Bureau of Investigations (FBI) a publié un nouvel avertissement concernant LockBit 2.0. recommandant aux entreprises d'activer l'authentification multifacteur (MFA) et d'utiliser des mots de passe forts et uniques pour tous les comptes d'administrateur et de grande valeur afin de contrecarrer la souche de ransomware utilisée par l'un des groupes d'attaque les plus actifs sur Internet aujourd'hui.
La MFA est essentielle pour se protéger contre les mots de passe utilisateur et administrateur compromis, mais Microsoft a constaté que 78 % des organisations utilisant Azure Active Directory n'activent pas la MFA.
LockBit 2.0 cible également les PC Windows et désormais les serveurs Linux via des bugs dans les machines virtuelles ESXi de VMWare, et a touché, entre autres, le géant du conseil et des services technologiques Accenture et le ministère français de la Justice.
VOIR : Cybersécurité : passons à la tactique (rapport spécial ZDNet)
Les opérateurs de LockBit utilisent n'importe quelle méthode disponible pour compromettre un réseau, à condition qu'elle fonctionne. Celles-ci incluent, sans s'y limiter, l'achat d'un accès à un réseau déjà compromis auprès de « courtiers d'accès », l'exploitation de bogues logiciels non corrigés et même le paiement d'un accès interne, ainsi que l'utilisation d'exploits pour des failles Zero Day jusqu'alors inconnues, selon le Le rapport du FBI.
Les techniques du groupe continuent d'évoluer. Le FBI affirme que les opérateurs de LockBit ont commencé à faire de la publicité pour les initiés d'une entreprise cible afin de les aider à établir un premier accès au réseau. Les initiés se sont vu promettre une part des bénéfices d’une attaque réussie. Un mois plus tôt, il avait commencé à chiffrer automatiquement les appareils sur les domaines Windows en abusant des politiques de groupe dans Active Directory.
Après avoir compromis un réseau, LockBit utilise des outils de test d'intrusion comme Mimikatz pour élever les privilèges et utiliser plusieurs outils pour exfiltrer les données (afin de menacer les victimes d'une fuite si elles ne paient pas) avant de chiffrer les fichiers. LockBit laisse toujours une note de rançon avec des instructions sur la façon d'obtenir la clé de déchiffrement.
Comme d'autres opérations de ransomware basées en Russie, LockBit 2.0 détermine les paramètres de langue du système et de l'utilisateur et exclut une organisation des attaques si les langues sont l'une des 13 langues d'Europe de l'Est. Le FBI répertorie les codes de langue dans LockBit 2.0 en février 2022 - tels que 2092 pour l'azéri/cyrillique et 1067 pour l'arménien - qui l'empêchent de s'activer.
"Si une langue d'Europe de l'Est est détectée, le programme se termine sans infection", note le FBI.
Lockbit 2.0 identifie et collecte le nom d'hôte, la configuration de l'hôte, les informations de domaine, la configuration du lecteur local, les partages distants et les périphériques de stockage externes montés d'un périphérique infecté.
Il tente ensuite de chiffrer les données enregistrées sur n'importe quel appareil local ou distant, mais ignore les fichiers associés aux fonctions principales du système, selon le FBI. Après cela, il se supprime du disque et crée une persistance au démarrage.
En plus d'exiger des mots de passe forts et uniques et une MFA pour la messagerie Web, les VPN et les comptes pour les systèmes critiques, le FBI recommande également une série de mesures d'atténuation, notamment la mise à jour des systèmes d'exploitation et des logiciels et la suppression des accès inutiles aux partages administratifs. Il recommande également d'utiliser un pare-feu basé sur l'hôte et d'activer les « fichiers protégés » dans Windows, faisant référence à l'accès contrôlé aux dossiers de Microsoft.
Il recommande également aux entreprises de segmenter leurs réseaux, d'enquêter sur toute activité anormale, de mettre en œuvre un accès temporel pour les comptes définis au niveau administrateur et supérieur, de désactiver les activités et autorisations de ligne de commande et de script et, bien sûr, de maintenir des sauvegardes de données hors ligne.