Comprendre les maliciels : types, modes de propagation et stratégies de défense

Le terme « maliciel » est la contraction de « logiciel malveillant ». Un maliciel peut être conçu à diverses fins : voler des données, saboter des opérations ou procurer un accès non autorisé à des systèmes informatiques.

La cybersécurité est une préoccupation majeure pour bien des entreprises, et une part importante des cyberattaques repose sur des maliciels. Par exemple, le rançongiciel est l'une des menaces les plus coûteuses et les plus dommageables auxquelles les entreprises font face, et les maliciels voleurs d'information contribuent à des brèches de données très coûteuses.

Cet article explore la menace des maliciels. Il présente les différents types de maliciels, la façon dont ils infectent les environnements informatiques d'une organisation et s'y propagent, ainsi que les moyens de prévenir et de corriger les infections.

Qu'est-ce qu'un maliciel ?

Un maliciel est un logiciel conçu expressément à des fins malveillantes. Il peut servir à de nombreux usages, et plusieurs groupes cybercriminels se spécialisent dans le développement de maliciels sur mesure, qu'ils utilisent dans leurs propres attaques ou mettent à la disposition d'autres groupes selon des modèles d'affiliation.

L'intention est le principal élément qui distingue un maliciel des autres logiciels, et la frontière est souvent floue. Dans certains cas, un logiciel conçu à des fins légitimes — comme les tests d'intrusion ou l'administration des TI — peut servir à appuyer des cyberattaques. À l'inverse, certaines formes de maliciels sont présentées par leurs créateurs comme des logiciels légitimes. Par exemple, certains logiciels espions sont annoncés comme des outils de surveillance parentale plutôt que comme des logiciels développés avec une intention malveillante.

Les attaques par maliciel peuvent avoir des répercussions considérables et entraîner des coûts élevés. Par exemple, l'attaque par effaceur NotPetya de 2017 a généré des pertes estimées à 10 milliards de dollars en paralysant des systèmes gouvernementaux et d'entreprises partout dans le monde.

Les types de maliciels

« Maliciel » est un terme générique qui décrit une grande variété de logiciels malveillants. Les différents types de maliciels peuvent être classés selon leur intention ou leur mode de propagation. Voici quelques exemples de types courants :

• Logiciel espion : Le maliciel espion comme DarkHotel est conçu pour recueillir de l'information sur les utilisateurs des machines infectées. Un logiciel espion peut recueillir des identifiants d'utilisateur, des renseignements personnels identifiables (RPI), de la propriété intellectuelle (PI) ou d'autres données qui pourraient être utiles dans de futures attaques ou revendues sur le Web clandestin.
• Publiciel : Le maliciel publicitaire comme Fireball est un logiciel qui génère des revenus en présentant des publicités aux utilisateurs. Bien qu'un publiciel puisse être légitime, le terme désigne souvent un maliciel installé sur les machines des utilisateurs sans leur consentement et qui diffuse des publicités indésirables au moyen de fenêtres surgissantes et de bannières. Un publiciel peut aussi poursuivre des objectifs plus malveillants, comme la publicité malveillante ou la redirection des utilisateurs vers des pages d'hameçonnage.
• Réseau de zombies : Un maliciel de type réseau de zombies constitue un ensemble d'ordinateurs contrôlés par un attaquant et utilisés pour mener des attaques automatisées, comme le bourrage d'identifiants ou les attaques par déni de service distribué (DDoS). Les réseaux de zombies sont souvent créés en infectant des ordinateurs avec un maliciel (comme Zeus) qui attend les instructions de l'opérateur et utilise les ressources de l'ordinateur infecté pour participer à l'attaque.
• Enregistreurs de frappe : Les enregistreurs de frappe comme Olympic Vision sont des maliciels qui surveillent et enregistrent les touches saisies par un utilisateur sur son ordinateur. Ce type de maliciel vise à voler des données sensibles, comme des mots de passe ou des numéros de carte de crédit, que l'utilisateur tape à son clavier.
• Rootkits : Les rootkits sont des maliciels conçus pour dissimuler la présence d'un maliciel sur un système infecté. Des rootkits comme ZeroAccess altèrent la liste des processus en cours, les fichiers des répertoires et les communications réseau afin de masquer toute trace du maliciel sur le système infecté.
• Chevaux de Troie : Les chevaux de Troie comme Emotet sont des maliciels qui se font passer pour des logiciels légitimes afin d'accéder à un ordinateur. Par exemple, un logiciel qui prétend être une version craquée d'un jeu ou d'une suite bureautique peut en réalité contenir des fonctions malveillantes.
• Chevaux de Troie d'accès à distance (RAT) : Les RAT sont un type de cheval de Troie conçu pour donner à un attaquant le contrôle d'une machine infectée. Une fois en exécution sur l'ordinateur, le RAT ouvre un canal de communication vers l'attaquant, ce qui lui permet d'exécuter diverses commandes sur le système ciblé.
• Rançongiciels : Le rançongiciel — comme Ryuk — s'est imposé comme l'une des principales cybermenaces pour les organisations ; il vise à faire de l'argent en s'attaquant aux données de l'entreprise. Autrefois, le rançongiciel chiffrait les données et exigeait une rançon en échange de la clé de déchiffrement, mais les groupes de rançongiciels se tournent de plus en plus vers des attaques où ils volent les données et réclament une rançon pour ne pas les vendre ni les divulguer.
• Cryptomineurs pirates :Les cryptomineurs pirates sont des maliciels qui utilisent les ressources d'un ordinateur infecté pour miner de la cryptomonnaie au profit d'un attaquant. Coinhive et les autres cryptomineurs pirates consomment les ressources de l'organisation et génèrent des profits pour l'attaquant.
• Effaceurs : Les effaceurs sont conçus pour supprimer des données ou rendre un système inutilisable. Par exemple, des effaceurs comme HermeticWiper peuvent supprimer des composants essentiels du système d'exploitation et empêcher le démarrage de la machine.
• Maliciels sans fichier : Le maliciel sans fichier se définit par le fait qu'il ne réside qu'en mémoire, sans jamais écrire de fichier sur le disque. Souvent, un maliciel sans fichier comme Astaroth exploite les fonctions intégrées de l'ordinateur infecté pour atteindre son but, une technique dite « vivre de la terre ».
• Vers : Les vers sont des maliciels capables de se propager d'eux-mêmes dans un réseau. Par exemple, WannaCry se propageait au moyen de l'exploit EternalBlue pour compromettre des services SMB vulnérables et installer des copies de lui-même sur d'autres ordinateurs.
• Virus : Les virus — comme le virus Cascade — se propagent aussi par autoréplication, mais ne peuvent pas le faire de façon autonome. Ils ont besoin que quelqu'un exécute le maliciel en lançant une application malveillante ou en ouvrant un fichier infecté.

Bien que ces catégories soient nettes, une souche de maliciel peut combiner plusieurs fonctions et appartenir à plusieurs catégories. Par exemple, WannaCry est un ver rançongiciel, puisqu'il possède des fonctions de rançongiciel et se propage de façon autonome en exploitant des vulnérabilités.

Comment les maliciels se propagent

Les cybercriminels emploient divers moyens pour installer des maliciels sur les ordinateurs ciblés. Voici quelques-uns des vecteurs d'infection les plus courants :

• Attaques d'hameçonnage : L'hameçonnage est l'une des méthodes les plus courantes de propagation des maliciels. Le maliciel peut se trouver dans une pièce jointe malveillante ou sur un site Web indiqué par un lien malveillant. Lorsque l'utilisateur ouvre la pièce jointe ou le lien, son ordinateur peut être infecté.
• Médias sociaux : En plus du courriel, les cybercriminels peuvent utiliser d'autres plateformes pour propager des maliciels. Les médias sociaux constituent notamment un autre vecteur courant pour les attaquants qui cherchent à distribuer des fichiers malveillants.
• Sites Web malveillants : Un maliciel peut se propager par l'entremise de sites Web malveillants ou de sites infectés par des publicités malveillantes. Après avoir été dirigés vers ces sites par un lien malveillant ou un code QR, les utilisateurs peuvent voir un maliciel se télécharger automatiquement sur leur appareil ou se faire proposer des téléchargements qui sont en réalité des chevaux de Troie.
• Exploitation de vulnérabilités : Certains maliciels — comme WannaCry et de nombreuses souches de réseaux de zombies — se propagent en exploitant des vulnérabilités dans les systèmes ciblés. Par exemple, les maliciels de réseaux de zombies visent souvent les objets connectés (IdO), qui présentent fréquemment une sécurité déficiente et ne disposent pas des défenses des systèmes informatiques traditionnels.>
• Prise de contrôle de comptes : L'essor du télétravail a offert aux cybercriminels des occasions de propager des maliciels en tirant parti de l'infrastructure de travail à distance. Les attaquants utilisent des mots de passe compromis ou des attaques par bourrage d'identifiants pour accéder à distance aux systèmes de l'entreprise et y implanter des maliciels au moyen de VPN, de RDP ou d'autres solutions d'accès à distance.
• Supports amovibles : Les clés USB et les disques durs externes infectés sont une tactique courante de distribution de maliciels par ingénierie sociale. Si un utilisateur branche un disque infecté à son appareil, le maliciel peut s'exécuter par l'exécution automatique (si elle est activée) ou se cacher dans un fichier infecté au nom alléchant.
• Attaques de la chaîne d'approvisionnement : Dans une attaque de la chaîne d'approvisionnement, l'attaquant exploite les relations de confiance qu'une organisation entretient avec d'autres organisations. Par exemple, il peut compromettre le fournisseur de services gérés (FSG) d'une entreprise et se servir de son accès aux systèmes de celle-ci pour propager un maliciel. Il peut aussi intégrer un maliciel dans un logiciel de confiance que les utilisateurs installeront sur leurs appareils.

Les vecteurs d'infection employés pour propager un maliciel dépendent souvent du type de maliciel et du groupe derrière l'attaque. Par exemple, le rançongiciel se propage souvent par l'exploitation de vulnérabilités, la prise de contrôle de comptes et les attaques d'hameçonnage.

Détecter et supprimer les maliciels

La rapidité de détection et de correction est essentielle pour limiter le coût et les répercussions d'une infection par maliciel. La première étape consiste à repérer la présence du maliciel sur les systèmes de l'entreprise. Voici quelques moyens d'y parvenir :

• Analyse des terminaux : Les antivirus et les autres solutions de sécurité des terminaux peuvent détecter les types de maliciels courants. Exécuter des analyses régulièrement, ou dès qu'une infection est soupçonnée, aide à repérer le problème.
• Recherche proactive de menaces : La recherche proactive de menaces consiste à chercher activement une infection par maliciel. Par exemple, un analyste peut rechercher des indicateurs de compromission (IoC), comme la présence d'un fichier sur un ordinateur ou des communications vers une URL malveillante connue.
• Surveillance du réseau : Un maliciel infecte généralement les systèmes par le réseau et communique avec son opérateur. Surveiller le trafic réseau à la recherche d'anomalies ou de connexions vers des URL malveillantes connues aide à détecter une infection.
• Analyse comportementale : Un maliciel est conçu pour poser des gestes malveillants sur un ordinateur ou un réseau infecté. L'analyse comportementale permet de repérer des comportements anormaux ou malveillants qui pourraient révéler une infection.
• Services de détection : Si l'on soupçonne qu'un fichier est un maliciel, un service de détection peut aider à l'identifier. Des services comme VirusTotal ou Hybrid Analysis permettent de téléverser ou de rechercher des fichiers et fournissent de l'information détaillée sur le maliciel potentiel.

Dès qu'une infection par maliciel est découverte, la meilleure pratique consiste à la mettre en quarantaine hors du réseau. Cela empêche le maliciel d'infecter d'autres systèmes ou de voler des données sensibles.

Une fois l'éclosion contenue, l'organisation peut entreprendre les travaux de correction. Voici quelques méthodes pour supprimer un maliciel d'un ordinateur infecté :

• Correction par antivirus : Les programmes antivirus sont souvent en mesure de mettre en quarantaine et de corriger les infections par maliciel. Si l'outil détecte l'infection, il pourra peut-être la neutraliser.
• Mode sans échec : Le mode sans échec limite les programmes autorisés à s'exécuter sur un ordinateur. Démarrer en mode sans échec peut permettre de supprimer le maliciel sans que le programme malveillant y fasse obstacle.
• Restauration du système : Restaurer un ordinateur infecté à une configuration antérieure reconnue comme saine peut aussi aider à éliminer une infection. On peut recourir à la fonction de restauration intégrée au système d'exploitation ou à des sauvegardes conservées.
• Réinitialisation aux paramètres d'usine : Une réinitialisation aux paramètres d'usine offre un niveau de confiance élevé quant à l'élimination complète de l'infection. Elle peut toutefois entraîner la perte de fichiers et de données s'ils ne sont pas sauvegardés ailleurs.

Le meilleur mécanisme de correction dépend souvent du maliciel en cause et du niveau d'assurance souhaité quant à sa disparition complète. Par exemple, supprimer des fichiers malveillants peut laisser passer un élément et permettre une réinfection du système. À l'inverse, la réinitialisation aux paramètres d'usine offre une plus grande assurance, mais comporte un risque de perte de données.

Se protéger contre les maliciels

La meilleure façon de gérer une infection par maliciel est d'empêcher qu'elle se produise. Voici quelques mesures pour vous protéger contre les maliciels et en atténuer les effets :

• Sécurité des terminaux : Les solutions de sécurité des terminaux, comme les antivirus et les antimaliciels, peuvent détecter et empêcher l'installation d'un maliciel sur un ordinateur. Souvent, si le maliciel parvient tout de même à s'installer, ces outils peuvent aussi aider à le supprimer.
• Authentification forte : Les cybercriminels peuvent propager des maliciels au moyen de comptes compromis, et les identifiants d'utilisateurs sont une cible de choix pour les voleurs d'information. Mettre en place une solide sécurité des comptes, y compris l'authentification multifacteur (MFA), réduit le taux de réussite de ces attaques et limite l'utilité des identifiants volés.
• Analyse du courriel : L'hameçonnage est un vecteur d'infection privilégié. Les solutions d'analyse du courriel peuvent détecter et bloquer les messages contenant des liens malveillants ou des pièces jointes infectées.
• Gestion des correctifs : Certaines formes de maliciels se propagent en exploitant des systèmes vulnérables. Installer régulièrement les mises à jour et les correctifs permet de combler les failles de sécurité avant qu'un attaquant puisse les exploiter.
• Segmentation du réseau : La segmentation du réseau divise celui-ci en segments distincts et isolés. Il devient ainsi plus difficile pour un maliciel de se propager ou d'accéder aux données et aux systèmes critiques.
• Sécurité Zero Trust : Le modèle de sécurité Zero Trust veut qu'un utilisateur ou une application n'ait que l'accès nécessaire à sa tâche. Sa mise en œuvre complique la tâche du maliciel qui cherche à obtenir les accès requis pour atteindre ses objectifs.

Conclusion

Le maliciel est une composante clé de nombreuses cyberattaques. Les rançongiciels, les voleurs d'information et les autres maliciels peuvent mener des attaques coûteuses et dévastatrices contre les organisations.

Se protéger des attaques par maliciel exige une approche de défense en profondeur. La formation et la sensibilisation des employés aident à détecter et à prévenir ces attaques, mais elles ne suffisent pas à elles seules. Les entreprises devraient aussi disposer de solutions pour gérer les conséquences d'une infection réussie.

Par exemple, les identifiants des employés jouent un rôle central dans bien des attaques par maliciel. Les identifiants compromis servent à distribuer des maliciels en abusant des accès et des permissions des employés. Les voleurs d'information et les enregistreurs de frappe visent les identifiants afin d'obtenir l'accès aux comptes d'entreprise et aux comptes en ligne.

KZero Passwordless propose Multi-Pass, qui protège contre les attaques par maliciel en remplaçant les mots de passe par une MFA sans mot de passe, de calibre entreprise et résistante à l'hameçonnage. Réservez une démonstration dès aujourd'hui pour en savoir plus sur Multi-Pass et sur la façon dont KZero Passwordless peut aider votre organisation à intégrer la confiance à l'ensemble de ses activités.

Howard Poston



Howard Poston est rédacteur publicitaire, auteur et concepteur de cours, fort d'une expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, dix ans d'expérience en cybersécurité et plus de cinq ans d'expérience comme consultant indépendant.