# Une attaque par rançongiciel

**Niveau intermédiaire**

L'attaque par rançongiciel, c'est une prise d'otage de données personnelles. Pour ce faire, ce logiciel va les chiffrer et ensuite afficher un message qui demande une rançon. Il y aura la plupart du temps une promesse de déchiffrer les données dans celui-ci.

Les pirates exigeront la somme due sous la forme de cryptomonnaie. Dans tous les cas, les autorités recommandent de ne jamais la payer. Après tout, pourquoi faire confiance à des criminels !

\ 

![](chapitres/graphisme/1.rancongiciel.drawio.png)

## Comment éviter cette histoire d'horreur (et plusieurs autres) ?

### Développer une stratégie de sauvegarde efficace

Un système infecté par un rançongiciel est souvent cassé et devra être entièrement formaté. C'est pourquoi il est important de sauvegarder régulièrement nos fichiers. Nous suggérons de le faire sur au moins deux supports différents et qui ne sont pas connectés à vos systèmes :

- En ligne, sur un service d'hébergement protégé par la cryptographie.
- Une copie physique sur un appareil de stockage tel qu'un disque dur portatif, une clé USB ou un autre ordinateur.

![](images/winlin.png)

Pour faciliter cette dernière tâche sur Windows ou Linux, nous suggérons le logiciel graphique [GRsync](https://sourceforge.net/projects/grsync/). C'est une interface au puissant utilitaire [rsync](https://rsync.samba.org/). Pour avoir un aperçu de son usage, notre guide de juillet 2021, [Partir en vacances l'esprit tranquille](https://jevalide.ca/2021/07/27/guide-pratique-partir-en-vacances-lesprit-tranquille/), propose un survol de cet outil. 

![](images/lin.png)

Pour profiter de la cryptographie lors du transport et du stockage, l'outil [Borg](https://borgbackup.readthedocs.io/en/stable/), qui est plus technique que Rsync, permet d'appliquer cette stratégie. Il y est aussi expliqué dans notre guide précédent.

![](images/mac.png)

Sur MacOS, il y a un utilitaire de sauvegarde nommé Time Machine, qui peut faire une partie du travail, sans avoir beaucoup d'options toutefois. Nous recommandons d'apprendre rsync qui y est nativement installé.

Une sauvegarde peut avoir été contaminée par un rançongiciel détecté tardivement. Pour contrer ce risque, nous recommandons de prévoir, en complément, une méthode incrémentale de sauvegarde. Cette dernière conservera automatiquement un historique des versions antérieures des fichiers.

Assurez-vous de vous exercer régulièrement à la restauration de vos sauvegardes et de mettre en place une procédure simple à suivre. Si un incident survient, vous aurez bien d'autres soucis que vous remémorer cette procédure!

![](images/winlinmac.png)

Un outil de collaboration tel que [Nextcloud](https://docs.nextcloud.com/server/latest/user_manual/en/files/version_control.html), permet de préserver plusieurs versions des fichiers de manière transparente. Il a l'avantage d'avoir des applications client pour tous les systèmes d'exploitation populaires.

Afin de limiter l'exposition à des données personnelles, essayez de les garder le moins longtemps possible sur votre ordinateur de travail. Préférez toujours un support déconnecté pour celles-ci, comme un disque dur ou une clé USB. Deux copies valent mieux qu'une dans ce cas!

Pour plus de détails sur les différentes stratégies, nous vous invitons à consulter le guide intitulé [Les 3 types de sauvegardes](https://jevalide.ca/2021/08/09/les-3-types-de-sauvegardes-guide-pdf-aout-2021/) publié en aout 2021.

### Éviter les fichiers et liens suspects

Plusieurs types de contenus peuvent être suspects, tout particulièrement les liens et les pièces jointes dans les courriels et sur les sites Internet à réputation faible.

Un programme d'exposition aux courriels douteux demeure une bonne première étape, s'il est bien planifié. Les groupes criminels utilisent maintenant des techniques sophistiquées. Alors, bien honnetement, les campagnes improvisées avec des courriels factices pleins de fautes d'orthographe et affichant un mauvais logo ne sont plus suffisantes pour des fins de prévention. Il faut réussir à prendre au piège le plus de notre personnel possible avec du réalisme pour avoir un impact.

Privilégiez, dans vos communications avec la clientèle et les entreprises, des contenus simples, en texte seulement, et évitez en tout temps les pièces jointes qui peuvent inclure du code exécutable, comme les fichiers de type Office avec des macros. 

Dans tous les cas, n'ouvrez jamais de ces fichiers reçus par courriel qui proviennent d'une source externe, même si c'est un de vos contacts. Préférez utiliser un système de partage convenu à l'avance.

### Valider l'authenticité et l'intégrité des fichiers exécutables téléchargés

![](images/linmac.png)

Lorsque vous devez ouvrir un fichier exécutable téléchargé de l'externe, assurez-vous de valider les sommes de contrôle de celui-ci. Ceci peut être réalisé avec l'utilitaire `shasum`, sur Linux et macOS, depuis le terminal.

```{bash}
shasum -a 1 <fichier>
```

![](images/win.png)

Sur Windows, vous utilisez le logiciel `certutil` comme suit, depuis l'invite de commandes ou PowerShell.

```{powershell}
certutil -hashfile <fichier> SHA1
```

Évitez d'ouvrir des fichiers exécutables qui ne possèdent pas ces sommes de contrôle. C'est souvent signe que c'est un logiciel amateur qui n'est probablement pas sécurisé adéquatement.

### Effectuer la mise à jour périodique de tous ses logiciels et appareils

Nous ne pourrons jamais autant le répéter! Un des meilleurs moyens de garder son poste ou ses serveurs en sécurité, c'est de mettre à jour le plus fréquemment possible. Idéalement, celles-ci sont effectuées tous les jours.

Une règle d'or : aucun système qui n'a pas été mis à jour depuis plus d'un mois ne devrait se connecter à Internet. Point!

![](images/win.png)

Sur Windows, en plus des correctifs du système, avec Windows Update, il faut vérifier chacun des logiciels installés. Heureusement, de plus en plus proposent de vérifier la présence de nouvelles versions lors de leur ouverture. Si cette option est disponible, activez-là!

![](images/mac.png)

Sur MacOS, c'est compliqué de suivre les mises à jour, malheureusement. Quand ça vous saute au visage, faites-les immédiatement !

![](images/lin.png)

Chacune des différentes distributions Linux a sa propre façon d'effectuer les mises à jour. Voici les plus fréquentes:

```bash
# Debian et Ubuntu
sudo apt update
sudo apt upgrade
# RedHat et CentOS
sudo yum update
# Fedora
sudo dnf update
# Manjaro et Arch
sudo pacman -Syu
```

\clearpage

### Utiliser des mots de passe robustes et uniques

Un mot de passe robuste n'est pas composé seulement de mots du dictionnaire et de chiffres. Il est unique et ne devrait être utilisé qu'une fois, pour un compte.

![](images/winlinmac.png)

Il peut être difficile de retenir plusieurs mots de passe. Cependant, il existe maintenant des logiciels qui s'occupent de les gérer à notre place. Ils permettent même d'en générer des nouveaux. Un de ceux-ci est [Bitwarden](https://bitwarden.com/), qui offre aussi un service gratuit en ligne. Il propose des applications client sur toutes les plateformes et il est très convivial.

En entreprise, c'est souvent plus simple de fournir un outil qui s'installe sur le poste de travail. Dans ce cas, le logiciel KeePass pourrait très bien répondre au besoin d'entreposer de manière sécuritaire des mots de passe et d'autres types d'identifiants confidentiels. Les données sont sauvegardées dans un fichier chiffré qui se transporte ou se synchronise facilement avec des plateformes de collaboration telles que Nextcloud ou DropBox.

\clearpage

### Utiliser l'authentification à facteurs multiples

L'authentification à facteurs multiples permet d'éviter à quelqu'un qui aurait accès à votre mot de passe de se connecter sans pouvoir contrôler un autre élément. Il faut la privilégier sur tous les comptes en ligne où cette option est disponible.

Cette vérification peut être biométrique, avec une empreinte digitale, par un SMS ou avec une application mobile de génération de mots de passe à usage unique basés sur le temps (Time-based one-time password, TOTP). [FreeOTP+](https://f-droid.org/en/packages/org.liberty.android.freeotpplus/) pour Android facilite cette tâche. De plus, il est possible d'effectuer une sauvegarde de celle-ci vers un autre appareil.
Sur iOS, [FreeOTP Authenticator](https://apps.apple.com/in/app/freeotp-authenticator/id872559395), une version antérieure, a une interface similaire.

Il existe aussi des clés physiques, telles que la [Yubikey](https://www.yubico.com/?lang=fr), qui permettent d'augmenter la fluidité de l'expérience utilisateur.

### Activer le pare-feu de son ordinateur et de son routeur

Le pare-feu est un système qui permet d'ouvrir et de fermer des ports, c'est à dire des adresses pour faire entrer ou sortir de l'information entre votre ordinateur et un réseau informatique. Plus il y en a d'ouverts, plus il y a d'occasions pour qu'un logiciel malveillant pénètre dans votre poste de travail. C'est donc une bonne pratique de laisser passer seulement ce qui est absolument requis.

\clearpage

![](images/win.png)

Sur Windows, vous accédez aux paramètres du pare-feu Defender en utilisant la commande suivante dans le navigateur Edge

```
ms-settings:windowsdefender
```

Windows vous suggèrera fortement de créer un compte OneDrive pour augmenter la sécurité. Mais, sachez que vous pouvez tout autant utiliser Nextcloud sur votre propre serveur privé sans avoir à payer de licence mensuelle dispendieuse. Vérifiez surtout que les autres options affichées sont activées.

Windows communique énormément avec Microsoft, donc beaucoup de ports sont ouverts par défaut. Il peut être difficile de déterminer lesquels peuvent être fermés sans une expertise en administration Windows. Nous pouvons tout de même obtenir un aperçu en cliquant sur **Paramètres avancés** dans la fenêtre du pare-feu.

![](images/chapitre-01-parefeu-windows.png)

\clearpage

![](images/mac.png)

Sur macOS, le système inclut son propre pare-feu configurable depuis une interface graphique. Depuis les options, il est possible de bloquer toutes les connexions entrantes.

![](images/chapitre-01-parefeu-macos.png)

\clearpage

![](images/lin.png)

Sur Linux, le pare-feu par défaut est `iptables`. Il requiert une certaine expertise pour être configuré adéquatement. Heureusement, le logiciel `ufw` (Uncomplicated firewall) permet de simplifier la tâche. Pour l'activer, il suffit généralement d'exécuter cette commande :

```bash
sudo systemctl enable ufw
```

Pour nous assurer qu'il est activé, nous consultons le statut détaillé

```bash
sudo ufw status verbose
```

Ce qui devrait produire une sortie comme suit :

```plain
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), \
  disabled (routed)
New profiles: skip
```

Ensuite, pour ouvrir les ports, nous utilisons le numéro ou le nom du service, tel que listé dans le fichier `/etc/services`. Voici, par exemple, les ports autour du protocole SSH :

```
cat /etc/services | grep ssh | grep tcp | head -n 5
ssh                22/tcp
sshell            614/tcp
netconf-ssh       830/tcp
sdo-ssh          3897/tcp
netconf-ch-ssh   4334/tcp
```

## Trop tard... et maintenant?

### Couper l'accès au réseau

La première action, lors de toute détection d'attaque par rançongiciel ou de comportement suspect, comme la disparition de fichiers, c'est de couper l'accès au réseau. Commencez par déconnecter le câble et éteindre le wifi en débranchant le routeur. Sinon, il faut le fermer depuis son interface graphique, ce qui peut être ardu en entreprise.

### Aviser les autorités

Si vous recevez une demande de rançon, capturez l'écran avec votre mobile ou un appareil photo. Ne payez rien. Communiquez avec la police et une ou un spécialiste en cybersécurité. Ces derniers voudront probablement accéder à vos systèmes pour effectuer une analyse en criminalistique numérique. Il sera possible de restaurer les fichiers chiffrés, si le rançongiciel utilisé a été décodé. À ce sujet, on peut consulter le site [No More Ransom](https://www.nomoreransom.org/fr/decryption-tools.html).

### Formater le système infecté

Une fois qu'un système infecté a été neutralisé, vous pourrez le réinstaller. Dans ce cas, nous préférerons formater les disques avec une méthode de remplissage aléatoire. Assurons-nous que le rançongiciel ne s'est pas installé dans une des parties critiques du système, tel que le gestionnaire d'amorçage. Pour ce faire, nous devrons attendre les résultats de l'enquête en criminalistique numérique. 

### Effectuer une restauration

Localisez votre sauvegarde la plus récente et planifiez une restauration de celle-ci sur un autre réseau informatique que celui qui a été infecté, afin de, par exemple, publier en ligne un site web le plus rapidement possible. Ce peut être l'occasion de louer un serveur temporaire pour se remettre sur pied.

![](images/win.png)

Avec Windows, ça peut être difficile de reproduire un système sur une autre machine. Nous voudrons alors utiliser, au besoin, la fonction intégrée, qui se nomme le point de restauration. Elle est disponible depuis les Propriétés système, dans la section Protection du système.

![](images/chapitre-01-restauration-windows.png)

