« Cybercrime on Main Street » : dans l’édition 2024 de son rapport sur les menaces, Sophos détaille les cyber-risques auxquels sont exposées les PME

Sophos, un leader mondial de la cybersécurité innovante « as a Service », annonce la publication de son rapport annuel sur les menaces. IntituléeCybercrime on Main Street, l’édition 2024 du rapport Sophos présente en détail les principales menaces auxquelles sont confrontées les petites et moyennes entreprises (PME*). Selon le rapport, près de 50 % des malwares détectés en 2023 sur ce segment du marché étaient des keyloggers, des spywares et des infostealers, c’est-à-dire des malwares que les cyberattaquants utilisent pour s’emparer de données et d’identifiants qui leur permettront d’obtenir des accès à distance non autorisés, d’extorquer leurs victimes, de déployer des ransomwares, etc.

Ce rapport analyse également les courtiers d’accès initial (IAB — Initial Access Brokers), une catégorie de cybercriminels spécialisés dans l’intrusion dans les réseaux informatiques. Comme le montre l’étude, ces courtiers utilisent le dark web pour promouvoir leurs services et leur aptitude à s’introduire dans les réseaux spécifiquement utilisés par les PME, ou pour vendre des données prêtes à l’emploi permettant d’accéder à des PME déjà infectées.

Découvert par l’équipe Sophos X-Ops sur un forum du dark web, ce message annonce l’accès à des cabinets comptables américains. D’autres exemples d’annonces publiées sur des forums cybercriminels et visant des PME par secteur d’activité et par pays sont présentés dans le2024 Sophos Threat Report.

« La valeur des données en tant que monnaie d’échange a augmenté de façon exponentielle au sein de la communauté des cybercriminels. C’est tout particulièrement le cas des PME qui ont tendance à utiliser un service ou un logiciel unique pour l’ensemble de leurs opérations. Prenons l’exemple d’un groupe d’attaquants qui déploie un infostealer dans le réseau de sa cible en vue de subtiliser des identifiants et d’accéder au mot de passe du logiciel de comptabilité. Les agresseurs peuvent ainsi accéder aux données financières de l’entreprise ciblée et transférer des fonds vers leur propre compte », explique Christopher Budd, directeur des études Sophos X-Ops, Sophos. « C’est un fait, plus de 90 % des cyberattaques signalées à Sophos en 2023 impliquaient le vol de données ou d’identifiants, que ce soit par le biais d’attaques de ransomware, d’extorsion de données, d’accès à distance non autorisé ou tout simplement de vol de données. »

Les ransomwares demeurent la plus importante cybermenace pour les PME

Si le nombre d’attaques de ransomware visant des PME s’est stabilisé, cette menace n’en demeure pas moins la plus importante source de danger pour ce type de structure. Parmi les cas traités par l’équipeRéponse aux Incidents (IR — Incident Response) qui vient en aide aux entreprises confrontées à une attaque active, le gang de ransomwaresLockBit est le plus dangereux, devantAkira etBlackCat (respectivement deuxième et troisième). Les PME étudiées dans le cadre de ce rapport ont également essuyé des attaques de ransomwares persistants ou moins connus, tels que BitLocker et Crytox.

Selon le rapport, les groupes de ransomwares continuent de modifier leurs tactiques, faisant notamment appel auchiffrement à distance et ciblant les fournisseurs de services managés (MSP — Managed Services Providers). Entre 2022 et 2023, le nombre d’attaques de ransomware ayant impliqué un chiffrement à distance — les attaquants utilisent un appareil non managé sur le réseau d’une entreprise pour chiffrer des fichiers résidant sur d’autres systèmes du réseau — a progressé de 62 %.

L’année dernière, l’équipeDétection et Réponse Managées (MDR — Managed Detection and Response) de Sophos a répondu à cinq cas impliquant des petites entreprises attaquées par un exploit visant le logiciel de surveillance et de gestion à distance (RMM — Remote Monitoring and Management) de leur MSP.

Les auteurs de menaces affinent leurs attaques d’ingénierie sociale et par usurpation d’identité (BEC — Business Email Compromise)

Selon le rapport de Sophos, les attaques par usurpation d’identité (BEC — Business Email Compromise) se sont positionnées à la deuxième place des attaques les plus souvent traitées par l’équipe IR en 2023, derrière les ransomwares.

Ces attaques et autres campagnes d’ingénierie sociale affichent un degré de sophistication de plus en plus élevé. Au lieu d’envoyer un simple courriel contenant une pièce jointe infectée, les attaquants ont davantage tendance à communiquer avec leurs cibles en échangeant des courriels conversationnels, voire en les contactant par téléphone.

Afin d’échapper aux outils traditionnels de lutte contre les spams, les cyberattaquants expérimentent actuellement de nouveaux formats pour envoyer leurs contenus malveillants : ils incorporent par exemple des images qui renferment le code infecté ou envoient des pièces jointes malveillantes au format OneNote ou d’archive. Dans l’un des cas traités par Sophos, les hackers ont transmis un fichier PDF contenant la vignette floue et illisible d’une « facture ». En fait, le bouton de téléchargement contenait un lien pointant vers un site web malveillant.

Pour de plus amples informations sur ces cybercrimes et d’autres ciblant les petites et moyennes entreprises, téléchargez l’édition 2024 du Rapport sur les menaces de Sophos :2024 Sophos Threat Report: Cybercrime on Main Street.

* Les PME sont des entreprises comptant 500 employés ou moins.

Pour en savoir plus :

• À propos des récentes attaques du groupeLockBit[HA1]qui exploitent les nouvelles vulnérabilités de ScreenConnect ;
• Quels enseignements tirer du récent démantèlement du groupe LockBit?
• À propos de l’essor du chiffrement à distance chez les auteurs de ransomwares.
• Pour de plus amples informations sur différents auteurs de ransomwares, leurs techniques, tactiques et procédures (TTP), et la toute dernière étude consacrée par Sophos aux ransomwares, visitez le centre d’information sur les ransomwares.
• Pour savoir comment les défenseurs peuvent lutter contre les attaquants dans un paysage en rapide évolution, téléchargez le rapport Active Adversary 2023 destiné aux professionnels de la cybersécurité.
• Réduction des temps d’exposition, et évolution des techniques et du comportement des cyberattaquants : téléchargez l’étude Active Adversary 2023 destinée aux responsables techniques.
• Découvrez comment évolue le comportement des cyberattaquants, ainsi que leurs techniques et tactiques en téléchargeant le rapportActive Adversary 2023 destiné aux dirigeants d’entreprise ; ce document s’appuie sur plus de 150 cas de réponse à incident analysés par Sophos.
• Suivez l’activité de l’équipeSophos X-Ops et ses recherches de pointe en souscrivant aux publications du blog Sophos X-Ops.

[HA1]Article sur le même sujet en français: https://news.sophos.com/fr-fr/2024/02/26/connectwise-donne-alerte-concernant-deux-vulnerabilites/