La dernière attaque de ransomware-as-a-service laisse le célèbre détaillant en proie à des problèmes de sécurité., Kmart, avec des interruptions de service et un Active Directory compromis.
Suite à la « retraite » du ransomware Maze le mois dernier, bon nombre de ses affiliés se sont tournés vers le petit nouveau du secteur, Egregor. Tirant son nom d’un terme occulte désignant l’énergie ou la force collective d’un groupe d’individus (ce qui est tout à fait approprié, compte tenu du modèle d’affiliation de ce ransomware), Egregor suit les traces de Maze en recourant à la fois au chiffrement, au vol de données et à l’extorsion pour s’assurer du paiement de la rançon.
Selon le rapport d'attaque publié sur Bleeping Computer, la demande de rançon confirme que le domaine Active Directory de Kmart a été compromis dans le cadre de cette attaque. Bien qu’aucun détail précis n’ait été fourni, nous pouvons émettre quelques hypothèses fondées en nous basant sur des attaques similaires antérieures menées par Maze, Ryuket Save the Queen ont chacun compromis et exploité Active Directory pour propager leur charge utile sur le plus grand nombre de systèmes possible. Chacune de ces souches a obtenu un accès privilégié à Active Directory et y a apporté des modifications malveillantes spécifiques, ce qui signifie qu’à un moment donné, au moins un compte disposant de droits d’administration sur tout ou partie d’Active Directory a été compromis, et qu’une partie d’Active Directory se retrouve sous le contrôle d’un acteur malveillantet non sécurisé.
Cette situation est préoccupante à plusieurs égards :
1. Active Directory n’aurait pas dû être vulnérable – Nous savons tous qu’Active Directory sert encore aujourd’hui de référentiel central d’identités pour une grande partie des organisations, même celles qui ont adopté une stratégie d’identité hybride. Le fait que le « domaine » ait été compromis implique également qu’Active Directory reste un élément clé du réseau de Kmart. Active Directory est souvent le pivot des attaques par ransomware qui se propagent rapidement à travers le réseau. Malheureusement, une fois qu’Active Directory est compromis, la voie est pratiquement libre vers tous les systèmes connectés de l’environnement. Comme Active Directory est très largement exploité et qu’il constitue en même temps l’épine dorsale de l’entreprise, il nécessite une protection supplémentaire. Au minimum, il s’agit de surveiller les modifications et de déclencher des alertes en cas de changement. Idéalement, il faudrait également disposer d’un mécanisme permettant de protéger les modifications apportées à certains comptes privilégiés, groupes et autres objets, en déclenchant des processus de validation et/ou des restaurations automatiques.
2. Kmart a eu de la chance – D’après tous les rapports, il semble que toutes les opérations de Kmart n’aient pas été paralysées. Cela signifie probablement qu’Active Directory a été compromis mais n’était pas indisponible, ce qui a permis à tous les services dépendants du domaine, dans l’ensemble de la forêt, de continuer à fonctionner. Mais il y a eu des cas où des organisations n’ont pas eu cette chance, comme lors de l’ attaque NotPetya de 2018 contre Maersk , qui a rendu littéralement tousles contrôleursde domaineinopérants, à l’exception d’unseulserveur hors ligne découvert dans un bureau distant au Ghana. Il serait négligent de supposer qu’une cyberattaque ne mettra jamais Active Directory hors service ; il est donc essentiel de disposer d’une capacité à le restaurer facilement – et surtout, rapidement.
3. Rétablir un état de sécurité avéré pour Active Directory n’a sans doute pas été une mince affaire – Dans de nombreuses entreprises, les modifications malveillantes apportées à Active Directory passent peut-être passent inaperçues, mais elles sont certainement tolérées suffisamment longtemps pour que leurs effets néfastes se fassent sentir. Si vous ne savez pas ce qui a été modifié dans Active Directory, comment pouvez-vous savoir ce qui doit être restauré ou annulé pour remédier à ces modifications malveillantes ? De nouveaux comptes utilisateurs fictifs ont-ils été créés ? Des modifications ont-elles été apportées à la composition du groupe « Domain Admins » ? Qu’en est-il des modifications apportées aux stratégies de groupe pour accorder des droits « Agir en tant que système d’exploitation » aux contrôleurs de domaine ou à chaque poste de travail ? La liste est sans fin. En bref, sans protection d’Active Directory, vous ne pouvez pas facilement rectifier les modifications apportées, ce qui nécessite un effort de restauration qui ne se résumera probablement pas à « restaurer le domaine à l’état de hier à midi ».
Egregor est un acteur relativement nouveau sur la scèneet nous nous attendons à ce que son nom fasse de plus en plus souvent la une des journaux dans les mois à venir. Vous savez déjà que si Active Directory s'effondre, le reste de votre réseau peut en faire autant. La dernière attaque du ransomware Egregor contre Kmart doit donc vous rappeler qu'Active Directory doit faire l'objet d'une attention particulière dans le cadre de votre stratégie de cybersécurité. Protégez-le farouchement, en empêchant les acteurs de la menace d'y pénétrer. Deuxièmement, même si vous mettez en place une stratégie de défense en profondeur uniquement pour Active Directory, il y aura toujours une attaque un jour quiquiIl vous faudra alors être en mesure de rétablir Active Directory dans l'état où il se trouvait avant l'attaque, qu'il s'agisse d'une simple modification, de l'ensemble de la forêt ou de quelque chose d'intermédiaire.
