INC Ransomware : Les nouvelles méthodes de harcèlement direct après l'exploitation des failles SonicWall

Qui est le groupe INC Ransomware et comment opère-t-il ?

Apparu sur la scène de la cybercriminalité comme un acteur particulièrement agressif, le groupe INC Ransomware s'est rapidement distingué par l'efficacité de ses intrusions et la violence de ses méthodes d'extorsion. Contrairement aux opérateurs de rançongiciels traditionnels qui se contentent de chiffrer les données, ce collectif applique une stratégie de double extorsion systématique et hautement personnalisée.

Leur modèle opérationnel repose sur l'exfiltration préalable de volumes massifs de données confidentielles avant le déclenchement du chiffrement. Ces données incluent des informations financières, des données personnelles de collaborateurs, des contrats commerciaux et des secrets industriels. Si la victime refuse de négocier, ces informations sont publiées sur un site vitrine hébergé sur le réseau Tor, ruinant la réputation de l'organisation ciblée.

Le groupe cible un large éventail d'organisations, allant des services de santé aux administrations publiques, en passant par les entreprises industrielles et de services. Leur capacité à identifier rapidement les failles de sécurité périmétrique leur permet de frapper des structures de toutes tailles, exploitant la moindre faiblesse technique pour s'imposer comme l'une des menaces les plus redoutables du paysage cyber actuel.

Quelles sont les vulnérabilités SonicWall SMA 1000 exploitées par ce groupe ?

Pour s'introduire au sein des réseaux d'entreprises, INC Ransomware exploite principalement des vulnérabilités critiques affectant les équipements de sécurité périmétrique, notamment les gammes SonicWall Secure Mobile Access (SMA) 1000 et les pare-feu exécutant SonicOS. Parmi ces failles, la vulnérabilité CVE-2024-40766 occupe une place centrale dans les rapports d'analyse récents.

Cette faille de sécurité, classée comme critique avec un score CVSS de 9.3, réside dans un défaut de contrôle d'accès inapproprié au sein de l'architecture logicielle de SonicWall. Elle permet à des attaquants distants non authentifiés d'accéder à des ressources non autorisées ou, dans certaines conditions, de provoquer le plantage du système ou d'exécuter du code arbitraire sur l'équipement.

Le score CVSS (Common Vulnerability Scoring System) de 9.3 attribué à la faille CVE-2024-40766 reflète la gravité extrême de cette vulnérabilité. Ce système de notation standardisé évalue l'impact potentiel d'une faille selon plusieurs critères : la facilité d'accès pour l'attaquant, l'absence de privilèges requis pour l'exploiter, et l'impact direct sur la confidentialité, l'intégrité et la disponibilité des données de l'équipement ciblé.

Les analyses menées par les chercheurs de Resecurity ont également mis en évidence l'exploitation historique et préjudiciable d'autres failles de sécurité sur ces mêmes passerelles d'accès distant, telles que :

• CVE-2021-20016 : Une vulnérabilité d'injection SQL critique permettant d'accéder aux identifiants d'administration.
• CVE-2021-20028 : Une faille d'écriture de fichier arbitraire facilitant la prise de contrôle à distance de l'appareil.
• CVE-2023-38734 : Une vulnérabilité liée à la gestion des sessions utilisateur, permettant de contourner l'authentification multifacteur sur certains modules.

L'exploitation de ces failles permet aux attaquants de contourner les mécanismes de défense traditionnels dès la frontière du réseau. En ciblant des équipements censés sécuriser les connexions des télétravailleurs, les cybercriminels transforment la passerelle de sécurité en un point d'entrée privilégié pour leur intrusion.

L'anatomie d'une intrusion : de la faille réseau à l'accès root

Le processus d'intrusion d'INC Ransomware suit un schéma technique rigoureux et hautement automatisé. Tout commence par une phase de balayage systématique de l'espace d'adressage IP public à la recherche d'équipements SonicWall SMA dont le micrologiciel n'a pas été mis à jour. Cette détection initiale est souvent déléguée à des outils de scan automatisés.

Une fois l'équipement vulnérable identifié, les attaquants déploient un exploit ciblant la faille CVE-2024-40766. En exploitant ce défaut de contrôle d'accès, ils parviennent à extraire des informations d'identification d'utilisateurs légitimes ou à créer un compte d'administration local masqué. Dans les cas les plus graves, l'exploitation de la faille permet d'obtenir un accès de niveau root sur le système d'exploitation sous-jacent de l'appareil.

Avec ces privilèges élevés, les attaquants désactivent les journaux d'événements locaux pour effacer leurs traces. Ils établissent ensuite un tunnel VPN persistant ou déploient des outils de redirection de port pour s'infiltrer dans le réseau local (LAN) de l'entreprise. À partir de ce point d'ancrage, ils initient une phase de déplacement latéral pour compromettre l'annuaire Active Directory et les serveurs de fichiers.

Pour illustrer la détection de telles activités suspectes, les administrateurs système peuvent surveiller les lignes de logs de leurs équipements SonicWall à la recherche d'accès inhabituels aux interfaces d'administration :

10:23:45 UTC - Admin login failed from unknown external IP: 198.51.100.42
10:24:12 UTC - Unauthorized resource access attempt on /cgi-bin/handle_request
10:25:01 UTC - Privilege escalation detected - Local user 'backup_svc' modified

Au-delà du chiffrement : l'arsenal psychologique du "vishing" et du harcèlement direct

La véritable rupture méthodologique introduite par INC Ransomware réside dans l'utilisation intensive du vishing (phishing vocal) et du harcèlement direct après l'intrusion. Lorsque les attaquants constatent qu'une victime tente de restaurer ses systèmes à l'aide de sauvegardes sans répondre aux demandes de rançon, ils déploient un arsenal de pression psychologique particulièrement agressif.

Les cybercriminels ne se contentent plus d'attendre passivement sur leur portail de négociation. Ils contactent directement les dirigeants et les cadres clés de l'entreprise par téléphone. Ces appels sont passés via des services de voix sur IP (VoIP) anonymisés, rendant leur traçabilité extrêmement difficile pour les forces de l'ordre.

Les tactiques de harcèlement employées par le groupe incluent plusieurs niveaux d'intimidation :

• Appels téléphoniques directs aux numéros personnels des membres du comité de direction pour exiger l'ouverture immédiate de négociations.
• Envoi de courriels personnalisés contenant des captures d'écran de documents hautement confidentiels (fiches de paie, contrats, pièces d'identité) pour prouver la réalité de l'exfiltration.
• Menaces de notification directe aux clients, fournisseurs et partenaires commerciaux de la victime pour les informer que leurs données personnelles ont été dérobées.
• Harcèlement sur les réseaux sociaux professionnels, en ciblant publiquement les profils des dirigeants pour nuire instantanément à l'image de marque de l'entreprise.

Cette approche multicanale vise à briser la cohésion de la cellule de crise de l'entreprise. En instaurant un climat de terreur psychologique, les attaquants espèrent pousser les décideurs à contourner les recommandations de leurs experts techniques et à payer la rançon dans l'urgence.

Comment s'organise l'exfiltration des données avant le chiffrement ?

Avant de déclencher la charge utile du rançongiciel qui bloquera les serveurs, le groupe INC Ransomware consacre une part importante de son temps d'intrusion à l'exfiltration des données. Cette phase, souvent invisible pour les administrateurs non avertis, est pourtant la clé de voûte de leur stratégie de chantage.

Les attaquants utilisent des outils d'administration système légitimes pour éviter de déclencher les alertes des logiciels de sécurité (tactique dite de "Living off the Land"). Ils déploient fréquemment des utilitaires comme Rclone, un programme en ligne de commande permettant de synchroniser des fichiers vers des services de stockage cloud grand public.

Pour maximiser l'impact de leur chantage, les cybercriminels ciblent en priorité certains répertoires stratégiques :

• Les serveurs de fichiers financiers contenant les bilans, les coordonnées bancaires et les audits internes.
• Les bases de données clients incluant des informations nominatives, des adresses et des historiques de transactions.
• Les répertoires de ressources humaines abritant les contrats de travail, les fiches de paie et les copies de pièces d'identité.
• Les serveurs de développement contenant du code source propriétaire ou des plans industriels confidentiels.

La détection de cette phase repose sur la surveillance des flux réseau sortants. Une augmentation soudaine et inhabituelle du trafic vers des adresses IP inconnues ou des services de stockage cloud (comme Mega ou Dropbox) doit être traitée comme une alerte de sécurité majeure et déclencher une investigation immédiate.

Pourquoi la double extorsion rend-elle les sauvegardes traditionnelles insuffisantes ?

Pendant longtemps, la mise en place d'une politique de sauvegarde rigoureuse était considérée comme l'arme absolue contre les rançongiciels. Si les systèmes étaient chiffrés, il suffisait de restaurer les données à partir d'une copie saine pour reprendre l'activité sans verser le moindre centime aux attaquants.

L'avènement de la double extorsion, popularisée par des groupes comme INC Ransomware, a profondément modifié ce paradigme. Même si une entreprise dispose de sauvegardes parfaites et parvient à reconstruire son infrastructure en quelques heures, elle reste vulnérable au chantage lié à la divulgation des données exfiltrées.

La menace de publication de données sensibles pose des risques majeurs qui dépassent le simple cadre technique :

• Risques réglementaires : La fuite de données personnelles peut entraîner de lourdes sanctions financières de la part des autorités de contrôle (comme la CNIL en France) pour manquement à l'obligation de sécurité.
• Risques juridiques : Les clients ou partenaires dont les données ont été divulguées peuvent engager des poursuites judiciaires contre l'entreprise pour rupture de confidentialité.
• Risques concurrentiels : La publication de secrets industriels, de tarifs ou de listes de clients peut être exploitée par des concurrents et nuire durablement à la compétitivité de l'entreprise.

Au-delà des amendes administratives, la divulgation de données confidentielles peut provoquer une baisse immédiate de la valeur économique de l'entreprise. Les partenaires commerciaux, soucieux de leur propre sécurité, peuvent décider de rompre unilatéralement des contrats en cours si le niveau de protection de leur sous-traitant s'avère insuffisant, transformant une crise informatique en une crise industrielle majeure. Par conséquent, la stratégie de défense ne doit plus seulement se focaliser sur la disponibilité des données (les sauvegardes), mais également sur leur confidentialité. Cela implique de chiffrer les données sensibles au repos et de limiter strictement les droits d'accès des utilisateurs selon le principe du moindre privilège.

Le protocole de réponse à incident en cas de suspicion de compromission

Lorsqu'une intrusion est suspectée ou qu'un équipement SonicWall SMA présente des signes d'activité anormale, la rapidité et la méthode de la réponse initiale déterminent l'ampleur des dégâts. Une réaction désordonnée peut aggraver la situation ou détruire des preuves numériques cruciales pour l'analyse forensique.

Le protocole de réponse à incident doit être structuré autour d'actions immédiates et coordonnées :

1. Isoler l'équipement compromis : Déconnectez immédiatement la passerelle SonicWall du réseau internet pour couper le canal de communication des attaquants, tout en évitant d'éteindre l'appareil afin de préserver la mémoire volatile (RAM).
2. Isoler les serveurs critiques : Si des déplacements latéraux sont suspectés, segmentez le réseau interne et isolez les contrôleurs de domaine (Active Directory) et les serveurs de fichiers pour bloquer la propagation de l'attaque.
3. Préserver les journaux d'événements : Copiez et sécurisez les fichiers de logs de tous les serveurs, pare-feu et équipements réseau avant que les attaquants ne tentent de les effacer ou de les chiffrer.
4. Réinitialiser l'ensemble des identifiants : Forcez le changement de mot de passe de tous les comptes d'administration et d'utilisateurs disposant d'accès distants, et révoquez toutes les sessions actives.

Une fois ces mesures d'urgence appliquées, il est fortement recommandé de faire appel à des spécialistes de la réponse aux incidents pour mener une investigation approfondie. Cette étape permet de s'assurer qu'aucune porte dérobée n'a été laissée par les attaquants et de reconstruire l'infrastructure sur des bases saines et sécurisées.

Tableau comparatif : Évolution des tactiques d'extorsion des rançongiciels

Pour mieux appréhender la dangerosité de ces nouvelles méthodes, il est utile de comparer les attaques de rançongiciels traditionnelles avec les campagnes modernes menées par des groupes comme INC Ransomware.

Guide de remédiation et de durcissement des accès distants

Face à des attaques aussi structurées, la réponse des organisations doit être immédiate et s'inscrire dans une démarche de défense en profondeur. La sécurisation des accès distants constitue la priorité absolue pour couper la route aux cybercriminels.

La première mesure consiste à appliquer sans délai les correctifs de sécurité fournis par SonicWall pour l'ensemble de vos équipements. Si vous utilisez des solutions de la gamme SMA 1000 ou des pare-feu SonicOS, assurez-vous que les versions de micrologiciel installées intègrent les correctifs contre la faille CVE-2024-40766.

Au-delà de la simple application des correctifs, il est indispensable de durcir la configuration de vos passerelles d'accès distant en appliquant les règles suivantes :

• Activer l'authentification multifacteur (MFA) obligatoire pour l'ensemble des utilisateurs, sans aucune exception pour les comptes d'administration.
• Restreindre l'accès à l'interface d'administration de l'équipement en limitant les connexions à des adresses IP publiques spécifiques ou via un réseau de gestion dédié (hors d'atteinte depuis l'internet public).
• Mettre en place une segmentation réseau stricte entre la zone d'atterrissage du VPN et le reste du réseau local de l'entreprise, afin de limiter les possibilités de déplacement latéral en cas de compromission d'un compte.
• Mettre en œuvre une journalisation centralisée vers un serveur de logs externe et sécurisé (SIEM), permettant de détecter les comportements anormaux même si les journaux locaux de l'équipement sont effacés par l'attaquant.

Enfin, la préparation humaine est tout aussi cruciale que la sécurité technique. Les entreprises doivent intégrer le risque de "vishing" dans leurs plans de gestion de crise. Former les collaborateurs à identifier les appels suspects et définir une procédure stricte de remontée d'incidents permet de neutraliser l'impact psychologique des tentatives de chantage téléphonique.

Conclusion : Repenser la gestion de crise à l'ère de l'extorsion multicanale

L'évolution des méthodes d'INC Ransomware démontre que la cybersécurité ne peut plus être traitée comme un simple sujet technique relégué aux équipes informatiques. L'exploitation de failles réseau critiques combinée au harcèlement direct des dirigeants exige une vision stratégique et globale de la gestion des risques.

Pour faire face à ces menaces sophistiquées, les organisations doivent anticiper chaque étape de l'attaque : de la détection préventive des vulnérabilités à la préparation psychologique des équipes face au chantage. La mise en place d'une hygiène informatique rigoureuse et le recours à des évaluations régulières de vos systèmes sont les meilleurs remparts pour assurer la pérennité de vos activités.

Pour approfondir vos connaissances sur la protection de vos infrastructures réseau ou découvrir nos analyses des dernières cybermenaces, nous vous invitons à consulter notre blog informatique ou à découvrir notre vision de l'accompagnement sur notre page d' expertise.

Questions fréquentes

Sources

• Security Affairs - INC Ransomware is Calling Victims
• The Hacker News - INC Ransomware Emerges as Dominant Actor
• SecurityWeek - Recent SonicWall Vulnerabilities Exploited
• Dark Reading - Inc Ransomware Exploits SonicWall SMA Zero-Days