L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

13e édition

annuelle

Principales menaces, tendances émergentes et recommandations pour les RSSI

SOMMAIRE

02 ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 2024

03 TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ

01 INTRODUCTION

05 VULNÉRABILITÉS MONDIALES DE PREMIER PLAN

06 PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

04 ANALYSE GLOBALE

07 PRÉVISIONS POUR L'INDUSTRIE EN 2025

08 RECOMMANDATIONS POUR LES RSSI

INTRODUCTION L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

00 11

MAYA HOROWITZ

Recherche VP

INTRODUCTION Je suis ravi de vous présenter la 13e édition annuelle du rapport sur l'état de la cybersécurité publié sur le site de Check Point. Les avancées de 2024, telles que l'IA et l'infrastructure cloud, ont amélioré notre quotidien tout en offrant de nouvelles opportunités aux cybercriminels. Ce rapport met en lumière l'impact réel de ces changements et propose des idées et recommandations pour 2025, émanant des RSSI et destinées à leur attention.

Fort de plus d'une décennie d'analyse, les informations de Check Point Research proviennent de sources de données uniques, qu'aucune autre entreprise ne parvient à combiner de la même manière. Nous collectons des données télémétriques sur les attaques provenant des réseaux, du cloud, des e-mails, des postes de travail et des appareils mobiles pour les entreprises et les PME. En intégrant la réponse aux incidents, le dark web et les découvertes provenant de sources ouvertes, nous obtenons une visibilité dans plus de 170 pays, ce qui nous permet de révéler les tendances mondiales et régionales.

Le rapport sur l'état de la cybersécurité en 2025 met en évidence les principales menaces, notamment

• Les tactiques d'IA ont influencé un tiers des élections mondiales, principalement par la propagation de la désinformation.

• une augmentation de 58 % des attaques d'infostealers se concentrant sur l'accès aux entreprises.

• Les attaques de logiciels rançonneurs évoluent du chiffrement vers l'extorsion par exfiltration de données, avec le domaine de la santé comme deuxième secteur le plus ciblé.

• Réseau hybride permettant un mouvement latéral sur site et sur le cloud.

• Les chaînes d'approvisionnement en matériel informatique et en logiciels ont connu la plus forte augmentation d'attaques.

Je tiens à souligner l'engagement de Check Point en faveur de la sécurité de ses clients. En 2024, des périphériques ont été exploités pour accéder au réseau de l'entreprise en raison de fuites d'informations d'identification et de vulnérabilités. L'une des nombreuses vulnérabilités zero-day divulguées concernait un produit Check Point : la vulnérabilité RVP Information Disclosure (CVE-2024-24919). Nous l'avons rapidement identifiée, publié un correctif dans la journée et soutenu de manière proactive les quelques clients potentiellement affectés en répondant à l'incident et en atténuant ses effets. Notre engagement à protéger nos clients fait partie intégrante de notre ADN.

Alors que Check Point s'efforce de protéger ses clients grâce à ses recherches, nous espérons que ce rapport répondra également aux besoins de l'industrie dans son ensemble, en combinant nos forces et en partageant nos connaissances. Au nom de la famille Check Point, j'espère que ce rapport sera utile à la fois aux professionnels de la sécurité, mais aussi aux cadres de haut niveau.

Bonne lecture !

Maya Horowitz, VP Recherche

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 20254

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 2024

00 22 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

Après la divulgation de deux vulnérabilités de type zero-day, les VPN Connect Secure d'Ivanti ont fait l'objet d'une exploitation massive. Des milliers d'appareils VPN ont été compromis, affectant des victimes telles que l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA).

Check Point Research a découvert une fraude NFT visant les détenteurs de plus de 100 projets populaires. Les escrocs envoient des messages semblant légitimes contenant des liens vers des sites web frauduleux. Une fois sur ces sites, les victimes sont invitées à connecter leur portefeuille, donnant ainsi aux attaquants un accès à leurs fonds.

Microsoft a signalé une attaque menée par le groupe russe Midnight Blizzard (anciennement Nobelium). Cette attaque a utilisé une méthode de pulvérisation de mots de passe pour compromettre des comptes de messagerie, ciblant notamment des cadres supérieurs, des professionnels de la cybersécurité et du personnel juridique de l'entreprise.

Check Point Harmony Endpoint et Threat Emulation assurent la protection contre cette menace (APT.Win.APT29; APT.Wins.Nobelium)

HealthEC LLC a subi une violation de données affectant 4,5 millions de personnes. Les informations compromises incluent les noms, adresses, dates de naissance, numéros de sécurité sociale, données médicales, informations de facturation et détails relatifs à l'assurance maladie.

Le gang du logiciel rançonneur ALPHV a attaqué la filiale de UnitedHealth Group, en dérobant six téraoctets de données. Les cliniques et hôpitaux militaires américains à travers le monde ont été perturbés, obligeant le recours à des processus manuels pour les prescriptions.

Check Point Harmony Endpoint et Threat Emulation assurent la protection contre cette menace (Ransomware.Wins. BlackCat.ta.*; Ransomware.Win.BlackCat)

Cutout.Pro, un service d'édition de photos et de vidéos basé sur l'IA, a été victime d'une violation de données ayant exposé les informations personnelles de 20 millions d'utilisateurs, notamment leurs adresses électroniques, leurs mots de passe hachés et leurs adresses IP.

Dans le cadre d'une campagne de cyberespionnage, active depuis le début de l'année 2022, le groupe APT chinois Earth, Krahang a ciblé 70 entités gouvernementales dans le monde entier, utilisant la vulnérabilité des serveurs orientés vers l'internet et des tactiques de « spear-phishing ».

Check Point Research a traqué l'auteur de menace Magnet Goblin, motivé par des raisons financières, qui a exploité une vulnérabilité d'un jour dans des serveurs tels que Ivanti Connect Secure RVP, Magento et Qlik Sense. L'attaquant a déployé une nouvelle version Linux de NerbianRAT et de WARPWIRE, un infostealer d'identification JavaScript, tout en démontrant une adoption rapide des exploits.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (RAT_Linux_Nerbian_*)

En exploitant une vulnérabilité de Fortinet, des pirates informatiques soutenus par l'État chinois ont ciblé un réseau de recherche militaire non classifié dans le cadre d'une opération de cyberespionnage contre le ministère néerlandais de la défense, marquant ainsi la première attribution publique d'une attaque cybernétique à la Chine par les Pays-Bas.

Une vulnérabilité de haute sévérité a été identifiée dans le moteur JavaScript V8 de Google Chrome, CVE-2024-0517. Cette faille permettrait à un attaquant distant de tirer parti d'une corruption de la pile en utilisant une page HTML spécialement conçue. Google a depuis corrigé cette vulnérabilité.

Check Point Harmony IPS assure la protection contre cette menace (Google Chrome Out of Bounds Write (CVE-2024-0517))

Check Point Research a découvert une vulnérabilité critique d'exécution de code à distance (RCE) dans Microsoft Outlook, appelée #MonikerLink (CVE-2024-21413). #MonikerLink permet à des attaquants distants de déployer un lien qui contourne le protocole « Protected View », ce qui peut entraîner une fuite d'informations d'identification et des capacités d'exécution de code à distance. Microsoft a depuis corrigé la vulnérabilité.

Check Point IPS Blade assure la protection contre ce type de menace (notamment l'exécution de code à distance via des liens malveillants dans Microsoft Outlook (CVE-2024-21413)

Le ministère américain de la Justice a neutralisé le botnet KB, exploité par l'APT Volt Typhoon, un groupe affilié à la Chine, utilisé pour dissimuler l'identité des attaquants tout en ciblant des infrastructures critiques aux États-Unis. Le groupe a exploité des appareils Cisco et NetGear SOHO vulnérables et obsolètes afin d'obtenir un accès initial. En réponse, la CISA et le FBI ont publié des directives à l'intention des fournisseurs pour renforcer la sécurisation des routeurs SOHO.

Check Point Threat Emulation assure la protection contre cette menace (APT.Wins.VoltTyphoon; InfoStealer.Wins.VoltTyphoon)

LES ÉVÉNEMENTS DE LA CYBERSÉCURITÉ AYANT DÉFINI L’ANNÉE 2024

FÉV MARJAN Q1

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 20256

Check Point a détecté une campagne de typosquattage comprenant plus de 500 paquets malveillants déployés sur PyPI (Python Package Index), présentant des risques d'installation du logiciel malveillant.

Check Point CloudGuard Code Security assure la protection contre cette menace.

Le groupe d'hacktivistes russophones RGB-TEAM a piraté le site web du procureur général de Russie et publié 100 000 casiers judiciaires couvrant la période de 1993 à 2022 sur Telegram. Ces données comprenaient des informations détaillées sur des crimes tels que le vol et le trafic de drogue.

Une violation de données chez AT&T a compromis les informations personnelles d'environ 51 millions d'anciens et actuels clients, comprenant potentiellement les noms complets, les adresses personnelles, les adresses électroniques, les numéros de téléphone, les numéros de sécurité sociale, les numéros de compte AT&T ainsi que les codes d'accès AT&T.

Check Point Research fait état d'une vague d'attaques frauduleuses où les attaquants utilisent diverses méthodes, telles que des QR codes malveillants et des e-mails d'hameçonnage, pour obtenir les informations d'identification des contribuables américains et voler leurs remboursements de l'IRS.

Les États-Unis et le Royaume-Uni ont annoncé une inculpation pénale et des sanctions à l'encontre d'APT31, un groupe de pirates informatiques chinois, pour leur rôle dans des attaques présumées contre des fonctionnaires américains et britanniques. Check Point Research a étudié l'utilisation par le groupe de la vulnérabilité zero-day.

LES ÉVÉNEMENTS DE LA CYBERSÉCURITÉ AYANT DÉFINI L’ANNÉE 2024

MAI JUINAVR Q2

Check Point Research a découvert une campagne de cyberespionnage visant des organisations gouvernementales d'Afrique et des Caraïbes. Attribuée à l'acteur chinois Sharp Dragon, cette campagne utilise Cobalt Strike Beacon comme charge utile, offrant des fonctionnalités de porte dérobée telles que la communication C2 et l'exécution de commandes, tout en réduisant l'exposition de leurs outils personnalisés. Cette stratégie reflète une compréhension approfondie des cibles visées.

La République tchèque, l'Allemagne et l'OTAN ont révélé l'existence d'une campagne d'espionnage ciblant des institutions tchèques en exploitant une vulnérabilité de Microsoft Outlook. Cette opération a été attribuée au groupe APT28, affilié à l'État russe, qui mène des campagnes d'espionnage de longue durée à travers l'Europe.

Une brèche de données chez Dell a exposé les informations de 49 millions de clients, après que leur base de données ait été répertoriée sur un forum de piratage. Les données exposées incluent les noms complets, les adresses personnelles et les détails des commandes.

Une violation de données en Inde a exposé 500 Go de données biométriques, touchant la police, le personnel militaire et les fonctionnaires durant la période des élections. La fuite concernait des bases de données non sécurisées de ThoughtGreen Technologies et Timing Technologies, comprenant des empreintes digitales et des données provenant de scanners faciaux. Ces informations pourraient être utilisées pour manipuler les systèmes biométriques lors des élections indiennes.

Le cyber-gang notoire ShinyHunters a mis en vente sur un forum de cybercriminalité des données provenant de Ticketmaster et de la banque Santander. Une faille qui risque d'exposer les informations personnelles de millions de clients. Les rapports indiquent que l'auteur de la menace a accédé à Ticketmaster et à Santander en se servant des identifiants volés appartenant à un employé de Snowflake, une importante société de stockage cloud.

La plateforme japonaise de cryptomonnaie DMM Bitcoin a confirmé une violation de données ayant entraîné la perte de 308 millions de dollars en BTC, marquant l'un des plus importants vols de cryptomonnaies à ce jour.

Affilié à la Chine, le groupe Water Sigbin 8220 Gang a exploité une vulnérabilité dans Oracle WebLogic (CVE-2017-3506 et CVE-2023-21839) pour déployer un logiciel malveillant de minage de cryptomonnaie. Une opération réalisée à l'aide de scripts PowerShell utilisant un encodage hexadécimal URL et des techniques d'exécution sans fichier.

Check Point IPS assure la protection contre cette menace (Oracle WebLogic WLS Security Component Remote Code Execution (CVE-2017-10271), Oracle WebLogic Server Improper Access Control (CVE-2023-21839))

Check Point Research a conduit l'analyse de RAT Rafel, un outil d'administration à distance open-source utilisé pour l'espionnage et les attaques de logiciel rançonneur sur les appareils Android. Ce logiciel malveillant a ciblé des organisations de premier plan, notamment dans le secteur militaire, et a fait des victimes principalement aux États- Unis, en Chine et en Indonésie. Il permet l'exfiltration de données, la surveillance et le contrôle complet des appareils, entraînant de graves atteintes à la vie privée et à la sécurité.

Check Point Harmony Mobile assure la protection contre cette menace.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 20257

Check Point Research a découvert que plus de 20K caméras et routeurs Ubiquiti sont vulnérables (CVE-2017-0938) à des attaques par amplification et à des risques pour la vie privée en raison des ports UDP 10001 et 7004 exposés. Ces ports permettent un accès non autorisé aux informations de l'appareil, qui pourraient être exploitées pour des attaques techniques et d'ingénierie sociale.

Check Point Research a constaté une augmentation des vulnérabilités de type « Server-Side Template Injection » (SSTI ) qui permettent aux attaquants d'exécuter des commandes et d'accéder à des données sensibles. Les cas les plus notables concernent Atlassian Confluence et CrushFTP. Ces vulnérabilités présentent des risques importants, tels que le vol de données et l'atteinte à la réputation, ce qui se traduit par une augmentation de CVE critiques

Check Point IPS assure la protection contre cette menace (Python Server-Side Template Injection, Java Server-Side Template Injection, PHP Server-Side Template Injection, Ruby Server-Side Template Injection, Node.js Server-Side Template Injection, Expression Language Server-Side Template Injection)

Suivant les élections présidentielles vénézuéliennes de juillet, Check Point Research a révélé que les groupes hacktivistes Anonymous Venezuela et Cyber Hunters ont lancé des attaques DDoS et des tentatives de piratage contre le gouvernement, en raison d'allégations de fraude électorale liées à l'administration de Nicolás Maduro.

Check Point Harmony Endpoint et Threat Emulation assurent la protection contre cette menace (InfoStealer.Wins. PhemedroneStealer.*)

Check Point Research a identifié le réseau Stargazers Ghost comme composé de 3 000 dépôts GitHub distribuant des logiciels malveillants et des liens malveillants par le biais de systèmes d'hameçonnage utilisant un modèle de distribution en tant que service (DaaS). Le réseau a partagé divers types de logiciels malveillants, tels que Atlantida Stealer et RedLine, et a généré d'importants profits.

Check Point Harmony Endpoint et Threat Emulation assurent la protection contre cette menace (InfoStealer.Win. Atlantida.*, Trojan.WIN32.AtlantidaStealer*, InfoStealer. Wins.Lumma.ta*, InfoStealer.Win.Lumma*, Injector.Win. RunPE.C, Loader.Wins.GoBitLoader.A, Trojan.Wins.Imphash. taim.LV, InfoStealer.Wins.Redline.ta.BY)

RockYou2024, une fuite de près de 10 milliards de mots de passe en clair provenant de multiples violations de données, représente des risques importants de bourrage d'informations d'identification et d'attaques par force brute, susceptibles d'affecter divers comptes et services en ligne.

45 millions d'enregistrements de Rite Aid ont été volés lors d'une attaque par logiciel rançonneur, y compris les informations d'identification des clients et les numéros de récompenses de Rite Aid. Le groupe de logiciel rançonneur RansomHub a revendiqué la responsabilité et menacé de divulguer les données volées.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (Ransomware.Win. RansomHub; Ransomware.Wins.RansomHub.ta.*)

L'application de géolocalisation Life360 et l'outil de gestion de projet Trello ont subi des violations de données en raison de la vulnérabilité de leur site API. Les informations personnelles de 442 519 clients de Life360 ont été exposées, tandis que 21,1 Go de données de Trello ont été divulguées. L'acteur de la menace « emo » a revendiqué la responsabilité et partagé les données volées sur le Dark Web.

LES ÉVÉNEMENTS DE LA CYBERSÉCURITÉ AYANT DÉFINI L’ANNÉE 2024

AOU SEPTEMBREJUILLET Q3 Le groupe de logiciels rançonneurs RansomHub a dérobé 93 Go de données sensibles dans l'antenne de Planned Parenthood à Montanna, affectant principalement les systèmes informatiques administratifs de l'organisation.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (Ransomware.Win. RansomHub; Ransomware.Wins.RansomHub.ta.*)

Check Point Research a identifié une cybercampagne iranienne visant le réseau gouvernemental irakien à l'aide des logiciels malveillants Veaty et Spearal. Les techniques utilisées comprennent une porte dérobée IIS passive, un tunnel DNS et une communication C2 via des e-mails compromis, ce qui suggère des liens avec le groupe APT34. La campagne utilise probablement l'ingénierie sociale pour l'infection initiale et dispose d'une infrastructure C2 sophistiquée.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (APT.Wins.Oilrig.ta.B/C/D/E, APT.Win.OilRig.F, APT.Win.OilRig.WA.G, APT.Win.OilRig.H)

Le FBI, la CISA et la NSA signalent que l'unité 29155 du GRU russe a ciblé l'Ukraine en modifiant des sites web, en volant des données et en utilisant le logiciel malveillant WhisperGate, perturbant ainsi les actions de soutien. Ils ont également ciblé des secteurs à l'échelle mondiale, notamment les administrations publiques, la finance, les transports, l'énergie et les soins de santé.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (Trojan.Win.WhisperGate; Trojan.Wins.WhisperGate.ta.*; Trojan.Wins.WhisperGate)

Une vulnérabilité dans l'application macOS ChatGPT a permis à des attaquants d'implanter un logiciel espion persistant, nommé SpAIware, dans la mémoire de l'application par le biais d'une injection de prompts indirecte. Cela a facilité l'exfiltration continue des données des entrées de l'utilisateur et des futures sessions de chat. OpenAI a depuis résolu le problème.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 20258

Le FBI, le département américain du Trésor et la Direction nationale israélienne de la cybersécurité (INCD) ont publié un avis conjoint sur la cybersécurité attribuant une campagne d'hameçonnage à grande échelle au cyber-groupe iranien Emennet Pasargad se faisant passer pour l'INCD et visant des organisations israéliennes. Check Point Research a analysé le logiciel malveillant, en suivant son évolution et son apprentissage.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (Behavioral. Win.FakeChrome.B et Trojan.Wins.FakeUpdater.A).

Check Point Research a surveillé une campagne d'hameçonnage à grande échelle baptisée CopyRh(ight) adamantys, utilisant la dernière version du voleur Rhadamanthys (0.7). Cette campagne cible des régions telles que les États-Unis, l'Europe, l'Asie de l'Est et l'Amérique du Sud, en utilisant le thème des droits d'auteur et en usurpant l'identité de diverses entreprises, en adaptant chaque e-mail à partir de différents comptes Gmail.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre ce type de menace (InfoStealer.Wins.Rhadamanthys.ta.V, InfoStealer.Wins. Rhadamanthys.*, et InfoStealer.Wins.Rhadamanthys.*).

Check Point Research a repéré menace WIRTE, lié à Gaza Cybergang, affilié au Hamas, menant des activités d'espionnage contre des entités de l'Autorité palestinienne, de Jordanie, d'Irak, d'Égypte et d'Arabie saoudite, et ayant étendu ses activités à des attaques perturbatrices liées au logiciel malveillant SameCoin, ciblant des entités israéliennes en 2024.

Check Point Threat Emulation et Harmony Endpoint assurent la protection contre cette menace (APT. Wins.Wirte.ta.A/B/C/D/E/F, ransom.win.honey, and infoastealer.win.blackguard.d)

Check Point Research a analysé l'opération MiddleFloor, une campagne de désinformation visant le gouvernement et le secteur de l'éducation de la Moldavie avant les élections d'octobre 2024. Allié à la Russie, le groupe Lying Pigeon, utilise des e-mails usurpés pour diffuser de fausses informations sur l'adhésion à l'UE tout en collectant des données en vue d'attaques logicielles malveillantes potentielles.

Une nouvelle plateforme d'hameçonnage en tant que service, appelée Mamba 2FA, cible les attaques d'hameçonnage de type « adversary-in-the-middle ». En imitant les pages de connexion de Microsoft 365 et en contournant les systèmes de multi-authentification, il est capable de voler des informations d'identification et des cookies, qui sont ensuite envoyés aux attaquants via un bot Telegram.

Le FBI et la CISA enquêtent sur les attaques menées par le groupe Salt Typhoon, affilié au gouvernement chinois, contre des entreprises de télécommunications américaines, telles qu'AT&T, Verizon et Lumen Technologies. Ces attaques visaient les systèmes d'écoute et les appareils du président élu Trump, de l'ancien vice-président Harris ainsi que d'autres personnalités politiques.

LES ÉVÉNEMENTS DE LA CYBERSÉCURITÉ AYANT DÉFINI L’ANNÉE 2024

NOV DÉCOCT Q4 Check Point Research a découvert un nouvel exploit de Godot Engine (uneplateforme de développement de jeux) dans l'exécution d'un code GDScript malveillant. Cette technique permet aux attaquants de diffuser un logiciel malveillant sur des plateformes telles que Windows, macOS, Linux, Android et iOS, tout en échappant à la détection de la plupart des solutions antivirus. Le chargeur malveillant « GodLoader » a utilisé cette technique et a déjà infecté plus de 17 000 machines.

Check Point Harmony Endpoint et Threat Emulation assurent la 
protection contre cette menace (Technique. win.GDscript.*, Dropper.Win.Godot.*)

Check Point Research a analysé la dernière variante du logiciel rançonneur d'Akira, écrite en Rust, qui visait principalement les serveurs hyperviseurs ESXi bare metal au début de l'année 2024. Le rapport montre comment les idiomes Rust, le code passe-partout et les stratégies du compilateur ont été utilisés pour créer un assemblage complexe.

Check Point Harmony Endpoint et Threat Emulation assurent la protection contre cette menace (Ransomware_Linux_Akira_C/D, Ransomware.Wins. Akira.G/H)

L'agence de renseignement ukrainienne HUR a confirmé une attaque DDoS contre Gazprombank, l'une des plus grandes banques russes, visant à perturber les opérations financières liées aux efforts de guerre de la Russie en Ukraine.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 20259

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ

00 33 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

DÉSINFORMATION ET OPÉRATIONS D'INFLUENCE En 2024, en raison de l'intégration de l'IA et des grands modèles de langage (LLM), les campagnes de désinformation ont franchi un nouveau seuil de complexité. Ces opérations se sont concentrées sur des événements mondiaux, avec des États-nations tels que la Chine, la Russie et l'Iran accusés d'utiliser des tactiques avancées pour manipuler l'opinion publique, saper la confiance et interférer avec les élections dans le but de déstabiliser les processus démocratiques.

D'après les conclusions, l 'IA a été utilisée dans au moins un tiers des élections qui ont eu lieu à travers le monde entre septembre 2023 et février 2024, soit par les candidats eux-mêmes, soit potentiellement par des acteurs étrangers. Des exemples récents illustrent cette évolution, tels que le groupe APT CopyCop, affilié à la Russie, qui a ciblé les élections primaires américaines de juin 2024 en fabriquant des séquences d'information diffusant de faux portraits de personnalités politiques. Distribué par X (anciennement Twitter) et Facebook, ce contenu a exploité les algorithmes des plateformes pour cibler des groupes d'électeurs spécifiques. Des robots générés par l'IA ont ensuite propagé des récits divisifs, en se faisant passer pour de véritables articles d'opinion afin de polariser l'électorat.

Les campagnes iraniennes, souvent liées au Corps des gardiens de la révolution islamique (IRGC), ont également ciblé les élections présidentielles américaines en s'attaquant à des personnalités dans le cadre d'opérations de « hack-and-leak ». Des journalistes, des activistes et des lobbyistes ont également été ciblés par le biais d'ingénierie sociale, d'usurpations d'identité, d'hameçonnages et de logiciels malveillants de collecte d'informations d'identification. Ces opérations ont démontré la capacité de l'Iran à combiner la désinformation et l'infiltration cybernétique pour influencer la perception du public.

En parallèle, des attaquants d'obédience chinoise ont diffusé des vidéos de type « deepfake » générées par l'IA, présentant de faux soutiens et véhiculant des messages trompeurs censés servir l'intérêt public. Ces vidéos, largement partagées sur des plateformes comme X et TikTok, avaient pour objectif de ternir l'image des candidats et d'exacerber les divisions partisanes. En outre, des messages viraux intégrant des questions de sondage faussées semblent présenter un soutien à certains candidats ou fabriquent des preuves de fraude, sapant confiance dans le processus électoral.

Outre les élections présidentielles très médiatisées aux États-

CYBERGUERRESÉDITION 2024 La communauté internationale a longtemps spéculé sur l'éventualité de guerres dévastatrices dans le cyberespace, où les États-nations déploieraient des armes numériques apocalyptiques capables de paralyser les infrastructures critiques en une seule frappe décisive. Cependant, malgré l'escalade sans précédent des activités cybernétiques, aucun événement apocalyptique de ce type ne s'est encore produit. Que ce soit en raison de capacités limitées, de la crainte d'une destruction mutuelle ou de la réticence à déclencher un chaos irréversible, la nature de la cyberguerre a évolué dans une direction différente.

Les États-nations ont opté pour des conflits qui érodent la confiance du public, exploitent les divisions sociales et fragilisent les institutions de l'intérieur. Les campagnes incluent la manipulation d'informations sur les médias sociaux, où les groupes « hacktivistes » s'attribuent le mérite d'attaques cybernétiques soutenues par l'État, tandis que la menace d'un accès furtif à des réseaux compromis et à des appareils mal sécurisés demeure constante.

Cyberguerres - Édition 2024

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202511

outils perturbateurs, visent les infrastructures critiques, perturbent les services essentiels et sèment le chaos.

Dans un contexte de tensions accrues au Moyen-Orient, l'Iran ainsi que d'autres groupes de menace régionaux ont démontré le potentiel destructeur du wiper logiciel malveillant. Void Manticore, un groupe iranien lié au ministère du Renseignement et de la Sécurité (MOIS), a déployé le No- Justice Wiper sous l'apparence de personnalités hacktivistes telles que Karma et Homeland Justice. Ces campagnes ont ciblé des infrastructures israéliennes critiques et des organisations privées, effaçant des données et perturbant divers services.

De même, le groupe WIRTE, lié au Hamas, a démontré l' évolution de ses capacités cybernétiques en utilisant la variante SameCoin wiper pour cibler des hôpitaux et des municipalités d'Israël, exacerbant ainsi les conséquences psychologiques et logistiques du conflit en cours.

En Europe de l'Est, des groupes liés à la Russie ont persisté à utiliser des logiciels malveillants destructeurs dans le cadre de leur stratégie de guerre hybride en Ukraine. Le célèbre groupe APT44 (également connu sous le nom de Sandworm), affilié à la Russie, aintroduit AcidPour, une variante avancée du logiciel malveillant AcidRain. AcidPour a été déployé pour perturber les infrastructures critiques ukrainiennes, le réseau de télécommunications et les fournisseurs d'accès à Internet. Ce logiciel malveillant a été conçu non seulement pour détruire des systèmes, mais aussi pour s'implanter plus profondément dans l'environnement, exfiltrer des plans militaires sensibles et couper des canaux de communication vitaux. Ces opérations soulignent l'intention de la Russie d'utiliser des outils cybernétiques comme mécanisme de soutien essentiel dans ses conflits géopolitiques.

Unis, les élections présidentielles à Taïwan et en Roumanie, ainsi que le référendum sur l'UE en Moldavie, sont devenues des cibles privilégiées de la guerre de désinformation cybernétique. Des campagnes attribuées à la Chine ont utilisé des articles et des les réseaux sociaux pour imiter des sources d'information légitimes, discréditer les candidats et influencer l'opinion publique. Des vidéos « deepfake » montrant des candidats faisant des déclarations controversées ont largement circulé, tandis que des questions de sondage trompeuses suggéraient une baisse du soutien à certains candidats. En Roumanie, l'ingérence russe s'est appuyée sur de faux comptes de médias sociaux et sur un contenu manipulé pour promouvoir le candidat d'extrême droite Călin Georgescu. Après la victoire inattendue de Georgescu au premier tour, des renseignements déclassifiés ont révélé l'ampleur de l'ingérence étrangère, ce qui a entraîné une annulation sans précédent des résultats de l'élection et la programmation d'un nouveau vote. En Moldavie, une campagne appelée « Operation MiddleFloor », attribuée à un groupe allié à la Russie, a ciblé les secteurs du gouvernement et de l'éducation en utilisant des e-mails et des documents usurpés pour diffuser des récits anti-UE et saper la confiance dans les dirigeants pro-européens

Les Jeux olympiques de Paris sont également devenus une cible privilégiée de la désinformation. L'organisation Storm-1679, liée à la Russie, a diffusé de fausses informations sur la corruption, la partialité de l'arbitrage et les menaces de violence. Des comptes automatisés et des robots ont exacerbé ces propos dans le but de dénigrer l'événement et de semer la division au sein de l'unité occidentale. De manière plus agressive, le groupe iranien Emennet Pasargad a exploité la vulnérabilité du fournisseur du système d'affichage des Jeux olympiques pour perturber les retransmissions et diffuser de la propagande anti-israélienne, tout en envoyant des menaces aux athlètes israéliens à partir d'un faux personnage imitant le groupe français GUD.

Ces attaques contre les démocraties et les alliances politiques occidentales, telles que l'OTAN, ont accru leur efficacité et leur dangerosité à mesure que les pays démocratiques font face à des défis toujours plus importants.. Les guerres culturelles en ligne, le populisme alimenté par les médias sociaux et les plateformes médiatiques politisées, qui utilisent des algorithmes avancés pour diffuser un contenu biaisé, ont créé un terrain fertile propice aux attaquants étrangers pour éroder la confiance du public. La diffusion de contenus alignés sur la propagande de certains États ou qui la soutiennent s'est déjà profondément ancrée, exacerbant les fractures au sein de la société.

Les démocraties ont réagi en durcissant les réglementations et en reconnaissant que la désinformation représentait une menace pour les infrastructures vitales. Le ministère américain de la Sécurité intérieure a souligné que l'ingérence dans les élections était une menace, tandis que le Canada a renforcé la loi sur le SCRS pour améliorer la coopération en matière de renseignement. L'Union européenne a imposé des règles strictes à des plateformes telles que Meta pour lutter contre la désinformation russe. OpenAI et Microsoft perturbent les comptes associés à des groupes chinois, iraniens, russes et nord-coréens.

LOGICIEL MALVEILLANT DESTRUCTEUR ET PERTURBATEUR Les États-nations s'appuient de plus en plus sur le logiciel malveillant destructeur comme une arme stratégique majeure dans la cyberguerre. Ces opérations « Loud » par l'utilisation de logiciels malveillants de type wiper et d'autres

PHASE FURTIVE PHASE PUBLIQUE

ENTITÉS HACKTIVISTES

EXFILTRATION DE DONNÉES

FUITE DE DONNÉES

ACTIVITÉ DESTRUCTRICE

ACCÈS INITIAL

Figure 1 - Tactiques typiques d'une campagne de guerre de l'Iran.

Cyberguerres - Édition 2024

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202512

Au-delà de leurs actions individuelles, les hacktivistes alignés sur la Russie ont renforcé leur influence en nouant des alliances avec des acteurs étrangers. Un exemple marquant est le collectif High Society, qui rassemble plus de 20 cyber- gangs affiliés à la Russie, parmi lesquels des groupes tels que People's Cyber Army, NoName057(16) et UserSec. High Society s'est également allié à 7 October Union, un collectif pro-palestinien regroupant plus de 40 groupes hacktivistes, dont bon nombre sont associés à l'Iran. Cette alliance, baptisée Holy League, a ciblé l'OTAN, l'Europe, l'Ukraine et Israël, avec des campagnes notables telles que le DDoS coordonné et les efforts de propagande visant le sommet du 75e anniversaire de l'OTAN à Washington. Cette campagne visait à saper le soutien de l'opinion publique à l'égard de l'aide apportée par l'OTAN à l'Ukraine, en associant cyberattaques et manipulation psychologique afin d'influencer l'opinion publique.

En 2024, l'activité hacktiviste a illustré l'évolution des dynamiques d'alliances et d'influence dans le cyberespace, reflétant les tensions géopolitiques entre l'Est et l'Ouest. Des groupes comme la Sainte Ligue ont incarné des objectifs stratégiques communs entre des attaquants affiliés à la Russie et à l'Iran. Ces alliances reflétaient souvent des événements politiques réels : par exemple, suite à l'envoi

GROUPES « HACKTIVISTES » L'année dernière, les frontières floues de la cyberguerre soutenue par les États sont devenues de plus en plus apparentes, les nations s'appuyant sur un vaste réseau de figures en ligne pour atteindre leurs objectifs géopolitiques. Beaucoup de ces figures, se présentant comme des hacktivistes indépendants animés par des motivations idéologiques, s'avéraient être des façades pour des groupes APT parrainés par des États. En amplifiant des récits divisés et en sapant la confiance du public, les groupes d'hacktivistes sont devenus des acteurs clés d'opérations d'influence plus larges, permettant à leurs commanditaires de dissimuler leur rôle direct tout en exploitant la rhétorique patriotique pour maximiser leur impact. Dans un contexte de déclin de l'intérêt public et de lassitude croissante, une tendance notable est apparue en 2024 : la formation d'alliances, où des groupes disparates se sont unis sous des bannières communes pour créer un front plus fort et plus cohérent.

Sur le plan individuel, les groupes d'hacktivistes soutenus par l'Iran ont également intensifié leurs activités, en se concentrant principalement sur des cibles israéliennes et albanaises. Des groupes tels que Malek Team et Handala Hack ont mené des campagnes de défiguration, des opérations de piratage et de fuite, ainsi que des perturbations, mais ont également revendiqué la responsabilité de l'intrusion dans le réseau israélien et de l'exfiltration de téraoctets de données sensibles. Lié au ministère iranien du renseignement et de la sécurité (MOIS), Karma a déployé des outils destructeurs tels que BiBi et No Justice wipers contre des organisations israéliennes. Les Cyber Avengers, liés au Corps des gardiens de la révolution islamique (CGRI), ont pris pour cible des infrastructures critiques, notamment des réseaux électriques et des systèmes de distribution d'eau en Israël, aux États-Unis et en Irlande. Le groupe iranien Homeland Justice a institutions gouvernementales albanaises en représailles à l'accueil du groupe d'opposition Mujahedin- e-Khalq (MEK). Ces activités illustrent la stratégie habile de l'Iran, qui utilise des groupes mandataires pour fusionner l'hacktivisme et la cyberguerre d'État, afin de promouvoir ses intérêts géopolitiques tout en préservant un déni plausible.

De même, les attaquants russes ont également illustré cette tactique, avec des groupes tels que KillNet, NoName057(16) et la Cyber Army of Russia qui ont pris pour cible les infrastructures critiques des pays opposés à la Russie. Ces groupes ont mené en particulier des attaques par déni de service distribué (DDoS) et d'autres manipulations, perturbant les opérations des secteurs public et privé en Ukraine et dans les pays pro-ukrainiens.

PRÉPARATION À LA PERTURBATION : ARRÊTS SOUDAINS ENVISAGEABLES OU « RED BUTTONS » Tandis que certains pays privilégient des attaques à fort impact, d'autres, comme la Chine, ont adopté une approche plus discrète. Ils ont pénétré en profondeur dans les systèmes critiques, posant ainsi les bases de potentielles perturbations majeures à l'avenir. Les attaquants affiliés à la Chine se concentrent désormais sur l'infiltration des infrastructures critiques et sur le maintien d'une présence persistante et indétectable. En exploitant la vulnérabilité des appareils périphériques tels que les routeurs, les appareils RVP et les systèmes IoT, des groupes comme APT41 et Bronze Butler ont obtenu un accès non autorisé à des composants de réseau moins sécurisés, ce qui leur a permis de recueillir des renseignements et d'établir une capacité d'accès potentielle « Red Button », qui pourrait être utilisée pour de futures perturbations à grande échelle. Ce positionnement stratégique, particulièrement évident sur des cibles américaines, permet aux acteurs chinois de se préparer silencieusement à des conflits potentiels tout en évitant la visibilité immédiate et les représailles qui accompagnent les opérations destructrices.

Le groupe APT chinois Volt Typhoon a illustré cette approche en intensifiant ses efforts pour exploiter les pare-feu et les routeurs des infrastructures critiques américaines. Utilisant des techniques de « living-off-the-land » (LOTL), Volt Typhoon s'est appuyé sur des outils d'administration légitimes dans des environnements compromis afin de rester indétectable. Cela a permis au groupe de contourner les mesures conventionnelles de cybersécurité et de maintenir une présence secrète, se positionnant ainsi en vue d'actions futures.

Ajoutant un niveau supplémentaire à cette stratégie indétectable, Salt Typhoon a ciblé les principaux fournisseurs d'accès à Internet (FAI), dont AT&ont utilisé des boîtes de relais opérationnelles (ORB), des réseaux de VPS et d'appareils IdO compromis, afin de maintenir la persistance, relayer les commandes et recueillir des renseignements. Souvent gérés par des sous-traitants chinois, les ORB ont permis à ces attaquants de rester intégrés dans les systèmes compromis, en relayant discrètement les commandes et en recueillant des renseignements.

Figure 2 - Post Telegram sur la création de la « Holy League ».

Cyberguerres - Édition 2024

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202513

d'observateurs en Ukraine lors de l'engagement de la Corée du Nord avec les forces russes, les groupes liés à la Russie NoName057(16) et Z Pentest ont lancé des attaques DDoS de représailles et des piratages industriels contre des entités sud-coréennes. En soulignant leurs fronts unis à travers des déclarations de collaboration récurrentes, ces groupes ont cherché à capter l'attention, à renforcer leur impact psychologique et à étendre leur influence mondiale dans le paysage complexe des cyberconflits modernes.

LA GUERRE FINANCIÈRE CYBERNÉTIQUE DE LA CORÉE DU NORD Tandis que d'autres pays utilisent des hacktivistes pour perturber et déstabiliser, les efforts cybernétiques de la Corée du Nord dépassent la simple façade de l'activisme. Au lieu de cela, Pyongyang a développé un vaste réseau interconnecté de cyber-opérations, combinant criminalité financière et espionnage afin de soutenir son régime fragilisé par le poids des sanctions internationales.

« La guerre financière » menée par la Corée du Nord est un jeu d'équilibre délicat : les logiciels rançonneurs et le vol de cryptomonnaies financent les ambitions nucléaires du régime, ses programmes de missiles et le développement d'autres armes, tandis que les campagnes d'espionnage fournissent des renseignements pour renforcer ses capacités militaires et technologiques.

Exemple type de la machine cybercriminelle de Corée du Nord, Lazarus Group, a mené des opérations en 2024 avec une sophistication caractéristique. Une opération déguisée en jeu de cryptomonnaie sur le thème des chars d'assaut a exploité une vulnérabilité zero-day dans Google Chrome afin de déployer la porte dérobée Manuscrypt. L'objectif n'était pas seulement de dérober de la cryptomonnaie, mais aussi d'ajouter un élément d'espionnage. Un portefeuille volé aujourd'hui pourrait financer un plan militaire volé demain.

Des sous-groupes comme BlueNoroff ont encore affiné cette approche. Leur« Hidden Risk » a attiré les traders de cryptomonnaies avec des e-mails d'hameçonnage convaincants et de faux sites web d'information conçus pour manipuler les transactions et siphonner les fonds dans les coffres du régime. Cette campagne a également démontré comment les stratégies de déploiement de la désinformation pouvaient être utilisées comme levier dans la cybercriminalité.

Andariel, autre APT du régime, a brouillé la frontière entre le vol financier et la destruction. Il a ciblé des organismes

de santé américains en chiffrant des systèmes critiques pour extorquer des paiements en cryptomonnaie à l'aide d'un logiciel rançonneur Play axé sur la cybercriminalité. Ces opérations ne se limitaient pas à des gains financiers immédiats ; elles faisaient également office de bancs d'essai pour des tactiques visant à perturber des secteurs clés en cas de crise géopolitique.

Le marché de l'emploi lui-même s'est transformé en champ de bataille. En 2024, des entreprises occidentales ont, à leur insu, recruté des agents nord-coréens se faisant passer pour des informaticiens indépendants. En s'infiltrant dans les entreprises sous de fausses identités, ces agents ont atteint un double objectif : générer des devises fortes pour le régime et obtenir un accès potentiel à des réseaux organisationnels sensibles.

DES FRAPPES CATASTROPHIQUES PRÉVUES AUX BATAILLES CONTINUES D'un point de vue plus général, la cyberguerre s'est fragmentée en affrontements plus petits et persistants à travers divers secteurs,

ELI SMADJA

Recherche sur la sécurité Chef de groupe

Aujourd'hui, la cyberguerre a évolué, passant de frappes destructrices immédiates à des campagnes globales visant à fragiliser progressivement les systèmes, qu'ils soient sociaux ou physiques. De nos jours, les États-nations utilisent des « armes » cybernétiques comme les deepfakes générés par l'IA et la manipulation des réseaux sociaux pour saper progressivement les processus démocratiques, tout en menant des opérations clandestines visant à infiltrer les infrastructures critiques, posant ainsi les bases de futures attaques.

remplaçant les frappes catastrophiques destinées à paralyser les nations d'un seul coup. Ces conflits n'élisent que rarement des gagnants ou des perdants évidents, mais ils réussissent principalement à éroder la confiance, affaiblir les institutions et brouiller les frontières entre l'État et les sphères civiles.

Les opérations d'influence se sont imposées comme un front majeur, avec des campagnes de désinformation alimentées par l'IA ciblant les élections, la cohésion sociale et la stabilité géopolitique. En parallèle, les logiciels malveillants destructeurs, les fronts hacktivistes et la cybercriminalité financière ont été utilisés comme outils de coercition, de déstabilisation et d'autosuffisance, notamment par des régimes lourdement sanctionnés comme celui de Corée du Nord.

Tandis que les démocraties s'efforcent de s'adapter en renforçant leurs réglementations et en investissant dans la cybersécurité, le champ de bataille a déjà évolué sous leurs pieds. La cyberguerre ne se limite plus à l'infrastructure numérique, mais s'est infiltrée dans le tissu social. Les luttes pour le contrôle de l'information et de la perception risquent de perdurer bien au-delà de la durée de vie des systèmes physiques qu'elles visaient initialement.

Cyberguerres - Édition 2024

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202514

L'ÉCOSYSTÈME DES LOGICIELS RANÇONNEURS EN 2024 : IMPACT DE L'APPLICATION DE LA LOI, DU CIBLAGE DU SECTEUR DE LA SANTÉ ET DE LA MONTÉE DE L'EXTORSION PAR FUITE DE DONNÉES En 2024, le logiciel rançonneur demeure la cybermenace la plus significative pour les entreprises du monde entier, atteignant de nouveaux sommets tant en termes d'échelle que d'impact. Le groupe peu connu de logiciel rançonneur Dark Angels aurait obtenu un paiement stupéfiant de 75 millions de dollars de la part d'une entreprise Fortune 50 soutiré 22 millions de dollars à Change Healthcare. Dans le cas de Change Health, l'attaque de logiciel rançonneur a entraîné plusieurs mois d'interruption de service et le vol des dossiers médicaux de plus de 100 millions de patients. UnitedHealth, la société mère de Change Healthcare, a fait état d'un impact choquant de 872 millions de dollars au cours du premier trimestre 2024. Ce montant inclut 593 millions de dollars de coûts liés à la réponse directe et 279 millions de dollars d'interruption d'activité. De plus, l'entreprise a alloué 800 millions de dollars aux réserves pour les sinistres futurs.

Malgré cette hausse, le montant médian des rançons payées en 2024 demeure aux alentours de 200 000 dollars, la majorité des attaques se déroulant discrètement et attirant peu d'attention du public.

À l'exception des cas les plus médiatisés, le paysage des menaces a profondément évolué cette année. La pression continue des forces de l'ordre et les conflits internes entre criminels ont conduit à la chute de LockBit, un acteur majeur du paysage des logiciels rançonneurs depuis plusieurs années, ainsi que de son principal rival, ALPHV. Leur disparition a permis l'émergence du nouveau groupe de menaces RansomHub. De plus, considéré jusqu'alors comme moins vulnérable en raison de son rôle, le secteur de la santé est désormais devenu une cible privilégiée pour les cybercriminels. Enfin, les acteurs de la menace se détournent progressivement des tactiques traditionnelles de chiffrement au profit de l'extorsion directe de données, marquant ainsi une approche plus calculée et plus risquée.

LES OPÉRATIONS D'APPLICATION DE LA LOI ET LEURS EFFETS SUR L'ÉCOSYSTÈME DES LOGICIELS RANÇONNEURS Bien que les mesures de cybersécurité offrent une certaine protection, elles restent insuffisantes pour contrer ce qui est désormais la principale menace cybernétique des entreprises : le logiciel rançonneur. La Russie, la Corée du Nord et l'Iran tolérant ou soutenant activement ces activités, les actions de lutte contre ces attaques sont freinées par un manque de coopération internationale.

Figure 3 - Message sur le Dark Web précisant les conditions de recrutement du groupe Cicada3301! interdisant les activités contre les entités affiliées à la Russie (Communauté des États Indépendants - CEI).

L'écosystème des logiciels rançonneurs

15

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202515

Pour contrer cette menace, il est crucial de déployer des actions soutenues et coordonnées en matière d'application de la loi à l'échelle internationale, notamment en partageant les renseignements, en harmonisant les cadres juridiques, en poursuivant collectivement les responsables et en démantelant leurs infrastructures. Il est encourageant de constater que l'année 2024 a été marquée par plusieurs exemples efficaces d'opérations de ce type.

Au cours des années précédentes, les opérations de démantèlement ont ciblé avec succès des groupes de logiciel rançonneur majeurs tels que Hive, Ragnar et bien d'autres. En février 2024, l'opération Cronos, une opération internationale coordonnée menée par la National Crime Agency (NCA) du Royaume-Uni et le FBI, a porté un coup sévère à LockBit, le groupe dominant de l'écosystème des logiciels rançonneurs en tant que service (RaaS). L'opération a conduit à la saisie des sites de fuite de données (DLS) de LockBit et au démantèlement d'infrastructures critiques, perturbant fortement leurs activités. Les autorités ont pris le contrôle de 34 serveurs répartis dans plusieurs pays, notamment les Pays-Bas, l'Allemagne et les États-Unis. Intensifiée en octobre, la campagne a permis d'aboutir à l'arrestation d'acteurs clés en Pologne et en Ukraine, tandis que les autorités judiciaires françaises et américaines ont engagé des poursuites. Les organismes chargés de l'application de la loi ont obtenu et publié les clés de décryptage et les données internes de LockBit, exposant ainsi les opérations du groupe et son réseau d'affiliés à un examen plus approfondi.

L'opération avait pour objectif non seulement de démanteler l'infrastructure technique de LockBit, mais également de nuire à sa réputation dans les cercles cybercriminels. La réputation de LockBit était cruciale pour ses opérations, comme en témoigne sa présence active sur les forums criminels et ses interviews accordées aux médias. Connu sous le pseudonyme LockBitSupp, le chef du groupe intervenait régulièrement sur ces plateformes pour promouvoir les services de logiciel rançonneur du groupe

et soigner son image publique. Cette visibilité leur permettait de recruter de nouveaux affiliés tout en rassurant les victimes sur leur « professionnalisme » dans la gestion des rançons et des données volées.

À la suite de l'opération Cronos, l'activité de LockBit a considérablement diminué. Une fois que ses communications internes et les identités de ses affiliés ont été exposées, sa confiance a été perdue. LockBit a tenté d'affirmer que tout allait bien en publiant de fausses listes de personnes recyclées ou de victimes d'autres attaquants, un phénomène qui s'est accru avec le passage à l'extorsion basée sur les données. Malgré les tentatives de LockBit de reprendre ses activités, les pressions exercées par les forces de l'ordre et la perte de crédibilité au sein de la communauté des cybercriminels entravent leur résurgence. Toutefois, au cours de la dernière semaine de l'année 2024, le groupe a annoncé une nouvelle version, LockBit 4.0. Seul l'avenir nous dira si cela marque une résurgence de l'organisation criminelle.

Autre acteur majeur du modèle RaaS, ALPHV a également quitté la scène. À la fin de l'année 2023, le groupe a été visé par une opération des forces de l'ordre. Bien qu'affaibli, il s'est brièvement rétabli et a repris ses activités de manière agressive, ciblant notamment les entités du secteur de la santé.

En février 2024, une filiale d'ALPHV a mené une attaque contre Change Healthcare. Le groupe a retenu la totalité des 22 millions de dollars récupérés par l'affilié, refusant de lui verser

200

100

Déc 23

420

293 304

380

477

347 407 387

544 603

534541

386

Déc 24

Nov 24

Oct 24

Sep 24

Aoû 24

Jul 24

Juin 24

Mai 24

Avr 24

Mar 24

Fév 24

Jan 24

0

300

400

500

600

700

Figure 5 - Nombre total de victimes signalées sur les sites de fuite de données des logiciels rançonneurs.

Figure 4 - Captures d'écran du « site d'humiliation » de LockBit, nuisant à sa réputation (source : NCA.

L'écosystème des logiciels rançonneurs

16

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202516

Les conséquences de la rétention d'ALPHV de la part de rançon d'un affilié, associées à la mauvaise réputation de LockBit et la fuite du code du logiciel rançonneur, ont favorisé l'émergence d'opérateurs plus autonomes. Un nombre croissant de petits groupes indépendants ont vu le jour, préférant ne pas s'appuyer sur des structures RaaS établies, ni partager les bénéfices avec des opérateurs centralisés. En exploitant les fuites de code, ces auteurs ont personnalisé leurs propres variantes et infrastructures de logiciels rançonneurs, réduisant ainsi leur dépendance vis-à-vis des principaux fournisseurs de RaaS et favorisant un écosystème plus décentralisé et compétitif.

À la fin de l'année 2024 et avec 16 % des victimes signalées en novembre, RansomHub est devenu le nouvel acteur dominant. Plus de 40 autres groupes d'extorsion de logiciels rançonneur sont restés actifs au cours de la même période, chacun gérant ses propres sites de fuite de données et visant de nouvelles victimes.

LE SECTEUR DE LA SANTÉ AU CŒUR DES ATTAQUES La migration des groupes de logiciels rançonneurs vers le ciblage des organismes de santé souligne le déclin progressif des lignes directrices « éthiques » précédemment établies.

sa part. Par la suite, il a simulé un avis de saisie sur son DLS et annoncé son départ à la retraite.

Bien que l'élimination de ces deux groupes dominants ait eu un impact sur le paysage des logiciels rançonneurs à court et à long terme, elle n'a pas permis de réduire le volume global d'attaques dans l'écosystème. En réalité, le nombre de victimes publiées n'a cessé d'augmenter. Cette résilience souligne la dynamique des opérations RaaS : les affiliés indépendants demeurent largement imperméables à la chute d'une marque ou d'un opérateur unique, s'adaptant simplement en migrant vers d'autres plateformes. Libérés de leurs allégeances antérieures, ces affiliés trouvent d'autres groupes RaaS qui offrent l'infrastructure nécessaire, des sites de fuite et des services d'assistance, ce qui leur permet de conserver leur pipeline d'attaques de logiciels rançonneurs intacte.

Dans l'immédiat, aucune entité n'était capable de reproduire la domination du marché détenue auparavant par LockBit et ALPHV. Alors que RansomHub semblait prêt à jouer un rôle de premier plan, sa position était loin d'être garantie. Au lieu de cela, le paysage a évolué vers une période de fragmentation concurrentielle, où des acteurs de taille moyenne, tels qu'Akira, Play, Medusa, Dan0n, Hunters et Bianlian, cherchent à recruter des affiliés et à gagner en influence

0

40

80

60

20

120

100

160

140

200

180

Déc 23

Nov 23

Nov 24

Oct 24

Sep 24

Aoû 24

Jul 24

Juin 24

Mai 24

Avr 24

Mar 24

Fév 24

Jan 24

Victimes de LockBit Victimes de RansomHub

Figure 6 - Sites de fuites de données victimes de LockBit ou de RansomHub. en 2024

Akira

6 % KillSec3

6 % QiLin

5 % SafePay

5 %

Inc Ransom 4 % Hunters4 %

Lynx 4 %

Medusa 4 %

Play 4 %

RansomHub

16 % Autre

42 %

Figure 7 - Victimes de fuites de données par acteur, novembre 2024.

L'écosystème des logiciels rançonneurs

17

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202517

Au cours des premiers mois de pandémie COVID-19, de nombreux opérateurs de logiciels rançonneurs ont publiquement déclaré que les hôpitaux et les prestataires de soins médicaux étaient interdits. Toutefois, au fil du temps, ces restrictions se sont affaiblies. Certains administrateurs RaaS ont adopté une approche plus nuancée. Tout en décourageant l'interruption pure et simple des services, comme le cryptage des systèmes critiques, ils ont autorisé le vol de données médicales sensibles. Les affiliés pouvaient alors extorquer des victimes en menaçant de divulguer des informations sur les patients et faire pression sur les organismes de santé pour qu'ils paient, sans mettre directement les patients en danger.

Cette approche s'est encore aggravée après l'opération de répression contre l'ALPHV. Le groupe a ouvertement encouragé les affiliés à cibler spécifiquement les hôpitaux. En février 2024, les secteurs de la santé et de la médecine sont devenus les plus ciblés par l'ALPHV, représentant environ 30 % des victimes signalées.

La nature critique des opérations de soins de santé signifie qu'un temps d'arrêt prolongé du système est inacceptable en raison du risque qu'il engendre pour la sécurité des patients. Comme l'a démontré l'attaque de Change Healthcare, cela augmente considérablement la probabilité que des rançons soient payées.

Les organisations médicales et de soins de santé représentent aujourd'hui 10 % de l'ensemble des victimes de logiciels rançonneurs signalées publiquement, faisant ainsi du secteur de la santé le deuxième plus ciblé en 2024, juste après l'industrie manufacturière.

Si l'attaque fortement médiatisée envers Change Healthcare a retenu l'attention mondiale, de nombreux autres incidents majeurs illustrent cette tendance préoccupante. En février 2024, une attaque du logiciel rançonneur Phobos a visé le système de santé roumain, affectant directement 25 hôpitaux et provoquant des interruptions de service dans plus de 100 autres établissements en raison de ses effets sur le système d'information Hippocrate (HIS). Privés d'accès Internet, les hôpitaux ont été confrontés à un ralentissement de leurs services médicaux, à des retards dans la prise en charge des patients et à une diminution drastique de leur capacité opérationnelle.

Figure 8 - ALPHV permettant aux affiliés de « bloquer des hôpitaux, des centrales nucléaires, n'importe quoi et n'importe où. » (source).

En juin, Synnovis, un fournisseur majeur de services de pathologie pour les grands hôpitaux londoniens, a été attaqué par le groupe de logiciel rançonneur Qilin (Agenda). L'attaque a entraîné une demande de rançon de 50 millions de dollars et la fuite d'environ 400 Go de données sensibles. Une violation qui a généré l'annulation de plus de 6 000 rendez-vous médicaux et procédures. La perturbation a également entraîné une pénurie de dons de sang dans le service national de santé britannique (NHS).

De nombreuses victimes du secteur de la santé sont désormais prises pour cibles par les attaques de logiciels rançonneurs : 19 % des attaques sont attribuées à Bianlian, 23 % à INC, et 10 % à RansomHub, bien que ce dernier adopte une politique visant à éviter les organisations à but non lucratif et les hôpitaux (voir l'image ci-dessous). Cela souligne l'attention croissante portée aux auteurs de menace dans ce secteur.

Plus de 65 % des victimes du secteur de la santé sont notamment situées aux États-Unis. Un pourcentage disproportionné par rapport à leur part dans l'écosystème global des logiciels rançonneurs. L'importance des opérations de soins de santé et leur capacité limitée à résister à des perturbations prolongées en font des cibles particulièrement attrayantes. Tout porte à croire que cette tendance inquiétante persistera jusqu'en 2025.

LE PASSAGE À L'EXTORSION DE L'EXFILTRATION DE DONNÉES (DXF) La phase de chiffrement d'une attaque par logiciel rançonneur présente des défis importants pour les attaquants. Elle est intrinsèquement « bruyante », ce qui accroît le risque de détection et d'interception. La gestion de plusieurs victimes augmente la complexité, car elle exige la distribution de clés de décryptage uniques et la mise en place d'un « support client » pour la récupération des données. Deux tâches gourmandes en

10 % DES VICTIMES DE LOGICIELS RANÇONNEURS SONT ISSUES DU SECTEUR DE LA SANTÉ

65 % DES VICTIMES LIÉES AU SECTEUR DE LA SANTÉ SONT BASÉES AUX ÉTATS-UNIS

Figure 9 - Politique officielle de RansomHub émanant de son DLS.

L'écosystème des logiciels rançonneurs

18

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202518

OMER DEMBINSKY

Directeur du groupe de recherche sur les données

Le paysage des logiciels rançonneurs se complexifie chaque année. Alors que les services répressifs ont réussi à démanteler de grands groupes de logiciels rançonneur en tant que service (RaaS), de nouveaux groupes sont apparus cette année. De plus, le passage de l'extorsion basée sur le chiffrement à l'extorsion de données présente de nouveaux défis. Cependant, une constante demeure : la nécessité d'adapter et d'améliorer la protection des données, ainsi que la surveillance et la détection rapide des menaces.

ressources et exigeantes sur le plan opérationnel. Les groupes de logiciels rançonneurs s'appuient largement sur leur réputation de restaurer de manière fiable les données cryptées afin de maintenir la confiance des victimes et garantir les paiements. L'échec du décryptage érode cette confiance et diminue la probabilité de paiement de rançons à l'avenir. En outre, la dépendance au chiffrement renforce celle des affiliés envers les plateformes RaaS. Cette dépendance peut réduire leurs bénéfices tout en augmentant leur exposition aux forces de l'ordre.

La volonté des victimes de payer des rançons pour des attaques basées sur le chiffrement a progressivement diminué en raison de cas répétés où les paiements n'ont pas permis la récupération des données, ainsi que de l'amélioration des compétences des organisations pour maintenir des sauvegardes à jour. Les données de Coveware, une société américaine de réponse aux logiciels rançonneurs, mettent en évidence cette tendance : le pourcentage de cas de chiffrement résolus par le paiement de rançons a diminué de 75 % en 2019 à 32 % d'ici le troisième trimestre 2024. En revanche, l'extorsion par exfiltration de données uniquement a maintenu un taux de résolution de paiement stable d'environ 35 %. Combinée à l'augmentation des coûts d'exploitation liés à la gestion des efforts de décryptage, cette évolution a conduit de nombreux acteurs des logiciels rançonneurs à abandonner le chiffrement, au profit d'opérations basées uniquement sur le DXF.

Les premiers adeptes de la tendance à l'exfiltration de données uniquement, tels que Karakurt et Lapsus$, ont ouvert la voie à d'autres intervenants. En 2024, des groupes établis comme BianLian, un groupe russophone de logiciels rançonneurs, sont passés à l'extorsion par DXF uniquement et ont complètement abandonné le chiffrement. De même, Meow, un ancien groupe de logiciel rançonneur qui pratiquait auparavant la double extorsion, est réapparu cette année en se concentrant exclusivement sur la vente de données. Il propose ainsi des données volées à différents prix et permet aux victimes de « racheter » leurs informations afin d'éviter leur diffusion publique.

Figure 10 - Politique opérationnelle de Bashe, tirée de leurs sites de fuites de données.

De nouveaux attaquants sont également apparus, se présentant exclusivement comme des « plateformes de vente de données ». Par exemple, Bashe (également connu sous le nom d'Eraleign), qui est apparu pour la première fois en avril 2024, opère exclusivement comme une plateforme d'extorsion basée sur l'exfiltration de données. Il offre un site dédié aux fuites de données (DLS) ainsi qu'une plateforme de négociation, sans fournir de services de chiffrement ni d'outils supplémentaires.

Cette approche a également ouvert la voie à des déclarations de fausses victimes. Sans la perturbation visible engendrée par le chiffrement, les auteurs de menace peuvent plus aisément recycler des données déjà exposées et s'attribuer faussement le mérite de nouvelles attaques. Cette tactique complique le suivi des campagnes de logiciels rançonneurs et l'identification des véritables auteurs, plusieurs groupes revendiquant souvent la responsabilité d'une même victime.

La montée en puissance de l'extorsion par exfiltration de données marque un tournant décisif dans les priorités de la cybersécurité. Les organisations doivent désormais se concentrer sur le renforcement des stratégies de prévention des fuites de données (DLP) en s'appuyant sur des systèmes de surveillance et de détection avancés afin d'identifier et d'atténuer plus rapidement les violations potentielles.

Les motivations financières et opérationnelles des attaques par exfiltration de données uniquement ne cessant de croître. Une tendance qui devrait se poursuivre cette année, de plus en plus de groupes de logiciels rançonneurs adoptant ces tactiques pour rationaliser leurs opérations et rester indétectables.

NAVIGUER DANS LE PAYSAGE ÉVOLUTIF DES LOGICIELS RANÇONNEURS Le paysage 2024 des logiciels rançonneurs reflète un environnement de menaces dynamique et de plus en plus complexe. Les succès obtenus par les forces de l'ordre contre les principaux groupes ont ouvert la voie à de nouveaux acteurs, parmi lesquels le plus important est RansomHub. En parallèle, l'érosion des limites éthiques concernant les attaques contre les organismes de soins de santé met en lumière le caractère de plus en plus impitoyable des auteurs de menace. De plus, le passage stratégique de l'extorsion basée sur le chiffrement à l'exfiltration de données (DXF) introduit de nouveaux défis, contraignant les organisations à adapter leurs stratégies défensives pour se concentrer sur la protection des données, ainsi que sur la surveillance et la détection rapide des menaces.

L'écosystème des logiciels rançonneurs

19

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202519

Alors que nous analysons le paysage cybernétique en 2024, les infostealers occupent une place centrale. Cela est non seulement dû à l'évolution de leurs méthodes et tactiques, mais aussi au fait que l'écosystème criminel dans son ensemble a mûri et s'est spécialisé, rendant ainsi leurs menaces plus efficaces. Grâce à leur capacité à gérer efficacement, traiter rapidement et vendre de grandes quantités de données volées, les infostealers ont acquis un pouvoir considérable. Elles représentent la première étape d'une violation à grande échelle d'un réseau d'entreprise. L'un des aspects clés de la distribution des infostealers est qu'elle repose principalement sur une approche de type « spray-and-pray », plutôt que de viser directement les réseaux d'entreprise. Malgré cette stratégie, l'un de ses principaux objectifs est d'extraire des informations d'identification afin d'accéder aux ressources de l'entreprise dans le cadre du « BYOD » (Bring Your Own Device). Cyberint, l'une des sociétés de Check Point, signale que plus de 70 % des appareils infectés par des infostealers sont des appareils personnels, plutôt que des appareils d'entreprise ou de gestion.

COMMENT DÉFINIR LES INFOSTEALERS Souvent appelés « voleurs », les infostealers sont des logiciels malveillants conçus pour extraire secrètement des données sensibles de systèmes compromis, en ciblant principalement les informations du navigateur. Ils sont également capables d'exfiltrer des fichiers des machines infectées et prendre des captures d'écran. Les infostealers se propagent par le biais d'e-mails d'hameçonnage ou de téléchargements malveillants. Une fois infiltrés dans un ordinateur, ils peuvent alors récolter un large éventail d'informations précieuses, qui peuvent être utilisées pour d'autres activités cybercriminelles ou frauduleuses. Cela peut inclure des noms d'utilisateur et des mots de passe, des données financières, des configurations système, des cookies de navigateurs et des portefeuilles de cryptomonnaies. Les infostealers sont commercialisés sur le Dark Web en tant que logiciel malveillant en tant que service

DES JOURNAUX D'INFOSTEALERS AUX BRÈCHES COMPLÈTES : LE POUVOIR DES INFOSTEALERS DANS UN ÉCOSYSTÈME DE CYBERCRIMINALITÉ MATURE Avec la diminution des grands botnets et des logiciels bancaires malveillants, les infostealers ont émergé comme la nouvelle menace majeure, étant désormais déployés dans le cadre de campagnes à grande échelle. Une recherche rapide sur le Russian Market, l'un des plus grands marchés criminels clandestins, révèle que plus de 10 millions de journaux d'infostealers sont actuellement disponibles à l'achat. Ces logs renferment des identifiants d'utilisateur volés, des jetons d'authentification et d'autres données sensibles. Les cybercriminels peuvent les exploiter comme des outils puissants pour dérober des fonds à des particuliers, commettre des vols d'identité ou pénétrer dans des réseaux informatiques à l'échelle mondiale.

Figure 11 - Fil de discussion d'un forum darkweb promouvant la vente d'un infostealer Lumma.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202520

(Malware-as-a-Service ou MaaS), où les acheteurs bénéficient de services d'assistance, de mises à jour régulières et d'une documentation détaillée, abaissant ainsi la barrière à l'entrée pour les cybercriminels en devenir.

LE MARCHÉ DES INFOSTEALERS Proposant des prix qui reflètent la sophistication du produit et le niveau d'assistance offert par les développeurs, le marché de l'infostealer est robuste et très concurrentiel. Par exemple, RedLine Stealer est disponible pour environ 150 dollars par mois, StealC coûte environ 200 dollars et Lumma coûte environ 250 dollars. Souvent appelés « affiliés », les auteurs de menace qui exploitent ces services de logiciels malveillants achètent des licences et utilisent les infostealers dans des campagnes d'infection individuelles dans le cadre du modèle MaaS. Les données, ou « logs » (journaux), collectées par les affiliés consistent en des lots d'informations volées provenant d'ordinateurs individuels. Les journaux sont ensuite vendus ou échangés sur des plateformes telles que Telegram ou sur des marchés criminels clandestins comme le Russian Market, généralement pour 10 dollars environ l'unité. Les informations volées alimentent diverses activités illicites, telles que la fraude financière, l'usurpation d'identité et d'autres cyberattaques, contribuant ainsi à un écosystème de cybercriminalité toujours plus vaste.

Les jetons de session et les cookies font partie des types de données les plus recherchés par les infostealers. Ces artefacts sont particulièrement précieux car ils permettent d'accéder immédiatement aux comptes des utilisateurs sans avoir besoin d'informations d'identification. Il est essentiel d'acquérir des journaux « frais » ou récemment volés, car les cookies de session actifs sont sensibles au temps. S'ils sont récoltés et vendus rapidement, ils peuvent détourner les sessions en cours et contourner les mécanismes d'authentification multifacteurs (MFA) sur lesquels reposent de nombreux systèmes de sécurité. De nombreux cybercriminels analysent souvent les données obtenues par les infostealers pour découvrir les informations d'identification des comptes d'entreprise. Ces identifiants peuvent

permettre de pénétrer un réseau d'entreprise ou d'accéder à des ressources critiques. Les cibles comprennent souvent des identifiants et des jetons pour des comptes RVP, des comptes Microsoft 365, des systèmes de messagerie d'entreprise, etc.

Pour remédier à ce risque de sécurité important, Google a introduit le chiffrement App-Bound en juillet. Cependant, en septembre, plusieurs infostealers avaient déjà adopté de nouvelles stratégies pour contourner cette protection et décrypter les données sensibles volées.

La nécessité d'une exploitation rapide met en évidence un autre domaine clé dans lequel les vendeurs d'informations se font concurrence : la présentation et la classification efficaces des données volées. Des tableaux de bord avancés et des mécanismes de téléchargement sont développés pour offrir aux affiliés un accès rapide et clair aux journaux. Certains systèmes offrent une diffusion automatique des journaux sur les canaux Telegram, permettant ainsi une exploitation en temps quasi réel des jetons de session en direct. Des interfaces utilisateur efficaces facilitent non seulement un accès rapide, mais analysent et mettent en évidence automatiquement les références de grande valeur, renforçant ainsi l'efficacité et l'attrait des logiciels malveillants pour les affiliés.

L'infrastructure qui soutient ces activités malveillantes est souvent complète et entretenue par les fournisseurs de MaaS eux-mêmes. Cette infrastructure peut comprendre un mécanisme d'authentification du panel, des serveurs de commande et de contrôle (C2) qui fournissent des plugins et des mises à jour supplémentaires, ainsi que des emplacements sécurisés

Figure 12 - Journaux de Lumma Stealer volés sur un ordinateur français pour être vendus sur le marché russe.

Figure 13 - Vue du panneau StealC.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202521

de la cybercriminalité. De nombreux opérateurs d'infostealers dépendent de clients et de canaux de distribution efficaces pour rentabiliser les données subtilisées. Les marchés clandestins et les canaux Telegram servent de plateformes immédiates où les vendeurs peuvent proposer leurs données volées, tandis que les acheteurs peuvent rechercher efficacement des logs spécifiques correspondant à leurs objectifs.

Les courtiers d'accès initial (Initial Access Brokers - IAB) exploitent ces informations pour pénétrer dans le réseau de l'entreprise. L'accès obtenu grâce à des informations d'identification volées revêt une grande valeur et peut être monnayé. Dans de nombreux cas, les IAB revendent l'accès à des cibles soigneusement sélectionnées sur d'autres forums, attirant ainsi des affiliés de logiciels rançonneurs désireux d'exploiter ces opportunités. Ces affiliés déploient ensuite un logiciel rançonneur, souvent acquis auprès de fournisseurs de logiciel rançonneur en tant que service (RaaS), pour mener à bien leurs attaques.

Les fonds générés par les attaques de logiciels rançonneurs réussies alimentent l'ensemble de l'écosystème. Les données

pour le stockage et le téléchargement des données volées. La dépendance à l'égard d'une infrastructure étendue peut parfois s'avérer être le talon d'Achille des logiciels malveillants, car les organismes d'application de la loi peuvent cibler et saisir ces ressources pour perturber les opérations MaaS.

LA RÉPARTITION DES INFOSTEALERS Les campagnes d'infostealer sont menées par des affiliés qui achètent des licences aux développeurs et mènent des campagnes d'infection de manière indépendante. Pour diffuser le logiciel malveillant, des méthodes créatives sont utilisées, notamment des e-mails d'hameçonnage, de la « malvertising », la distribution de faux logiciels ou de logiciels craqués, des publicités trompeuses et des sites web contrefaits imitant des plateformes Les affiliés peuvent également exploiter des plateformes comme GitHub pour héberger des dépôts malveillants comme le montrent des campagnes utilisant des comptes frauduleux pour diffuser des infostealers populaires. D'autres tactiques impliquent des modèles d'hameçonnage qui ciblent les utilisateurs à la recherche de logiciels craqués, de fausses pages publicités Google malveillantes qui redirigent vers des sites de téléchargement contrefaits. Contrairement aux développeurs, qui se concentrent sur la création et la mise à jour du logiciel malveillant, les affiliés déterminent entièrement la distribution, ce qui donne lieu à un large éventail de campagnes d'infection innovantes.

MONÉTISATION ET ÉCOSYSTÈME DE LA CYBERCRIMINALITÉ Pour comprendre pleinement l'impact des infostealers, il est essentiel d'examiner leur rôle dans l'écosystème plus large

Figure 14 - Annonce proposant l'accès aux réseaux d'entreprise.

personnelles volées offrent d'autres possibilités lucratives aux cybercriminels. Les informations personnelles identifiables (PII), les données financières et les numéros de cartes de crédit peuvent être utilisés pour le vol d'identité, la fraude et les transactions non autorisées résultant de Business Email Compromise (BEC). Toutes ces activités reposent sur une infrastructure criminelle mature et opérationnelle qui facilite l'échange, la vente et l'exploitation des données volées.

Les informations d'identification et les sessions cookies volées sur les ordinateurs personnels des employés peuvent être exploitées pour pénétrer dans le réseau de l'entreprise. Une étude a révélé que dans 90 % des cas, les informations d'identification de l'entreprise avaient été divulguées dans le journal d'un infostealer avant l'intrusion. Cette statistique souligne le rôle crucial des infostealers dans la facilitation d'attaques cybernétiques de grande envergure et met en évidence la nécessité de traiter cette menace dans le cadre plus large de la cybersécurité.

Au début de l'année, la méga-faille de données Snowflake a exposé des informations sensibles provenant de plus de 165 organisations, telles qu'Advance Auto Parts, Ticketmaster et Santander Bank, affectant ainsi des millions de clients.

90 % DES ENTREPRISES AYANT FAIT L'OBJET D'UNE VIOLATION ONT VU LEURS INFORMATIONS D'IDENTIFICATION DIVULGUÉES DANS UN JOURNAL VOLÉ

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202522

Une violation qui a très probablement commencé par des informations d'identification extraites par des infostealers et vendues en ligne.

ANALYSE DES INFOSTEALERS DANS LA NATURE Une analyse des journaux mis en vente sur des plateformes comme le Russian Market permet d'identifier les infostealers les plus prolifiques en termes de données collectées. Signalé pour la première fois en 2022, Lumma Stealer se positionne

actuellement comme l'infostealer le plus important, avec le plus grand nombre de journaux disponibles à la vente. Suivi de RisePro, Vidar et StealC. Ces données suggèrent que ces familles de logiciels malveillants ont été particulièrement efficaces lors de campagnes récentes ou qu'elles bénéficient de canaux de distribution étendus.

L'analyse des données de la passerelle Check Point offre une perspective différente sur l'activité des infostealers. Dans ces ensembles de données, AgentTesla se distingue comme l'infostealer le plus actif, suivi de près par FormBook (des statistiques détaillées sont fournies dans le chapitre suivant). Les différences entre ces sources de données peuvent être attribuées aux types de victimes analysées. Check Point se concentre principalement sur les entreprises, tandis que les données du marché russe englobent un éventail plus large de victimes, dont la plupart représentent des utilisateurs d'appareils personnels.

Une analyse approfondie des données de Cyberint, une société de Check Point, met en lumière les principaux identifiants URL volés

sur les machines infectées. De façon prévisible, un grand nombre de ces URL appartiennent à des services Internet majeurs et à des plateformes de médias sociaux, mais d'autres sites fréquemment visités incluent Roblox, Discord, Twitch et EpicGames. Cela suggère que les « joueurs » sont plus susceptibles d'être infectés par des infostealers, probablement en raison de pratiques d'hygiène Internet moins strictes au sein de ces communautés.

Une autre observation importante concerne la trajectoire de croissance de familles spécifiques de logiciels malveillants. Par exemple, la prévalence de RedLine Stealer a plus que quadruplé au cours des trois dernières années.

L'augmentation du nombre d'infostealers peut être attribuée à la baisse de popularité des botnets.Endgame » a ciblé les infrastructures de botnets utilisés pour distribuer des logiciels malveillants, en se concentrant sur des groupes tels que IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC et Trickbot. Grâce à Endgame, plus de 100 serveurs ont été démantelés et plus de 2 000 domaines utilisés par ces cybercriminels ont été saisis. Ces botnets jouaient auparavant un rôle central dans la distribution des logiciels malveillants et leur perturbation a eu un impact considérable sur l'écosystème, contribuant indirectement à la montée en puissance des infostealers.

La popularité des infostealers n'est pas passée inaperçue auprès des coalitions internationales d'application de la loi. Deux familles d'infostealers étroitement liées, RedLine et Meta, ont fait l'objet d'une vaste opération de répression connue sous le nom de « Magnus ». En octobre, cette opération a permis de saisir de nombreux serveurs et domaines associés à ces souches de logiciels malveillants.

Lumma

51%

Risepro

15%

Vidar

13%

StealC

10%

RedLine

8%

Racoon

3%

Figure 15 - Journaux sur le marché russe par la famille infostealer (novembre 2024).

Jan NovSepJulMar May Jan NovSepJulMar May

202420232022

NovSepJulMar MayJan

Total

Figure 17 - Journaux RedLine trouvés sur les canaux Telegram suivis entre 2022 et 2024 (Cyberint, société Check Point).

Figure 16 - Principales URL apparaissant dans les données d'infostealer, d'après les données de Cyberint, une société de Check Point.

accounts.google.com facebook.com roblox.com login.live.com instagram.com netflix.com discord.com login.microsoftonline.com amazon.com paypal.com twitch.tv twitter.com epicgames.com

1

13

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202523

SERGEY SHYKEVICH

Chef de groupe, Renseignements sur les menaces

Après le déclin des grands botnets, les infostealers sont devenus une menace importante à grande échelle. Ils offrent aux cybercriminels des moyens efficaces de voler des informations d'identification et des jetons de session, contribuant ainsi à la fraude financière, à l'usurpation d'identité et servant de point d'entrée dans le réseau de l'entreprise. Alors que les entreprises adoptent de plus en plus des politiques de télétravail et d'apport de matériel personnel (BYOD - Bring Your Own Device), il devient essentiel qu'elles déploient des stratégies de protection adaptées.

Rest of World 55%

India 10% Brazil

8%

Vietnam2% Thailand3%

Philippines3% Turkey4%

Egypt 5%

Pakistan 5%

Indonesia 5%

Figure 18 - Journaux sur le marché russe, par pays d'origine.

L'analyse géographique des journaux mis en vente offre également des informations cruciales. Une part importante des journaux vendus sur le marché russe provient d'Inde et du Brésil.

Bien que la technologie des infostealers n'ait pas beaucoup évolué au cours de l'année écoulée, l'environnement dans lequel ces logiciels malveillants opèrent a connu une transformation spectaculaire. Les infostealers occupent désormais une place prépondérante dans le paysage de la cyber-offensive. La maturation du marché des produits de vol d'informations et des journaux qu'ils génèrent permet aux pirates informatiques de rechercher et d'exploiter efficacement des informations d'identification précieuses, leur offrant ainsi la possibilité de pénétrer dans le réseau des entreprises.

COMBATTRE LES INFOSTEALERS : RENFORCER LA SÉCURITÉ DES ENTREPRISES À L'ÈRE DU TRAVAIL À DISTANCE La surface d'attaque potentielle de l'entreprise s'est élargie

avec l'adoption généralisée du travail à distance et des politiques BYOD, les employés accédant aux ressources de l'entreprise depuis des appareils personnels, étendant ainsi le périmètre du réseau aux environnements domestiques individuels. La rapidité de livraison et de recherche des logs permet aux IAB d'identifier rapidement les points d'entrée potentiels dans les réseaux d'entreprise, souvent en contournant les mécanismes MFA grâce à des cookies de session valides volés sur des appareils personnels.

Afin de lutter contre ces menaces en constante évolution, les entreprises doivent renforcer leurs mesures de sécurité afin de couvrir la surface élargie, y compris les points d'accès utilisés par les employés. Les organisations doivent surveiller activement les indices de mise en vente d'éléments liés à l'entreprise sur les marchés criminels afin de prévenir d'éventuelles violations. En élargissant leurs stratégies de protection et en restant vigilantes, les entreprises peuvent renforcer leurs défenses contre les menaces sophistiquées et interconnectées posées par les infostealers modernes. L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202524

LA COMPLEXITÉ DE L'ADMINISTRATION CLOUD La complexité de l'administration de l'infrastructure cloud ajoute un niveau important de vulnérabilité qui ne peut être résolu par un simple correctif. L'évolution rapide de l'écosystème et la diversité des fournisseurs cloud, chacun proposant des dizaines de services, de terminologies et de mécanismes de sécurité, génèrent une complexité telle qu'il devient difficile de s'y retrouver. En conséquence, les administrateurs sont souvent submergés par la multitude de paramètres et de configurations nécessaires pour sécuriser efficacement leurs environnements. Cela entraîne l'exposition des ressources en ligne ou des environnements vulnérables, permettant ainsi une escalade facile des privilèges.

Un exemple de cette complexité administrative peut être observé avec les identités non humaines (comptes de service, clés API, utilisateurs intégrés, etc.), qui se sont avérées difficiles à sécuriser. En janvier 2024, Microsoft n'a pas réussi à sécuriser son propre environnement Azure lorsqu'un groupe de menace d'État avancé, Midnight Blizzard, a pénétré dans l'environnement de production de Microsoft via des mal configurés. Cela a permis aux attaquants de passer d'un environnement de test à un environnement de production et d'accéder aux systèmes internes, au code source et aux e-mails des dirigeants de Microsoft.

Les erreurs de configuration connues et les mauvaises pratiques en matière de sécurité continuent de jouer un rôle important dans les violations de données à grande échelle. Par exemple, en Inde, 500 Go d'informations personnelles et de données biométriques de millions de personnes, y compris des membres des forces de l'ordre et de l'armée, ont été exposés à un compartiment S3 mal configuré. L'alternative aux compartiments S3 de Microsoft, les conteneurs Azure Blob Storage, est également susceptible d'être mal configurée. Un employé de Fujitsu a exposé de grandes quantités de données sensibles, notamment des informations privées sur des clients, des e-mails, des clés AWS et des mots de passe en clair. BMW a également souffert d'un conteneur de stockage exposé, laissant échapper des clés secrètes pour l'accès aux compartiments privés et des informations d'identification pour d'autres services cloud

Dans le domaine des mauvaises pratiques de sécurité des API, les développeurs du Rabbit R1 (un assistant personnel piloté par l'IA) ont été avertis après que des clés API codées en dur pour des services tiers aient été découvertes dans leur base de code. Ces clés étaient trop permissives et permettaient essentiellement de lire toutes les réponses de chat de chaque client, ce qui pouvait exposer des informations sensibles.

LE CLOUD : UNE SURFACE D'ATTAQUE EN CONSTANTE EXPANSION L'infrastructure cloud fait aujourd'hui partie intégrante des systèmes informatiques de la plupart des organisations. Les entreprises de toutes tailles exploitent désormais l'évolutivité et la flexibilité offertes par les sites cloud pour répondre à leurs besoins opérationnels, tels que les services de messagerie, les opérations de développement, le stockage de données et l'hébergement de services de production. Le cloud permet aux entreprises de déployer et d'adapter rapidement leurs environnements en fonction de leurs besoins. Cependant, cette adoption généralisée a entraîné une nouvelle série de vulnérabilités en matière de sécurité, de plus en plus exploitées par les auteurs de menace.

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

L'ascension des infostealers

Complexités du cloud

ANALYSE GLOBALE04

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202525

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

04

L'ÉCOSYSTÈME DES LOGICIELS RANÇONNEURS

05

L'ASCENSION DES INFOSTEALERS06

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

L'absence d'authentification robuste et de contrôles d'accès dans certaines organisations (en particulier l'absence d'authentification multi-facteurs (MFA) pour les services cloud) a contribué à un important incident de perte de données cette année. ont ciblé Snowflake, une plateforme d'entreposage de données cloud, en utilisant des noms d'utilisateur et des mots de passe obtenus par le biais de divers infostealers. Cela leur a permis d'accéder aux comptes Snowflake d'au moins 165 entreprises, d'exfiltrer des données sensibles et d'émettre des demandes d'extorsion.

LES RISQUES DES ENVIRONNEMENTS HYBRIDES L'intégration des ressources sur site avec les services cloud via des fournisseurs de gestion des identités et des accès (IAM), tels que Microsoft Entra ID, est devenue une pratique courante. Ces configurations visent à rationaliser l'IAM et à permettre l'authentification unique (SSO). Cependant, ces intégrations sont également devenues des cibles privilégiées pour les attaques cybernétiques, étant donné leur capacité à faciliter les mouvements latéraux bidirectionnels. Alors que les organisations tirent parti de la distribution de leurs données et ressources entre le cloud et les systèmes sur site, les attaquants exploitent les mêmes voies pour déployer des attaques destructrices, exfiltrer des données sensibles ou établir des portes dérobées à l'intérieur des organisations.

Les entreprises utilisant des services de messagerie électronique basés sur le cloud, tels que Microsoft 365, ont constaté qu'un réseau sur site compromis peut également mettre en danger leurs ressources hébergées sur le cloud. Une fois les attaquants en contrôle d'un environnement sur site, ils peuvent accéder aux environnements cloud par diverses voies, notamment via les serveurs Azure AD Connect (à travers Microsoft Entra Connect Sync user) ou des comptes d'utilisateurs hybrides. Par exemple, en 2024, l'acteur Storm-0501 a lancé des attaques en plusieurs étapes qui ont compromis les environnements hybrides cloud, effectué un mouvement latéral de l'environnement sur site vers le cloud, et déployé des comptes de porte dérobée avant de lancer un logiciel rançonneur sur le réseau. La même tactique a été utilisée en 2023, lorsqu'un groupe de menace basé en Iran, Mango Sandstorm (alias Mercury) et Storm-1084, a ciblé des organisations israéliennes. Les attaquants ont exploité le pivot vers les environnements cloud pour vider les conversations e-mail, envoyer des e-mails et déployer des attaques destructrices sur les ressources hébergées sur le cloud.

Dans un autre cas, un auteur de menace financièrement motivé nommé UNC3944 (alias Scattered Spider) a exploité

des comptes SSO Okta hautement privilégiés pour étendre son intrusion de l'infrastructure sur site à plusieurs applications SaaS cloud et Modèle, y compris vCenter, CyberArk, SalesForce, Azure, CrowdStrike, AWS, et GCP. L'attaquant pouvait alors effectuer des reconnaissances sur le portail web Okta pour identifier les applications disponibles, attribuer des rôles à ces applications et se déplacer latéralement à travers plusieurs fournisseurs cloud ainsi que les ressources des victimes.

ATTAQUE DES COMPTES SSO (SINGLE SIGN ON) La sécurisation des comptes SSO est devenue une tâche de plus en plus préoccupante et intimidante. Les auteurs de menace, en particulier les groupes de menace avancée, mènent des attaques de force brute à grande échelle contre les fournisseurs de SSO et les services cloud .ont observé une importante opération de bourrage d'informations d'identification contre son service, où les attaquants ont utilisé des services de proxy résidentiels et d'autres dispositifs d'anonymisation pour éviter d'être détectés. De même, les chercheurs Microsoft ont signalé un groupe avancé de langue chinoise qui s'est appuyé sur des milliers d'appareils SOHO compromis pour exécuter des attaques par pulvérisation de mots de passe à faible volume sur des comptes derrière le SSO de Microsoft, en essayant seulement un ou deux mots de passe par jour et par compte d'utilisateur.

Les entreprises dépendent de fournisseurs de SSO externes pour se protéger contre les attaques par force brute et autres techniques malveillantes, mais elles comptent également sur les journaux des fournisseurs et leur visibilité globale pour détecter toute activité suspecte. Cette dépendance soulève des inquiétudes quant aux pratiques de sécurité de tiers, comme en témoigne le rapport de selon lequel certains clients n'ont reçu qu'une collecte partielle des journaux en raison d'un problème de système.

LA POPULARITÉ DE L'IA Les solutions d'IA générative (GenAI) étant proposées en tant que service par tous les grands fournisseurs de services cloud (CSP), l'IA présente également un impact sur le site cloud. Les entreprises privilégient les solutions de grands modèles de langage (LLM) des FSC plutôt que d'utiliser des services GenAI comme ChatGPT directement via une API pour diverses raisons. D'une part, elles peuvent construire, former et déployer des modèles personnalisés adaptés à leurs besoins commerciaux spécifiques, mais aussi utiliser la génération augmentée par récupération (RAG) pour intégrer leurs bases de connaissances et leurs ensembles de données propriétaires. Une autre raison

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

L'ascension des infostealers

Complexités du cloud

ANALYSE GLOBALE04

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202526

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

04

L'ÉCOSYSTÈME DES LOGICIELS RANÇONNEURS

05

L'ASCENSION DES INFOSTEALERS06

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

MICHAEL ABRAMZON

Architecte de recherche et de renseignements sur les menaces

L'offre cloud ne cesse de croître, tout comme sa surface d'attaque. Les incidents récents soulignent l'importance d'une gestion continue de la posture de sécurité et d'une prévention proactive des menaces dans les environnements hybrides et multicloud, afin de détecter et de bloquer les attaques sophistiquées.

réside dans la confidentialité et la protection des données ; en exploitant les solutions basées sur les fournisseurs de services cloud (CSP), les entreprises possèdent un plus grand contrôle sur leurs données, garantissant que le contenu des chats n'est pas utilisé pour former des modèles publics.

Naturellement, les auteurs de menace trouveront des moyens d'exploiter ces nouvelles technologies pour leur propre bénéfice financier. Jusqu'à récemment, ils se concentraient principalement sur le détournement des ressources cloud pour effectuer du « crypto jacking » (cryptominage) sur un seul serveur vulnérable ou un cluster Kubernetes. Cette année, les attaquants ont trouvé une nouvelle opportunité appelée LLMjacking. Une fois qu'un compte cloud est compromis, les attaquants prennent le contrôle des modèles LLM hébergés existants ou tentent d'en déployer de nouveaux. Dans l'un des cas, les attaquants ont utilisé un proxy LLM pour revendre l'accès à ces LLM à des tiers. Dans un autre cas, les attaquants ont combiné les jailbreaks LLM (une technique permettant de supprimer les limitations sur les sujets de discussion interdits) afin de commercialiser des personnages de chatbot de jeux de rôle non censurés NSFW.

Des groupes de menace russes, chinois et iraniens affiliés à des États ayant été « surpris » en train d'abuser de ChatGPT pour effectuer des recherches sur des sujets avancés, créer des outils et trouver des vulnérabilités par Microsoft et OpenAI, certains auteurs de menace pourraient se tourner vers des instances LLM privées pour améliorer la sécurité de leurs opérations.

DÉFIS EN MATIÈRE DE SÉCURITÉ DANS L'INFRASTRUCTURE CLOUD Les incidents survenus cette année mettent en évidence les problèmes de sécurité critiques découlant de l'adoption généralisée de l'infrastructure cloud. La complexité de l'administration, les mauvaises configurations et la vulnérabilité des environnements hybrides ont entraîné d'importantes brèches de sécurité. Les technologies cloud continuent d'évoluer, tout comme les tactiques de ceux qui cherchent à les exploiter. Des mesures proactives seront essentielles pour sécuriser les environnements cloud de plus en plus complexes.

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

L'ascension des infostealers

Complexités du cloud

ANALYSE GLOBALE04

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202527

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

04

L'ÉCOSYSTÈME DES LOGICIELS RANÇONNEURS

05

L'ASCENSION DES INFOSTEALERS06

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

Traditionnellement, les appareils de périphérie intéressent surtout les acteurs parrainés par l'État, en particulier ceux qui sont associés à des groupes de menace chinois. Cependant, les groupes de cybercriminels ont de plus en plus ciblé ces actifs, adoptant des tactiques similaires pour réaliser des gains financiers.

En 2024, le nombre de vulnérabilités zero-day divulguées affectant les périphériques a considérablement augmenté, avec plus d'une douzaine ciblant spécifiquement les dispositifs de divers fournisseurs. Ces vulnérabilités ont obtenu un score de risque CVSS de 8 ou plus, mettant en évidence leur gravité critique et leur impact potentiel élevé.

Une évolution marquante réside dans l'essor des botnets complexes utilisés comme ORB. L'un des plus sophistiqués est le Raptor Train, orchestré par le groupe APT chinois Flax Typhoon. Ce botnet a compromis plus de 200 000 appareils, incluant des routeurs pour petits bureaux et bureaux à domicile, des systèmes NAS, ainsi que des caméras IP. Structuré en plusieurs couches, il intègre un système de commande et de contrôle (C2) basé sur la plateforme Sparrow, permettant la mise en œuvre d'opérations à distance, d'attaques DDoS et d'activités d'espionnage. Les attaquants exploitent à la fois des vulnérabilités connues et des zero-days pour établir une infrastructure d'attaque évolutive durable à l'échelle mondiale. Grâce à ces appareils, Flax Typhoon conserve un contrôle opérationnel étendu, posant des risques significatifs pour les entités des secteurs public et privé.

Cependant, Flax Typhoon n'est pas le seul acteur allié à la Chine opérant via des ORB. Volt Typhoon est connu pour avoir ciblé des infrastructures critiques aux États-Unis en utilisant un réseau distinct pour dissimuler ses activités. Réseau sophistiqué composé de routeurs SOHO compromis et d'appareils pare- feu, le KV-botnet cible principalement des équipements en fin de vie provenant de fabricants tels que Cisco et NetGear. Ce réseau, exploité par plusieurs acteurs chinois, complique considérablement les efforts d'attribution.

Outre les acteurs affiliés à des États, les attaquants motivés par des raisons financières utilisent également des services proxy alimentés par des appareils IoT et EoL compromis. TheMoon, le réseau de proxy Faceless comprend plus de 40 000 appareils compromis. Les cybercriminels utilisent ces anciens routeurs comme nœuds d'anonymisation pour dissimuler des activités malveillantes telles que l'exfiltration de données et le bourrage d'informations d'identification. La dépendance à l'égard des appareils EoL souligne un risque majeur : des milliers d'appareils non pris en charge restent vulnérables à la compromission, offrant aux attaquants une infrastructure résiliente qui contourne les défenses conventionnelles.

Cette année, les périphériques des entreprises ont été de plus en plus confrontés à une exploitation de type zero-day,

L'ÉVOLUTION DES MENACES LIÉES AUX PÉRIPHÉRIQUES ET AUX ORB Au cours de l'année écoulée, les cybercriminels et les attaquants parrainés par un État ont considérablement intensifié leur utilisation de périphériques comme vecteur d'accès initial. Les périphériques, tels que les routeurs, les pare-feu et les appareils RVP, sont particulièrement vulnérables en raison de l'absence de solutions de sécurité dédiées. Ils sont souvent exploités pour mettre en place une infrastructure d'anonymisation appelée boîte de relais opérationnelle (ORB). Les ORB servent de réseau permettant aux auteurs de cybermenace d'anonymiser et de relayer les communications entre divers appareils compromis, établissant ainsi des canaux clandestins difficiles à détecter.

Périphériques et ORB

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202528

les attaquants continuant à les réaffecter à une pénétration plus large du réseau. Début 2024, des vulnérabilités de haute sévérité ont été découvertes dans Ivanti Connect Secure et Palo Alto réseau' PAN-OS (système d'exploitation) GlobalProtect, permettant l'exécution de code à distance et le contournement de plusieurs facteurs. Des attaquants étatiques et des groupes de logiciels rançonneurs ont exploité ces périphériques comme points d'entrée pour pénétrer dans des environnements sensibles et les compromettre. Ces exploits de type zero-day dans les périphériques ont des conséquences importantes, car ces derniers sont difficiles à corriger en raison de leur rôle essentiel dans le fonctionnement du réseau. Appliquer des correctifs aux périphériques peut entraîner une interruption des services du réseau pendant un certain temps, ce qui pourrait avoir des répercussions opérationnelles majeures.

Certains attaquants se sont tournés vers l'exploitation des périphériques comme méthode. Magnet Goblin, un acteur financièrement motivé qui est apparu pour la première fois en 2024, se concentre sur l'exploitation rapide des vulnérabilités nouvellement divulguées dans les périphériques largement utilisés. Leurs campagnes ont ciblé les VPN Ivanti Connect Secure et des logiciels populaires comme Magento et Qlik Sense afin de déployer des logiciels malveillants personnalisés.

L'ensemble des outils utilisés par Magnet Goblin comprend NerbianRAT, un cheval de Troie d'accès à distance (RAT) multiplateforme, et MiniNerbian, une porte dérobée pour Linux. L'accent mis par les attaquants sur l'exploitation rapide des vulnérabilités des périphériques souligne une tendance plus large dans les attaques à motivation financière contre ces composants critiques, en utilisant des outils comme WARPWIRE, un JavaScript de vol d'informations d'identification, pour accéder à des données sensibles en temps réel.

L'appliance SSLVPN de Check Point a également été visée par la vulnérabilité de traversée de chemin identifiée sous le nom de CVE-2024-24919. Cet exploit permet aux attaquants d'accéder et de lire des fichiers sur l'appareil SSLVPN, y compris des mots de passe sensibles hachés et des fichiers de configuration. Lorsque ces appareils sont configurés avec des méthodes d'authentification plus faibles, comme l'accès par nom d'utilisateur et mot de passe, ils deviennent vulnérables à des lectures de données non autorisées. Cette attaque illustre l'attention croissante que portent les différents auteurs de menace aux périphériques, qui peuvent rapidement exploiter toute vulnérabilité émergente.

Alors que les cybercriminels ont perfectionné l'exploitation des périphériques, les acteurs parrainés par l'État continuent

Compromised Assets

Anonymous ORB Platform

ORB C&C Servers

Anonymous Traffic

Corporate Network Backdoor Access

Brute-Force Attacks

DDoS Attacks

SOHO Routers Corporate Firewalls

IOT Devices VPN Gateways

Figure 19 - Vue d'ensemble de l'infrastructure de l'ORB.

CRITICITÀ 9.1

10 JAN 31 JAN

16 JAN

8 FÉV 11 AVR

24 AVR 22 AOÛ 19 SEP 18 NOV

28 MAI 10 SEP 23 OCT

CRITICITÀ 9.8

CRITICITÀ 9.8 CRITICITÀ 9.1 CRITICITÀ 9.3

CRITICITÀ 9.8CRITICITÀ 10.0

VULNÉRABILITÉ IMPORTANTE DES PÉRIPHÉRIQUESDIVULGUÉE EN 2024

Figure 20 - Chronologie des périphériques vulnérables divulgués en 2024.

Périphériques et ORB

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202529

LOTEM FINKELSTEIN

Directeur, Recherche et renseignements sur les menaces

Avec des milliers d'appareils non pris en charge exposés, les auteurs de menace ont accès à des infrastructures qui contournent les mesures de sécurité traditionnelles. Des correctifs opportuns, un contrôle approfondi et des systèmes de détection performants seront essentiels pour contrer ces menaces

de faire preuve d'une supériorité technologique. Ils utilisent des exploits de type zero-day pour déployer des implants personnalisés, spécifiquement conçus pour cibler des appareils précis. Les appliances de sécurité adaptatives (ASA) de Cisco ont été la cible d'une campagne sophistiquée connue sous le nom d'ArcaneDoor. En exploitant les faiblesses des ASA, cette opération a permis à des acteurs étatiques d'infiltrer des réseaux gouvernementaux et industriels, d'acquérir des informations sensibles et de mettre en place des capacités d'espionnage à long terme. Tout au long de la campagne, les auteurs de menace ont utilisé un implant unique, spécialement conçu pour chaque appareil ciblé, témoignant ainsi d'efforts considérables en matière de recherche et de développement.

De nombreux implants personnalisés pour divers produits de sécurité ont été découverts. L'un d'entre eux, nom de code : Pacific Rim, suggère que des attaquants chinois ciblent depuis plusieurs années des appareils périmétriques, tels que le pare-feu Sophos et la passerelle RVP. Pacific Rim a utilisé diverses tactiques pour exploiter les vulnérabilités des services orientés vers l'internet, notamment les CVE- 2020-12271 et CVE-2022-1040, permettant ainsi l'accès à des points de réseau critiques. Une fois compromis, ces appareils intègrent un réseau ORB qui soutient des canaux de commande et de contrôle (C2) secrets échappant à la détection. Les attaquants ont déployé des techniques avancées dans leur opération, comme l'implantation de rootkits et de correctifs obscurcis, afin de maintenir la persistance et dissimuler leur présence sur les appareils compromis. Cela a permis à l'opération de se propager des périphériques aux réseaux internes, se concentrant sur des cibles de grande valeur dans la région indo-pacifique. L'approche soutenue et stratégique de Pacific Rim met en évidence la vulnérabilité des périphériques, en particulier dans des secteurs où il est difficile d'assurer une surveillance complète et d'appliquer des correctifs de manière opportune.

Bien que ces portes dérobées sophistiquées soient devenues de plus en plus courantes au fil du temps, il est essentiel de souligner que de nombreuses menaces « classiques » provenant de périphériques non sécurisés continuent d'exister dans l'écosystème cybernétique. En septembre 2024, CloudFlare a commencé à se défendre contre une campagne DDoS qui a duré des mois et qui a été révélée comme étant la plus grande attaque jamais signalée par une organisation. Ces attaques à haut débit semblent provenir de plusieurs types d'appareils compromis, notamment des appareils MikroTik, des enregistreurs numériques et des serveurs web. Le débit

élevé provient d'un grand nombre de routeurs domestiques ASUS compromis, qui ont probablement été exploités à l'aide d'une vulnérabilité critique. Actuellement, cette attaque à grande échelle n'a pas été attribuée à un acteur parrainé par un État ou à un groupe de cybercriminels.

En 2024, les réseaux de botnets à grande échelle constitués d'appareils vulnérables et non surveillés, sont devenus un élément incontournable de l'arsenal des auteurs de menaces avancées. Ils sont utilisés pour diverses finalités, telles que l'anonymisation, l'exploitation de réseaux, la persistance ou encore la réalisation d'attaques DDoS d'une ampleur record.

Les ORB et les botnets tels que Raptor Train et Faceless exploitent des infrastructures C2 décentralisées, permettant une transition dynamique d'un appareil compromis à un autre, rendant ainsi leur détection et leur suppression encore plus difficiles. Cela permet aux attaquants de faire tourner les nœuds et d'échapper efficacement à la détection. Certaines

variantes de logiciels malveillants, comme TheMoon, emploient des stratégies d'évasion avancées, telles que l'exécution uniquement en mémoire et le changement fréquent d'adresse IP, rendant ainsi les efforts d'atténuation encore plus complexes et les attaques plus difficiles à détecter. Ces tactiques, combinées au cycle constant des appareils infectés, créent des défis majeurs pour les défenseurs.

Utilisée à l'origine par des acteurs étatiques pour s'infiltrer clandestinement, la stratégie consistant à cibler les périphériques a été adoptée par des attaquants motivés par des considérations financières et utilisant des outils prêts à l'emploi. Cette approche a permis de s'infiltrer dans des cibles de grande valeur, tout en restant indétectable durant de longues périodes. Le ciblage persistant des périphériques met en évidence un manque de sécurité critique. Les périphériques exposés au public resteront exposés à des risques considérables en l'absence de correctifs rapides, d'une surveillance complète et de systèmes de détection robustes.

Périphériques et ORB

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202530

ANALYSE GLOBALE

00 44 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

GLOBAL

6% Mobile

2% Crypto Miners

19% Infostealer

39% Multipurpose Malware

AMERICAS

4% Mobile

1% Crypto Miners

15% Infostealer

32% Multipurpose Malware

EMEA

6% Mobile

2% Crypto Miners

20% Infostealer

42% Multipurpose Malware

APAC

8% Mobile

5% Crypto Miners

28% Infostealer

42% Multipurpose Malware

La figure 1 présente les attaques en fonction du type de logiciel malveillant. Ces chiffres excluent les analyses générales et se concentrent uniquement sur les attaques directes, ce qui nous a permis de classer le type de logiciel malveillant et son intention.

En 2024, une augmentation notable des tentatives d'attaques par des infostealers et des logiciels malveillants polyvalents a été observée. Les logiciels malveillants polyvalents (RAT, botnets et bankers) sont fréquemment employés lors des phases initiales d'une attaque afin de déployer des outils supplémentaires et élargir le contrôle des attaquants sur le système compromis. Il n'est donc pas surprenant que ce type de logiciel malveillant soit le plus répandu, affectant 39 % des organisations en 2024. Ce chiffre représente une augmentation significative de 25 % par rapport à 2023, où seulement 31 % des organisations avaient été confrontées à des tentatives similaires.

Les tentatives d'infection par des infostealers ont également augmenté de manière significative, passant de 12 % à 19 % des organisations touchées en 2024, soit une augmentation de 58 %. Généralement menées dans le cadre de campagnes de masse plutôt que pour cibler des victimes spécifiques, cette hausse des attaques par infostealer reflète un écosystème en pleine maturation et une demande croissante de journaux d'infostealer volés, contenant des informations d'identification, des sessions cookies, et d'autres informations personnelles. Les infostealers sont utilisés pour une variété d'activités malveillantes, allant de la fraude directe via le vol d'identifiants financiers à l'exploitation de sessions volées de cookies pour pénétrer dans le réseau d'une entreprise. Le chapitre sur les tendances, et une section consacrée aux données sera fournie plus loin dans le présent chapitre.

Les attaques de mineurs de cryptomonnaie, installées à l'insu des propriétaires de systèmes, ont chuté de manière significative, passant de 9 % à seulement 2 % des organisations touchées. La plupart des cryptomineurs observés, ciblent la cryptomonnaie Monero, dont la difficulté d'extraction (l'effort de calcul nécessaire pour extraire Monero) a presque doublé cette année, passant d'une moyenne de 260G en janvier à près de 450G en décembre. Cela réduit considérablement leur rentabilité. De plus amples informations sur les mineurs de cryptomonnaie sont présentées dans une section dédiée.

CATÉGORIES DE CYBERATTAQUESPAR RÉGION

58 % HAUSSE DES TENTATIVES D'INFECTION PAR INFOSTEALER EN 2024

Figure 1 - Pourcentage d'entreprises touchées par type de logiciel malveillant en 2024.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202532

CARTE DE L'INDICE MONDIAL DES MENACES

Risque accru Données insuffisantes

Figure 2 - La carte affiche l'indice de risque de cybermenace à l'échelle mondiale, présentant les principales zones à risque dans le monde.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202533

ATTAQUES PAR ORGANISATION Le nombre total d'attaques contre les organisations a considérablement augmenté au cours de l'année écoulée, avec une moyenne de 1 673 attaques hebdomadaires par organisation, soit 44 % de plus qu'en 2023. La figure 3 illustre le nombre moyen d'attaques hebdomadaires par organisation et par secteur d'activité. En 2024, le nombre d'attaques hebdomadaires a fortement progressé dans la plupart des secteurs. Le secteur de l'éducation enregistre le volume le plus élevé, avec une augmentation de 75 % par rapport à l'année précédente, dépassant une moyenne de 3 574 attaques hebdomadaires. Les établissements d'enseignement ont été spécifiquement ciblés pour la collecte d'informations personnelles. Cette persistante des taux d'attaque génère un impact sur les universités, les écoles et les départements et services éducatifs.

Le secteur de la santé a également observé une augmentation de 47 % des attaques hebdomadaires moyennes. Les cybercriminels abandonnant progressivement l'interdiction qu'ils s'étaient imposée de cibler les services de santé. Le secteur de la santé est particulièrement vulnérable aux interruptions de service prolongées (comme indiqué dans la section) et à la nature hautement sensible des données des patients qu'ils détiennent.

Le secteur de la chaîne d'approvisionnement technologique, qui comprend les logiciels, de matériel informatique et de semi-conducteurs, a également connu une forte augmentation des cyberattaques. Ce sont notamment les semi-conducteurs qui ont connu la plus forte hausse, avec une augmentation stupéfiante de 179 % du nombre moyen d'attaques hebdomadaires, dépassant désormais un total de 1 400. Ce pic peut être attribué à la demande mondiale croissante de matériel et à l'attention accrue portée aux technologies IA. Composantes essentielles des infrastructures modernes et de l'innovation, ces industries sont devenues des cibles privilégiées pour les cybercriminels qui cherchent à exploiter la vulnérabilité de la chaîne d'approvisionnement à des fins de profit financier, d'espionnage ou de perturbation.

+75%

+43%

+47%

+40%

+42%

3,574

2,286

2,210

2,084

1,579

1,577

1,572

1,554

1,553

1,553

1,520

1,510

1,486

1,434

1,422

1,415

1,410 +179%

+33%

+30%

+71%

845 -34%

854

1,180 +58%

1,270 +33%

1,312

1,361

+43%

+109%

Information Technology

Agriculture

Transportation & Logistics

Hospitality, Travel, & Recreation

Industrial Manufacturing

Software

Hardware & Semiconductors

Wholesale & Distribution

Real Estate, Rentals, & Leasing

Business Services

Biotech & Pharmaceuticals

Financial Services

Associations & Non Profits

Media & Entertainment

Automotive

Consumer Goods & Services

Aerospace & Defence

Energy & Utilities

Construction & Engineering

Telecommunications

Healthcare & Medical

Government

Education

Figure 3 - Moyenne mondiale des attaques hebdomadaires par organisation et par secteur d'activité en 2024 [% de variation par rapport à 2023]. [*] Secteurs nouvellement introduits, ne faisant pas partie du rapport précédent.

(% DE CHANGEMENT PAR RAPPORT À 2023)

À L’ÉCHELLE MONDIALE ATTAQUES HEBDOMADAIRES

PAR ORGANISATION PAR INDUSTRIE EN 2024

LE NOMBRE GLOBAL D'ATTAQUES CONTRE LES ORGANISATIONS A CONSIDÉRABLEMENT AUGMENTÉ AU COURS DE L'ANNÉE ÉCOULÉE, LE NOMBRE MOYEN D'ATTAQUES HEBDOMADAIRES PAR ORGANISATION ATTEIGNANT 1 673. CELA REPRÉSENTE UNE AUGMENTATION DE 44 % PAR RAPPORT À 2023

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202534

html 61%

22%

5%

4%

3%

0.2%

0.2%

0.7%

0.7%

1.2%

pdf

exe

lnk

js

xls*

doc*

rtf

bat

iso

Figure 5 - E-mail – Principaux types de fichiers malveillants en 2024 .xls* comprend les fichiers Office Excel courants tels que .xls, .xlsx, .xlsm et autres doc* comprend les fichiers Office Word courants tels que .doc, .docx, docm et .dot

E-MAIL LES TYPES DE FICHIERS

LES PLUS MALVEILLANTS EN 2024

exe 54%

11%

8%

5%

4%

1%

1%

1%

2%

3%

dll

pdf

jar

apk

doc*

sh

xls*

elf

msi

Figure 4 - Web - Principaux types de fichiers malveillants en 2024.

WEB LES TYPES DE FICHIERS

LES PLUS MALVEILLANTS EN 2024

Le déclin des macro-attaques malveillantes dans les documents Office a entraîné un changement de tactique : la plupart des e-mails malveillants contiennent désormais des fichiers HTML ou des documents PDF. Les utilisations malveillantes des fichiers HTML incluent l'hameçonnage et le vol d'informations d'identification, souvent réalisés en imitant des pages de connexion légitimes. D'autres cas d'utilisation comprennent des techniques plus avancées comme la contrebande de HTML, la redirection vers des sites web malveillants, l'exploitation de navigateurs et d'autres méthodes. À noter que 61 % des fichiers malveillants envoyés par e-mail contiennent des pièces jointes en HTML.

Présents dans 22 % des e-mails malveillants, les fichiers PDF malveillants sont également un vecteur d'attaque répandu. Ils impliquent généralement l'intégration de code JavaScript ou de liens intégrés dans le document, qui peuvent, soit déclencher des téléchargements de logiciels malveillants, soit rediriger les victimes vers des sites web malveillants. Dans certains cas, les PDF exploitent la vulnérabilité des logiciels de lecture de PDF obsolètes pour exécuter un code sur la machine de la victime.

Tirant parti de formats tels que ZIP, RAR, 7z, et autres, les fichiers d'archives malveillants sont désormais un vecteur d'attaque couramment utilisé dans les campagnes informatiques. Parmi

Les attaques par e-mail demeurent le vecteur d'attaque initial dominant, avec 68 % des attaques provenant d'emails. Cette situation persiste malgré une augmentation significative des attaques diffusées sur le web (32 %), qui est principalement attribuée à la prédominance des cadres de distribution de logiciels malveillants basés sur des sites web infectés, tels que FakeUpdates.

68 % DES ATTAQUES PROVIENNENT DES E-MAILS 61 % DES FICHIERS MALVEILLANTS ENVOYÉS PAR E-MAIL CONTIENNENT DES PIÈCES JOINTES HTML ( )

84% 16%

86% 14%

89% 11%

68% 32%

2024202320222021

EMAIL

WEB

Figure 7 - Vecteurs d'attaque par e-mail/Web entre 2021 et 2024.

zip 31%

22%

8%

6%

4%

1%

2%

2.1%

2.6%

3.2%

rar

7z

gz

z

tar

lzh

arj

img

cab

Figure 6 - Principaux types de fichiers d'archive malveillants dans les e-mails et sur le Web en 2024.

ARCHIVES LES TYPES DE FICHIERS

LES PLUS MALVEILLANTS EN 2024

VECTEURS D'ATTAQUES

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202535

celles-ci, les plus courants sont les fichiers ZIP qui représentent 31 % des archives malveillantes, suivis des fichiers RAR (22 %) et des fichiers 7z (8 %). Les fichiers d'archive sont particulièrement efficaces pour éviter la détection, car ils compressent les charges utiles malveillantes et masquent leur contenu, rendant ainsi leur analyse plus difficile pour les solutions de sécurité.

Les mécanismes de sécurité se heurtent à un problème de taille lorsque les attaquants utilisent des archives protégées par un mot de passe. Ces archives ne peuvent être analysées à la recherche de contenu malveillant sans le mot de passe, qui est souvent fourni dans le corps de l'e-mail ou partagé séparément. En chiffrant le contenu de l'archive, les auteurs de menace cherchent à contourner les défenses automatisées. Une fois extraites, ces archives peuvent déployer un logiciel malveillant directement sur le système de la victime. Les attaquants adoptent souvent une méthode en plusieurs étapes, où l'archive initiale contient des documents ou des scripts apparemment inoffensifs qui, une fois exécutés, téléchargent la charge utile malveillante à partir d'un serveur distant. L'utilisation croissante des fichiers d'archive illustre l'évolution des tactiques des cybercriminels, qui exploitent les vulnérabilités de la sécurité des e-mails et s'appuient sur la confiance des utilisateurs pour mener leurs attaques.

Souvent délivrés dans des archives compressées, les fichiers DLL (Dynamic Link Libraries) chargement latéral ou de détournement de DLL Dans ces cas, les attaquants exploitent une application légitime vulnérable en plaçant un fichier DLL malveillant dans le même répertoire qu'un exécutable de confiance. Lorsque l'application s'exécute, elle charge la DLL malveillante au lieu de celle prévue, permettant ainsi à l'attaquant d'exécuter un code arbitraire. Cette technique est particulièrement efficace pour échapper à la détection, car l'application légitime sert de support de confiance pour la charge utile et les DLL malveillantes.

diffusées sur le web s'appuient souvent sur des téléchargements « drive-by », des sites web compromis ou des publicités trompeuses pour diffuser ces fichiers, ce qui souligne l'importance du filtrage du web, de la mise à jour des logiciels de sécurité et de la sensibilisation des utilisateurs pour atténuer ces menaces. Les fichiers malveillants diffusés sur le web sont de plus en plus courants, utilisant des formats comme EXE, DLL et PDF pour propager des logiciels malveillants. Parmi ces formats, les fichiers EXE sont les plus fréquents, représentant 54 % des fichiers malveillants diffusés sur le web. Ces fichiers exécutables se font souvent passer pour des logiciels légitimes ou des mises à jour, incitant ainsi les utilisateurs à les télécharger et à les exécuter. Les fichiers DLL comptent pour 11 % de ces attaques, tandis que les fichiers PDF représentent 8 %.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202536

STATISTIQUES MONDIALES SUR LES LOGICIELS MALVEILLANTS Les comparaisons de données présentées dans les sections suivantes sont basées sur les données tirées de l'étude sur les menaces de Check Point ThreatCloud menée entre janvier et décembre 2024.

Pour chaque région ci-dessous, nous présentons les logiciels malveillants les plus courants en 2024 et le pourcentage de réseaux d'entreprises touchés par chaque famille de logiciels malveillants.

ANALYSE MONDIALE DES PRINCIPAUX MALWARES Notre analyse met en évidence les familles de logiciels malveillants les plus fréquemment détectées par le réseau de protection Check Point. Il est important de souligner que ces familles ne sont pas nécessairement les plus sophistiquées ou les plus dangereuses, mais qu'elles se distinguent par leur prévalence.

FakeUpdates (SocGholish) reste en tête du classement des logiciels malveillants les plus répandus du classement Check Point. Ce logiciel malveillant s'appuie sur un réseau de sites Web compromis afin de distribuer des logiciels malveillants déguisés en fausses demandes de mise à jour de navigateur ou de logiciel. Ces messages trompeurs incitent les utilisateurs à télécharger et à exécuter un téléchargeur JScript qui télécharge à son tour d'autres logiciels malveillants. Le réseau de sites web compromis est attribué à TA569, un important courtier d'accès initial (Initial Access Broker, IAB) qui fonctionnerait selon un modèle de paiement à l'installation (PPI). TA569 fournit un accès aux systèmes à d'autres cybercriminels, qui déploient souvent des logiciels rançonneurs ou d'autres charges utiles malveillantes.

Qbot, l'une des familles de logiciels malveillants les plus anciennes et les polyvalentes, a connu un déclin spectaculaire au cours de l'année écoulée. Auparavant en deuxième position dans notre classement, l'activité de Qbot a été considérablement perturbée à la fin de l'année 2023 suite à une opération multinationale menée par le FBI qui a ciblé et démantelé son infrastructure informatique. Depuis, de nombreux auteurs de menace qui distribuaient Qbot se sont tournés vers d'autres souches de logiciels malveillants, notamment DarkGate.

AgentTesla est spécialisé dans le vol d'informations sensibles à partir de systèmes infectés. Check Point Research poursuit sa surveillance de cet infostealer fréquemment déployé dans le cadre de campagnes mondiales. AgentTesla possède la capacité d'extraire un large éventail de données des machines compromises, notamment les frappes au clavier, les identifiants de connexion des navigateurs web et les identifiants des clients de messagerie.

Figure 8 - Logiciels malveillants les plus répandus dans le monde en 2024

Figure 9 - Logiciels malveillants les plus répandus sur le continent américain en 2024.

Figure 10 - Logiciels malveillants les plus répandus dans la région EMEA en 2024.

Figure 11 - Logiciels malveillants les plus répandus dans la région APAC en 2024.

Nanocore

NJRAT

Lumma

Androxgh0st

AsyncRAT

Formbook

CloudEyE

Remcos

AgentTesla

FakeUpdates

4%

16%

12%

10%

10%

9%

8%

7%

5%

4%

Mirai

Ramnit

NJRAT

Lumma

AgentTesla

Formbook

Androxgh0st

Remcos

AsyncRAT

FakeUpdates

5%

14%

10%

9%

9%

8%

7%

6%

5%

5%

16%

12%

8%

8%

7%

7%

5%

5%

4%

3%Nanocore

NJRAT

Lumma

CloudEyE

AsyncRAT

Androxgh0st

Formbook

Remcos

AgentTesla

FakeUpdates

2%Darkgate

17%

15%

7%

6%

5%

4%

4%

4%

2%Mirai

NJRAT

Lumma

AsyncRAT

Formbook

Remcos

Androxgh0st

AgentTesla

FakeUpdates

EMEA APAC

À L’ÉCHELLE MONDIALE AMÉRIQUES

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202537

ANALYSE DES LOGICIELS MALVEILLANTS POLYVALENTS À L'ÉCHELLE INTERNATIONALE Les logiciels malveillants polyvalents incluent des chevaux de Troie d'accès à distance (RAT), des botnets et des chevaux de Troie bancaires, des catégories constamment mises à jour au fur et à mesure de l'évolution des capacités des logiciels malveillants. Les classifications des logiciels malveillants sont dynamiques, et la mise à niveau des fonctionnalités supplémentaires peut entraîner un reclassement dans une nouvelle catégorie. Check Point surveille en permanence ces évolutions, met à jour les classifications des logiciels malveillants et redéfinit parfois des catégories entières afin de mieux refléter l'évolution du paysage des menaces.

DarkGate est un excellent exemple de à multiples facettes. Au-delà de ses fonctions principales de RAT, de téléchargeur et d'infostealer, il intègre également des capacités de cryptominage, ce qui complique son classement dans les catégories traditionnelles de logiciels malveillants. Toutefois, cette complexité n'est pas inhabituelle. Ces catégories restent essentielles pour analyser l'objectif principal des attaques spécifiques et pour repérer les tendances générales au sein de l'écosystème cybercriminel.

L'intense mobilisation des forces de l'ordre tout au long de l'année a profondément transformé le paysage des cybermenaces. En mai 2024, une coalition multinationale a mené l'opération Endgame, ciblant les infrastructures de botnets responsables de la distribution de logiciels malveillants. Cette intervention a perturbé les réseaux liés à des groupes tels que IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC et Trickbot. Plus de 100 serveurs ont été démantelés, plus de 2 000 domaines saisis, et quatre personnes ont été arrêtées (une en Arménie et trois en Ukraine). L'opération a également permis de geler des avoirs illégaux.

Les botnets ont toujours occupé une place centrale dans la distribution de logiciels malveillants. Leur démantèlement a provoqué des changements significatifs, notamment une transition marquée vers les infostealers. Ces derniers, souvent plus décentralisés, sont largement adoptés par les cybercriminels. Cette décentralisation complique les actions des opérations centralisées de lutte contre la criminalité pour les cibler efficacement.

En raison de ces perturbations, le marché des logiciels malveillants polyvalents a considérablement évolué par rapport à l'année dernière. Qbot et Emotet, qui dominaient auparavant l'espace, ont été remplacés par FakeUpdates (40 %), Androxgh0st (18 %), Phorpiex (5 %), Darkgate (5 %) et les Raspberry Robin.

Figure 12 - Logiciels malveillants polyvalents les plus répandus à travers le monde en 2024.

Figure 13 - Logiciels malveillants polyvalents les plus répandus sur le continent américain en 2024.

Figure 14 - Logiciels malveillants polyvalents les plus répandus dans la région EMEA en 2024.

Figure 15 - Logiciels malveillants polyvalents les plus répandus dans la région APAC en 2024.

FakeUpdates 42%

Other 24%

Androxgh0st 19%

Darkgate

5% Raspberry Robin 5%

Phorpiex

5%

EMEA

FakeUpdates 28%Other

33%

Androxgh0st 17%

Glupteba

7% Mirai9%

Phorpiex

7%

APAC APAC

AgentTesla 27% Formbook 21% Lumma 12%

Lokibot 6% SnakeKeylogger 5%

Other 30%

FakeUpdates 40%

Other 26%

Androxgh0st 18%

Darkgate

5% Phorpiex

5% Mirai

6%

À L’ÉCHELLE MONDIALE

FakeUpdates 48%

Other 19%

Androxgh0st 19%

Darkgate

5%

Raspberry Robin 3%

Mirai

7%

AMÉRIQUES

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202538

Figure 16 - Principaux logiciels malveillants d'infostealers dans le monde – 2024.

Figure 17 - Principaux logiciels malveillants d'infostealers sur le continent américain – 2024.

Figure 18 - Principaux logiciels malveillants d'infostealers dans la région EMEA – 2024.

Figure 19 - Principaux logiciels malveillants d'infostealers dans la région APAC – 2024.

AgentTesla 27%Other30%

Formbook 21%Lumma

12%Lokibot 6%

SnakeKeylogger

5%

EMEA

AgentTesla 15%

Formbook 16%

Amadey

6%

Ramnit 9%

Lumma 11%

Other 42%

APAC

AgentTesla 29%

Formbook 18%Lumma

12% Lokibot 4%

Ramnit 4%

Other 33%

GLOBAL

AgentTesla 43%

Other 24%

Formbook 15%

Lumma 11%

Ramnit 2% Amadey 4%

AMERICAS

ANALYSE GLOBALE DES MALWARES INFOSTEALER En 2024, le paysage des logiciels malveillants d'infostealer est resté dominé par des attaquants déjà bien établis, qu'AgentTesla qui a représenté 29 % de toutes les détections, suivi de Formbook avec 18 %, et de Lumma avec 12 %. Bien qu'aucun nouvel acteur majeur n'ait émergé, les tentatives d'infection par infostealer ont tout de même augmenté de 58 % par rapport à l'année précédente, ce qui peut s'expliquer par plusieurs facteurs.

Les canaux de distribution traditionnels des logiciels malveillants ont été perturbés par des opérations des forces de l'ordre, commel'opération Endgame en mai 2024, qui visait des botnets majeurs tels qu'IcedID, Smokeloader et Trickbot. Cette opération a permis de démanteler plus de 100 serveurs et de saisir plus de 2 000 domaines. Face à ces attaques, les cybercriminels pourraient se tourner vers les infostealers. De plus, la maturation de l'écosystème des cybercriminels a renforcé la demande pour les données collectées par ces infostealers, appelées « logs ». Ces journaux, contenant des informations sensibles telles que des identifiants et des données personnelles, sont vendus sur des marchés clandestins à d'autres cybercriminels désireux d'exploiter ces informations.

En conséquence, les infostealers occupent un rôle de plus en plus central dans l'évolution du paysage des menaces. Une analyse approfondie de ces tendances est présentée dans les chapitres.

Le Styx Stealer, étudié par Check Point Research, est un nouvel infostealer apparu cette année. Dérivé du Phemedrone Stealer, Styx est conçu pour exfiltrer des informations sensibles telles que des mots de passe enregistrés, des cookies, des données de remplissage automatique de divers navigateurs, des détails de portefeuilles de cryptomonnaies et des données de session de plateformes de messagerie comme Telegram et Discord. Il collecte également des informations sur le système, telles que les spécificités du matériel et les adresses IP externes, et peut réaliser des captures d'écran pour évaluer l'environnement avant d'exécuter sa charge utile. Styx Stealer intègre des fonctionnalités telles que le démarrage automatique, la surveillance du presse-papiers, le « crypto- clipping », l'évasion améliorée du bac à sable et des techniques anti-analyse. Contrairement à son prédécesseur, qui était disponible gratuitement, Styx Stealer est vendu via un modèle d'abonnement, avec des prix allant de 75 $ pour une licence mensuelle à 350 $ pour un abonnement à vie.

EMEA APAC

À L’ÉCHELLE MONDIALE AMÉRIQUES

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202539

Figure 20 - Top des logiciels malveillants de cryptominage dans le monde en 2024.

Figure 21 - Top des logiciels malveillants de cryptominage sur le continent américain en 2024.

Figure 22 - Top des logiciels malveillants de cryptominage dans la région EMEA en 2024.

Figure 23 - Top des logiciels malveillants de cryptominage dans la région APAC en 2024.

LemonDuck 41%

Kinsing 35%

Other 11%

Lucifer 3%

Wannamine 5% RedTail 5% LemonDuck

58%Wannamine 29%

Kinsing 3%

Other 5%

Lucifer 2%RedTail

2%

Lucifer 2%

RedTail 5%

LemonDuck 46%

Wannamine 17%

Kinsing 15%

Other 16%

LemonDuck 42%

Kinsing 19%

RedTail 14%

Wannamine 9%

Lucifer 3% Other13%

ANALYSE GLOBALE DES CRYPTOMINEURS En 2024, le secteur des cryptomonnaies a connu des évolutions significatives tant au niveau de la réglementation que du marché, entraînant une hausse notable. Le bitcoin a franchi la barre des 100 000 dollars en décembre et a atteint un sommet historique de 103 649 dollars. Cependant, le nombre d'attaques de cryptominage a diminué, passant de 9 % des entreprises en 2023 à seulement 2 %.

Les mineurs illégaux de cryptomonnaies se tournent vers le Monero (XMR) en raison de ses fortes caractéristiques de confidentialité, qui rendent les transactions pratiquement impossibles à tracer, ainsi que de son minage adapté aux processeurs et de ses exigences de calcul relativement faibles. Cependant, la valeur du Monero est restée relativement stable tout au long de l'année, alors que sa difficulté d'extraction (l'effort de calcul nécessaire pour extraire le Monero) a presque doublé, passant d'une moyenne de 260G en janvier à près de 450G en décembre. La forte augmentation de la difficulté a considérablement réduit la rentabilité du minage, ce qui a conduit à la réduction de nombreuses opérations illégales et une diminution des attaques de cryptominage.

En 2024, LemonDuck est resté l'une des souches de logiciels malveillants de cryptominage les plus répandues et a été déployé dans 46 % de l'ensemble des tentatives d'attaques de cryptominage. Initialement découvert en 2018, LemonDuck a évolué d'un simple mineur de cryptomonnaie en logiciel malveillant hautement sophistiqué, modulaire et multiplateforme, doté de capacités telles que le vol d'informations d'identification, l'autopropagation et des opérations de minage sans fichier et en mémoire. Ces caractéristiques supplémentaires le rendent polyvalent et difficile à détecter. L'activité récente montre que les opérateurs de LemonDuck exploitentactivement la vulnérabilité du Server Message Block (PME), en particulier l'exploit EternalBlue, pour infiltrer les systèmes Windows. Les campagnes LemonDuck utilisent divers vecteurs d'attaque, notamment des e-mails d'hameçonnage contenant des pièces jointes malveillantes, des attaques par force brute ciblant RDP et SSH, des clés USB contenant des fichiers .LNK ainsi que d'autres techniques d'infiltration.

EMEA APAC

À L’ÉCHELLE MONDIALE AMÉRIQUES

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202540

Figure 24 - Principaux logiciels malveillants mobiles dans le monde en 2024.

Figure 25 - Principaux logiciels malveillants mobiles sur le continent américain en 2024.

Figure 26 - Principaux logiciels malveillants mobiles dans la région EMEA en 2024.

Figure 27 - Principaux logiciels malveillants mobiles dans la région APAC en 2024.

Joker 24%

Anubis 13%

Necro 12%AhMyth8%

Other 38%

Hydra 5%

Joker 25%

Necro 22%

Anubis 10%

AhMyth

7%

Other 33%

Hiddad 3%

Joker 23%

Necro 19%

Anubis 12%

AhMyth 9%

Other 34%

Hiddad 4%

Necro 27%

Joker 15%Anubis

10% AhMyth12%

Other 28%

Hiddad 7%

ANALYSE MONDIALE DES LOGICIELS MALVEILLANTS MOBILES En 2024, plus de 60 % du trafic internet mondial proviendra des appareils mobiles. Les données sensibles stockées sur ces appareils sont très recherchées, non seulement par les cybercriminels à la recherche de gains financiers, mais aussi par des acteurs parrainés par l'État qui se livrent à de l'espionnage et de la collecte de renseignements.

Rafel RAT, un cheval de Troie Android d'accès à distance à code source ouvert, est largement utilisé à des fins d'espionnage, comme le révèle ce rapport Check Point Research. Notre enquête a révélé son déploiement dans environ 120 campagnes malveillantes distinctes, dont un grand nombre visait des organisations de premier plan, notamment des entités du secteur militaire. Rafel RAT permet aux auteurs de menaces d'exfiltrer des données sensibles, des listes de contacts et des messages d'authentification à deux facteurs (2FA), d'accéder à des comptes et de contourner les mécanismes d'authentification à plusieurs facteurs. Le groupe d'espionnage APT-C-35, également connu sous le nom de DoNot Team, a notamment été observé en train d'exploiter Rafel RAT dans le cadre de ses opérations, ce qui souligne l'adaptabilité et l'efficacité du logiciel malveillant dans une gamme variée de profils et d'objectifs d'acteurs de la menace.

Le logiciel malveillant mobile le plus répandu en 2024 (23%) était Joker, un logiciel malveillant notoire ciblant les appareils Android depuis 2017. L'objectif principal de Joker est d'abonner secrètement les utilisateurs à des services premium en simulant les clics d'utilisateur et en interceptant les messages SMS et les notifications. Un cas concerne une variante de Joker intégrée à l'app Beauty Camera dans le Google Play Store, qui a recueilli plus de 100 000 téléchargements. Alors que l'application semblait légitime, elle téléchargeait secrètement des ressources supplémentaires à partir de serveurs de commande et de contrôle (C2) distants, permettant ainsi la poursuite d'autres activités malveillantes.

La montée de Necro (19 %) dans le top trois des logiciels malveillants mobiles à travers le monde n'est pas surprenante. Identifié pour la première fois en 2019, Necro est un logiciel compte-gouttes malveillant conçu pour télécharger et exécuter des charges utiles supplémentaires. Récemment, Necro a été distribué par le biais de deux applications malveillantes dans le Google Play Store, avec un total de 11 millions de téléchargements. Au-delà de Google Play, Necro a également été identifié dans des dépôts non officiels, intégrés dans des applications et des jeux populaires tels que WhatsApp, Minecraft, Stumble Guys, et d'autres.

Deux autres menaces mobiles importantes, Anubis et AhMyth, sont encore largement utilisées en raison de leur code source accessible au public. Initialement développé comme un cheval de Troie bancaire, Anubis a évolué pour inclure des fonctionnalités de cheval de Troie d'accès à distance (RAT), d'enregistrement de frappe, d'enregistrement audio et même des fonctionnalités de type logiciel rançonneur. Sa polyvalence en fait un outil privilégié pour les auteurs de menace ciblant les institutions financières. À l'origine créé comme un projet éducatif, et mis à disposition sur GitHub, AhMyth a été intégré dans diverses campagnes malveillantes.

EMEA APAC

À L’ÉCHELLE MONDIALE AMÉRIQUES

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202541

En termes de répartition géographique, 50 % des entreprises touchées cette année se trouvent aux États-Unis, suivies du Royaume-Uni (6 %), du Canada (5 %), de l'Allemagne et de l'Italie (3 % chacune).

Toutefois, si l'on tient compte de la taille de la population, la situation évolue. Bien que les États-Unis restent statistiquement le pays le plus ciblé, les différences entre les pays tendent à s'estomper. De nombreux pays industrialisés ont enregistré entre 2 et 6 employés victimes pour 1 million d'habitants, mettant en évidence une exposition plus large et globale aux attaques de logiciel rançonneur.

Dans le modèle RaaS (Ransomware-as-a-service), les affiliés choisissent leurs victimes de manière indépendante, ce qui entraîne une répartition géographique des victimes reflétant les tendances générales de l'écosystème, plutôt que les préférences spécifiques de l'opérateur RaaS. Les opérateurs peuvent imposer des restrictions, comme interdire les attaques contre les anciennes républiques soviétiques, les organisations à but non lucratif ou celles œuvrant dans le domaine des soins de santé. Cependant, certains groupes présentent une orientation géographique plus marquée. Par exemple, le groupe de logiciel rançonneur connu sous le nom de « RA Group » cible de manière disproportionnée l'Allemagne, où se trouvent plus de 20 % de ses victimes publiées, tandis que KillSec se concentre fortement sur l'Inde, où se trouvent 30 % de ses victimes.

Une analyse de la moyenne mondiale des attaques hebdomadaires par organisation et par secteur d'activité (figure 3) révèle que les secteurs de l'éducation, de l'administration et

d'actions de répression et de conflits internes avec les affiliés. Bien que LockBit apparaisse toujours comme le deuxième acteur le plus prolifique des logiciels rançonneurs en 2024, la majorité des victimes qu'il a affichées l'ont été au cours du premier semestre de l'année. Au cours des derniers mois de 2024, LockBit a signalé moins de cinq victimes par mois. Toutefois, au cours de la dernière semaine de 2024, le groupe a annoncé une nouvelle version, LockBit 4.0. Seul l'avenir nous dira s'il s'agit d'une résurgence de l'organisation criminelle. (Pour plus de détails, voir le chapitre - 03)

Le déclin de ces deux grands groupes criminels a profondément remodelé le paysage des logiciels rançonneurs. L'écosystème est devenu plus fragmenté, avec de nombreux petits groupes représentant désormais une part plus importante du nombre total de victimes annuelles. Alors que les 10 groupes les plus actifs étaient responsables de plus de 66 % du total de victimes affiché en 2023, leur part combinée est tombée à 51 % seulement en 2024. L'ascension de RansomHub en tant que principal groupe de double extorsion peut être attribuée au fait qu'il ait réussi à attirer de nombreux anciens affiliés de LockBit et d'ALPHV qui n'ont pas les capacités ou choisissent de ne pas opérer de manière indépendante.

LOGICIELS RANÇONNEURS Cette section présente des données et des observations tirées de plus de 140 sites de fuite de données (DLS) exploités par plus de 90 groupes de logiciels rançonneurs de double extorsion. Les coordonnées de plus de 5 200 entreprises ont été publiées sur des sites de fuite de données par des cybercriminels, qui utilisent ces plateformes pour intensifier la pression sur les organisations refusant de se conformer aux demandes de rançon. Les entreprises qui paient la rançon n'apparaissent généralement pas dans le DLS et sont donc exclues de cet ensemble de données, introduisant ainsi un biais inhérent. Cependant, les informations partagées sur ces DLS criminels offrent des perspectives précieuses sur le paysage des logiciels rançonneurs. Les données analysées ici couvrent la période de janvier à décembre 2024.

Deux des principaux acteurs de logiciels rançonneurs en 2023 sont devenus inactifs en 2024. LockBit, qui représentait 21 % des victimes, et ALPHV, responsable de 9 % des victimes, ont soit cessé, soit réduit de manière significative les messages envoyés à leurs victimes. Le déclin de LockBit est attribué à l'Cronos, tandis que l'inactivité d'ALPHV résulte d'une combinaison

Figure 28 - Groupes de logiciels rançonneurs d'extorsion de fonds, en pourcentage du nombre total de victimes publiées en 2024.*

Other 49%

ransomhub 10%

LockBit3 10%

play 6% akira 5%

hunters 4%

medusa 4%

qilin 3%

bianlian 3%

inc ransom 3%

8base 3%

Figure 29 - Victimes par pays, tel qu'indiqué sur les sites de fuite de données en 2024.

United States 50%

Rest of World 23%

United Kingdom

6%

Canada 5%

Germany 3%

Italy 3%

Brazil 2%

France 2%

India 2%

Australia 2%

Spain 2%

Figure 30 - Employés victimes des logiciels rançonneurs pour 1M d'habitants, par pays.

Norway

UAE

Singapore New Zealand

Sweden

Belgium

Australia

United Kingdom Switzerland

Canada

United States

2.9

7.5

6.4

4.4

4.1

4.1

4.1

3.8

3.5

3.4

3.2

*Les données du DLS couvrent la période du 1er janvier 2024 au 23 décembre 2024.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202542

de la santé sont les plus fréquemment ciblés. Toutefois, si l'on considère spécifiquement l'extorsion par logiciel rançonneur, selon les données de la DLS, l'industrie manufacturière se distingue comme le secteur le plus touché, tandis que le gouvernement et l'éducation figurent plus bas dans la hiérarchie des victimes. Cet écart reflète probablement des différences sectorielles dans leur propension à se conformer aux demandes de rançon, les organisations gouvernementales et éducatives étant généralement moins enclines à payer, ce qui les rend moins attractives pour les acteurs des logiciels rançonneurs.

En 2024, les acteurs des logiciels rançonneurs ont de plus en plus ciblé les fournisseurs de soins de santé et de services médicaux, faisant ainsi du secteur la deuxième industrie la plus ciblée.

Vous trouverez plus de détails sur les développements des logiciels rançonneurs de cette année dans une rubrique dédiée.

Figure 31 - Répartition par secteur des victimes de logiciels rançonneurs, tel qu'indiqué sur les « sites d'humiliation » en 2024.

Industrial Manufacturing

Healthcare & Medical

Consumer Goods & Services

Business Services

Financial Services

Construction & Engineering

Education

Government

Transportation & Logistics

Software

10%

22%

9%

7%

7%

6%

5%

4%

4%

3%

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202543

00 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

VULNÉRABILITÉS MONDIALES DE PREMIER PLAN 55

La liste suivante sur les principales vulnérabilités est basée sur les données collectées par le système de prévention des intrusions (IPS) de Check Point et détaille certaines des techniques d'attaques et des exploitations de vulnérabilités les plus répandues et intéressantes observées par Check Point Research (CP<R>) en 2024.

INJECTION D'ARGUMENT CGI EN PHP (CVE-2024-4577) CVE-2024-4577 est une vulnérabilité critique d'injection de commande dans PHP qui affecte spécifiquement les systèmes Windows utilisant Apache avec PHP-CGI, exploitée dans la journée suivant sa publication. Cette vulnérabilité touche principalement les installations Windows utilisant les langues chinoises et japonaises, bien que d'autres installations soient également concernées. Détecté dans un correctif publié en juin 2024, ce problème provient du comportement « Best-Fit » de Windows lors des conversions d'encodage de caractères, ce qui peut amener le module CGI de PHP à mal interpréter certains caractères comme des options PHP. Cela permet aux utilisateurs non authentifiés d'injecter des arguments dans le binaire PHP, entraînant l'exécution de code à distance ou l'exposition de données sensibles.

Après sa divulgation, la vulnérabilité a été rapidement exploitée par de nombreux acteurs malveillants, notamment pour le déploiement de logiciels rançonneurs, et nous avons observé qu'elle avait un impact sur plus de 25 % du réseau des entreprises. La vulnérabilité a également été utilisée pour déployer des logiciels malveillants tels que la Msupedge, le RAT Gh0st, les mineurs de cryptomonnaie RedTail et XMRig.

INJECTION DE COMMANDE IVANTI (CVE-2024-21887) Début 2024, une vulnérabilité critique d'injection de commande, CVE-2024-21887, a été découverte dans les passerelles Connect Secure et Policy Secure d'Ivanti. Cette faille permet aux attaquants d'utiliser les privilèges administratifs pour exécuter des commandes arbitraires sur un système compromis. En la combinant à la vulnérabilité CVE-2023-46805, vulnérabilité de contournement d'authentification, les attaquants peuvent réaliser une exécution de code à distance sans authentification. Ces vulnérabilités ont été activement exploitées par des pirates parrainés par l'État chinois pour implanter des « web shells », afin de subtiliser des données sensibles et établir une persistance sur un appareil compromis.

CONTOURNEMENT DE L'AUTHENTIFICATION DE VMWARE ESXI (CVE-2024-37085) En juin 2024, une vulnérabilité critique de contournement d'authentification a été divulguée dans l'hyperviseur ESXi de Broadcom VMware. Cette faille affecte l'intégration d'ESXi avec Active Directory (AD) pour la gestion des utilisateurs. Plus précisément, lorsqu'un hôte ESXi est joint à un domaine AD, il accorde automatiquement des privilèges administratifs complets aux membres d'un groupe de domaine nommé « ESX Admins ». Ce groupe n'existe pas par défaut dans AD et ESXi ne vérifie pas son existence lors de l'intégration au domaine. Par conséquent, tout utilisateur de domaine disposant des autorisations nécessaires pour créer des groupes peut établir et affecter des utilisateurs à un groupe « ESX Admins », obtenant ainsi un accès administratif complet à l'hôte ESXi. Cette vulnérabilité a été activement exploitée par de nombreux opérateurs de logiciels rançonneurs, notamment Storm-0506, Storm-1175, Octo Tempest et Manatee Tempest. Dans certains cas, la technique de post-compromission observée a entraîné le déploiement du logiciel rançonneur d'Akira et de Black Basta.

Une analyse des données relatives aux attaques révèle que les vulnérabilités divulguées en 2024 et 2023 représentaient respectivement. Les vulnérabilités récentes sont de plus en plus graves, plus faciles à exploiter et adoptées par les auteurs de menaces plus rapidement que par le passé. Cependant, les attaquants poursuivent leur ciblage des vulnérabilités plus anciennes, avec plus de 57 % des tentatives d'exploitation se concentrant sur des CVE publiés en 2020 ou avant. Cela met en évidence un problème persistant où les systèmes restent non corrigés pendant des années, même après l'arrivée des correctifs.

Earlier

2014

2015

2016

2017

2018

2019

2020

2021

2022

2023

2024 4%

15%

12%

12%

9%

6%

7%

5%

6%

2%

7%

15%

Figure 1 - Pourcentage d'attaques tirant parti des vulnérabilités par année de divulgation en 2024.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE GLOBALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202545

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

00 66 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

Cette rubrique repose sur l'expérience ainsi que sur les données recueillies à partir d'une vaste gamme de cas d'enquêtes et d'atténuation d'incidents menés par la Check Point Incident Response Team (CPIRT). Contrairement aux autres sections, les données présentées ici proviennent d'études de cas réels d'événements ayant entraîné des rapports d'incidents, et ne se limitent pas aux utilisateurs des produits Check Point. La plupart des attaques ont réussi à compromettre leurs cibles, offrant ainsi une perspective différente sur le paysage des menaces et les défis pratiques auxquels les organisations sont confrontées lors de brèches actives.

DÉCLENCHEURS D'INCIDENT Les clients contactent l'équipe de réponse aux incidents de Check Point en raison de déclencheurs provenant de diverses sources, telles que des alertes de sécurité automatisées, des rapports d'utilisateurs, des interruptions de service, ou des renseignements recueillis auprès de tiers, de fournisseurs ou d'agences gouvernementales. La collecte et l'analyse de ces déclencheurs nous aident à comprendre comment les menaces sont découvertes, quelles indications de menaces sont les plus susceptibles d'entraîner une action immédiate, et comment améliorer la rapidité et l'efficacité des réponses aux incidents.

L'objectif principal des équipes de sécurité est de réagir le plus rapidement possible avant qu'une attaque n'atteigne le stade de l'impact, c'est-à-dire l'interruption de service ou le vol de données. En 2024, les alertes de sécurité sont devenues

35 %

1 %

1 %

1 %

3 %

26 %

13 %

8 %

6 %

5 %

Alerte de sécurité

Interruption de service

Activité proactive

Rapport d’utilisateur

Notification du gouvernement Notification du

fournisseur Modification des

informations financières

Message d’extorsion

Pic de ressources

Dégradation

Figure 1 - Déclencheurs les plus fréquents pour solliciter la réponse aux incidents.

pour la première fois le principal déclencheur d'incidents, dépassant les interruptions de service en tant qu'indicateur principal de déclenchement d'une réponse à un incident.

Parmi les cas où la CPIRT a été contactée cette année, 35 % ont été déclenchés par une alerte provenant d'un produit de sécurité, contre seulement 20 % des cas de l'année précédente. Cette évolution indique une augmentation significative de l'expertise des équipes de sécurité et des progrès dans les technologies de détection et de prévention. Les organisations sont de plus en plus aptes à reconnaître les alertes provenant des systèmes de sécurité et à identifier les failles avant qu'elles ne se transforment en interruptions de service.

Par exemple, la CPIRT a observé plusieurs tentatives d'attaques par logiciel rançonneur détectées après l'installation massive d'outils d'accès à distance comme AnyDesk et ScreenConnect, mais avant le démarrage de la phase de chiffrement. Cette année, la CPIRT a observé de nombreux cas où les équipes de sécurité ont réagi rapidement aux alertes d'installation et ont pu limiter l'attaque avant le déploiement du logiciel rançonneur encrypteur.

Une autre augmentation notable concerne le nombre d'alertes provenant des enquêtes proactives des équipes et des

notifications de l'équipe de réponse aux urgences cybernétiques (CERT) ou du gouvernement. Cela reflète une prise de conscience croissante des anomalies de communication et des enquêtes actives sur les sources de renseignement et le Dark Web, et indique des mesures de cybersécurité renforcées et de plus en plus matures dans l'ensemble de l'industrie.

En se concentrant sur la détection précoce par le biais d'alertes de sécurité et de mesures proactives, les organisations peuvent répondre plus efficacement aux menaces et réduire l'impact des cyberincidents.

ALERTES DE SÉCURITÉ Les organisations sont de plus en plus capables d'identifier les menaces avant qu'elles n'atteignent le stade de l'attaque finale. L'analyse des différents types d'alertes qui incitent les équipes de sécurité à déclencher leurs processus de réponse aux incidents offre des informations précieuses sur la manière dont les équipes doivent être formées et fonctionner dans ces situations.

Reconnaissance

Resource development

Initial access

Execution

Persistence

Privilege escalation

Defense evasion

Credential access

Lateral movement

Command and Control

Exfiltration

Impact

1% 1%

13% 13%

4% 4%

3%

3%

18%

18%

1% 12%

Figure 2 – Tactiques d'attaques des alertes de sécurité qui déclenchent des réponses aux incidents, classées par MITRE ATT&CK Matrix.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202547

Une analyse des alertes de sécurité liées aux tactiques de MITRE ATT&CK révèle que la communication de commandement et de contrôle (C2) constitue le déclencheur le plus fréquent des réponses aux incidents. Les activités malveillantes associées aux communications C2 peuvent souvent être détectées par des méthodes relativement simples telles que des indicateurs de compromission (IoC), des signatures réseau suspectes ou des modèles inhabituels de trafic sortant. En outre, les solutions de sécurité capables de détecter ces activités, comme les systèmes de prévention des intrusions (IPS) et les modules Anti-Bot/Anti- Virus (AB/AV), sont largement déployées dans l'ensemble des secteurs d'activité. À ce stade, ces outils renforcent la visibilité des activités C2 et contribuent à un taux de détection élevé.

La seconde alerte tactique la plus importante, souvent à l'origine de l'intervention de l'équipe de réponse aux incidents (IRT), est l'accès aux informations d'identification (Credential Access). Bien que cette tactique ne génère pas le volume le plus élevé d'alertes des produits de sécurité, dans de nombreux cas analysés par la CPIRT, l'accès aux informations d'identification est un facteur qui pousse fréquemment les équipes de sécurité à escalader une alerte en réponse complète à l'incident. Les

ÉTUDE DE CAS : RÉPONSE RAPIDE À UNE MENACE DE LOGICIEL RANÇONNEUR Au début de l'année, l'équipe MDR (Managed Detection and Response) de Check Point a alerté un client en Amérique du Nord au sujet d'une menace potentielle de logiciel rançonneur. En quelques minutes, l'équipe a détecté l'installation d'AnyDesk sur plusieurs appareils à travers l'ensemble de l'organisation. Les analystes ont rapidement identifié qu'il s'agissait d'un incident de sécurité et ont transmis le problème à l'équipe de réponse aux incidents afin d'assurer la mise en place des protocoles d'atténuation et d'investigation nécessaires.

L'installation rapide d'outils de contrôle à distance sur plusieurs appareils est une tactique, une technique et une procédure (TTP) couramment utilisée par les opérateurs de logiciels rançonneurs. Ainsi, la détection de cette activité a immédiatement entraîné une réaction rapide de la part des analystes expérimentés.

Dans ce cas, il a été découvert que les outils de contrôle à distance étaient distribués via un objet de stratégie de groupe (GPO). Lors de l'examen du contrôleur de domaine (DC), un binaire de chiffrement prêt à être déployé sur tous les appareils du domaine, a été détecté au sein d'un dossier public.

Grâce à la réaction rapide des analystes, la menace a été atténuée avant que l'encrypteur ne puisse être distribué, ce qui a permis d'éviter une attaque de logiciel rançonneur potentiellement dévastatrice.

tentatives d'accès aux informations d'identification comprennent l'utilisation d'outils tels que Mimikatz pour vider le processus Lssas.exe et exfiltrer le fichier NTDS.dit d'un DC. Ces alertes sont rarement négligées ou justifiées par un comportement légitime de l'utilisateur. C'est pourquoi elles déclenchent généralement une action immédiate et décisive de la part des équipes de sécurité.

INTERRUPTIONS DE SERVICES Comme pour les années précédentes, les interruptions de service demeurent l'un des principaux déclencheurs des réponses aux incidents. Les interruptions de service incluent des attaques comme celles en provenance de logiciels rançonneurs, où le chiffrement empêche l'accès aux ressources critiques, le blocage du trafic, qui perturbe les communications légitimes, et les attaques DDoS, qui submergent la capacité du système, rendant les services légitimes inaccessibles.

ALERTES DES AGENCES GOUVERNE- MENTALES ET DES FOURNISSEURS DE SERVICES DE SÉCURITÉ En 2024, les déclenchements d'incidents suite à des alertes émises par des agences gouvernementales et des fournisseurs de sécurité ont augmenté.

Large outbound traffic

Dark web intelligence

Communication with malicious IPs

Figure 3 - Les trois causes principales des alertes des gouvernements et des fournisseurs de services de sécurité.

Bon nombre de ces alertes reposent sur le trafic réseau associé à des adresses IP malveillantes, souvent identifiées comme des indicateurs de compromission (IoC) liés à des auteurs de menaces spécifiques. Une surveillance similaire du trafic peut également générer des alertes concernant des transferts de données sortants inhabituellement volumineux vers des destinations suspectes, indiquant souvent des activités d'exfiltration menées par des auteurs de menace.

La surveillance du Dark Web par les agences gouvernementales et les fournisseurs de sécurité constitue une autre source essentielle d'informations menant à des alertes de sécurité potentielles. Cela inclut notamment des informations sur des fuites de données d'identification ou de données sensibles d'entreprises, partagées sur des forums et des marchés du Dark Web.

Ces alertes en provenance de tiers jouent un rôle essentiel en tant qu'avertissements précoces, permettant aux organisations de réagir de manière proactive à des informations externes crédibles avant que les menaces ne prennent de l'ampleur. Émanant d'entités de confiance et souvent précédées d'une analyse professionnelle approfondie, elles bénéficient d'un haut niveau de fiabilité. Cela incite les organisations à agir rapidement et à initier des enquêtes sur les incidents. Les organisations ne devraient pas se fier exclusivement aux entités externes et devraient effectuer une surveillance proactive du Dark Web pour faciliter la détection précoce des brèches.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202548

ÉTUDE DE CAS : RÉPONSE À UNE ALERTE GOUVERNEMENTALE CERT SUR L'EXFILTRATION DE DONNÉES En octobre 2024, un cas CPIRT a été déclenché par une alerte CERT émise par le gouvernement européen, signalant qu'une adresse IP de l'organisation transmettait de grandes quantités de données à une IP associée à des activités de commandement et de contrôle (C2). L'adresse IP signalée correspondait à l'adresse IP NAT externe de l'organisation, ce qui a conduit l'équipe SOC et la CPIRT à analyser les journaux du pare-feu et du DNS pour identifier l'appareil spécifique du réseau responsable de la transmission de données.

L'enquête a révélé que le contrôleur de domaine (DC), également utilisé comme serveur de fichiers, était à l'origine de la transmission de données. Sur le serveur, la CPIRT a découvert des outils d'archivage et une installation récente de FileZilla.

La CPIRT a assisté le client dans l'identification des données potentiellement exfiltrées et a mené une enquête approfondie afin de détecter tout autre point d'appui que l'auteur de menace aurait pu établir au sein de l'organisation.

RAPPORTS D'UTILISATEURS

En identifiant des activités malveillantes difficilement identifiables par d'autres mécanismes de sécurité, les rapports d'utilisateurs constituent une source supplémentaire précieuse dans la détection des menaces. Les utilisateurs étant de plus en plus sensibilisés à la sécurité, cela ajoute un niveau supplémentaire à la stratégie de défense des organisations. En 2024, la majorité des rapports d'utilisateurs faisaient état d'activités malveillantes évidentes, telles que le chiffrement de fichiers résultant d'attaques de logiciel rançonneur. Cependant, les utilisateurs signalent de plus en plus souvent des tentatives suspectes d'authentification multi-facteurs (MFA) dont ils ne sont pas à l'origine. Les signalements d'e-mails suspects et de tentatives d'hameçonnage ont également souvent conduit à la détection d'activités malveillantes.

CHASSE AUX MENACES PROACTIVE

L'année dernière a vu une augmentation des incidents déclenchés par des activités proactives et la chasse aux menaces menée par les équipes de sécurité, par opposition aux réponses aux alertes système. Ces incidents trouvent souvent leur origine dans l'examen des journaux système, du comportement des utilisateurs et du trafic réseau qui ne sont pas caractéristiques de l'environnement. Expertes dans la topologie de leur propre réseau,

27%

27%

27%

7%Suspicious financial request

Suspicious emails

Encrypted files

Suspicious MFA request

Figure 4 - Principales causes de signalement des incidents par les utilisateurs.

6%

24%

53%

Credential exposure

Communication with suspicious IPs

Authentication anomaly

Figure 5 - Principaux résultats des analyses d'activités proactives déclenchant des incidents.

les équipes de sécurité sont plus à même d'identifier les activités suspectes que les produits de sécurité externes.

Les domaines clés sur lesquels il convient de se concentrer de manière proactive incluent les comportements anormaux des « utilisateurs administrateurs » et les schémas de trafic suspects qui ne correspondent pas au flux opérationnel normal, comme le trafic en provenance et à destination de pays avec lesquels l'organisation n'a pas d'activité.

En recherchant des indicateurs dissimulés de compromission de manière proactive, les organisations peuvent identifier et atténuer les menaces qui échappent aux outils de détection automatisés, renforçant ainsi une approche de sécurité à plusieurs niveaux.

TYPES D'ATTAQUES En 2024, les logiciels rançonneurs poursuivent leur domination du paysage des menaces de cybersécurité. La famille de logiciels rançonneurs la plus répandue dans les réponses aux incidents cette année est LockBit, suivie d'Akira et de Black Basta.

Parmi les autres types de menaces notables figurent les attaques de type Business Email Compromise (BEC) et les attaques par déni de service distribué (DDoS). Dans 25 % des cas, les attaques de la CPIRT ont été identifiées et évitées à un stade précoce, rendant difficile la détermination du type d'attaque.

Figure 6 - Principales catégories d'attaques dans les cas de la CPIRT 2024.

Ransomware

53%

BEC

10%

DDOS

8%

Wiper

4%

Disrupted in preliminary stage

25%

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202549

En 2024, les expériences et les données recueillies par l'équipe de réponse aux incidents de Check Point révèlent que les organisations priorisant les alertes de sécurité et exploitant les données sont mieux préparées à contrer les menaces avant qu'elles ne s'intensifient, protégeant ainsi leurs ressources critiques.

TIM OTIS

Responsable de la réponse aux incidents , de la détection et de la gestion de la réponse

LOGICIEL RANÇONNEUR ESXI En 2024, 11 % des attaques par logiciel rançonneur étudiées ciblaient spécifiquement les serveurs VMware ESXi, qui sont des environnements virtualisés au cœur de nombreuses infrastructures d'entreprise. En ciblant les serveurs ESXi, les attaquants peuvent rendre plusieurs serveurs critiques inaccessibles en compromettant un seul appareil. Cette stratégie leur permet de provoquer des perturbations majeures sans infecter l'ensemble du réseau ou de la base de serveurs avec un chiffrement logiciel malveillant. Les groupes de logiciels rançonneurs ciblant les serveurs VMware ESXi incluent le groupe de logiciels rançonneurs Akira qui a exploité deux vulnérabilités d'exécution de code à distance (RCE) dans ESXi : CVE-2023-20867 et CVE-2024-37085.

11 % DES ATTAQUES PAR LOGICIEL RANÇONNEUR ÉTUDIÉES CIBLAIENT SPÉCIFIQUEMENT LES SERVEURS VMWARE ESXI, QUI SONT DES ENVIRONNEMENTS VIRTUALISÉS AU CŒUR DE NOMBREUSES INFRASTRUCTURES D'ENTREPRISE.

CONCLUSION : Les résultats du CPIRT 2024 mettent en évidence des progrès encourageants en matière de détection précoce des menaces et de mesures de sécurité proactives au sein des organisations. Les alertes de sécurité ont désormais surpassé les interruptions de service en tant que principal déclencheur de la réponse aux incidents, et un engagement accru dans la chasse proactive aux menaces, ainsi que dans la sensibilisation des utilisateurs, est constaté. Ces informations soulignent l'importance de rester vigilant, d'affiner les capacités de détection et de collaborer avec des sources de renseignement extérieures afin de renforcer la résilience en cybersécurité.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202550

PRÉVISIONS POUR L'INDUSTRIE EN 2025 : THE FUTURE OF CYBERSECURITY

00 77 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

Les plateformes cloud s'imposent comme épine dorsale de la cybersécurité

Les plateformes basées sur le cloud deviennent de plus en plus essentielles pour la cybersécurité, l'intégration pilotée par l'IA s'avérant plus efficace que les outils autonomes. En regroupant diverses opérations de sécurité, ces plateformes réduisent la complexité, permettant ainsi aux organisations de traiter les menaces et les vulnérabilités sur le cloud avec davantage d'efficacité et d'efficience. Des solutions telles que le CNAPP, l'ASPM et le DSPM se fusionnent pour créer des suites complètes de gestion de la posture de sécurité (SPM).

Avec l'émergence de nouveaux outils comme « Application and Data SPM », il est probable qu'ils s'intègrent dans une plateforme de protection des applications cloud natives (CNAPP) plus large, ouvrant ainsi la voie à l'évolution d'un concept que l'on pourrait qualifier de « Extended Security Posture Management » ou gestion étendue de la posture de sécurité (XSPM). L'intégration de la gestion de la surface d'attaque dans cette nouvelle catégorie montre comment ces plateformes dépassent le simple assemblage de solutions isolées, transformant l'approche des organisations face aux vulnérabilités en profondeur.

Risques croissants d'utilisation abusive de l'IA et de violation des données

À mesure que les technologies de l'IA s'intègrent dans les environnements personnels et professionnels, les préoccupations concernant leur utilisation abusive se renforcent. Cette année, le risque de violations de données causées par des employés partageant par inadvertance des informations sensibles avec des plateformes d'IA telles que ChatGPT ou Gemini de Google représente une menace importante. Les employés peuvent saisir des informations confidentielles, telles que des données financières, pour générer des rapports ou des analyses, souvent sans réaliser que ces données peuvent être stockées par des personnes non autorisées et accessibles par la suite. L'instauration de contrôles plus stricts sur les outils d'IA au sein des systèmes d'une organisation sera essentielle pour trouver un équilibre entre l'amélioration de la productivité et la protection de la confidentialité des données.

La criminalité financière alimentée par l'IA

L'année 2024 a débuté par des informations rapportant des cas sporadiques mais réussis de criminalité financière alimentée par l'IA générative. Reconnaissant le potentiel de l'IA générative (GenAI), les cybercriminels ont commencé à investir dans son intégration via divers outils technologiques, notamment pour contourner les méthodes de Business Email Compromise (BEC) et de Know Your Customer (KYC). Les cybercriminels s'efforcent activement d'intégrer l'IA générative dans leurs services malveillants, ces menaces devraient se multiplier cette année.

Augmentation des attaques de la chaîne d'approvisionnement des projets à code source ouvert

La montée en popularité des projets de logiciels open source, place ces derniers comme cibles de choix pour les acteurs malveillants cherchant à exploiter discrètement les failles des logiciels largement utilisés. Suite à l'opération sophistiquée de plusieurs années ayant permis l'insertion d'une porte dérobée dans Linux XZ Utils, il est probable que d'autres tentatives similaires émergent et que des portes dérobées déjà implantées soient découvertes. Cette menace grandissante met en évidence l'urgence de renforcer les mesures de sécurité et d'intensifier la vigilance au sein de la communauté open source.

Décentralisation des écosystèmes de cybercriminalité

Les récents succès des forces de l'ordre dans la lutte contre les grandes opérations de logiciels rançonneurs et les botnets ont poussé les acteurs malveillants à se diriger vers des réseaux, des méthodologies et des opérations plus petites et décentralisées. Les grands projets de logiciels rançonneurs se sont restructurés en groupes plus petits, tandis que les écosystèmes axés sur les infostealers sont apparus comme principal moyen de faciliter l'accès initial. Cette décentralisation oblige les défenseurs à repenser leurs stratégies, mettant en évidence la nécessité d'une collaboration renforcée et d'un partage amélioré des renseignements.

Des exigences réglementaires renforcées et des normes plus strictes en matière d'assurance cybernétique

En raison des nouvelles réglementations en matière de cybersécurité, notamment les règlements de l'UE sur l'Internet des objets (IdO), les exigences de divulgation en cybersécurité de la SEC, la loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act - DORA) et la directive NIS2, les organisations devront faire face à une pression accrue. Pour développer des politiques adaptées et adopter de nouvelles technologies de sécurité, la conformité à ces cadres exigera un investissement important en temps et en ressources.

Bien que ces réglementations aient pour objectif d'améliorer les mesures de sécurité, ils génèrent également des complexités opérationnelles supplémentaires. Les entreprises doivent donc accorder davantage d'attention et mettre en place des actions supplémentaires afin de se conformer à ces normes. De plus, les polices d'assurance cybernétique devraient se durcir, les assureurs imposant des contrôles plus stricts et des exigences de conformité comme conditions préalables à la couverture. Les défis réglementaires auxquels les organisations doivent faire face s'en trouveront d'autant plus accrus.

Le déficit croissant des experts de la cybersécurité

La pénurie mondiale de professionnels de la cybersécurité représente un défi majeur pour les organisations qui peinent à faire face à l'augmentation constante de la complexité et du volume des cybermenaces. Malgré les investissements des entreprises dans des solutions de sécurité polyvalentes, le manque d'experts qualifiés pour gérer et intégrer efficacement ces outils entraîne une approche fragmentée et inefficace de la sécurité. La dépendance à l'égard de nombreux fournisseurs, combinée à un manque de compétences internes, expose les organisations aux attaques en rendant leurs mesures de sécurité de plus en plus complexes à gérer et moins efficaces. Afin d'assurer leur résilience, les entreprises devront simplifier leurs opérations de sécurité et investir dans le développement des compétences de leur personnel.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202552

00 88 L'ÉTAT DE LA CYBERSÉCURITÉ EN 2025

Alors que nous analysons les incidents de 2024, il est essentiel de se concentrer sur les facteurs clés ayant permis aux attaquants de réussir, ainsi que sur les mesures d'atténuation stratégiques que les défenseurs peuvent mettre en œuvre pour contrer de telles menaces. Cette introduction résume les principaux enseignements tirés et offre des recommandations concrètes aux professionnels de la cybersécurité. Ces lignes directrices offrent un cadre pratique pour renforcer les défenses et prévenir les incidents majeurs décrits dans ce rapport, en abordant les problèmes systémiques communs et les erreurs qui ont historiquement facilité les cyberattaques.

JONATHAN FISCHBEIN

Check Point Software Global pour RSSI EMEA & LATAM

1. Adoptez une approche multicouche dans votre pile de sécurité

Les entreprises devraient adopter une stratégie de sécurité à plusieurs niveaux, incluant des sauvegardes régulières des données, une formation des employés à la sensibilisation au hameçonnage, ainsi qu'un filtrage efficace des e-mails, afin de réduire les risques liés aux logiciels rançonneurs et aux infostealers. L'utilisation d'outils de détection et de réponse (EDR) peut aider à identifier et à isoler les menaces à un stade précoce. De plus, en cas de violation, le maintien de contrôles d'accès rigoureux et l'application du principe du moindre privilège peuvent réduire les dommages potentiels. Il est essentiel de mettre régulièrement à jour les logiciels et les systèmes pour corriger les vulnérabilités, mais aussi de réaliser des évaluations de sécurité fréquentes ainsi que des exercices de réponse aux incidents afin de se préparer aux attaques.

2. Donner la priorité aux solutions avancées en matière de sécurité du cloud

Les organisations doivent privilégier la sécurité des API, la gestion des identités et adopter une architecture zero-trust afin de contrer les vulnérabilités liées au cloud. Une passerelle API robuste et des évaluations de sécurité régulières peuvent réduire les risques associés à l'échange de données. La mise en œuvre d'un accès sur le principe du moindre privilège et d'une authentification multifacteurs est essentielle pour sécuriser les ressources. Un modèle zero-trust renforce la sécurité en vérifiant les utilisateurs et les appareils avant l'accès. Les outils de gestion de la posture du cloud (CSPM) identifient et corrigent les mauvaises configurations, tandis que les plateformes de protection de la charge de travail cloud (CWPP) sécurisent les charges de travail. L'ensemble de ces stratégies permet de maîtriser efficacement les risques associés à l'infrastructure cloud.

3. Exploiter l'IA pour la prévention et la détection

Exploitez la puissance des technologies avancées d'intelligence artificielle pour améliorer les stratégies de prévention et de détection. En développant des systèmes robustes, pilotés par l'IA, les organisations peuvent identifier et atténuer efficacement les menaces potentielles avant qu'elles ne prennent de l'ampleur. Cette approche proactive consiste à mettre en œuvre des solutions automatisées tirant parti des capacités de l'IA pour offrir une détection rapide et précise des problèmes en temps réel. Ces systèmes renforcent la sécurité globale et optimisent les réponses apportées, permettant ainsi aux équipes d'agir rapidement et efficacement face aux nouveaux défis.

4. Obtenez une visibilité à 360° de votre surface d'attaque

Les criminels exploitent la vulnérabilité des pratiques « bring-your- own-device » et des applications natives cloud, augmentant ainsi le risque de violation en raison de problèmes tels que les informations d'identification codées en dur et la faiblesse de l'authentification. Ils exploitent fréquemment des informations d'identification et des outils légitimes, brouillant ainsi la distinction entre l'activité normale de l'utilisateur et les actions malveillantes. Les organisations doivent comprendre le lien entre l'identité, le cloud, les postes et la protection des données afin de détecter ces menaces à travers plusieurs systèmes. Avec une moyenne de plus de 45 outils de sécurité utilisés par entreprise, les silos de données peuvent entraîner des lacunes en termes de visibilité. Une plateforme de sécurité unifiée, intégrant des capacités d'IA, améliore la visibilité et le contrôle, renforçant ainsi la détection et la prévention des violations tout en permettant des économies de temps et d'argent.

5. Développer un programme de confiance avec les clients pour assurer la conformité

Les organisations doivent instaurer un programme de confiance avec leurs clients afin d'assurer la conformité dans

un environnement réglementaire en constante évolution. La mise en œuvre de l'automatisation pour la conformité permet de rationaliser le respect des réglementations strictes et de réduire les erreurs humaines lors des audits et de la génération des rapports. Donner la priorité à la souveraineté des données permet aux entreprises de conserver le contrôle sur leurs informations sensibles. En intégrant la protection de la vie privée dès la conception, les entreprises peuvent protéger de manière proactive les données de leurs clients, renforcer la sécurité et anticiper les menaces numériques. Cette approche permet de mettre en place un cadre de conformité solide, ce qui, en fin de compte, renforce la confiance des clients.

6. Mise en œuvre du programme de vulnérabilité et de gestion des risques

L'émergence rapide de nouvelles vulnérabilités, en particulier les attaques de type zero-day, pose un défi important à la gestion de la vulnérabilité. Les périphériques accessibles au public sont particulièrement exposés. Pour gérer efficacement ces risques, il est essentiel d'évaluer leur niveau de menace et de les classer par priorité, ce qui permet d'appliquer rapidement les correctifs appropriés. Les ressources et les systèmes critiques orientés vers l'extérieur devraient être la priorité.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202554

De plus, l'utilisation de renseignements sur les menaces combinée à la gestion de la surface d'attaque externe offre une visibilité précieuse sur la manière dont les attaquants perçoivent vos mesures de sécurité. Grâce à ces informations, vous pouvez mettre en œuvre des stratégies de prévention immédiates.

7. Choisissez un fabricant de produits de sécurité en qui vous avez confiance

Lorsque vous choisissez un fabricant de produits de sécurité incarnant la confiance numérique, privilégiez une entreprise ayant démontré son efficacité en matière de pratiques de sécurité et affichant de faibles taux de vulnérabilité. Privilégiez les fournisseurs qui diffusent rapidement des correctifs, ce qui permet aux utilisateurs de faire face rapidement aux menaces potentielles. En outre, évaluez leurs stratégies de réponse aux incidents et leurs antécédents en matière de gestion des violations.

8. Optimiser les opérations de sécurité

En raison de la pénurie de personnel qualifié en cybersécurité, l'IA joue un rôle essentiel pour améliorer l'efficacité des équipes, leur permettant ainsi de mieux gérer les menaces et de les prioriser. Les outils d'IA sont en mesure d'automatiser les tâches répétitives, réduisant ainsi le temps consacré à des activités comme l'analyse des événements et le dépannage, grâce à des processus automatisés. Les professionnels de la sécurité peuvent se concentrer sur l'innovation stratégique et les mesures proactives grâce à des processus rationalisés.

9. Focus sur la résilience et la réponse aux incidents

Les organisations doivent prioriser la résilience opérationnelle face aux menaces croissantes liées aux logiciels rançonneurs et à la cyberguerre géopolitique. Pour renforcer votre stratégie informatique, veillez à ce que vos opérations soient effectivement séparées. Cette approche améliorera votre réponse en cas d'attaque. De plus, évaluez et mettez régulièrement à jour vos plans de reprise après sinistre afin de minimiser les perturbations causées par les cyberattaques ou les pannes informatiques.

L'éducation des utilisateurs est essentielle à la prévention des infections par logiciel malveillant. Les employés doivent être sensibilisés à l'origine des fichiers et des e-mails, ainsi qu'à la fiabilité des expéditeurs. Les e-mails d'hameçonnage et les téléchargements web malveillants restent les méthodes d'infection les plus courantes par logiciel rançonneur. La sensibilisation des utilisateurs permet souvent d'éviter les attaques. Sensibilisez vos utilisateurs et encouragez-les à signaler immédiatement aux équipes de sécurité tout élément inhabituel ou suspect.

L'ascension des infostealers

TENDANCES EN MATIÈRE DE CYBERSÉCURITÉ 03

ÉVÉNEMENTS SUR LA CYBERSÉCURITÉ 202402

INTRODUCTION01

PRÉVISIONS POUR L'INDUSTRIE EN 202507

RECOMMANDATIONS POUR LES RSSI 08

ANALYSE MONDIALE04

VULNÉRABILITÉS DE PREMIER PLAN05

PERSPECTIVES EN MATIÈRE DE RÉPONSE AUX INCIDENTS

06

Cyberguerres - Édition 2024

L'écosystème des logiciels rançonneurs

Complexités du cloud

Périphériques et ORB

L'ÉTAT DE LA CYBERSÉCURITÉ EN 202555

NOUS CONTACTER

SIÈGE MONDIAL

5 Shlomo Kaplan Street, Tel Aviv 6789159, Israël

Tél. : 972-3-753-4599

E-mail : info@checkpoint.com

SIÈGE SOCIAL AUX ÉTATS-UNIS

100 Oracle Parkway, Suite 800, Redwood City, CA 94065

Tél. : 800-429-4391

VOUS ÊTES ATTAQUÉS ?

Contactez notre équipe de réponse aux incidents :

emergency-response@checkpoint.com

Recherche Check Point

Pour consulter nos dernières recherches ainsi que d'autres contenus exclusifs,

visitez www.research.checkpoint.com

www.checkpoint.com

À PROPOS DE CHECK POINT SOFTWARE TECHNOLOGIES LTD.

Check Point Software Technologies Ltd. fait partie des fournisseurs leaders de plateforme de cybersécurité alimentée par l'IA et fournie par le cloud qui protège plus de 100 000 organisations dans le monde. Check Point tire parti de la puissance de l'IA en toutes circonstances afin d'améliorer l'efficacité et la précision de la cybersécurité grâce à sa plateforme Infinity, avec des taux de capture de pointe permettant une anticipation proactive des menaces et des temps de réponse plus intelligents et plus rapides. La plateforme complète comprend des technologies fournies par le cloud comprenant Check Point Harmony pour sécuriser l'espace de travail, Check Point CloudGuard pour sécuriser le cloud, Check Point Quantum pour sécuriser le réseau et Check Point Infinity Core Services pour les opérations et services de sécurité collaboratifs.

© 2025 Check Point Software Technologies Ltd. Tous droits réservés.