Malwares et ransomwares : détection et comportements suspects

1. Objectif du cours

Donner les clés pour identifier rapidement des infections par malwares (notamment ransomwares), analyser les indicateurs systèmes et réseau, corréler les logs et documenter un incident afin de limiter l'impact sur des infrastructures critiques comme un CHU.

2. Notions et définitions essentielles

• Malware : programme conçu pour nuire, compromettre un système ou accéder illégalement aux données.
• Ransomware : malware qui chiffre les fichiers d’un système et exige une rançon pour fournir la clé de déchiffrement.
• Double extorsion : exfiltration préalable des données puis chiffrement, avec menace de publication si la rançon n’est pas payée.
• C2 (commande et contrôle) : serveurs externes pilotant le malware.
• DGA (Domaines Générés Algorithmiquement) : domaines aux noms aléatoires utilisés par certains malwares pour contacter leur C2.
• Persistence : mécanismes (clé Run du registre, services, tâches planifiées) permettant au malware de survivre aux redémarrages.
• Obfuscation / polymorphisme : techniques pour masquer le code ou modifier sa signature et échapper aux détections.
• Techniques d’injection / DLL hijacking / rootkit : méthodes pour s’exécuter dans des processus légitimes ou modifier le noyau pour se cacher.

3. Fonctionnement et principes

• Chaîne d’attaque ransomware : reconnaissance des cibles → exploitation (vulnérabilités, phishing) → montée en privilèges → exfiltration discrète → suppression des sauvegardes → chiffrement des données.
• Vecteurs courants : pièces jointes malveillantes (social engineering), supports amovibles, vulnérabilités non corrigées, partages réseau.
• Persistance et évasion : modification de clés de démarrage, création de services/tâches planifiées, injection dans processus légitimes, obfuscation et polymorphisme pour contourner les signatures.
• Comportements réseau typiques : requêtes DNS vers DGA, connexions régulières à serveurs C2 (souvent via HTTPS), transferts sortants anormalement élevés (souvent la nuit) annonçant une exfiltration.
• Fenêtre critique : la période entre exfiltration et chiffrement est généralement courte (24–72 h) ; la détection rapide est donc essentielle.

4. Commandes et manipulations

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques

• Isolement immédiat : déconnecter du réseau les systèmes compromises pour couper les communications C2 et limiter la propagation.
• Préservation des preuves : documenter l’état avant intervention, réaliser copies bit-à-bit des disques avant nettoyage.
• Vérification des sauvegardes : contrôler l’intégrité des sauvegardes externalisées et préparer la restauration d’urgence.
• Activation des procédures : déclencher la procédure d’incident, alerter l’équipe sécurité et la direction, activer le Plan de Continuité d’Activité (PCA) et basculer vers procédures manuelles si nécessaire.
• Signalement réglementaire : préparer le signalement à l’ANSSI (prévu dans les 24 heures selon le cours) et documenter les impacts pour la CNIL si données de santé affectées.
• Synchronisation temporelle : maintenir NTP/configuration horaire correcte sur toutes les sources pour permettre une corrélation fiable des logs.
• Ajustement des outils comportementaux : configurer UEBA/EDR/XDR pour limiter les faux positifs tout en conservant une sensibilité suffisante.

6. Points essentiels à retenir pour le TSSR

• Connaître la typologie : virus, vers, Trojan, spyware, rootkit, ransomware et leurs modes d’infection.
• Ransomware = exfiltration possible + chiffrement ; double extorsion augmente l’impact et le besoin de réponse rapide.
• Signes système clés : processus aux noms similaires mais incorrects, consommation CPU anormale, fichiers avec extensions inhabituelles, notes de rançon, suppression de clichés instantanés/sauvegardes.
• Signes réseau clés : requêtes DNS vers DGA, connexions régulières vers IP/domains blacklistés, transferts sortants nocturnes importants, usage de services cloud légitimes pour exfiltrer.
• Logs prioritaires à surveiller : journaux Windows (4624, 4625, 4672, 7045, 4698, 4719, 4720, 4732), pare-feu/proxy, DNS, logs applicatifs critiques (PACS, dossier patient).
• Corrélation temporelle : synchroniser horloges, tracer timeline sur 7–14 jours pour capter dormances et propagation latérale.
• Méthodologie : utiliser UEBA/EDR/XDR pour détection comportementale, arbres de décision pour qualification et standardiser les rapports d’incident.
• Priorisation des services critiques : connaître les SLA de restauration (ex. dossier patient, PACS, pharmacie) pour organiser la remédiation.
• Préservation forensique : conserver exports horodatés et captures avant toute remédiation.
• Communication : informer rapidement les chefs de service et organiser points de situation réguliers.

7. Tableau récapitulatif

Élément	Vecteur/type	Indicateur clé	Impact type
Ransomware (double extorsion)	Email, vulnérabilités, partages réseau	Exfiltration nocturne + requêtes DGA + suppression sauvegardes	Indisponibilité + fuite de données
Trojan / Keylogger	Pièce jointe malveillante	Processus usurpant nom légitime, captures clavier	Vol d'identifiants
Ver	Vulnérabilités réseau	Propagation automatique sans action humaine	Congestion / déni de service
Rootkit	Installation locale / attaque ciblée	Masquage au niveau noyau	Difficile à détecter / persistance
Spyware	Sites malveillants, trojan	Collecte furtive d'infos	Violation de confidentialité

8. Vérifications pratiques

• Vérifier processus suspects (noms ressemblants à svchost.exe, winlogon32.exe) et leur consommation CPU.
• Rechercher modifications des clés Run du registre (HKEY_CURRENT_USER...\Run) et nouvelles tâches planifiées.
• Examiner logs Windows pour Event ID prioritaires (4624,4625,4672,7045,4698,4719,4720,4732).
• Consulter logs DNS pour domaines aux noms aléatoires et fréquence régulière (DGA).
• Inspecter pare-feu/proxy pour connexions vers IP/domains listés en blacklist/serveurs C2.
• Mesurer volumes sortants nocturnes et comparer à la baseline pour détecter exfiltration.
• Vérifier échecs récents de sauvegardes et suppression de clichés instantanés.
• Confirmer présence de notes de rançon et fichiers chiffrés avec extensions inhabituelles.

9. Flashcards Anki

Qu'est-ce qu'un malware? :: Programme développé pour nuire, compromettre un système ou accéder illégalement aux données.
Qu'est-ce qu'un ransomware? :: Malware qui chiffre les fichiers d'un système et exige une rançon pour la clé de déchiffrement.
Qu'est-ce que la double extorsion? :: Exfiltration préalable des données puis chiffrement avec menace de publication.
Quelle clé du registre est souvent modifiée pour persistance au démarrage? :: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.
Quelle caractéristique identifie des requêtes DNS DGA? :: Noms apparemment aléatoires et fréquence de requête régulière.
Quel Event ID signale une élévation de privilèges spéciaux? :: Event ID 4672.
Citez trois sources de logs utiles pour la détection. :: Journaux Windows, logs équipements réseau (pare-feu/commutateurs), journaux applicatifs (PACS, dossier patient).
Quel signe réseau suggère une exfiltration de données? :: Volume sortant anormalement élevé, notamment la nuit.
Quelle technique permet au malware de s'exécuter dans un processus légitime? :: Injection de code dans l'espace mémoire d'un processus légitime.
Quelle action immédiate recommander en cas d'infection active? :: Isolement réseau immédiat des systèmes compromis.