Les programmes de ransomware de chiffrement de fichiers sont devenus l'une des plus grandes menaces pour les réseaux d'entreprise dans le monde et évoluent constamment en y ajoutant des techniques de détection et d'évasion de plus en plus sophistiquées. auteur s'assure que ses créations contournent la détection antivirus avant de les libérer, les équipes de sécurité d'entreprise sont obligées de se concentrer sur l'amélioration de leurs temps de réponse aux infections plutôt que d'essayer de les

Parce que le prix de décryptage demandé par les auteurs par système, isoler les ordinateurs affectés dès que possible est critique. La semaine dernière, l'Université de Calgary a annoncé qu'elle versait 20 000 dollars canadiens (environ 15 600 $ US) aux auteurs de rançongiciels pour obtenir les clés de décryptage de plusieurs systèmes.

Analytics for Ransomware d'Exabeam, un nouveau produit annoncé aujourd'hui technologie d'analyse de comportement existante pour détecter les infections des rançongiciels peu de temps après leur apparition.

Le produit utilise les données des journaux existants d'une entreprise pour créer des profils de comportement pour les ordinateurs et les utilisateurs. Cela lui permet de détecter des rançongiciels inconnus sans signatures de détection préexistantes en analysant les anomalies dans le comportement des fichiers et des documents des employés.

Pour éviter les fausses détections positives, la technologie identifie les incidents comme ransomware lorsque le risque combiné de plusieurs activités suspectes

L'équipe de recherche en sécurité d'Exabeam participe à l'entraînement du produit dans un laboratoire en exécutant un très grand nombre d'échantillons de ransomware sur des ordinateurs de test et en lui permettant d'observer leur comportement afin de créer une menace.

Exabeam

Exabeam génère un score de menace basé sur des anomalies de comportement

Le produit ne dispose pas de capacités de blocage et est destiné à être utilisé par les analystes de sécurité d'une entreprise pour repérer rapidement les incidents de sécurité. Il est disponible en tant que complément de la plus grande plate-forme d'analyse de l'entreprise, qui peut déjà détecter les violations des politiques internes de sécurité de l'entreprise.

Bien qu'il n'y ait aucune fonctionnalité intégrée de neutralisation des menaces, la plateforme peut s'intégrer à d'autres outils de sécurité et permettre aux analystes de créer des scripts administratifs exécutés automatiquement lorsqu'un incident est détecté, par exemple pour isoler immédiatement un ordinateur infecté. le reste du réseau.

Ransomware est généralement distribué par le biais d'attaques par téléchargement drive-by et d'e-mails de phishing, ce qui signifie que les ordinateurs sont affectés un à un, en fonction des actions des utilisateurs. Cependant, dans un contexte d'entreprise, ransomware peut facilement se propager au-delà d'un seul ordinateur en affectant les fichiers sur les serveurs de partage de documents et d'autres services de collaboration utilisés par les employés.

Récemment, certains programmes ransomwares ont même acquis des capacités de propagation. Une fois qu'une telle menace est appelée ZCrypt et qu'elle se copie sur des lecteurs USB externes, d'où elle est exécutée via des fichiers autorun.inf frauduleux.

En exécutant un très grand nombre d'échantillons de ransomware dans un environnement de laboratoire, les chercheurs d'Exabeam ont également observé tendances intéressantes: par exemple, une augmentation récente du prix de la rançon

"Il y a deux ou trois mois, la plupart des rançons étaient comprises entre 0,4 et 1 bitcoin", explique Barry Shteiman, responsable de la recherche sur les menaces à Exabeam. "Cela a changé au cours du mois dernier, le prix étant maintenant entre 2 et 5 bitcoins."

Cela pourrait également être dû au fait que de nombreux auteurs de rançongiciels sont désormais axés sur le ciblage d'entreprises et que les entreprises sont disposées à payer davantage que les consommateurs pour récupérer des fichiers critiques.

Autre exemple: aucun nouveau programme d'installation de rançongiciels reste fonctionnel pendant plus d'une journée.

Cela indique que «les campagnes de rançonneurs changent tous les jours», a déclaré Shteiman. "C'est comme si leurs créateurs travaillaient en mode DevOps, libérant chaque jour de nouveaux codes à leurs partenaires de spam."