Une crise nationale ou mondiale offre aux gens la possibilité de se regrouper et de faire de grandes choses.
Malheureusement, la triste vérité est qu’elle crée également des opportunités pour des motifs malveillants. Elle fait l’objet du meilleur et du pire des comportements humains.
Alors que l’industrie des soins de santé est plongée dans une guerre acharnée avec un virus mortel, les fournisseurs de soins de santé ont, sans le savoir, une cible sur le dos.
Selon le FBI, les pirates informatiques utilisent divers mécanismes d’attaque pour cibler activement les fournisseurs de soins de santé et toute personne essayant d’acheter des fournitures médicales liées à COVID-19.
Le FBI publie une série d’avertissements concernant Kwampirs
Une souche de cheval de Troie d’accès à distance (RAT) appelée Kwampirs, appartenant à un groupe de piratage connu appelé OrangeWorm, a été identifiée. C’est l’un des mécanismes malveillants utilisés pour infiltrer les entreprises de santé transnationales et les hôpitaux locaux.
D’autres entreprises fournissant des logiciels, des produits pharmaceutiques, de l’énergie, de l’imagerie médicale et celles intervenant dans la finance sont également ciblées par cette menace. Mais les attaques contre les fournisseurs de soin de santé sont les plus pertinentes à l’heure actuelle.
Le FBI a indiqué que le groupe de piratage derrière Kwampirs a déjà mené des attaques réussies contre des hôpitaux et des systèmes de santé, obtenant ainsi l’accès à leurs réseaux.
Le FBI a publié une notification à l’industrie privée, avertissant que le malware Kwampirs est utilisé dans les cyberattaques de la chaîne d’approvisionnement dans le but de cibler certaines industries, y compris les fournisseurs de soins de santé.
C’est la troisième alerte de ce type qui a été lancée cette année. Symantec a commencé à faire des rapports sur le Kwampirs il y a un an. Le RAT a été associé à des attaques lancées non seulement aux États-Unis, mais aussi en Europe, en Asie et au Moyen-Orient. Quant au groupe de piratage OrangeWorm, il existe depuis 2015.
La stratégie d’attaque de Kwampirs
La stratégie d’attaque de Kwampirs est de cibler les fournisseurs de la chaîne d’approvisionnement tels que les fournisseurs qui desservent une industrie particulière. C’est par exemple le cas des industries fournissant des logiciels de systèmes de contrôle industriel dans les hôpitaux.
Le malware peut affecter une machine par le biais d’une mise à jour logicielle provenant d’un fournisseur de confiance. L’une de ses caractéristiques est sa structure modulaire. Ceci lui permet d’infecter les machines Windows, sur lesquelles il déterminera ensuite si le système appartient à au réseau ciblé par les pirates.
Une fois que le réseau ciblé est infiltré, le malware chargera alors les modules appropriés en fonction de son environnement hôte. Il peut ensuite être utilisé par son maître pour lancer des charges utiles supplémentaires en fonction des objectifs de l’attaque.
Le logiciel malveillant recherche des « données d’intérêt » et se propage à d’autres systèmes machines par le biais des partages réseau ouverts, des partages administratifs cachés ou du protocole SMB. Les attaquants commencent alors à rechercher des moyens d’infecter les machines connectées au réseau infecté.
Espionnage avec des chevaux de Troie type Kwampirs
Contrairement aux types de malwares les plus répandus, tels que les ransomwares, Kwampirs est un infiltrateur silencieux, car il n’endommage ou ne modifie aucune donnée.
Bien que les motivations de l’attaque puissent être financières, son objectif premier est l’espionnage d’entreprise.
OrangeWorm ne cherche pas à lancer une attaque de type « hit and run » rapide. Le groupe essaye de rester longtemps connecté au réseau ciblé en tant qu’observateur jusqu’à ce que le moment soit propice pour lancer une attaque.
Par conséquent, Kwampirs est conçu pour ne pas attirer l’attention sur lui, mais pour résider discrètement au sein d’un réseau, communiquant avec ses maîtres au quotidien. Si nécessaire, il peut permettre des activités de suivi de l’exploitation informatique.
Il n’est pas rare que les Kwampirs résident sur un réseau pendant plusieurs années. Pour ce faire, il se propage notamment par le biais de fusions et d’acquisitions (c’est l’une des raisons pour lesquelles il est important de réaliser un audit de sécurité avant les activités de fusion et d’acquisition).
Comment combattre Kwampirs ?
Même si elle est de nature silencieuse et non dérangeante, il y a quelques empreintes subtiles qui vous permettent d’identifier la présence de Kwampirs.
Vérifiez si de nouveaux services ou processus font soudainement leur apparition dans votre réseau. Recherchez également les nouveaux fichiers qui apparaissent soudainement dans les dossiers ou partages système. Et comme pour l’instant, il n’existe aucun modèle permettant de détecter efficacement ce type de RAT, la meilleure chose à faire est de réaliser un audit.
Les logiciels antivirus sont capables de détecter et de bloquer les anciennes versions de Kwampirs, mais ils ne doivent pas être considérés comme un remède exclusif.
La meilleure défense est une défense en profondeur ou une stratégie multicouche qui intègre un certain nombre d’outils de cybersécurité pour protéger l’entreprise contre ce type d’attaque, et bien d’autres.
Il s’agit notamment d’un pare-feu de nouvelle génération, d’un système de sécurisation de la messagerie électronique et d’une solution de filtrage web.
Les solutions basées dans le cloud sont un moyen privilégié de sécuriser vos actifs sur place et les employés qui doivent désormais travailler à distance en raison de la crise du COVID-19. Notre solution de filtrage de la messagerie électronique SpamTitan et notre solution de filtrage web WebTitan sont parfaitement adaptées aux défis actuels.
Comment TitanHQ peut-il vous aider ?
Plusieurs entreprises de formation à la sensibilisation à la sécurité proposent gratuitement des ressources aux entreprises pendant la crise COVID-19 pour les aider à former leurs employés, comme le SANS Institute. Profitez de ces ressources et diffusez-les auprès de vos collaborateurs.
Si vous avez une PME, vous pouvez également avoir accès à des e-mails gratuits de simulation de phishing pour tester la capacité de vos employés à identifier et contrer les menaces web.
Bien entendu, TitanHQ ne peut pas vous aider dans votre formation de sensibilisation à la cybersécurité, mais nous pouvons vous aider à minimiser les risques de cyberattaques en protégeant vos employés contre les menaces lancées via la messagerie électronique et le web.
Vous voulez avoir plus d’informations sur la protection de votre entreprise pendant la crise COVID-19 ? Vous voulez bénéficier d’une démonstration de la solution sécurité de la messagerie électronique de SpamTitan et/ou de la solution de sécurité web de WebTitan ? Vous voulez vous inscrire à un essai gratuit de l’une ou l’autre solution afin de commencer à vous protéger instantanément contre les menaces de la messagerie électronique et du web ? Contactez l’équipe de TitanHQ dès aujourd’hui.