Un nouveau type d’attaque de ransomware pourrait se profiler à l’horizon. La méthode d’attaque, appelée ransomcloud, a été mise au point par un pirate white hat pour démontrer à quel point il est facile de lancer une attaque qui entraîne le chiffrement des emails dans le cloud.
Une attaque réussie permettra à l’attaquant de prendre le contrôle total d’un compte de messagerie dans le cloud, ce qui lui permettra de déployer une charge utile de ransomware qui chiffre tous les emails dans le compte. Cette méthode pourrait également être utilisée pour obtenir le contrôle total du compte qui va servir à des fins de spamming et à d’autres fins malveillantes.
L’attaque fonctionne sur tous les comptes de messagerie dans le cloud qui permettent aux applications tierces d’accéder aux comptes via OAuth, y compris aux comptes Gmail et Office 365.
L’attaque de ransomcloud commence par un email de phishing. Dans cet exemple, le message semble avoir été envoyé par Microsoft et offre à l’utilisateur la possibilité de s’inscrire et d’utiliser un nouveau service de filtrage du spam appelé AntiSpamPro. L’email inclut le logo Microsoft et semble être un nouveau service de la marque qui offre à l’utilisateur une meilleure protection contre le spam.
Afin de profiter de ce service, l’utilisateur doit cliquer sur un lien hypertexte dans l’email pour autoriser l’installation du nouveau service. Lorsqu’il clique sur le lien, une fenêtre contextuelle apparaîtra, dans laquelle il devra autoriser l’application à accéder à son compte de messagerie.
Une telle demande est tout à fait raisonnable, car une application qui offre une protection contre le spam nécessiterait naturellement l’accès au compte de messagerie. Les emails doivent être lus pour que l’application puisse déterminer si les messages sont authentiques ou s’il s’agit de spam. Cliquer sur « accepter » donnerait à l’attaquant le contrôle total du compte de messagerie via un jeton d’accès OAuth. Si l’accès est accordé, l’utilisateur perd le contrôle de son compte de messagerie.
Dans cet exemple, lorsque le ransomware est installé, il chiffre le corps du texte de tous les emails du compte. Un email apparaît alors dans la boîte de réception contenant la demande de rançon. L’utilisateur est tenu de payer une rançon pour récupérer l’accès à ses emails.
De plus, l’attaquant peut revendiquer le compte de messagerie comme le sien et verrouiller l’accès de l’utilisateur. Il peut également envoyer des emails de phishing à tous les contacts de l’utilisateur, accéder à des renseignements sensibles dans les emails, utiliser les renseignements dans les emails pour en apprendre davantage sur la personne et utiliser informations dans de futures attaques comme des campagnes de spear phishing.
La méthode d’attaque de ransomcloud est étonnamment simple à mettre en œuvre et pourrait être adoptée par les cybercriminels comme un nouveau moyen d’extorquer de l’argent et d’avoir accès à des informations sensibles.