Qu’est-ce que le rançongiciel Ryuk ?
Le ransomware Ryuk est un type de malware que les pirates informatiques ciblent sur des cibles de grande valeur pour infecter les systèmes et crypter les fichiers jusqu'à ce qu'une rançon soit payée. Nommées d'après un célèbre personnage de manga du film Death Note, les attaques du ransomware Ryuk ont touché des entreprises, des gouvernements et des institutions publiques comme des hôpitaux et des écoles.
Le ransomware Ryuk, comme tous les ransomwares, peut avoir un impact dévastateur, en particulier sur les entités ciblées possédant des actifs numériques critiques : les hôpitaux qui s'appuient sur des fichiers électroniques pour fournir des médicaments précis, ou les usines de services publics qui contrôlent à distance les installations d'eau.
Récemment, les cybercriminels ont multiplié les attaques impitoyables, et les populations vulnérables ne sont pas exclues lorsqu'il s'agit d'une attaque Ryuk. On ne sait pas qui se cache derrière le ransomware Ryuk, mais la plupart des sources font référence à Wizard Spider, un réseau clandestin de cybercriminels basé principalement en Russie.
Quelle est l’histoire du ransomware Ryuk ?
Le ransomware Ryuk est apparu pour la première fois en août 2018 lorsqu'il a chiffré les fichiers de centaines de petites municipalités, entreprises de logistique et entreprises technologiques à travers le monde. Bien qu'il s'agisse de la première apparition publique du virus Ryuk sous le nom de ransomware Ryuk, les experts en cybersécurité ont lié la structure du code à la souche du ransomware Hermes, découverte en 2017.
En 2021, le ransomware Ryuk a pris une tournure inquiétante, avec l’émergence d’une nouvelle variante dotée de fonctionnalités telles que les vers informatiques, qui peuvent se propager entre les ordinateurs et les systèmes sans avoir besoin d’un agent humain. Cela rend la chaîne d’attaque plus rapide et permet aux pirates informatiques de provoquer plus facilement des dégâts à l’échelle du système.
Comment Ryuk est-il apparu et comment se propage-t-il ?
Les attaques du ransomware Ryuk commencent souvent par des e-mails de phishing. Parce qu’ils recherchent de gros gains, les attaquants de Ryuk déploient souvent des campagnes de spear phishing ciblant les personnes ayant accès aux logiciels ou systèmes d’entreprise.
Les pirates commencent par étudier les cibles de grande valeur pour déterminer si une attaque en vaut la peine. Ils attaquent en envoyant aux victimes des e-mails apparemment inoffensifs contenant des liens malveillants en pièce jointe. La pièce jointe peut ressembler à un document Word normal, mais lorsqu'elle est ouverte, un type de cheval de Troie malveillant (comme Trickbot ou Emotet) est déclenché.
Ce malware initial n’est pas réellement un ransomware. C'est ce qui permet à l'attaquant de prendre le commandement et le contrôle de votre machine afin qu'il puisse déployer sa charge utile de ransomware ultérieurement. Pendant ce temps, Ryuk se propage latéralement au sein du réseau, infectant de plus en plus de victimes.
Logés au plus profond d'un système, les pirates informatiques de Ryuk collectent secrètement les informations d'identification des administrateurs et identifient les contrôleurs de domaine. Cela permet à l’éventuelle attaque du ransomware Ryuk de toucher le plus largement possible, garantissant ainsi une surface d’attaque maximale lorsque la charge utile du ransomware est finalement libérée.
Le ransomware Ryuk crypte les fichiers, les données et l'accès au système d'un ordinateur, rendant impossible la récupération d'informations ou l'accès aux programmes. Cela brise également l'option de restauration du système Windows, obligeant les victimes à choisir entre perdre des données ou payer la rançon. L’attaque est si brutale et dévastatrice que beaucoup choisissent de payer, ce qui donne lieu à certaines des plus grandes attaques de ransomware de mémoire récente.
En tant qu'attaque humaine, les pirates derrière Ryuk utilisent des techniques de piratage manuel pour accéder et se propager sur les réseaux. Ce modèle de chaîne d’attaques a été observé en 2018, 2019 et 2020.
Des attaques récentes indiquent que le ransomware Ryuk a évolué et peut désormais se propager sans interaction humaine, comme un ver plus classique plutôt qu'un virus informatique. Pourtant, la première violation de données découle de tactiques classiques d’ingénierie sociale telles que le phishing, le spam et l’usurpation d’identité.
Les attaques du ransomware Ryuk commencent souvent par des e-mails de phishing pouvant installer des chevaux de Troie ou d'autres logiciels malveillants. Lorsqu’un nombre suffisant d’ordinateurs sont infectés, le ransomware est diffusé à l’échelle du système.
Pour en savoir plus sur les autres souches de ransomware, consultez nos guides sur Locky, Petya, Cerber et Wannacry.
Exemples d'attaques du ransomware Ryuk
Les attaques du ransomware Ryuk suivent un schéma similaire. De grandes entités publiques ou privées sont ciblées et frappées à la manière d’un raid. Les attaques Ryuk visaient des cibles aux États-Unis, au Royaume-Uni, en Allemagne, en Espagne, en France et en Australie.
Début 2021, une analyse des transactions Bitcoin à partir d’adresses Ryuk connues a révélé que les pirates informatiques de Ryuk avaient fraudé plus de 150 millions de dollars en rançons. Les attaques les plus notables du ransomware Ryuk ont touché des municipalités, des systèmes scolaires, des entreprises technologiques et énergétiques et des hôpitaux.
Décembre 2018 : les médias américains utilisant le logiciel Tribune Publishing ont été touchés, notamment les éditions du LA Times et de la côte ouest du Wall Street Journal et du New York Times. Les attaques visaient apparemment à désactiver l’infrastructure plutôt qu’à voler des données.
Mars 2019 : Le comté de Jackson, en Géorgie, a vu l'ensemble de son réseau municipal mis hors ligne, heureusement à l'exception des services d'urgence. Après avoir consulté des experts en cybersécurité, les autorités locales ont décidé de payer la rançon négociée de 400 000 dollars.
Juin 2019 : Deux villes de Floride, Riviera Beach et Lake City, ont été touchées par le ransomware Ryuk à quelques semaines d'intervalle. Les attaques ont touché les services d’urgence, les stations de pompage d’eau et les systèmes administratifs. Les deux villes ont choisi de payer la rançon pour rétablir les services (respectivement 600 000 $ et 460 000 $).
Juillet 2019 : Le comté de La Porte, dans l'Indiana, a été une autre municipalité touchée par une attaque du ransomware Ryuk au cours de l'été 2019. Le groupe a payé 130 000 $ pour que ses systèmes fonctionnent à nouveau normalement.
Juillet 2019 : New Bedford, dans le Massachusetts, a vu son système informatique retenu contre une rançon pour un montant sans précédent de 5,3 millions de dollars. La ville a offert 400 000 $ aux pirates informatiques, ce qui a été refusé. La ville a donc décidé d'essayer de récupérer les données par elle-même.
Décembre 2019 : plus de 700 bureaux du gouvernement espagnol ont été attaqués simultanément par le ransomware Ryuk, perturbant des centaines de milliers de rendez-vous citoyens et l'accès au portail du Service public de l'emploi de l'État.
Janvier 2020 : Electronic Warfare Associates (EWA), un fournisseur bien connu de produits électroniques du ministère de la Défense des États-Unis, a été touché par une attaque de ransomware Ryuk. L'entreprise a tenté de garder le silence sur la violation de données, mais l'histoire a éclaté lorsque quelqu'un a trouvé des fichiers cryptés et des demandes de rançon dans les résultats de recherche Google mis en cache par l'entreprise.
Mars 2020 : Le cabinet de services juridiques Epiq Global a vu 80 bureaux dans le monde touchés par une attaque Ryuk, bloquant l'accès des clients à des documents juridiques critiques. L'entreprise ne dira pas si une rançon a été payée.
En savoir plus:NoEscape Ransomware : Le guide complet
Septembre 2020 : plus de 250 établissements médicaux administrés par Universal Health Services (UHS), l'un des plus grands prestataires de soins de santé privés aux États-Unis, ont été attaqués, ce qui a forcé les patients à être redirigés vers d'autres services d'urgence et a retardé les résultats des tests et les rendez-vous. Se remettre de l'attaque aurait coûté 67 millions de dollars à l'UHS.
Novembre 2020 : lorsque K12 Inc., une plateforme d'éducation en ligne au service de plus d'un million d'étudiants, a été attaquée, les pirates informatiques de Ryuk ont eu accès à de larges pans de données personnelles et ont menacé de les divulguer. K12 a confirmé qu'une rançon non précisée avait été versée pour protéger la vie privée de ses étudiants.
Novembre 2020 : le système scolaire public du comté de Baltimore, qui accueille plus de 115 000 élèves et dispose d'un budget de 1,5 milliard de dollars, a été touché par le ransomware Ryuk quelques jours avant Thanksgiving, perturbant massivement ses services éducatifs à distance. Bien qu'aucune rançon n'ait été versée, la reconstruction aurait coûté au système scolaire près de 10 millions de dollars. Cette attaque du ransomware Ryuk 2020 met en évidence le risque de passer au numérique sans d’abord sécuriser correctement les systèmes vulnérables.
Mai 2021 : lorsque l'entreprise norvégienne de technologie énergétique Volue a été attaquée par Ryuk, l'infrastructure du système de ses installations d'eau et de traitement des eaux usées dans plus de 200 municipalités norvégiennes a été touchée. Cette attaque a touché près de 85 % de la population du pays.
Juin 2021 : Liège, troisième plus grande ville de Belgique, est témoin d'une attaque du ransomware Ryuk contre son réseau et ses services informatiques. Elle a perturbé les services administratifs liés aux cartes d'identité, aux passeports et aux rendez-vous pour les mariages, les naissances et les permis de séjour.
Comment se protéger contre Ryuk ?
Comme pour la plupart des ransomwares, Ryuk y accède généralement grâce à de mauvaises pratiques informatiques telles qu'une formation insuffisante du personnel, des mots de passe faibles, un manque de pare-feu efficaces ou d'autres infrastructures de sécurité manquantes.
La résolution de ces problèmes, la mise en œuvre de sauvegardes, la configuration d’un accès au niveau des autorisations et l’installation de la sécurité du serveur sont les meilleures étapes pour prévenir les attaques de ransomwares.
L'éducation ne doit pas être sous-estimée pour se défendre contre le ransomware Ryuk et d'autres souches de logiciels malveillants. Il suffit d’une seule erreur – cliquer sur un lien malveillant ou ouvrir un document infecté – pour faire tomber tout un système.
L’erreur humaine est inévitable, mais une bonne hygiène numérique ainsi qu’un outil de protection contre les ransomwares peuvent arrêter les ransomwares avant qu’ils ne chiffrent vos fichiers et ne désactivent les systèmes critiques. Avast One propose un puissant logiciel anti-ransomware pris en charge par le plus grand réseau de détection de menaces au monde.
Comment puis-je supprimer Ryuk ?
Il est possible de supprimer les ransomwares de votre PC et de supprimer les ransomwares de votre Mac. La première étape, quel que soit l’appareil, consiste à isoler les appareils infectés. Déconnectez votre appareil, y compris tous les lecteurs réseau, disques durs externes, comptes de stockage cloud, etc. Exécutez ensuite une analyse antivirus pour identifier et supprimer le logiciel malveillant.
Protégez-vous contre les ransomwares avec Avast Antivirus
Les conséquences d’une attaque de ransomware sont douloureuses. Mais en suivant les meilleures pratiques informatiques et en utilisant un logiciel de protection contre les ransomwares performant, vous pouvez minimiser considérablement la menace.
Avast One utilise une protection haut de gamme contre les logiciels malveillants basée sur l'apprentissage automatique et qui s'améliore chaque jour. Notre équipe d’experts en cybersécurité surveille en permanence l’évolution des menaces liées aux ransomwares et met à jour notre réseau de détection des menaces en conséquence. Approuvé par plus de 400 millions d’utilisateurs, Avast arrête net les ransomwares.
