La plupart des histoires de ransomware parlent de la nuit. Celle-ci parle des trois semaines qui ont suivi, parce que c’est là que se sont prises les vraies décisions.
La situation
Le groupe exploitait plus de vingt usines sur trois continents, avec environ dix mille postes et une équipe informatique centrale qui tenait dans une seule pièce. Chaque site appliquait ses correctifs à sa manière. Il n’existait aucun inventaire complet de ce qui était sur le réseau. Nous avions été appelés comme RSSI de transition quelques mois plus tôt, avec un programme de dix projets sous trois intitulés simples : prévenir, détecter, réagir.
L’année avait déjà produit trois vagues d’intrusion. La première : un logiciel malveillant sans fichier, résident en mémoire sur une cinquantaine de machines, surtout sur un site. La deuxième, signalée au groupe par l’agence nationale de cybersécurité : trente machines, dont vingt exfiltraient des données, plus d’un gigaoctet en une seule journée. La troisième, quelques jours plus tard, a atteint les lignes de production d’une usine. Chaque vague a été contenue avant la fin de la journée, et chaque fois le sentiment d’urgence s’est estompé avec elle.
À l’automne, un dossier de décision pour une gestion des vulnérabilités à l’échelle du groupe disait, par écrit, qu’une attaque significative était probable d’ici quelques semaines ou quelques mois, et que le ransomware était le risque le plus élevé. Il a été approuvé. Il n’était pas encore déployé.
La nuit
À 22 h 30, un soir d’hiver, les alertes antivirus ont commencé. Le logiciel malveillant ne survivait pas à un redémarrage, alors l’équipe d’astreinte a redémarré les machines touchées. Cela avait déjà été considéré comme une solution deux fois dans l’année. C’est un symptôme de logiciel malveillant sans fichier, pas un remède.
À 2 h du matin, le volume d’alertes n’était plus gérable. Nous avons pris la décision de couper les liens Internet des sites touchés, puis tous les liens inter-sites du groupe, avec le directeur informatique du groupe à l’autre bout du téléphone. La décision a été rapide et facile. Personne ne s’y est opposé : l’urgence était trop évidente. La question plus difficile était de savoir pourquoi tant de liens étaient ouverts au départ. Le réseau avait été construit sur le vieux et terrible principe selon lequel les réseaux internes sont de confiance et la sécurité se trouve au périmètre, si bien que chaque site pouvait joindre chaque autre site par défaut. Il n’y avait jamais eu de raison métier à cela. À 5 h, le réseau était silencieux. La production s’est arrêtée. Pas les téléphones.
Trois semaines
Le redémarrage a commencé trois semaines plus tard et le groupe a retrouvé une activité normale quatre jours après. C’est le plan qui mérite d’être copié.
- Chaque poste et chaque serveur a été analysé avec des scripts écrits pour l’occasion avant d’être autorisé à redémarrer. Rien n’est revenu sur parole.
- Tous les accès VPN ont été fermés. Chaque utilisateur distant a réinitialisé son mot de passe auprès du support avant de le récupérer.
- Des informaticiens se sont installés à l’accueil de chaque site. Chaque ordinateur portable a été contrôlé et chaque mot de passe changé avant que son propriétaire ne soit autorisé sur le réseau.
- Toutes les règles de communication directe entre sites ont été retirées des pare-feu. Les sites parlaient au centre, pas entre eux.
- Deux capacités de surveillance permanente ont été mises en place en quelques semaines : une plateforme de détection réseau sur l’ensemble des sites, et une détection et réponse sur les postes via un prestataire.
Les clients ont été le second redémarrage. Les grands clients avaient coupé leurs liens réseau, leur messagerie et leurs espaces partagés avec le groupe quelques heures après avoir appris la nouvelle. Les récupérer a demandé plusieurs tours : un rapport d’incident complet avec les indicateurs de compromission, un plan de remédiation avec des jalons datés, une déclaration de confiance signée et, pour un client, un rapport de clôture indépendant. Le dernier client s’est reconnecté un peu moins de trois mois après l’attaque.
La partie difficile, c’est de décider quand il est sûr de reconnecter, et de le prouver à des gens qui n’étaient pas dans la pièce.
Ce que l’on fait de travers
On traite la nuit comme la partie difficile. La nuit, c’est de l’adrénaline et une courte liste de décisions. La partie difficile, c’est de décider quand il est sûr de reconnecter, et de le prouver à des gens qui n’étaient pas dans la pièce.
On traite aussi une vague contenue comme une vague close. Trois fois cette année-là, la réponse à « qu’est-ce qui a changé structurellement ? » a été « on a redémarré et bloqué une adresse IP ». Chaque vague prouvait que l’attaquant pouvait entrer, pas que le groupe était en sécurité.
Et l’on suppose que les utilisateurs distants sont la partie facile. Les portables et les comptes VPN étaient le chemin de réinfection. Les contrôles physiques, des gens à la porte avec un outil d’analyse, sont ce qui a fait tenir le redémarrage.