Microsoft a identifié GigaWiper, un logiciel malveillant capable de détruire définitivement des systèmes entiers tout en ouvrant une porte dérobée aux attaquants. Pour Shane Barney, CISO de Keeper Security, la destruction finale n’est que la partie visible : le vrai danger se situe dans les étapes qui la précèdent — reconnaissance, vol d’identifiants et mouvements latéraux silencieux — pendant que le malware se fond dans le trafic légitime.
Une porte dérobée avant tout
« Le récent rapport consacré à GigaWiper nous apprend quelque chose d’important sur l’évolution des logiciels malveillants destructeurs. Il ne s’agit pas ici d’un wiper au sens traditionnel du terme avant qu’un attaquant ne se retire et ne disparaisse. C’est avant tout une porte dérobée pleinement fonctionnelle », explique Shane Barney.
La reconnaissance, la collecte d’identifiants et les mouvements latéraux ont tous lieu avant même qu’une commande destructrice ne soit déclenchée, le logiciel restant en place dans les environnements compromis pour recueillir des renseignements bien avant d’être identifié. Selon Keeper Security, cette séquence est tout aussi déterminante que la charge utile elle-même : effacer un disque dur, chiffrer des fichiers sans clé de récupération ou provoquer un échec de démarrage ne constituent que l’étape finale. La véritable compromission survient plus tôt, lorsque l’attaquant établit sa présence et se déplace au sein du réseau sans être détecté.
GigaWiper se ferait notamment passer pour une tâche OneDrive courante et communiquerait via une infrastructure que de nombreuses organisations exploitent déjà en interne, ce qui le rendrait plus difficile à distinguer d’une activité légitime.
Réduire la fenêtre d’opportunité de l’attaquant
Pour Keeper Security, l’authentification forte quand elle est possible, la surveillance continue des comptes privilégiés et des contrôles d’accès limités dans le temps réduisent considérablement cette fenêtre d’opportunité. L’entreprise recommande aux organisations de toujours partir du principe qu’un point d’ancrage finira par être établi, et de planifier en conséquence en s’appuyant sur des processus de réponse aux incidents testés ainsi que sur des sauvegardes hors ligne et immuables comme dernière ligne de défense.
« La question n’est pas de savoir si un attaquant parvient à s’introduire, mais quel préjudice il peut causer avant que vous ne l’arrêtiez », résume Shane Barney.