Rapport mondial de veille sur les menaces

SmokeLoader, découvert pour la première fois en 2011, a connu plusieurs itérations et reste une menace importante utilisée pour charger sur les systèmes infectés des mineurs de crypto-monnaie, des ransomwares, des chevaux de Troie et même des logiciels malveillants de point de vente (POS). Les premières versions de ce logiciel malveillant étaient vendues sur des forums clandestins sous le nom de SmokeLdr, mais depuis 2014, il n'est vendu qu'à des acteurs de la menace basés en Russie. En 2018, SmokeLoader a été le premier logiciel malveillant à utiliser la technique d'^injection de code PROPagate2. Le logiciel malveillant peut être distribué par un large éventail de vecteurs d'attaque, notamment des documents malveillants liés à des campagnes d'hameçonnage de masse à grande échelle. En juillet 2022, l'équipe de recherche et de renseignement sur les menaces de BlackBerry a observé que SmokeLoader distribuait une nouvelle version d'Amadey Bot. Au cours de cette attaque, SmokeLoader était dissimulé dans des logiciels "craqués" (alias "cracks") et des outils de génération de clés (alias "keygens") pour des applications logicielles populaires. L'acteur de la menace à l'origine de la campagne s'est appuyé sur des techniques de référencement ^clandestin3 (SEO poisoning) pour s'assurer que ses sites de logiciels malveillants apparaissaient en tête ou à proximité des résultats des moteurs de recherche connexes afin d'inciter les personnes à la recherche de fichiers piratés à télécharger et à exécuter l'exécutable malveillant.

Étant donné que certaines solutions antivirus peuvent bloquer les cracks et les keygens, certaines personnes désactivent intentionnellement leurs produits de sécurité avant de télécharger ces fichiers ou ignorent les alertes de détection et procèdent au téléchargement. Par conséquent, même des menaces largement détectées peuvent infecter des systèmes lorsqu'une victime autorise explicitement le téléchargement et l'exécution de logiciels malveillants.

Warzone (aka Ave Maria) RAT est disponible à la vente sur des forums souterrains et en surface. Les fonctions complètes de Warzone comprennent l'enregistrement des frappes, la manipulation des processus, l'exécution des commandes, l'extraction des mots de passe, l'accès à la webcam, la configuration d'un proxy inverse et la prise en charge du téléchargement et de l'exécution de fichiers supplémentaires ou de logiciels malveillants.

Warzone propose deux niveaux de prix : un abonnement initial à la version de base du générateur de RAT à partir de 22,95 USD par mois, et une version premium plus onéreuse. Conçue pour attirer lesacteurs novices de la menace ( ), la version premium offre des fonctionnalités avancées telles qu'un rootkit, une capacité de processus caché, un DNS dynamique premium (DDNS) et une assistance clientèle pour environ 800 USD pour un abonnement de trois mois.

Ce logiciel malveillant n'a pas de cibles spécifiques et est utilisé par divers acteurs de la menace et cyber-groupes. Au cours du dernier trimestre, Warzone a été déployé dans le cadre d'une campagne axée uniquement sur les fabricants taïwanais de semi-conducteurs et diffusé par le biais de pièces jointes malveillantes de type .RAR.

DarkCrystal (également connu sous le nom de DCRat) a été publié pour la première fois en 2018 et est l'une des portes dérobées .NET les moins chères disponibles, avec des prix allant d'environ 5 USD pour une licence de deux mois, jusqu'à 40 USD pour une licence "à vie" (ce qui signifie généralement la durée de vie du groupe de menace). 

Un fichier de configuration intégré détermine les fonctions activées lors de l'exécution, qui peuvent inclure, sans s'y limiter, des captures d'écran, l'enregistrement de frappe et le vol de cookies et de mots de passe à partir de navigateurs web et de presse-papiers. L'équipe d'intervention en cas d'urgence informatique de l'Ukraine (CERT-UA) a ^observé7 que DarkCrystal ciblait l'Ukraine pendant le conflit russo-ukrainien.

BlackBasta est un groupe de ransomwares relativement récent qui opère en tant que ransomware-as-a-service (RaaS) et qui a été repéré pour la première fois en avril 2022. Il utilise une double technique d'extorsion : il demande une rançon pour décrypter les données de l'entreprise et extorque des frais supplémentaires pour éviter que les données ne soient divulguées au public.

BlackBasta utilise des outils tels que Qakbot (alias Qbot) et l'exploit PrintNightmare (^{CVE-2021-3452712}) dans ses attaques, et chiffre les données des victimes avec une combinaison de ChaCha20 et RSA-4096. La chaîne d'infection de BlackBasta diffère d'une cible à l'autre et il chiffre les données plus rapidement que les autres groupes de ransomwares. Certains comportements de BlackBasta sont similaires à des logiciels malveillants produits précédemment par le groupe Conti.

Le ransomware BlackCat, qui est apparu pour la première fois dans la nature en novembre 2021, a été la première grande famille de ransomware créée dans le langage de programmation Rust. (Comme indiqué dans le présent rapport, le langage Rust offre aux acteurs de la menace une plus grande souplesse pour la compilation croisée de binaires ciblant les principaux systèmes d'exploitation, ce qui leur permet d'atteindre un plus grand nombre de cibles et de systèmes potentiels). Le groupe a utilisé le botnet Emotet pour diffuser un ransomware. Après avoir pris pied, une balise Cobalt Strike est déployée pour permettre aux acteurs de la menace de pénétrer plus profondément dans le réseau cible.

BlackCat a été prolifique depuis sa création, ciblant de nombreuses victimes de premier plan et utilisant des méthodes d'extorsion doubles, voire triples. Selon un ^avis du FBI datant de 202213, les affiliés du ransomware BlackCat sont potentiellement liés à deux groupes de menaces plus anciens : DarkSide et BlackMatter. BlackCat a fait les gros titres en février 2023 après une attaque contre l'université technologique de Munster en Irlande.

Les logiciels publicitaires sont parfois considérés comme une simple nuisance, mais ils peuvent être bien plus dommageables. L'affichage des publicités indésirables repose sur des comportements malveillants, notamment la surveillance de l'activité de l'utilisateur, la communication avec un serveur et le téléchargement de données ou de codes supplémentaires. Par exemple, le cheval de Troie UpdateAgent déploie le logiciel publicitaire agressif AdLoad. Nous avons empêché de nombreuses infections par AdLoad chez nos clients qui utilisent des appareils macOS au cours de la période couverte par ce rapport.

Nous avons également identifié l'utilisation continue du logiciel publicitaire Pirrit. Ce logiciel malveillant télécharge et lance des scripts et des exécutables supplémentaires au format Mach-O (Mach Object File Format) sur la machine compromise, qui peuvent être utilisés pour exécuter un code plus dangereux.

La popularité de Linux ne cesse de croître. Jusqu'à 90 % des services de cloud ^public14 fonctionnent sous Linux, et un nombre important d'entreprises migrent ou prévoient de migrer vers des services de cloud. En outre, Linux est couramment utilisé dans l'internet des objets (IoT). Linux n'étant pas un système d'exploitation courant dans les entreprises, la plupart des infections reposent sur des techniques telles que les attaques par force brute ou l'exploitation des vulnérabilités des réseaux et des serveurs, au lieu d'encourager les utilisateurs à ouvrir une pièce jointe infectée. Pour ces raisons, les organisations qui s'appuient sur une infrastructure Linux ont besoin d'un programme complet de gestion des vulnérabilités pour protéger leurs serveurs.

Au cours de la période couverte par le présent rapport, la télémétrie du site BlackBerry a permis de découvrir plusieurs attaques Linux visant à déployer des mineurs de crypto-monnaie qui, en plus de consommer les ressources du système, peuvent permettre le déploiement d'autres logiciels malveillants tels que des portes dérobées qui permettent aux criminels d'accéder au système à distance.

La période couverte par le rapport a également été marquée par une augmentation des ransomwares multiplateformes qui peuvent cibler plusieurs systèmes d'exploitation. Par exemple, le nouveau ransomware Royal peut cibler Linux ainsi que les systèmes Windows et ESXi.

Les mineurs de crypto-monnaie utilisent les ressources du système Linux d'une victime pour extraire des crypto-monnaies à des fins lucratives, une activité connue sous le nom de ^{cryptojacking15}. Les chercheurs de BlackBerry ont précédemment détecté une attaque utilisant la ^famille de logiciels malveillants Dota316, qui attaque les serveurs SSH utilisant des mots de passe faibles et installe le mineur de crypto-monnaie connu ^XMRig17. Le botnet ^Sysrv18, actif depuis le début de l'année 2021, est compilé dans le langage de programmation Go et peut s'exécuter sur plusieurs systèmes d'exploitation. Sysrv tente de télécharger le chargeur à partir d'un fichier .sh, ce qui indique que l'attaque visait les systèmes Linux. Ce botnet possède de nombreux exploits et mine la crypto-monnaie Monero à l'aide de XMRig après avoir compromis un système.

Une attaque récente a exploité ^{CVE-2022-3591419}, qui est une vulnérabilité sur GLPI (un logiciel de gestion de services open-source généralement utilisé pour gérer les services d'assistance et les actifs informatiques). L'attaquant a tenté d'élever ses privilèges en abusant de PwnKit (^{CVE-2021-403420}). Plusieurs logiciels malveillants ont été trouvés sur le terminal de la victime, notamment XMRig et un outil de déni de service connu sous le nom de BillGates.

Les premiers ^rapports38 faisant état d'une nouvelle épidémie massive de ransomware ciblant les serveurs VMware ESXi non corrigés ont été mis en ligne au début du mois de février 2023. Originaire de ^France39 mais se propageant rapidement dans le monde entier, certains rapports précisent qu'il a chiffré plusieurs milliers de serveurs au cours de la seule première journée d'activité.

L'acteur à l'origine de ce nouveau ransomware a exploité une vulnérabilité vieille de deux ans (^{CVE-2021-2197440}) dans les serveurs VMware ESXi orientés vers l'Internet pour s'introduire dans le système et déployer le ransomware. Les versions ESXi suivantes figuraient parmi les versions sensibles à l'attaque :

• ESXi versions 6.5.x antérieures à ESXi650-202102101-SG
• ESXi versions 6.7.x antérieures à ESXi670-202102401-SG
• ESXi versions 7.x antérieures à ESXi70U1c-17325551

Les composants du ransomware comprenaient un crypteur de fichier ELF et un script shell encrypted.sh conçu pour coordonner la chaîne d'exécution, y compris l'exécution du crypteur.

Une fois exécuté, le logiciel malveillant modifie le nom du fichier de configuration VMX, met fin à tous les processus VMX en cours et identifie et chiffre les fichiers portant les extensions .vmx, .vmxf, .vmsd, .nvram et .vmdk. Le logiciel malveillant a ensuite supprimé les fichiers originaux.

Ensuite, le logiciel malveillant a déposé une note de rançon demandant le montant apparemment arbitraire de 2,092716 bitcoins (BTC), ce qui représentait environ 48 000 USD au moment des attaques. Selon la note, les données seraient exposées publiquement si l'acteur de la menace n'était pas payé dans les trois jours.

Le fournisseur a publié un correctif pour la vulnérabilité CVE-2021-21974 deux ans plus tôt, en février 2021. Cette attaque souligne l'importance cruciale des programmes de gestion des correctifs à jour et démontre que les systèmes basés sur Linux sont vulnérables aux attaques et deviennent une cible de plus en plus attrayante pour les acteurs de la menace.

À la mi-février, le Technion Israel Institute of Technology a été attaqué par une nouvelle souche de ransomware appelée DarkBit. L'acteur de la menace semblait avoir des motivations géopolitiques, et la note de rançon contenait des messages anti-gouvernementaux et anti-israéliens, ainsi que des remarques sur les licenciements dans le secteur de la technologie qui se produisaient à cette époque.

Le ransomware a été écrit en Golang et, en utilisant un vecteur d'infection inconnu, a déployé un fichier de configuration intégré avec des paramètres spécifiques que le malware doit suivre, y compris les types de fichiers à exclure du cryptage, la note de rançon et les instructions pour diviser les fichiers plus volumineux pour un cryptage segmenté.

Le logiciel malveillant peut également être exécuté à l'aide d'options de ligne de commande pour un flux d'attaque personnalisé, y compris le multithreading optionnel pour une routine de cryptage plus rapide. Lors de l'exécution, le logiciel malveillant exécute l'appel suivant :

- vssadmin.exe delete shadow /all /Quiet"

Cette commande supprime les copies d'ombre, entrave les efforts de récupération et localise les types de fichiers ciblés sur la machine hôte, qui seront ensuite chiffrés avec AES-256 et dotés de l'extension .Darkbit.

Une note de rançon intitulée RECOVERY_DARKBIT.txt a été déposée dans tous les répertoires concernés, avec des instructions sur la manière de payer la rançon, qui a été fixée à 80 BTC, soit l'équivalent de 1 869 760 USD au moment de l'attaque. La note indiquait qu'une pénalité de 30 % serait ajoutée si la rançon n'était pas payée dans les 48 heures, et que les données seraient divulguées si la rançon n'était pas payée dans les cinq jours.

La formulation de la demande de rançon et les commentaires similaires sur les médias sociaux et le site web de l'acteur de la menace suggèrent que l'attaque est l'œuvre d'un employé mécontent, d'un groupe d'employés ou d'hacktivistes.

L'équipe de recherche et de renseignement sur les menaces de Blackberry a récemment publié des conclusions sur NewsPenguin, un acteur inconnu qui cible les organisations basées au Pakistan à l'aide de leurres d'hameçonnage personnalisés.

Les leurres avaient pour thème la Pakistan International Maritime Expo & Conference, qui se tiendra du 10 au 12 février 2023, et contenaient un document Word armé déguisé en manuel de l'exposant pour la conférence. Ce document utilisait une technique d'injection de modèles à distance et intégrait des macros malveillantes pour récupérer l'étape suivante de la chaîne d'infection, qui aboutissait finalement à une charge utile finale, updates.exe.

Cet outil d'espionnage non documenté jusqu'à présent contient un large éventail de fonctions anti-analyse, anti-sandbox et de vol d'informations :

• Vérification de la taille du disque dur de l'hôte
• Déterminer si l'hôte dispose de plus de 10 Go de RAM
• Utilisation de GetTickCount pour identifier le temps de fonctionnement
• Déterminer s'il fonctionne dans un bac à sable ou une machine virtuelle

Lors de l'installation, le logiciel malveillant se connecte et enregistre l'hôte compromis auprès d'un serveur C2 codé en dur par le biais d'un identifiant de chaîne de 12 caractères. L'hôte peut alors recevoir des instructions de l'attaquant sous la forme d'une série de commandes intégrées. Ces commandes permettent notamment de

• Identifier et répertorier les informations sur les processus et les hôtes
• Identifier et copier, supprimer, déplacer et/ou modifier des fichiers et des répertoires sur l'hôte.
• Exécuter des exécutables portables
• Terminer les processus (y compris lui-même)
• Charger (exfiltrer) les fichiers de la victime et télécharger des fichiers pouvant contenir des logiciels malveillants supplémentaires.

Autre technique d'évasion, le logiciel malveillant attend exactement cinq minutes entre l'émission de commandes. Cela peut contribuer à minimiser le bruit associé à ses communications C2 et l'aider à ne pas être détecté par les mécanismes de sécurité et de détection.

Étant donné que l'événement ciblé était organisé par la marine pakistanaise et portait sur les technologies marines et militaires, ce nouvel acteur de la menace pourrait avoir été motivé par le vol d'informations ou l'espionnage plutôt que par des raisons financières. Nous continuerons à suivre et à surveiller les activités de ce groupe.

Gamaredon (alias ACTINIUM) est un groupe APT russe soutenu par l'État et attribué publiquement, qui cible des personnes et des entités ukrainiennes depuis une dizaine d'années.

Au début de la nouvelle année, l'équipe de recherche et de renseignement sur les menaces de BlackBerry a publié des conclusions sur une nouvelle campagne de Gamaredon dans laquelle le groupe a utilisé l'application de messagerie populaire Telegram dans le cadre d'une chaîne d'exécution en plusieurs étapes. L'utilisation de Telegram a permis aux activités de la campagne de se fondre dans le trafic normal du réseau et de ne pas être détectées.

Le vecteur d'infection de la campagne était une série de leurres d'hameçonnage très ciblés auxquels étaient joints des documents militarisés rédigés en russe et en ukrainien et conçus pour sembler provenir de véritables agences gouvernementales ukrainiennes. Les documents utilisaient des techniques d'injection de modèles à distance telles que l'exploitation de ^{CVE-2017-019941}, qui permet l'exécution de code par le biais de fichiers Word infectés. Lorsqu'un document malveillant est ouvert, l'étape suivante de l'attaque commence.

Le géofencing a été utilisé pour s'assurer que seules les cibles ayant des adresses IP en Ukraine étaient affectées. S'il était confirmé que la cible se trouvait en Ukraine, un script était téléchargé et se connectait à un compte Telegram codé en dur qui menait à une nouvelle adresse IP malveillante. Chaque compte Telegram déployait périodiquement une nouvelle adresse IP pour construire une nouvelle URL, qui servait de charge utile à l'étape suivante. Cette structure a permis au groupe d'actualiser dynamiquement son infrastructure tout en restant difficile à détecter par les mécanismes de sécurité traditionnels.

Nous avons retracé l'activité de la campagne jusqu'à un nœud opérant depuis la Crimée et avons déterminé qu'il était actif depuis au moins le printemps 2022.

Fin février 2023, l'équipe de recherche et de renseignement sur les menaces de BlackBerry a été témoin d'une nouvelle campagne attribuée avec un degré de confiance modéré au groupe de menace sud-américain Blind Eagle (^APT-C-3642). Blind Eagle est actif depuis 2019, ciblant des industries en Colombie, en Équateur, au Chili et en Espagne.

L'objectif global de la campagne était de déposer et de déployer le logiciel malveillant de base AsyncRAT. Le groupe se fait passer pour différentes organisations gouvernementales, notamment des agences fiscales. L'attaque initiale commence souvent lorsqu'une victime tombe sur un lien d'hameçonnage crédible qui amorce une chaîne d'exécution élaborée en plusieurs parties.

Lors des campagnes de Blind Eagle, le réseau de diffusion de contenu de la plateforme sociale populaire Discord a été utilisé de manière abusive pour héberger des logiciels malveillants (les fonctionnalités de Discord ont été exploitées par de nombreux acteurs de la menace et groupes de cybercriminels).

Au cours de la période considérée, LockBit a été le fournisseur RaaS le plus actif - rien qu'en janvier, 50 des 165 attaques de ransomware ^connues44 étaient imputables à LockBit. Parmi les attaques les plus notables, on peut citer les suivantes :

• Deux semaines après l'attaque, LockBit a déclaré qu'un membre avait enfreint ses règles en attaquant un établissement de soins de santé, s'est excusé et a publié un décrypteur gratuit. Au cours de ces deux semaines, les examens de laboratoire et d'imagerie des patients ont été retardés, les lignes téléphoniques ont été désactivées et le système de paie du personnel a été mis hors service.
• Le 25 décembre 2022, le groupe a lancé une attaque contre l'administration du port de Lisbonne (APL), l'un des plus grands ports du Portugal.
• Le 27 janvier 2023, des ^chercheurs45 ont partagé des informations sur une nouvelle variante nommée LockBit Green. Peu de temps après, d'autres chercheurs ont déterminé que la nouvelle variante utilisait le code source fuité de Conti.
• Début février, le groupe de ransomware a affirmé être à l'origine d'une attaque contre le Royal Mail (la multinationale britannique des services postaux) et a déclaré que les données seraient publiées sur son site de fuite. Le site de fuite a été mis en ligne le 23 février 2023 et les données étaient toujours accessibles au public à la fin du mois de mars 2023.
  

Par le passé, les auteurs de menaces distribuaient fréquemment des documents ^Microsoft® Office contenant des macros infectées qui s'exécutaient automatiquement lorsque la victime ouvrait le document. À la mi-2022, Microsoft a désactivé l'exécution automatique des macros Office, rendant ces attaques moins fructueuses. En conséquence, les auteurs de menaces ont cherché de nouveaux moyens d'exploiter ce logiciel de travail très répandu.

Au cours de la période couverte par le présent rapport, l'utilisation des pièces jointes de ^{Microsoft® OneNote46} (une application de prise de notes numériques de la suite Office ^365® ) pour distribuer des logiciels malveillants et des ransomwares s'est intensifiée. Les attaquants ajoutent des pièces jointes OneNote contenant des charges utiles telles que des exécutables Windows, des fichiers batch, des scripts Visual Basic ou des fichiers d'application HTML aux campagnes de phishing et de spam malveillant.

Lorsqu'une victime ouvre une pièce jointe OneNote malveillante, elle passe à l'étape suivante de l'infection, qui consiste souvent à télécharger et à déployer des logiciels malveillants courants. Les acteurs de la menace connus pour abuser des pièces jointes OneNote sont notamment Agent Tesla, AsyncRAT, IcedID, FormBook, RemcosRAT, RedLine, Qakbot et bien d'autres.

Nos prévisions :

L'invasion de l'Ukraine par la Russie s'est notamment caractérisée par des cyberattaques contre les infrastructures militaires et civiles ukrainiennes. Si les hostilités se poursuivent, il est probable que ce type de cyberattaques ciblées se répète.

Résultat :

Alors que le conflit en Ukraine se poursuit, les attaques contre les infrastructures critiques numériques et physiques de la région se poursuivent également. Lors d'une ^réunion48 avec les ministres de l'énergie de l'UE en novembre 2022, le ministre ukrainien de l'énergie, German Galushchenko, a laissé entendre que de grandes parties de l'infrastructure civile avaient été endommagées ou détruites et que les attaques n'avaient pas cessé.

Nos prévisions :

Les opérations de ransomware, y compris les attaques visant les hôpitaux et les organisations médicales, se poursuivront, en particulier dans les pays qui soutiennent ou financent l'Ukraine.

Résultat :

Les attaques de ransomware se sont poursuivies ce trimestre, bien que les motifs autres que financiers ne soient pas clairs. Le célèbre groupe de ransomware LockBit a été actif au cours de cette période et pourrait avoir attaqué au total plus de 1 500 victimes. Le groupe n'hésite apparemment pas à s'en prendre aux organisations médicales et de santé, et les victimes comprenaient des prestataires de soins de santé basés aux États-Unis.

Les attaques des opérateurs de ransomware BlackCat ont également augmenté, ciblant principalement des victimes basées aux États-Unis. En outre, le ransomware ESXiArg, qui affecte des centaines de systèmes vulnérables non corrigés, a suscité des inquiétudes au cours de la période couverte par le présent rapport.

Nos prévisions :

Les cyberattaques contre les infrastructures critiques vont se poursuivre. L'IA pourrait être de plus en plus utilisée non seulement pour l'automatisation des attaques, mais aussi pour développer des attaques avancées de type "deepfake".

Résultat :

Les infrastructures critiques seront toujours une cible pour les acteurs de menaces à motivation financière et politique, et l'utilisation de deepfakes dans le paysage global des menaces a gagné une traction significative. L'équipe de recherche et de renseignement sur les menaces de BlackBerry a observé des escroqueries complexes à la crypto-monnaie qui s'appuient sur des deepfakes et d'autres stratagèmes similaires pour promouvoir des logiciels piratés contenant des logiciels malveillants.

Si le conflit se poursuit, les cyberattaques contre l'Ukraine continueront également. Le Centre national ukrainien de cyberprotection a signalé que le nombre de ^{cyberattaques49} avait presque triplé en 2022 par rapport à l'année précédente, avec une augmentation significative de 26 ^%50 des attaques provenant d'adresses IP basées en Russie.

En janvier 2023, ESET a documenté un nouveau wiper de logiciels malveillants appelé SwiftSlicer, attribué au tristement célèbre Sandworm Group. Ce logiciel malveillant compilé en Golang est le dernier d'une longue ^lignée51 de wipers et détruit les données lorsqu'il est déployé sur un réseau cible.

Les cyberattaques étant un élément bien ^documenté52 des campagnes militaires russes, il est probable que les attaques contre l'Ukraine se poursuivent.

Le chatbot interactif ^ChatGPT53 a été lancé dans le monde entier en novembre 2022. Les premiers ^rapports54 de cybercriminels testant et discutant de son potentiel d'utilisation pour la fraude et la création de souches de logiciels malveillants de base ont commencé en décembre 2022. En janvier 2023, des ^chercheurs55 ont démontré que ChatGPT pouvait aider à écrire des codes malveillants complexes dotés de capacités polymorphes.

Au fur et à mesure que les robots alimentés par l'IA, comme ChatGPT, deviennent plus avancés et plus courants, leurs capacités seront inévitablement utilisées à des fins malveillantes. La défense contre ces menaces croissantes nécessite des capacités de prévention et de détection ainsi qu'une veille efficace sur les menaces.

Les attaques de logiciels malveillants contre les industries manufacturières et les soins de santé ont dominé notre télémétrie au cours de la période couverte par ce rapport. Ces voleurs d'informations ont été utilisés pour voler des données et obtenir des identifiants d'accès afin de faciliter les intrusions dans les réseaux. Ce type d'accès est fréquemment vendu par l'intermédiaire des services d'IAB, et les journaux des voleurs d'informations sont souvent vendus sur des marchés clandestins. Dans de nombreux cas, les intrusions réussies ont conduit à des attaques ultérieures telles que le déploiement de ransomwares qui amplifient l'impact de l'intrusion initiale.

Malgré des efforts accrus en matière de sécurité, les cyberattaques visant les partenaires de la chaîne d'approvisionnement resteront une menace importante au cours des trois prochains mois. Bien que tous les secteurs soient exposés au risque d'attaques contre la chaîne d'approvisionnement, l'industrie manufacturière est une cible particulièrement attrayante pour les auteurs de menaces à motivation financière et les acteurs parrainés par l'État en raison de leurs actifs financiers, de leurs brevets et d'autres éléments de propriété intellectuelle.

Les récentes attaques de ransomware qui ont ciblé les chaînes d'approvisionnement de l'industrie automobile démontrent l'impact potentiel de ces attaques sur l'industrie manufacturière dans son ensemble. Les perturbations de la chaîne d'approvisionnement affectent non seulement l'entreprise ciblée, mais aussi toutes les autres organisations et tous les systèmes de la chaîne de valeur de l'industrie.

Nous nous attendons à ce que les attaques contre la chaîne d'approvisionnement se poursuivent, de même que l'utilisation des BAI pour faciliter le déploiement des ransomwares.