Cyberattaques destructrices : comment briser la chaîne avant l'arrêt des systèmes

Les cyberattaques destructrices visent à paralyser l'entreprise. Pour limiter leur impact, il faut agir à chaque étape : accès, prise de contrôle, effacement et restauration sécurisée.

Le premier signal arrive souvent en début de journée. Un collaborateur à distance ne parvient plus à accéder à son ordinateur. Peu après, des applications critiques deviennent indisponibles. Lorsque les équipes IT prennent la mesure de l’incident, des terminaux ont déjà été effacés et les sauvegardes ont été ciblées. Aucune demande de rançon n'apparaît.

Dans une attaque destructrice, l'objectif n'est pas de monnayer l'accès aux données, mais d’empêcher l'entreprise de fonctionner et de compliquer la continuité des activités.

L'effacement des systèmes n'est pourtant que la dernière étape. Ces attaques commencent généralement par un accès compromis, puis progressent vers des systèmes d'administration qui contrôlent les identités, les sauvegardes, l’infrastructure cloud et les parcs de terminaux. Chaque étape avant l'impact représente une occasion de rompre la chaîne.

Étape 1 : obtenir un accès

Avant de détruire des systèmes, un attaquant doit d'abord trouver un point d'entrée. De plus en plus souvent, cela passe par l'utilisation d'identifiants volés ou de tokens de session valides, issus de campagnes de phishing, de téléchargements malveillants, de résultats de recherche piégés ou de sites compromis. Certains accès sont aussi achetés directement sur les marchés clandestins.

Le risque dépend alors de ce que cet accès permet d'atteindre. Les attaquants cherchent les comptes, services et outils qui leur donneront la portée la plus large possible dans l'environnement informatique. La compromission de la chaîne d'approvisionnement constitue une autre voie d’entrée critique : l’attaque NotPetya propagée via un mécanisme de mise à jour compromis, a montré comment un logiciel de confiance pouvait devenir un vecteur de distribution à grande échelle.

Étape 2 : progresser vers le contrôle

Une fois l’intrusion établie, les attaquants cherchent à transformer leur accès en contrôle administratif. Ils ciblent les consoles et plateformes capables d’agir à grande échelle : gestion des d'identités, administration cloud, accès à distance, gestion des terminaux, sauvegarde ou système d’hyperviseurs. Ces environnements peuvent permettre de déployer des changements massifs, de désactiver des protections ou de ralentir la reprise. Dans de nombreux incidents, des processus de réinitialisation de mot de passe insuffisants, l'absence d'authentification multifacteur (MFA) ou des sessions privilégiées lancées depuis un terminal compromis peuvent suffire.

Étape 3 : l’effacement

La dernière étape est celle de l'impact. Les logiciels destructeurs peuvent effacer les données essentielles au démarrage des machines. Certaines attaques se présentent comme des ransomwares, avec une demande de paiement, alors qu'aucune clé de récupération n'existe. D'autres exploitent les outils de gestion de l'organisation pour déclencher des effacements à distance, des réinitialisations ou des suppressions massives de terminaux.

Les attaques les plus avancées peuvent atteindre le firmware, sous le système d’exploitation. La reprise ne consiste plus seulement à réinstaller l'OS : les équipes IT doivent pouvoir vérifier qu’un terminal peut être remis en service depuis une base fiable.

Face à ces attaques la résilience doit couvrir toute la chaîne. Au stade de l'accès, les organisations doivent isoler les fichiers, liens et sites à risque avant qu'ils n'atteignent le système hôte, renforcer l’authentification et surveiller l’exposition d’identifiants compromis. Au stade du contrôle, les sessions administratives doivent être isolées du terminal local afin d’éviter qu’un appareil compromis ne permette de capturer des frappes clavier, des contenus d'écran ou des informations de session. Au stade de l’impact, la reprise doit s’appuyer sur une base fiable, associant validation de l’intégrité du firmware et restauration sécurisée du système d’exploitation, afin que les équipes IT puissent confirmer qu’un terminal peut être remis en service en toute sécurité.

La leçon à retenir est simple : toutes les attaques destructrices ne peuvent pas être arrêtées à l’entrée du périmètre IT. En revanche, les organisations peuvent rendre leur exécution plus difficile et leur reprise plus rapide. Les défenses les plus solides de l’hypothèse d’un compromis, réduisent la portée de l’attaquant et donnent aux équipes IT un chemin fiable pour restaurer les systèmes à l'échelle du parc.