« Don’t go to the police » : retour sur la scène du cybercrime

• En décembre 2023, LockBit immobilise les serveurs de Coaxis : près de 1500 clients, dont des PME et cabinets comptables, ont été touchés, avec en plus un double chantage sous la forme d’une demande de rançon et de vol des données clients ;
• L’investigation approfondie et la coopération renforcée des équipes d’Orange Cyberdefense ont permis d’isoler et d’identifier la menace et de démontrer que la fuite de données clients justifiant la demande de rançon était un coup de « bluff » ;
• La reconstruction sécurisée du système d’information : le système d’information de Coaxis a été reconstruit en trois semaines, avec des mesures de sécurité renforcées pour éviter toute nouvelle intrusion, notamment via en passant par une zone de décontamination et des dispositifs de sécurité avancés.

Décembre 2023 : l’hébergeur Coaxis est victime d’une cyberattaque orchestrée par le célèbre groupe de Ransomware LockBit. Cette organisation cybercriminelle, connue pour son système d’affiliation, ses opérations de rançongiciels et de vol de données a déployé une attaque ayant chiffré les serveurs de Coaxis, les rendant totalement inopérants. Par effet domino, l’attaque a compromis la continuité de service de près de 1500 clients, notamment des cabinets d’experts comptables et des PME se reposant sur les services de Coaxis. Relatée dans le film événement « Don’t go to the police », la demande de rançon faisait état d’une importante extraction de données clients. Derrière ce double chantage à la fuite de données se trouvait un enjeu financier et réputationnel critique pour l’hébergeur. Mobilisés pour mener l’enquête, isoler la menace, identifier la source et reconstruire le système d’information, Frédéric Daniel et Guillaume Pauls, respectivement Responsable et Responsable adjoint Remédiation témoignent aujourd’hui aux côtés de Guillaume Rowe pour le CSIRT, des moyens et méthodes mis en œuvre.

Jeudi 7 décembre au soir : des machines clés chez Coaxis sont chiffrées. Nous sommes à deux semaines de Noël. Pour les 1400 experts comptables qui constituent la majeure partie des 1500 clients de l’hébergeur, cette période correspond à la clôture des comptes.

Entre l’immobilisation du système d’information, la demande de rançon, l’interruption d’activité chez les clients et la perte de confiance que cette attaque peut engendrer, les enjeux pour Coaxis sont d’une extrême gravité.

Vendredi 8 décembre : les journaux - ou « logs » - des machines de Coaxis sont analysés rapidement et les premières preuves concrètes de compromission sont identifiées en fin de journée, déclenchant la phase d’investigation.

Samedi 9 décembre : les équipes du CERT, du CSIRT et de Cybercrime d’Orange Cyberdefense sont mobilisées sur place et à distance.  

Lorsque notre équipe du CSIRT est mise à contribution sur ce type d’attaque, c’est souvent qu’une grande partie du système d’information du client a été détruite et qu’il n’y a plus grand-chose à sauver. Et pour Coaxis, ils n’avaient plus rien en capacité de production, précise Guillaume Rowe, Team Lead CSIRT chez Orange Cyberdefense.

Les journaux des machines compromises sont récupérés chez Coaxis et font l’objet d’une analyse plus poussée.

Nous avons pu intervenir dès samedi chez Coaxis afin de récupérer les premières machines « d’intérêt » (NDR : compromises ou infectées) pour lancer les investigations et collecter les journaux (ou « logs »), explique Guillaume Rowe, Team Leader du CSIRT d’Orange Cyberdefense.

En remontant le fil rouge, les équipes identifient une connexion suspecte d’un client via un contrôleur Citrix, à 22h43 le 8 décembre. C’est cet évènement qui marque probablement le point d’entrée de l’attaquant.

Il est essentiel d’établir la chronologie des actions de ce dernier pour comprendre comment il a pénétré le système et quelles données ont été potentiellement exfiltrées, complète Frédéric Daniel, Responsable de la remédiation chez Orange Cyberdefense.

La phase d’investigation, qui s’est poursuivie jusqu’au 14 décembre, se conclut par la rédaction d’un rapport. S’ensuit la reconstruction du système d’information « from scratch ».

Mais revenons en détails sur la méthode employée, la coopération de nos enquêteurs en cybersécurité, que l’on nomme également « analystes forensiques » et sur cette exfiltration de données clients, revendiquée par l’attaquant pour soutirer une importante rançon à Coaxis.

Le travail d’analyse des équipes du CSIRT s’apparente à une véritable enquête : intervention sur le lieu du cybercrime, application d’une méthodologie, recueil des preuves et indices de compromission, identification du mode opératoire de l’attaquant… 

La méthodologie employée s’appuie ainsi sur une expertise solide du fonctionnement des systèmes informatiques qui a fortement évolué les dernières décennies avec l’extension du réseau, du cloud, et des capacités des serveurs devenues de plus en plus complexes. Le raisonnement et la corrélation entre les différentes alertes, traces et preuves recueillies sur la scène du cybercrime sont le cœur du travail de  l’investigation numérique. Ce processus consiste à :

• Identifier une machine clé ou compromise, souvent un contrôleur de domaine ou un serveur critique ;
• Analyser les preuves, pour repérer l’activité de l’agent de menace, identifier ses actions et par où il est arrivé ;
• Tracer les mouvements de l’attaquant à travers le réseau, en remontant jusqu’à la source d’entrée ;
• Déterminer si des données ont été exfiltrées, en analysant les journaux réseaux ou encore les machines d’intérêt ;
• Évaluer l’impact, notamment en vérifiant la présence de données sensibles ou critiques qui aurait pu être accédées.

Pour que cette phase d’investigation puisse être menée à bien, il est impératif que le client communique le détail de son système d’information.

Notre travail d’investigation consiste à retracer la chronologie de la cyberattaque et des actions de l’attaquant. Nous allons partir d’une machine d’intérêt, très souvent compromise, pour avoir une première vue d’ensemble et formuler des hypothèses. Ce travail nous permet d’identifier un compte compromis et une source de connexion. A partir de là nous pouvons étendre le périmètre d’investigation, de machine en machine, jusqu’à déterminer par où l’attaquant est entré et alors retracer une image de son activité, détaille Guillaume Rowe.

C’est en suivant cette approche que l’équipe du CSIRT identifie une connexion suspecte côté client, que Coaxis confirme comme étant anormale. Toutes les informations techniques relevées par le CSIRT sont alors partagées aux équipes de Cybercrime. 

Nous avons travaillé de concert avec l’équipe Cybercrime d’Orange Cyberdefense, dont les missions comprennent la surveillance des agissements, publications et mouvements des groupes cybercriminels sur le dark web,, précise Frédéric Daniel.

Ce travail de coopération entre les analyses forensiques côté CSIRT et de veille de publications sur le dark web côté Cybercrime a permis de statuer que l’étendue du vol des données revendiqué par l’attaquant était du « bluff ». Bien que l’attaque ait bien eue lieue, et qu’elle ait mise en péril l’activité de très nombreux clients de Coaxis, cet exemple montre à quel point la désinformation est aujourd’hui une arme employée par les cybercriminels.

Il n’y a eu que très peu d’exfiltration. Le volume des données échangées que nous avons pu retracer était d’environ 1 Go, ce qui est loin de la fuite de données évoquée par l’attaquant pour justifier sa demande de rançon. En dehors du volume, il s’agissait uniquement de données techniques, destinées à permettre aux cybercriminels de connaître et de rester à l’intérieur du système d’information de Coaxis, détaille Guillaume Pauls, Responsable Adjoint Remédiation chez Orange Cyberdefense.

Une fois l’investigation clôturée et le « bluff » établi quant à la nature et volume de la fuite de données, il reste un enjeu de taille : reconstruire un système d’information sain.  La reconstruction de l’ensemble du SI de Coaxis a nécessité un travail continu sur une période de trois semaines. Ce délai, extrêmement court, démontre l’engagement et le niveau d’expertise des équipes d’Orange Cyberdefense en charge de la crise.

Il est crucial d’identifier la date de la première compromission. En effet, tous les clients ne peuvent pas forcément repartir de zéro. S’ils disposent de sauvegardes, ils tenteront de restaurer celles qui datent le plus près de l’incident pour perdre le moins de données possibles. Cependant, sans une investigation approfondie, il y a un risque de récupérer des sauvegardes dans un environnement où l’attaquant était déjà présent. Les investigations forensiques sont donc clé pour repartir sur un système d’information encore sain avant de remédier et durcir, souligne Guillaume Rowe.  

La date de la sauvegarde que nous utilisons peut-être datée après la compromission, à condition de durcir les briques le cas échéant pour renforcer les faiblesses identifiées mais aussi en nettoyant les serveurs, tempère Frédéric Daniel.

La stratégie de reconstruction du système d’information va tenir compte de ce qui a été découvert lors de la phase d’investigation et des ressources encore disponibles, c’est-à-dire qui n’auraient pas été mise à terre lors de l’attaque.

Le système d’information était quasiment intégralement chiffré et inutilisable. Nous avons reconstruit un système d’information isolé d’internet pour éviter que l’attaquant ne s’introduise à nouveau. A ce stade nous avons collaboré avec les équipes du CERT pour mettre en place une zone de décontamination qui nous a permis de reconstruire petit à petit selon un ordre de priorité. Notre rôle était d’aiguiller le client en matière de priorités et de reconstruire le système d’information dans un ordre bien précis, basé sur les enjeux métiers, et ensuite de vérifier leur intégrité à l’aide d’un dispositif EDR, doublé par un check manuel. Pour faire une analogie, c’est comme si nous reconstruisons une maison après le passage d’une violente tempête, des fondations au toit en passant par les murs, explique Guillaume Pauls.

En injectant les indicateurs de compromission au cœur du dispositif Extended Soc déployé pour surveiller et protéger Coaxis, Orange Cyberdefense a pu vérifier l’absence des traces de l’agent de menace tout en renforçant la sécurité du système.

Pour voir l’intégralité du film « Don’t go to the police » qui relate l’attaque ayant ciblé Coaxis et les ramifications internationales avec le groupe LockBit en toile de fond, cliquez sur le lien ci-dessous.