Le Malware as a Service (MaaS) est une copie conforme du modèle économique du Software as a Service (SaaS) que vous connaissez déjà. De la même manière que les clients SaaS peuvent acheter un logiciel grâce à un système de licences rapide et évolutif, des communautés en ligne d’acteurs malveillants ont ouvert la voie à leur propre économie du malware, hautement efficace et distribuée.
La distribution de malware était autrefois directe : elle provenait généralement de l’attaquant ou du groupe qui l’avait créé. Prenons l’exemple de Bredolab, l’un des premiers botnets de masse. Il avait infecté 30 millions de systèmes Windows en 2009, et un unique auteur de malware arménien était responsable de ce programme qui prenait le contrôle des appareils des victimes pour envoyer de nouvelles vagues de spam.
Deux ans seulement après Bredolab, l’un des tout premiers dispositifs MaaS était découvert dans la nature. Le botnet Andromeda fonctionnait presque à l’identique de son prédécesseur, avec en plus la possibilité d’installer un malware de seconde étape.
Les gangs spécialisés dans les malwares pouvaient ainsi payer l’opérateur du botnet Andromeda concerné pour implanter leur propre ransomware et leur logiciel espion sur un appareil déjà vulnérable. Déployer un malware est alors devenu bien plus simple : ces botnets offraient un accès direct à la victime.
Le MaaS aujourd’hui
Les plateformes MaaS modernes proposent désormais un éventail d’options personnalisables absolument vertigineux. Les propriétaires de ces plateformes sont rémunérés par les attaquants et accumulent des profits illicites en prenant beaucoup moins de risques. Déployer activement un malware sur l’appareil d’une victime demande aujourd’hui moins de compétences et de temps : n’importe qui peut donc mener des attaques.
Certains fournisseurs de MaaS proposent même du malware directement à la location, le client n’ayant plus qu’à choisir parmi leur catalogue d’appareils infectés et de malwares disponibles.
L’écosystème MaaS se décompose en quelques éléments clés. Les développeurs sont ceux qui recherchent et découvrent les failles des systèmes d’exploitation ou des applications légitimes, puis créent et concèdent sous licence leurs propres souches de malware.
Le client trouve généralement le malware ou le botnet de son choix sur une place de marché du dark web ou par le bouche-à-oreille dans les bons cercles. Les modèles de paiement varient : achat unique, abonnement mensuel ou reversement d’une partie des profits réalisés.
À condition que l’utilisateur n’ait pas affaire à un escroc, son achat peut aussi inclure des instructions pour adapter le malware aux exigences précises de son déploiement.
D’autres sont des gestionnaires de botnets qui proposent le contrôle de réseaux déjà constitués. Les courtiers en accès offrent un niveau d’accès payant plus large : ils revendent souvent des réseaux infectés en même temps que le malware. Les affiliés qui achètent l’accès à des systèmes compromis se soucient rarement des méthodes employées pour les pénétrer initialement.
Ils utilisent avant tout ces systèmes comme des « serveurs rebonds » pour faciliter d’autres activités au sein d’un réseau. Si les courtiers en accès fournissent parfois des détails sur les réseaux mis en vente, les affiliés s’intéressent surtout aux possibilités de monétisation qu’offrent ces réseaux plutôt qu’à leurs caractéristiques propres.
Gros plan sur RedLine, le MaaS du moment
Certaines des campagnes MaaS les plus vastes et les plus sophistiquées ont une motivation financière. Les mises en garde concernant le malware RedLine Stealer se sont multipliées, du fait de l’évolution continue de cet outil. Après une pause tout au long de l’année 2022, durant laquelle les développeurs ont vraisemblablement réécrit de larges portions du codebase, la fin de l’année 2023 a vu déferler une nouvelle vague d’activité RedLine.
Engranger des profits illicites est assez facile avec des voleurs de données comme RedLine. Capables de s’introduire rapidement et efficacement dans les systèmes, ils permettent d’exfiltrer des données de grande valeur, ensuite utilisées pour faire chanter la victime. RedLine s’appuierait aujourd’hui sur d’autres malwares et kits d’exploitation.
Le rapport publié par TrendMicro au milieu de l’année 2023 détaillait une voie d’attaque dans laquelle des publicités malveillantes pour des outils d’IA comme Midjourney conduisaient les victimes à télécharger des souches de RedLine. Cela illustre bien à quel point les économies MaaS sont complexes et interconnectées : les clients de RedLine peuvent acheter un accès aux appareils auprès des opérateurs de publicités malveillantes, ce qui ouvre la porte à l’outil qu’ils viennent d’acquérir.
Une fois que la victime lance le faux installateur Midjourney, une fenêtre de téléchargement factice s’affiche pendant qu’une installation PowerShell se déroule en arrière-plan. Après son exécution, RedLine exfiltre un maximum d’informations sensibles : cookies de navigateur, données de portefeuilles de cryptomonnaies, mots de passe, et bien plus encore.
Les dernières variantes de RedLine redoublent d’efforts pour réduire la détectabilité du malware. L’exclusion du processus PowerShell n’en est qu’un exemple : une automatisation encore plus poussée pourrait aussi permettre à des attaquants avertis de se passer totalement de toute interaction avec la victime. À cela s’ajoute une automatisation de la suppression des fichiers créés par le malware, qui contribue à dissimuler la cyberattaque.
Au fond, ce qui rend RedLine si dangereux est exactement ce qui en fait une vedette du MaaS : ses stratégies de distribution multiformes donnent du fil à retordre aux solutions antivirus et aux professionnels de la sécurité. Son architecture décentralisée lui permet de s’adapter à une multitude d’approches, du phishing aux failles zero day, et d’ouvrir ainsi la voie à des campagnes d’attaque plus larges.
Les conséquences du MaaS sur la sécurité des entreprises
Le MaaS abaisse considérablement la barrière à l’entrée de la cybercriminalité. Les attaquants novices n’ont plus besoin des compétences ni de l’expérience nécessaires pour contourner les défenses que votre entreprise a bâties au fil des décennies. Dans le cas de RedLine, les répercussions sur la sécurité de l’entreprise sont considérables.
Dès son installation, RedLine tente de détecter le pare-feu et le logiciel antivirus présents sur la machine Windows. Il examine ensuite les processus en cours d’exécution avant de se concentrer sur quelques-uns d’entre eux, particulièrement intéressants.
L’interrogation des clés de registre de l’application Outlook lui permet de récupérer les informations de connexion, qui sont renvoyées aux attaquants, de même que la version de votre système d’exploitation, vos données de messagerie et l’emplacement de vos portefeuilles de cryptomonnaies. Les données de navigation sont particulièrement précieuses pour les attaquants, et RedLine dérobe tous les cookies et toutes les données de session sur lesquels il peut mettre la main.
Comme il existe de nombreuses souches de logiciels MaaS, certaines infections poursuivent des objectifs légèrement différents : c’est pourquoi des captures d’écran et des enregistrements de frappe sont signalés dans certaines infections, mais pas dans toutes.
Résultat : les victimes du MaaS doivent composer avec de sérieuses brèches dans la sécurité de leur entreprise. Les données exfiltrées lors de ces attaques sont rapidement exploitées ou revendues pour alimenter de nouvelles attaques. Cet effet boule de neige doit être enrayé à la source, en analysant les stratégies de défense contre le MaaS.
Stratégies de défense contre le MaaS
Lorsqu’un élément suspect est découvert sur l’appareil d’un employé, l’attaque n’est pas forcément terminée pour autant. Même si les techniques précises d’une attaque sont identifiées, les attaquants peuvent rester présents dans le réseau et s’appuyer sur d’autres informations collectées pour contourner les mesures de sécurité.
Les attaquants testent souvent leurs techniques directement dans l’environnement de leur cible, en déployant des malwares courants ou d’autres outils depuis une position dissimulée. Lorsque les solutions antivirus les bloquent, ils changent généralement d’outils, modifient leur malware ou s’attaquent aux mesures de sécurité qu’ils rencontrent.
C’est pourquoi il est essentiel de se prémunir en amont contre les attaques MaaS. Cela exige à peu près les mêmes stratégies que celles que vous connaissez sans doute déjà. Les liens de phishing et les logiciels obsolètes sont les deux voies d’attaque les plus fréquentes, ce qui en fait des axes de défense prioritaires.
Les employés doivent recevoir régulièrement des informations concrètes sur les dernières menaces de phishing, et le stack technologique de votre entreprise doit être maintenu au meilleur niveau possible.
L’analyse approfondie du ransomware-as-a-service par Microsoft insiste longuement sur les vulnérabilités qui peuvent découler de produits de sécurité mal configurés. Bien souvent, le point d’entrée initial de ces attaques est un système hérité dépourvu d’un antivirus solide ou d’une solution EDR (détection et réponse sur les terminaux).
Compte tenu des identifiants à privilèges élevés détenus, une seule négligence peut suffire à un attaquant pour exécuter un malware sans être détecté. Certains courtiers en accès en font même un argument de vente, en mettant en avant la facilité avec laquelle ces failles de sécurité peuvent être exploitées.
Il est essentiel que votre entreprise maintienne ses outils de sécurité configurés pour une protection optimale : des analyses régulières du réseau permettent de vérifier que tous les systèmes, serveurs compris, sont correctement surveillés et protégés par des produits de sécurité adaptés. S’il n’est pas possible de surveiller efficacement l’ensemble des systèmes, il est indispensable d’isoler les systèmes hérités, soit physiquement à l’aide d’un pare-feu, soit logiquement en évitant tout recoupement d’identifiants avec les autres systèmes.
Pour en savoir plus sur le ransomware-as-a-service.
L’avenir du MaaS
Le rapport de fin d’année 2023 de Darktrace sur les menaces dresse un constat inquiétant pour l’avenir du MaaS : si l’apparition de cette économie parallèle du malware s’accompagne d’une hausse rapide du nombre d’attaques, une évolution de fond est également à l’œuvre. De nombreuses souches de malware deviennent de plus en plus polyvalentes, les chevaux de Troie d’accès à distance étant largement combinés à des logiciels espions.
Ensemble, ces deux évolutions simultanées font monter d’un cran le niveau de menace pour toutes les entreprises du monde. Alors que des panoplies d’outils d’IA alimentent déjà un déploiement accru de malwares, il est absolument crucial de connaître l’économie du MaaS et d’évaluer votre propre niveau de préparation.
Si vous préférez une explication en images, une version vidéo de cet article est disponible ici : Qu’est-ce que le Malware-as-a-Service (MaaS) ?.
