[KB3433] Meilleures pratiques pour se protéger contre les ransomwares

Meilleures pratiques générales contre les ransomwares - Réduisez les risques liés aux logiciels malveillants basés sur le chiffrement (ransomwares)

• Conservez des sauvegardes de votre système

  Prévoyez de faire régulièrement des sauvegardes de votre système et conservez au moins une de ces sauvegardes hors ligne pour protéger votre travail le plus récent contre une attaque.

• Autorisations des utilisateurs et restriction des droits

  Il existe de nombreux types de restrictions, telles que l'interdiction d'accéder aux données des applications, et même certaines qui sont prédéfinies en tant qu'objets de stratégie de groupe (GPO).

  • Désactiver l'exécution de fichiers à partir des dossiers AppData et LocalAppData.

  • Bloquer l'exécution à partir du sous-répertoire Temp (qui fait partie de l'arborescence AppData par défaut).

  • Bloquer les fichiers exécutables s'exécutant à partir des répertoires de travail de divers utilitaires de décompression (par exemple, WinZip ou 7-Zip).

    En outre, dans ESET Endpoint Security/Antivirus, ESET Mail Security et ESET File Security, vous pouvez créer des règles HIPS pour n'autoriser que certaines applications à s'exécuter sur l'ordinateur et bloquer toutes les autres par défaut : Create a HIPS rule and enforce it on a client workstation using ESET PROTECT On-Prem.

• Ne pas désactiver le contrôle de compte d'utilisateur (UAC)

  N'ouvrez pas les pièces jointes prétendant être un fax, une facture ou un reçu si elles portent un nom suspect ou si vous ne vous attendiez pas à les recevoir.

  What can I do to minimize the risk of a malware attack?

• Utiliser l'authentification à deux facteurs (2FA)

  Nous recommandons ESET Secure Authentication.

• Défense contre les menaces

  Nous recommandons ESET LiveGuard Advanced.

• Désactiver les macros dans Microsoft Office via la stratégie de groupe

  Office 2013/2016 (le lien suivant est pour 2013 mais ce sont les mêmes paramètres pour 2016) : Planifier les paramètres de sécurité pour les macros VBA pour Office

• Maintenez votre système à jour

  Pour vous assurer que vous disposez de la meilleure protection possible, maintenez votre système d'exploitation et vos applications à jour. Installez les dernières mises à jour hautement prioritaires proposées dans l'outil Windows Update, et vérifiez régulièrement ou activez la fonction Mises à jour automatiques. Les nouvelles mises à jour de sécurité corrigent les vulnérabilités du système et réduisent le risque d'attaque par des logiciels malveillants.

• Ports/services potentiels susceptibles d'être exploités s'ils sont laissés ouverts

  Pour empêcher une adresse IP inconnue de mener à bien des attaques par force brute, nous recommandons vivement de verrouiller les ports SMB, SQL et RDP.

  1. SMB

     Fermez les ports de partage de fichiers 135-139 et 445. Les ports SMB ne doivent pas être exposés à l'internet.

  2. SQL

     Établir une liste blanche des adresses IP de confiance autorisées à se connecter à SQL

  3. RDP

     • Empêcher les attaques RDP Brute Force en fermant le RDP aux connexions externes. Utiliser un VPN avec authentification à deux facteurs pour se connecter au réseau interne.

     • Définir un verrouillage automatique des comptes après un certain nombre de tentatives infructueuses. Inclure une période d'attente pour le déverrouillage automatique après le verrouillage d'un compte.

     • Appliquer des mots de passe forts

     • Désactiver les comptes communs inutilisés et par défaut, par exemple, administrateur, admin ou root

     • Établir une liste blanche d'utilisateurs et de groupes spécifiques afin d'autoriser la connexion via RDP

     • Établir une liste blanche d'adresses IP spécifiques pour autoriser une connexion RDP
       
       

• Meilleures pratiques du protocole de bureau à distance contre les attaques

  Les logiciels malveillants basés sur le chiffrement accèdent souvent aux machines cibles à l'aide de l'outil Remote Desktop Protocol (RDP) intégré à Windows. RDP permet à d'autres personnes de se connecter à distance à votre système, de sorte que l'attaquant peut utiliser RDP à mauvais escient pour supprimer la protection et déployer ensuite le logiciel malveillant.

  Nous vous recommandons de désactiver ou de modifier le protocole de bureau à distance. Si vous n'avez pas besoin d'utiliser le protocole RDP, vous pouvez modifier le port par défaut (3389) ou désactiver le protocole RDP pour protéger votre machine contre les ransomwares et autres exploits RDP. Pour savoir comment désactiver le protocole RDP, consultez l'article approprié de la base de connaissances Microsoft ci-dessous :

  • Windows 11
  • Windows 10
  • Windows 8
  • Windows 7

  Pour plus d'informations sur le RDP, consultez l'article suivant de WeLiveSecurity : Piratage du bureau à distance (RDP) 101 : Je peux voir votre bureau d'ici !

• Protéger par mot de passe les paramètres de votre produit ESET

  Si vous êtes un utilisateur professionnel, nous vous recommandons d'utiliser un mot de passe pour protéger le produit ESET contre toute modification par un pirate. Cela permet d'éviter la modification des paramètres sans authentification, la désactivation de la protection ou même la désinstallation du produit ESET. Si vous utilisez RDP, nous vous recommandons d'utiliser un mot de passe différent de celui utilisé pour les informations d'identification RDP.

  Pour plus d'informations, voir how to protect your ESET product with a password.

Les fichiers cryptés peuvent-ils être récupérés ?

Les ransomwares modernes chiffrent les données à l'aide de méthodes asymétriques et de plusieurs types de chiffrement. En bref, les fichiers sont chiffrés à l'aide d'une clé publique et ne peuvent être déchiffrés sans la clé privée associée. Avec les ransomwares actuels, la clé privée ne se trouve jamais sur le poste de travail ou l'environnement affecté. Cela signifie que les données devront être restaurées à partir d'une bonne sauvegarde effectuée avant l'infection.

Si aucune sauvegarde n'est disponible, vous pouvez tenter de récupérer les fichiers à partir des copies d'ombre. Vous pouvez utiliser Shadow Explorer, que vous pouvez télécharger à partir de la page web suivante : http://www.shadowexplorer.com/downloads.html

Toutefois, il n'est pas rare que les ransomwares suppriment les copies d'ombre afin d'empêcher la récupération des fichiers.

Quelles sont les mesures à prendre en cas d'infection par un ransomware ?

1. Déconnectez l'ordinateur du réseau.

2. Localisez le fichier TXT ou HTML contenant les instructions de paiement, par exemple "Comment décrypter" les dossiers/disques partagés cryptés. Ce fichier peut être utilisé par nos chercheurs en logiciels malveillants pour une analyse plus approfondie.

3. Contactez votre partenaire ESET local pour obtenir de laide focus.