Rançongiciels : le CERT Santé lance un plan d’action préventif

Dans la plupart des établissements de santé victimes de rançongiciels depuis décembre 2020, l'attaquant entre à partir d’un accès VPN, ce qui lui permet de contourner les mécanismes de protection des postes de travail (antivirus, EDR, proxy, …), explique le CERT Santé. Il exploite ensuite une vulnérabilité (dans les contrôleurs du domaine par exemple) afin d'obtenir un accès administrateur.

Une fois l’accès obtenu, il supprime les sauvegardes et déploie l’outil de chiffrement des machines du parc, avec des outils légitimes (disponibles sur étagère ou même Microsoft : psexec, BitLocker), lui permettant de rester sous les radars des outils de sécurité qui assimilent ces actions à de l’administration « courante ».

Or, le CERT Santé a constaté que de nombreuses structures de santé n’ont pas mis en place les mesures préventives limitant les conséquences de ce type d’attaque. 

Il propose donc la mise en oeuvre d'un plan d’action préventif visant à renforcer la sécurité de 5 points stratégiques du système d’information (SI) d’une structure : système de sauvegarde, système de gestion des environnements, administration des systèmes, l’accès à distance par VPN et le proxy. 

L’ensemble de ces mesures devrait limiter l’impact d’une attaque par rançongiciel et ralentir la progression de l’attaquant sur le SI.

Le CERT Santé recommande d'agir rapidement, « même si certaines peuvent demander un effort important. Cet effort et les bénéfices associés sont à évaluer au regard des moyens et des délais nécessaires pour reconstruire tout ou partie du SI en cas de destruction totale des systèmes connectés à l’AD ».

De plus, conclue-t-il, « ces actions ne constituent qu’une première étape dans le renforcement de la sécurité de votre SI qui doit faire l’objet d’une surveillance et d’une amélioration continue ».