Eric LAINE / Pierre FAVREAU – Groupe Biorance Laboratoires Réunis : retour d'expérience attaque et sécurisation

1. _____ Protection du laboratoire multisites
VPN
multisites
Site #1
Site #2
Site central
(SIL)
CISCO ASA
Pare-feu
Antivirus
Filtre
Internet
http
Site #3
Routeurs
PC #1 PC #2PC #2
Antivirus
Pare-feu
Filtre
Site #3
Site #3
Site #3
Site #22
PC #2
PC #2
PC
#15
P1 Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires Réunis
2ème Colloque sur la sécurité des SI dans les ESMS ____
Serveur de
messagerie
pop/smtp

2. 1 : l’expéditeur se fait passer comme appartenant à la société, avec un nom
et prénom classique, imaginaire, voire existant
2 : l’expéditeur envoie une pièce jointe de type WORD ou EXCEL, explicite
1
2
_____ Vecteur de contamination d’un PC par LOCKY et TOR
2ème Colloque sur la sécurité des SI dans les ESMS ____
Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires RéunisP2

3. 1 : tous les fichiers présents sur l’ordinateur dans les répertoires de l’utilisateur sont
cryptés très rapidement par le ver : les extensions usuelles (.doc .xls .jpg .gif .txt etc….)
sont remplacées par « .locky » : tous les fichiers sont inutilisables (perdus)
2 : un fichier d’instructions est déposé par le ver dans chaque répertoire
_____ Constat de contamination d’un PC par LOCKY et TOR
1
2
P3 Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires Réunis
2ème Colloque sur la sécurité des SI dans les ESMS ____

4. 1 : dans le fichier d’instructions, LOCKY et TOR vous expliquent que tous vos fichiers sont
cryptés mais que vous pouvez les décrypter en vous connectant sur un site, moyennant
le paiement d’une rançon de 500$, d’où le nom de RANSOMWARE
2 : celui qui décide de payer, n’aura (bien sûr) aucun résultat en retour et aura perdu sa
carte bancaire avec son contenu
_____ Constat de contamination d’un PC par LOCKY et TOR
P4 Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires Réunis
2ème Colloque sur la sécurité des SI dans les ESMS ____

5. 1 : dans le fichier d’instructions, LOCKY et TOR vous expliquent que tous vos fichiers sont
cryptés mais que vous pouvez les décrypter en vous connectant sur un site, moyennant
le paiement d’une rançon de 500$, d’où le nom de RANSOMWARE
2 : celui qui décide de payer, n’aura (bien sûr) aucun résultat en retour et aura perdu sa
carte bancaire avec son contenu
_____ Constat de contamination d’un PC par LOCKY et TOR
P5 Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires Réunis
2ème Colloque sur la sécurité des SI dans les ESMS ____

6. 1 : les ransomwares sont envoyés par des robots
2 : les robots sont incapables de répondre à une demande d’authentification qui fait
appel à l’intelligence humaine
_____ Solution retenue (1) pour se protéger des RANSOMWARE LOCKY et TOR
Utilisons un système automatique qui fera une demande d’authentification à l’expéditeur,
sous la forme d’une ou plusieurs questions :
> Sans réponse, le mail n’est pas distribué
> Avec réponse juste, le mail est distribué
Constat :
Solution :
Posons ce filtre avant les serveurs institutionnels :
Expéditeur >> filtre AUTH >> serveurs de mail >>
webmail
POP
IMAP
2ème Colloque sur la sécurité des SI dans les ESMS ____
P6 Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires Réunis

7. _____ Solution retenue pour se protéger des RANSOMWARE LOCKY et TOR
P7 Eric Lainé / Pierre Favrau – Groupe Biorance Laboratoires Réunis
2ème Colloque sur la sécurité des SI dans les ESMS ____