Les attaques par mot de passe RDP sont en hausse pendant la pandémie de COVID-19

Au cours de leurs escroqueries, les cybercriminels essaient souvent de tromper les victimes en leur faisant croire qu'il y a une urgence qui doit être traitée rapidement. Ce faisant, les cibles sont beaucoup plus susceptibles d'être pressées d'agir, et lorsqu'elles sont pressées, elles sont beaucoup plus susceptibles de faire des erreurs. Parfois, cependant, les criminels n'ont pas besoin de créer ces urgences. Parfois, les urgences sont causées par des facteurs extérieurs, et tout ce que les escrocs doivent faire est de profiter des erreurs qui en résultent. La semaine dernière, ESET nous a donné un brillant exemple de la façon dont les événements mondiaux peuvent créer le bon environnement pour les cyberattaques.

Il y a quelques mois, des pays du monde entier ont déclaré l'état d'urgence en raison de l'épidémie de COVID-19, et des centaines de milliers de travailleurs ont été informés qu'ils devraient travailler à domicile. Pour beaucoup, cela signifiait utiliser leurs propres ordinateurs et appareils, mais ils avaient toujours besoin d'accéder à des réseaux et des données d'entreprise sensibles. Pour éviter les temps d'arrêt, les configurations devaient être faites à la hâte, et comme on pouvait s'y attendre, c'est là que les choses ont mal tourné.

De mauvaises configurations RDP entraînent une augmentation du nombre d'attaques

RDP signifie Remote Desktop Protocol, et comme son nom l'indique, c'est l'une des façons dont vous pouvez configurer une connexion à distance entre deux appareils. L'épidémie de coronavirus a entraîné une augmentation de son utilisation, qui, à son tour, a entraîné beaucoup plus de cyberattaques ciblant les connexions RDP des employés. En fait, selon la télémétrie d'ESET, fin janvier, environ un mois et demi avant que l'Organisation mondiale de la santé ne déclare l'épidémie de coronavirus pandémique, le nombre d'attaques RDP oscillait autour de 40000 par jour. En revanche, en mai, environ un mois et demi après que les gens aient été invités à rester chez eux, ESET a enregistré un pic de 100 000 attaques quotidiennes.

Des mots de passe faibles et des configurations réseau non sécurisées rendent les connexions RDP facilement exploitables

Les attaques RDP ne sont pas nouvelles. Le protocole lui-même existe depuis des lustres et les pirates informatiques l'exploitent depuis un certain temps. Mais l'âge n'est pas le problème ici.

Les connexions RDP peuvent être configurées pour être sécurisées, mais le grand nombre d'attaques que nous voyons chaque jour prouve que les gens ne le font tout simplement pas. La pandémie de COVID-19 pourrait être la raison de la pointe actuelle, mais les attaques elles-mêmes auraient été impossibles sans les erreurs de configuration des gens.

Le plus gros problème est la gestion des mots de passe. La plupart des attaques contre des protocoles comme RDP et SMB s'appuient sur des techniques de force brute pour deviner les informations de connexion qui permettent la session à distance, et le fait que les escrocs les utilisent toujours après toutes ces années prouve que les gens protègent toujours les données d'entreprise sensibles avec facilité -passer les mots de passe. Bien sûr, ce serait encore mieux si les escrocs n'ont aucun moyen de se connecter du tout, et il existe des outils qui peuvent également le garantir. Il semblerait cependant que les administrateurs système n'aient pas réussi à les mettre en œuvre, et en ce qui concerne les réseaux actuellement exposés, au moins en partie à cause de la pression qu'ils subissaient pour fermer rapidement les bureaux lorsque le verrouillage a été annoncé .

Les attaques RDP peuvent entraîner des épidémies de ransomwares aux campagnes de cryptojacking

Les conséquences de connexions RDP mal configurées pourraient être assez catastrophiques. Après avoir deviné un mot de passe et ouvert une session, les pirates peuvent obtenir des privilèges administratifs avec une relative facilité, ce qui signifie qu'ils peuvent faire à peu près tout ce qu'ils veulent. Les opérateurs de ransomware utilisent RDP pour verrouiller les données des entreprises et des organisations depuis des années, et récemment, ils ont également utilisé l'accès dont ils disposent pour voler des informations précieuses. Les pirates qui préfèrent des attaques plus silencieuses peuvent également se livrer à d'autres activités criminelles comme le cryptojacking.

Dans l'ensemble, RDP est un vecteur d'attaque très puissant et les administrateurs système doivent prendre sa sécurité au sérieux. Si leur organisation a besoin d'utiliser RDP, elle doit configurer le pare-feu pour interdire les connexions externes aux ports du protocole et, idéalement, elle doit le cacher derrière une passerelle VPN. Les administrateurs système doivent être bien conscients de qui va utiliser le protocole, et ils doivent s'assurer que tous les utilisateurs utilisent des mots de passe forts et uniques ainsi qu'une authentification à deux facteurs.