Comment Acronis arrête une attaque de ransomware. Étape par étape.
Nous suivons une véritable attaque de Akira - l'un des groupes de ransomware les plus dangereux au monde - et montrant où Acronis arrête chaque étape.
Êtes-vous prêts pour cet appel?
Voici à quoi cela ressemble quand Akira vient de frapper votre plus grand client.
Il est 08h50. Akira est déjà sur le réseau depuis 11 jours.
La question n'est pas de savoir si l'appel viendra, mais si vous êtes préparé quand il le fera.
Rencontrez Akira
L'un des groupes de ransomwares les plus lucratifs au monde actuellement.
Croissance rapide. Cible les entreprises de taille moyenne et grande.
Akira réussit souvent à voler des données avant que votre équipe de sécurité n'ait eu le temps de réagir.
Akira n'est pas seulement un groupe de hackers, c'est une organisation entière. Techniciens, vendeurs et négociateurs travaillent en parallèle. Pour les arrêter, vous avez besoin d'une couverture à tous les niveaux.
Comment l'attaquant obtient sa première clé.
- 1Une fausse connexion Microsoft trompe l'utilisateur pour qu'il fournisse son mot de passe.
- 2Avec le compte, l'attaquant accède à Microsoft 365 et à vos espaces partagés.
- 3Des fichiers malveillants sont placés dans SharePoint - ils semblent internes.
- 4Des collègues cliquent et fournissent leurs mots de passe. L'attaquant obtient un accès plus large.
Sécurité de la messagerie et des applications collaboratives
Arrête le phishing et les logiciels malveillants par e-mail, Teams, SharePoint et OneDrive - avant que quiconque ne puisse cliquer.
Utilise vos propres outils contre vous.
Akira utilise des outils informatiques courants qui sont déjà présents chez vous. Cela les rend difficiles à détecter.
Cartographie le réseau
Des outils informatiques courants cartographient discrètement votre réseau.
Saute entre les systèmes
Les outils Windows déplacent l'attaquant entre les serveurs.
Vole les mots de passe
Les mots de passe sont extraits de l'Active Directory.
Comment l'attaquant désactive votre protection.
- 02:14:03Défenseur désactivé...
- 02:14:47Processus EDR tué...
- 02:15:12Pilote vulnérable chargé...
- 02:15:38Journaux de sécurité effacés...
Les alarmes sont désactivées. L'attaquant travaille sans être détecté pendant des heures.
Une alarme sans personne pour l'écouter est inutile. Ce qui fait la différence, c'est que l'alarme ne peut pas être désactivée - et que quelqu'un y répond réellement.
"Il a été observé que les affiliés d'Akira désactivent les outils de détection de points de terminaison quelques minutes après l'accès initial, souvent pendant les week-ends et les heures de nuit."
La véritable arme.
Tout ce qui peut être utilisé pour vous faire chanter.
Deux factures par attaque : une pour déverrouiller les fichiers, une pour ne pas les divulguer.
Les données sont exfiltrées via des services auxquels vous faites déjà confiance. Le pare-feu ne voit rien d'étrange.
Le vol de données est la véritable menace aujourd'hui. La sauvegarde sauve les opérations - mais pas la fuite. Une fois les données publiées, l'horloge GDPR commence à tourner.
Calculez vos amendes GDPRL'objectif : que vous n'ayez pas le choix.
Akira détruit toutes vos sauvegardes avant le début du cryptage. Soit vous payez, soit vous perdez tout.
Supprime les copies fantômes
Les points de restauration Windows sont supprimés.
Détruit les serveurs de sauvegarde
Les serveurs de sauvegarde locaux sont attaqués.
Crypte tout
Le ransomware est déployé sur les systèmes.
Sauvegardes cloud verrouillées
Séparées du réseau. Ne peuvent pas être supprimées - même par l'administrateur.
Comment arrêter l'attaquant au milieu de l'attaque.
Une console. Un agent
Une seule console et un agent par machine. Vous voyez tout au même endroit.
Arrête les processus
Arrêtez immédiatement les programmes suspects et les connexions non autorisées.
Isole les machines
Coupez les connexions de l'attaquant et déconnectez les machines compromises du réseau - en un seul clic.
Sans plate-forme unifiée vous traquez l'attaquant à l'aveuglette, sur des centaines d'ordinateurs, avec différents outils. Lorsque chaque seconde compte, les systèmes dispersés sont le meilleur ami de l'attaquant.
De la sauvegarde à l'opération en quelques minutes.
Les serveurs démarrent directement à partir de la sauvegarde cloud. Disponibles en quelques minutes - pas en jours.
La différence entre des minutes et des jours d'arrêt.
C'est pourquoi elle fonctionne comme un tout.
Chaque couche envoie des signaux. L'équipe MDR les connecte et agit 24h/24 et 7j/7. Ensemble, les attaquants n'ont nulle part où se cacher.
| Couche | Produit Acronis | Capacité | Phase couverte |
|---|---|---|---|
| Point de terminaison | Acronis XDR | Détection, protection, télémétrie comportementale | Phases 2, 3, 4, 5 |
| Opérations et réponse aux incidents | Acronis RMM | Gestion à distance, patchs, réponse aux incidents | Phase 6 |
| E-mail et collaboration | Email & Collaboration Security | Arrête le phishing et les logiciels malveillants dans les e-mails et les espaces partagés | Phase 1 |
| Reprise d'activité | Backup + Disaster Recovery | Sauvegarde cloud, démarrage rapide, VPN depuis l'environnement de secours | Phases 5, 7 |
| Surveillance | 24/7 MDR Integration | Analyse des alertes et réponse active 24h/24 et 7j/7 | Toutes les phases |
Six choses à retenir.
Sécurisez la porte d'entrée
Le phishing est la voie d'entrée la plus courante. La protection des e-mails est non négociable.
Reprise d'activité = impact commercial réduit
Les attaquants utilisent vos propres outils. Seule l'analyse comportementale les révèle.
Le vol de données est la vraie menace
Le chiffrement n'est pas le pire. Les données volées entraînent des amendes GDPR et une atteinte durable à la réputation.
Calculez les amendesGardez les sauvegardes inaccessibles
Ce qu'ils ne peuvent pas atteindre, ils ne peuvent pas le détruire. Les sauvegardes cloud verrouillées sont votre dernière bouée de sauvetage.
Un agent. Vue d'ensemble complète.
Une plateforme unifiée donne à votre équipe la vitesse et la vue d'ensemble nécessaires pour arrêter l'attaque.
Reprise d'activité = impact commercial
Chaque heure d'arrêt coûte de l'argent. L'environnement de secours vous maintient en activité pendant que vous reconstruisez en arrière-plan.
Run the same playbook our partners use at 03:14
Step-by-step incident response built on the battle-tested stack. Free PDF, no fluff.
Protégez vos clients avec Gridheart x Acronis.
Une pile éprouvée au combat du distributeur Acronis nordique. Fonctionnement en quelques minutes, pas en mois.
Voulez-vous cette pile dans votre entreprise?
Gridheart travaille avec des revendeurs sélectionnés. Nous vous mettons en contact avec un partenaire adapté à votre secteur et à votre taille.