L'attaque de l'intérieur: l'ancien employé qui a bloqué les administrateurs, effacé les sauvegardes et demandé un sauvetage Bitcoin

Un ancien travailleur responsable de l'infrastructure centrale d'une entreprise industrielle basée dans le comté de Somerset, dans le New Jersey, a reconnu sa culpabilité après un plan d'extorsion qui a fini par bloquer l'accès des administrateurs de Windows à des centaines d'équipes d'entreprise. Selon les documents judiciaires publiés par le Bureau du Procureur, l'accusé, identifié comme Daniel Rhyne, a agi à partir de son compte administratif et a programmé une série de tâches qui ont considérablement modifié les pouvoirs et les comptes dans le réseau institutionnel entre début et fin novembre 2023. Les informations officielles sont disponibles à l'adresse suivante: documents du tribunal et dans la note du bureau du procureur du district de New Jersey sur son plaidoyer de culpabilité: Communication du MJ.

La manœuvre n'était pas un simple changement de mot de passe : les dossiers médico-légaux montrent que Rhyne a programmé des tâches sur le contrôleur de domaine pour supprimer les comptes des administrateurs de domaine et pour forcer le rétablissement d'accréditations dans des centaines de comptes utilisateurs et administrateurs, en les remplaçant par une clé identifiée dans l'enquête. En outre, il a géré des comptes d'administrateurs locaux dont la modification a affecté des milliers de postes de travail et 254 serveurs, et a laissé des commandes aléatoires pour du matériel dans les jours suivants. Tout cela a été suivi par un courrier envoyé par Rhyne lui-même à plusieurs collègues le 25 Novembre, dans lequel il a déclaré que les administrateurs avaient été bloqués et que la sauvegarde avait été supprimé, exigeant un sauvetage Bitcoin en échange d'arrêter les pannes prévues.

La recherche a détecté des recherches à partir d'appareils virtuels cachés et de machines liées à la façon de supprimer les enregistrements Windows, changer les mots de passe de domaine de la ligne de commande et supprimer les comptes de domaine. Ces empreintes digitales sur les systèmes et le calendrier des actions ont été décisifs pour les chercheurs dans la reconstruction de l'attaque interne. Après son arrestation en août, Rhyne a plaidé coupable d'accusations fédérales, ce qui, s'ils atteignent leur pleine peine, entraîne une peine d'emprisonnement pouvant aller jusqu'à 15 ans, selon le Bureau du Procureur.

Ce cas met en lumière une leçon qui se répète dans des incidents similaires : le plus grand risque n'est pas toujours un acteur externe sophistiqué, mais quelqu'un avec des privilèges et une connaissance du réseau. Lorsque le gestionnaire de l'infrastructure utilise son accès pour causer des dommages intentionnels, les défenses traditionnelles peuvent être insuffisantes. Des outils et des pratiques tels que la séparation des fonctions, le contrôle strict des comptes privilégiés, la rotation automatique et unique des mots de passe locaux et la fourniture de postes de travail dédiés aux tâches administratives sont des mesures qui réduisent la zone d'attaque des initiés. Microsoft, par exemple, propose des solutions pour gérer les mots de passe locaux des administrateurs tels que LAPS, et la documentation sur les pratiques de sécurité Active Directory qui peuvent aider les entreprises à resserrer leurs environnements: Microsoft LAPS et des guides de sécurité Active Directory dans la documentation Microsoft.

La prévention implique également des stratégies de soutien qui résistent à l'élimination délibérée, ainsi qu'une surveillance et une détection continues des anomalies dans les mesures administratives. Agence américaine pour l'infrastructure et la cybersécurité. Les États-Unis (CISA) publient des recommandations et des cartes routières sur la façon de traiter le Ransomware et le risque de menaces internes, qui sont utiles pour les organisations de toutes tailles: Guide et ressources de la CISA sur Ransomware. Mettre en œuvre plusieurs facteurs pour l'accès administratif, séparer les comptes d'utilisation quotidienne des comptes privilégiés et appliquer le principe du privilège inférieur sont des mesures fondamentales mais efficaces pour limiter les dommages potentiels.

Au-delà des contrôles techniques, cet épisode rappelle l'importance de politiques claires sur l'accès à distance et les examens périodiques des privilèges. Un employé ayant des connaissances en réseau et un accès permanent peut transformer cette expérience en arme s'il n'y a pas de barrières adéquates de détection et de confinement. Les enquêtes judiciaires qui ont révélé des recherches spécifiques et l'utilisation de machines virtuelles cachées montrent que, à de nombreuses reprises, la piste numérique existe et peut conduire à des responsabilités criminelles en cas de mauvaise foi.

Des cas tels que celui-ci ne sont pas uniques: au cours des derniers mois, d'autres incidents sont apparus où des travailleurs ou sous-traitants ont essayé de tirer parti de données privilégiées ou d'accès. L'accumulation de ces événements a incité les organisations à repenser la gestion des identités et des accès privilégiés, ainsi qu'à renforcer leurs plans d'intervention en cas d'incident pour assurer une reprise rapide sans céder à l'extorsion.

La lecture des documents officiels et des notes du Bureau du Procureur donne une vue d'ensemble de la manière dont l'attaque a eu lieu et des éléments de preuve que l'auteur avait indiqués : pour ceux qui voulaient approfondir, le Département de la justice a conservé les communiqués et les annexes de l'affaire sur son site Web (voir Lien du DOJ sur le plaidoyer de culpabilité et actes judiciaires partenaires).

S'il y a une conclusion claire, c'est que la sécurité technologique exige non seulement des barrières du périmètre, mais aussi des contrôles internes rigoureux, une surveillance continue et une culture organisationnelle qui détecte et agit contre les signaux de risque. La combinaison des bonnes pratiques techniques et de la surveillance humaine est la meilleure défense contre les attaques qui, précisément pour naître de l'intérieur, cherchent à profiter du plus grand atout que les entreprises aient : la confiance dans leur propre personnel.