La semaine dernière, dans l’actualité du ransomware : semaine du 21 juin

Actualité du ransomware

En lançant son ransomware contre une infrastructure américaine, le groupe Darkside s’est attiré les foudres de la justice américaine, qui a fini par le démanteler en mai. Pour autant, d’autres groupes usurpent depuis son identité et envoient de fausses demandes de rançon à des entreprises des secteurs de l’énergie et de l’agroalimentaire.

Une récente étude menée par Cybereason a révélé que 80 % des organisations s’étant acquittées d’une rançon ont ensuite été touchées par une deuxième attaque. Dans la moitié des cas, le même groupe était à l’origine des deux attaques. D’après le FBI, les pertes dues aux ransomwares ont augmenté de 225 % en 2020, ce qui explique pourquoi il est tentant de payer la rançon demandée. Toutefois, l’étude de Cybereason semble montrer qu’il ne s’agit pas d’une solution viable à long terme.

Au rayon des bonnes nouvelles, la police ukrainienne a perquisitionné 21 résidences en lien avec le ransomware Clop. Ses opérations ont abouti à l’arrestation de 6 personnes.

Vous y repenserez certainement la prochaine fois que vous ferez réparer votre ordinateur : la police sud-coréenne a arrêté un réparateur informatique qui créait et distribuait des ransomwares. Son petit manège lui aurait rapporté pour plus de 300 000 $ de rançons.

Au cours d’une récente rencontre, Joe Biden et Vladimir Poutine ont évoqué la question des cybermenaces, et notamment des ransomwares. Le président américain a insisté sur le fait que certains secteurs essentiels devraient être hors limite pour les hackers. Ses paroles auront-elles des conséquences concrètes ? Seul l’avenir nous le dira.

Recherches sur les malwares

De récentes études ont montré que le groupe GOLD WINTER pourrait utiliser le ransomware Hades et se concentrer sur les cibles les plus rémunératrices ignorées par les autres groupes, qui sont plus dans l’opportunisme. L’absence de Hades sur les forums et les places de marché a poussé Secureworks à conclure qu’il s’agissait d’un ransomware privé. Par ailleurs, les sites Web Tor utilisés pour Hades tendent à montrer que le malware est personnalisé pour chaque victime. Il utilise deux vecteurs d’accès initial. Le premier : des identifiants volés permettant d’accéder à un VPN sans authentification à deux facteurs. Le second : SocGholish, un malware qui utilise de fausses mises à jour du navigateur. Cet article de blog décrit avec force de détails le ransomware Hades et les groupes qui l’utilisent.

Prodaft a également publié un rapport complet sur le ransomware LockBit. Plutôt récent, ce programme de type ransomware en tant que service a gagné en popularité ces derniers mois.

Ransomwares pour les Red Teams 

Ransom0 est un ransomware Python open source et régulièrement mis à jour hébergé sur GitHub. Il propose toutes les fonctionnalités d’un ransomware classique, y compris la recherche de fichiers, le chiffrement de ces fichiers et l’envoi de données. Il dispose également d’un mécanisme de déchiffrement. Cet outil peut être très intéressant pour les Red Teams ou d’autres équipes d’audit de la sécurité qui cherchent à tester les réponses des participants à une simulation d’attaque par ransomware.

Ce ransomware basique est gratuit et accessible à tous sur GitHub. Entièrement codé en Rust, il utilise diverses techniques anti-ingénierie inverse et le chiffrement AES standard. Créez un environnement virtuel et testez les défenses de votre système.

Protections pour les Blue Teams

Le groupe à l’origine du ransomware Avaddon semble avoir disparu après que les forces de l’ordre se soient intéressées de trop près à ses activités aux États-Unis et en Australie. Certaines de ses victimes ont peut-être ainsi perdu tout espoir de récupérer l’accès à leurs fichiers. Si vous avez été touché par Avaddon, qui utilise des chiffrements AES-256 et RSA-2048, cet outil de décryptage proposé par Emsisoft devrait pouvoir vous sauver la mise gratuitement.

L’outil d’évaluation de la sécurité en libre-service d’AWS proposé par l’équipe d’Amazon Web Services permet d’exécuter rapidement des audits de sécurité à l’aide des projets open source « Prowler » et « ScoutSuite ».

KilledProcessCanary est un programme très simple qui lance différents processus se surveillant les uns les autres. Son principe est le suivant : certains ransomwares arrêtent les services lors du démarrage du chiffrement. Lorsqu’il détecte une telle action, il envoie un jeton DNS canari pour vous en informer. Il ne doit évidemment pas s’agir de votre première ligne de défense, mais il pourrait vous aider à intercepter un ransomware avant qu’il n’ait chiffré tous vos fichiers.

Conférences de sécurité à venir

CyberSecurity Festival (16, 13 et 30 juin)

Le CyberSecurity Festival se compose d’une série de présentations et de tables rondes animées par des experts du secteur et visant à présenter les notions de base de la cybersécurité. Vous pouvez vous y inscrire gratuitement, il n’y a pas à hésiter !

The Cyber Strategy Retreat 2021 (14 et 15 juillet)

The Cyber Strategy Retreat vise à faciliter la collaboration entre les responsables des services métier, technologie et gestion du risque. Son objectif est d’aller plus loin que les programmes de conformité et de gérer le mieux possible les risques de cybersécurité comme les ransomwares.

International Conference on Cyber Security 2021 (19 au 22 juillet)

L’International Conference on Cyber Security (ICCS) est animée par le FBI et l’université Fordham. Elle réunit les agences gouvernementales, le secteur privé et le monde académique pour échanger autour des cybermenaces du moment, et notamment les ransomwares.

Black Hat USA 2021 (31 juillet – 5 août)

Black Hat est l’une des plus grandes conférences annuelles sur la sécurité. Équivalent de Defcon pour les entreprises, elle offre une opportunité exceptionnelle d’échanger avec des professionnels de sécurité comme l’équipe de Varonis. N’oubliez pas de passer par notre stand !