Catégorie : Chiffrement

Une faille dans l’algorithme de chiffrement du ransomware Hive permet de récupérer les données chiffrées

On 28/02/2022

Quatre chercheurs de l’université Kookmin en Corée du Sud ont découvert une vulnérabilité dans l’algorithme de chiffrement du ransomware qui permet d’obtenir la clé maîtresse et de récupérer les informations détournées.

Hive est une famille de ransomware relativement récente. Les premières attaques ont été signalées en juin 2021 et, bien que Hive n’existe que depuis peu, elle est considérée comme l’une des familles de ransomware les plus lucratives de l’année écoulée.

Cela peut s’expliquer par une technique d’extorsion très agressive appliquée par le malware. Contrairement aux ransomwares ordinaires qui ne chiffrent que les fichiers, celui-ci réalise une « double extorsion » : d’une part, les informations sont détournées grâce au chiffrement qu’il applique aux fichiers de la victime. D’autre part, le malware menace les victimes de publier les informations volées sur sa page publique HiveLeaks.

Hive Ransomware - Decryption, removal, and lost files recovery (updated) — Entreprise touchée par Hive

Comme d’habitude, le logiciel malveillant et son infrastructure sont proposés comme un service (Ransomware-as-a-Service).

Accès à la console d’administration de Hive

Le groupe utilise différents vecteurs d’attaques pour sa propagation : campagnes de malspam, serveurs RDP compromis ou informations d’identification VPN compromises, entre autres.

Mais la bonne nouvelle aujourd’hui est que quatre chercheurs de l’université de Corée du Sud ont trouvé une méthode pour déchiffrer les informations détournées par le logiciel malveillant.

Giyoon Kim, Soram Kim, Soojin Kang et Jongsung Kim travaillent dans les domaines de la sécurité des informations et de la cryptographie mathématique. Dans leur article, ils expliquent comment fonctionne l’algorithme de chiffrement du ransomware et comment ils ont réussi à récupérer la clé maîtresse :

Fonctionnement du ransomware

Génération de la clé maîtresse : Hive génère 10MiB d’informations aléatoires qui seront utilisées comme clé maîtresse et flux de clés pour chiffrer les données.
Chiffrement de la clé maîtresse : la clé maîtresse est chiffrée à l’aide d’une clé publique RSA-2048-OAEP qui est fixée dans l’échantillon. La clé cryptée ‘base64url_MD5_of_the_master_key.key.hive’ est stockée dans ‘C:\’ si le ransomware dispose de privilèges d’administrateur ou dans ‘C:\UsersAppDataLocalVirtualStore’ sinon.
Pour rendre difficile la récupération de toute information, les processus et services qui pourraient être en cours d’exécution sont arrêtés : mspub, msdesktop, bmr, sql, oracle, postgres, redis, vss, backup, sstp.
Création de fichiers batch : les fichiers « hive.bat » et « shadow.bat » sont générés, dans le but d’éliminer respectivement les preuves et les éventuelles sauvegardes. À la fin de leur exécution, les fichiers .bat s’effacent d’eux-mêmes.
Création de la note de rançon : avec des informations pour la victime sur la façon de déchiffrer ses fichiers.
Chiffrement des fichiers : en fonction des privilèges d’exécution du malware, tous les fichiers de la machine seront chiffrés, à l’exception de ceux nécessaires au fonctionnement du système d’exploitation.
Destruction de la clé maîtresse.
Suppression des informations résiduelles : le malware effectue plusieurs cycles d’écriture et d’effacement sur le disque, ce qui rend impossible la récupération des fichiers résiduels.

L’algorithme de chiffrement de Hive

Hive utilise un algorithme propriétaire qui utilise une clé maîtresse à partir de laquelle deux clés de chiffrement sont générées et utilisées pour chiffrer les informations.

Les chercheurs ont découvert que l’algorithme réutilisait partiellement ces clés lors du chiffrement de plusieurs fichiers. Cela leur a permis de trouver les équations pour obtenir le passe-partout. Il suffit d’un fichier original non chiffré ou de plusieurs fichiers chiffré dont la signature est connue, tels que des fichiers .pdf, .xlsx ou .hwp.

Bien qu’aucun logiciel officiel n’ait encore été publié pour récupérer ces informations, plusieurs POC ont été réalisées avec succès.

Tous les détails du processus de déchiffrement et de la manière dont il pourrait être automatisé se trouvent dans l’article publié par l’université.

Plus d’information:
https://arxiv.org/pdf/2202.08477.pdf

La 5ème vague

de jabot

On 18/02/2022

dans Chiffrement, Ransomware, Sécurité

Est-ce que quelqu’un pense encore que les ransomwares ne s’arrêtent que lorsque les données sont chiffrées et qu’un paiement est exigé ? Il existe plusieurs générations de groupes d’extorsion qui se concentrent exclusivement sur les ransomwares d’entreprise, et tant le succès que les opportunités de marché les poussent à innover dans leurs méthodes. En réalité, nous avons affaire à de multiples tentatives d’extorsion qui couvrent tous les flancs pour assurer le succès des attaquants et ne laisser aucune option à la victime.

La première vague d’extorsion consiste évidemment à s’introduire dans l’entreprise et à chiffrer les informations importantes. Si la rançon n’est pas payée, les données restent chiffrées et l’entreprise ne peut pas poursuivre son activité. Il y a quelques années, une nouveauté a été introduite : non seulement les attaquants chiffrent les informations, mais ils les volent également, et plus le paiement est long, plus ils rendent publiques les informations de l’entreprise.

La troisième vague, qui s’ajoute aux précédentes, consiste à faire pression en exécutant des attaques par déni de service sur les pages publiques de l’entreprise attaquée. Ils les font disparaître d’internet. La quatrième qui a été observée est le harcèlement. Les attaquants, parfaitement organisés, contactent les fournisseurs, les partenaires, les clients et même les médias pour les avertir de l’attaque et ruiner la réputation de la victime.

Mais il y en a aussi une cinquième. Depuis quelque temps, LockBit invite les victimes à fournir des données tierces pour les aider à pénétrer dans leur réseau (identifiants VPN, RDP, etc.). Cela pourrait être utilisé pour « diminuer » le paiement de la rançon. Condamner un tiers pour alléger sa propre peine. Pervers mais apparemment efficace.

Ils offrent donc, par le biais de la note de rançon du Ransomware, la possibilité de gagner de l’argent si vous leur fournissez des données d’accès à des sociétés tierces. Il s’agit de la note de rançon typique dans laquelle on peut lire un message comme ci-dessous :

Mettant en évidence du texte suivant :

“Would you like to earn millions of dollars?

Our company acquire access to networks of various companies, as well as insider information that can help you steal the most valuable data of any company.

You can provide us accounting data for the access to any company, for example, login and password to RDP, VPN, corporate email, etc. »

Si l’on y regarde de plus près, il s’agit d’une véritable perversion, étant donné qu’en plus du problème posé à l’entreprise touchée, qui doit faire face à la double extorsion du chiffrement et de l’exfiltration des données, l’attaquant tente de persuader l’entreprise attaquée ou même ses employés de fournir des données provenant d’entreprises tierces, de clients ou de fournisseurs de l’entreprise touchée. En d’autres termes, ils essaient de simplifier la manière dont ils entrent dans nombre de ces entreprises. Il existe déjà un marché sur lequel les attaquants peuvent acheter des informations d’identification à d’autres groupes criminels spécialisés dans la fourniture d’un accès initial aux entreprises, appelés Access Brokers. Mais ce modèle permettra à toute personne travaillant dans une entreprise et disposant d’identifiants d’accès à ses systèmes, ou à des systèmes tiers, de devenir Access Broker et de voir ainsi un moyen facile et discret d’obtenir un revenu supplémentaire.

En fait, le message pourrait aussi être lu comme une invitation à échanger l’extorsion contre des informations précieuses permettant à l’attaquant d’effectuer une transaction sur un compte plus important. Par exemple, si je suis le fournisseur d’une grande entreprise et que je suis compromis, j’échange la rançon en fournissant des informations d’identification qui permettent d’accéder à l’entreprise, ou en fournissant une porte dérobée qui permet à l’attaquant d’accéder à l’entreprise.

Ainsi, désormais, dans l’analyse des risques du modèle de ransomware, une nouvelle variable, auparavant mineure, prend une ampleur considérable : le risque qu’un potentiel insider fournisse aux attaquants le jeu de clés du château et leur facilite grandement la tâche pour mener à bien l’opération de compromission de l’infrastructure, ou le risque qu’un collaborateur extorqué donne accès aux systèmes.

Il est plus que probable que le modèle économique des ransomwares continuera d’évoluer et que nous verrons apparaître de nouvelles techniques et stratégies. Il faut donc continuer la sensibilisation au problème majeur que posent ces attaques, en renforçant la sécurité des entreprises et en collaborant avec les différents acteurs du secteur pour tenter de combattre ce fléau.

Plus d’information:
https://www.coveware.com/blog/2022/2/2/law-enforcement-pressure-forces-ransomware-groups-to-refine-tactics-in-q4-2021

Le FBI prévient que le ransomware BlackByte cible les infrastructures critiques

de jabot

On 15/02/2022

dans Chiffrement, Ransomware, Sécurité

Le FBI a révélé que le groupe de ransomware BlackByte a accédé au réseau d’au moins trois organisations appartenant aux secteurs des infrastructures critiques américaines au cours des trois derniers mois.

BlackByte est un groupe qui propose le service Ransomware as a Service (RaaS). Ils sont dédiés au chiffrement des fichiers compromis sur les machines Windows, y compris les serveurs physiques et virtuels.

Les agences de cybersécurité recommandent les mesures suivantes pour atténuer les attaques de BlackByte et de tout autre attaquant de logiciels aléatoires :

Mettez en place des sauvegardes régulières, de sorte que les sauvegardes se trouvent à un endroit différent et ne puissent pas être supprimées de la source de données d’origine.
Mettez en place une segmentation du réseau, en empêchant toutes les machines du réseau d’être accessibles depuis n’importe quelle autre machine.
Installez les mises à jour et les correctifs du système d’exploitation, des logiciels et des micrologiciels dès qu’ils sont publiés.
Examinez les contrôleurs de domaine, les serveurs, les postes de travail et les répertoires pour détecter les comptes d’utilisateur nouveaux ou non reconnus.
Auditer les comptes d’utilisateurs disposant de privilèges d’administrateur et configurer les contrôles d’accès en tenant compte des privilèges minimums requis. N’accordez pas les privilèges d’administrateur à tous les utilisateurs.
Désactivez les ports d’accès à distance (RDP) inutilisés et surveillez les journaux d’accès à distance pour détecter toute activité inhabituelle.
Désactiver les liens hypertextes dans les courriers électroniques entrants.
Utilisez l’authentification à deux facteurs lorsque vous vous connectez à des comptes ou à des services.

Entre autres mesures, celles-ci sont faciles à mettre en œuvre et augmentent considérablement la sécurité de l’infrastructure.

Plus d’information:
https://www.bleepingcomputer.com/news/security/fbi-blackbyte-ransomware-breached-us-critical-infrastructure/

Un nouveau ransomware chiffre des fichiers avec WinRAR pour contourner les protections

de jabot

On 24/11/2021

dans Chiffrement, Sécurité

Le nouveau ransomware utilisé par « Memento Team » utilise le célèbre programme de compression WinRAR pour chifrer les fichiers de l’ordinateur à l’aide d’un mot de passe, après quoi il supprime les fichiers originaux.

L’équipe des Sophos Labs a découvert un nouveau type de ransomware écrit en Python 3.9, qui utilise une curieuse méthode pour contourner certaines mesures de sécurité des ransomwares : au lieu de chiffrer les fichiers à l’aide d’outils propriétaires, il utilise une version gratuite de WinRAR pour chiffrer les fichiers vers un nouveau fichier avec un mot de passe, puis chiffrer le mot de passe et enfin supprimer les fichiers originaux.

Pour son installation, le malware utilise PyInstaller, un moyen de créer des paquets Python multiplateformes. Cependant, la menace vise les machines Windows et utilise des outils supplémentaires du dépôt d’Impacket, tels que wmiexec pour un shell distant ou secretsdump pour obtenir des informations d’identification. Une vulnérabilité critique découverte dans VMWare, dont nous avons parlé en février de cette année, est utilisée comme vecteur d’attaque.

Outre ces outils, l’attaque ciblée utilise d’autres programmes, que les attaquants ont même laissés sur les machines infectées, tels que Plink SSH pour créer des tunnels SSH, Nmap pour analyser le réseau, Npcap pour capturer le trafic réseau ou Mimikatz pour voler des informations d’identification. Grâce à ces outils, les attaquants parviennent à se déplacer latéralement dans le réseau pour continuer à infecter d’autres machines. Pour assurer la persistance, ils utilisent un fichier batch (‘wincert.bat’) et une tâche système planifiée (appelée ‘Windows Defender Metadata Monitor’).

Enfin, après avoir réussi à crypter les fichiers, les attaquants placent sur la machine un fichier appelé « Hello Message.txt » contenant des instructions sur la manière de récupérer les fichiers. Dans l’attaque analysée par Sophos, le montant demandé était de 15,95 BTC. 897656,43 $ ou 840852,73 CHF au moment de la rédaction du présent rapport. Un numéro de téléphone Telegram et une adresse ProtonMail sont donnés pour le paiement.

Bien que les attaques par ransomware soient de plus en plus courantes, ces attaques portant sur de grosses sommes d’argent n’ont tendance à se produire que dans le cadre d’attaques ciblées où les attaquants connaissent la taille de l’entreprise et le montant qu’elle peut se permettre de payer pour la rançon. C’est pourquoi, en particulier pour ces organisations, nous recommandons de commencer par une politique de sauvegarde de tous vos fichiers. Toutefois, cela ne suffit pas.

Certains attaquants, après avoir refusé de payer la rançon, vont jusqu’à menacer de rendre publics les fichiers volés. Dans des cas comme celui-ci, où la vulnérabilité de VMWare est connue depuis 6 mois, elle pourrait être évitée en maintenant le logiciel à jour. C’est pourquoi nous recommandons toujours d’appliquer les mises à jour de sécurité.

Plus d’information:
https://news.sophos.com/en-us/2021/11/18/new-ransomware-actor-uses-password-protected-archives-to-bypass-encryption-protection/

Quantum FAQs

de jabot

On 02/09/2021

dans Chiffrement

La NSA a publié une FAQ sur la cryptographie quantique, dans laquelle elle clarifie de manière très simple certaines questions intéressantes sur le présent et l’avenir de cette technologie. Quelques réponses intéressantes :

La NSA ne sait pas quand, ni même si, à un moment donné, il y aura un ordinateur quantique suffisamment puissant pour exploiter le système de clé publique actuel. C’est ce qu’on appelle un ordinateur quantique cryptographiquement pertinent.
Ce n’est pas indiqué dans la FAQ, mais en 2014, il a été révélé par Snowden que la NSA a déjà investi 80 millions de dollars dans un système quantique capable de casser la cryptographie actuelle. Il l’a appelé « Owning de net ».
Il est également important de noter qu’elle a lancé depuis 2016 un Post-Quantum Standardization Effort pour rendre les algorithmes à clé publique résistants aux dangers quantiques potentiels.

Il s’agit d’une phrase curieuse qui est probablement formulée avec une certaine intention. En tout état de cause, on ne sait jamais comment le matériel nécessaire à la construction de l’ordinateur quantique va se développer et quels progrès seront réalisés dans l’algorithme nécessaire pour casser les clés actuelles.

Plus d’information:
https://media.defense.gov/2021/Aug/04/2002821837/-1/-1/1/Quantum_FAQs_20210804.PDF