Payer ou ne pas payer les criminels qui chiffrent les données d’une entreprise, telle est la question. AXA a pris une décision en France : la couverture d’assurance cybernétique ne restituera pas l’argent des rançons aux clients qui paient pour l’extorsion. Cette décision a été prise dans le cadre d’une table ronde du Sénat en France portant sur « l’épidémie mondiale dévastatrice de ranswomware ».

La décision de l’assureur est lourde de conséquences. La situation est critique, les dommages se chiffrent en millions et les victimes risquent non seulement de perdre des données, mais aussi de voir leurs informations divulguées au public si elles ne paient pas. Le sentiment d’impuissance est généralisé. Les cyberassureurs tels qu’AXA, qui pourraient couvrir le coût du paiement de la rançon, ont conclu que cette clause encourageait précisément la moins traumatisante des solutions : céder à l’extorsion. Non seulement elle a rendu l’activité d’assurance non rentable, mais elle a également alimenté le secteur de la cybercriminalité lui-même. Rappelez-vous que l’une des stratégies contre les attaquants est que si vous ne les payez pas, l’entreprise d’extorsion deviendra non rentable. Mais quelle est l’alternative pour de nombreuses organisations qui sont obligées de fermer leurs portes si elles ne paient pas ? Soit ils cèdent à l’extorsion et alimentent le processus qui renforce les attaquants (et se perpétue contre d’autres entreprises qui seront de futures victimes)… soit ils résistent au paiement et perdent tout.

Il faut étrangler le commerce des ransomwares non seulement en empêchant l’extorsion de fonds, mais aussi en améliorant la sécurité des entreprises et en adoptant des lois efficaces qui poursuivent les criminels avec des sanctions qui découragent les attaques. Facile à dire, complexe à mettre en œuvre. Mais une seule approche ne suffit pas. La décision d’AXA a montré que le fait de normaliser le paiement et de prendre le risque n’est pas non plus une option viable en soi.

Plus d’information:
https://abcnews.go.com/Technology/wireStory/insurer-axa-halts-ransomware-crime-reimbursement-france-77540351

Une opération d’Europol a permis de mettre à jour Emotet le 25 avril afin de supprimer le logiciel malveillant de tous les ordinateurs infectés.

Emotet a commencé comme l’un des nombreux chevaux de Troie bancaires, avec ses premières apparitions en 2014. Puis, au fil du temps, il a évolué vers un logiciel malveillant modulaire. Il s’agit notamment de l’envoi de courriers électroniques non sollicités ou du vol d’argent. Sa principale fonction, ces derniers temps, était d’agir comme un téléchargeur. Dans ce rôle, il a servi à télécharger et à exécuter d’autres logiciels malveillants tels que Trickbot. Il y a quelques mois, j’avais évoqué dans ce blog la manière dont sa propagation a été arrêtée.

Le 25 avril, Europol a publié une mise à jour du botnet avec EmotetLoader.dll, une DLL 32 bits qui exécute une routine permettant de supprimer les logiciels malveillants des ordinateurs infectés. Deux chercheurs de Malwarebytes, Jérôme Segura et Hasherezade, ont analysé son fonctionnement.

L’une des nouvelles routines, uninstall_in_april, est un vérificateur de date. Si le délai est dépassé, le 25 avril, la sous-routine de désinstallation est exécutée. Sinon, il continue à vérifier dans une boucle jusqu’à ce que la condition soit remplie.

La sous-routine pour désinstaller Emotet est simple. Tout d’abord, il supprime le service associé à Emotet, puis il supprime la clé de registre et tente de déplacer le fichier vers %temp%. Enfin, il met fin au processus, ce qui prend en compte les deux mécanismes de persistance du malware. La clé de registre est indiquée dans les scénarios où l’installation ne nécessite pas de privilèges, et le service associé est indiqué lorsque l’échantillon est exécuté avec des privilèges d’administrateur.

L’infrastructure d’Emotet a été mise sur écoute fin janvier et les communications avec le botnet ont été redirigées vers des serveurs de commande et de contrôle appartenant à l’Office fédéral allemand d’investigation criminelle (Bundeskriminalamt). Il convient de noter que cette mise à jour ne supprime pas le logiciel malveillant installé par Emotet.

Plus d’information:
https://www.bleepingcomputer.com/news/security/emotet-malware-nukes-itself-today-from-all-infected-computers-worldwide/
https://digit.fyi/goodbye-emotet-notorious-botnet-permanently-deleted/
https://blog.malwarebytes.com/threat-analysis/2021/01/cleaning-up-after-emotet-the-law-enforcement-file/

Conti est un nouveau ransomware qui a remplacé Ryuk dans les infections via TrickBot. Il a récemment lancé son propre site web pour publier les données volées de ses victimes.

Depuis juillet de cette année, TrickBot, un malware bancaire modulaire utilisé comme dropper de ransomware, a commencé à infecter ses victimes avec un nouveau ransomware appelé Conti.

Il est connu comme le successeur de Ryuk, car jusqu’en juillet, Ryuk était le ransomware de choix des distributeurs de TrickBot pour infecter leurs victimes.

Conti est un nouveau ransomware, dont le modèle économique des développeurs est basé sur ce que l’on appelle le Ransomware-as-a-Service (RaaS), qui consiste à offrir leur ransomware en tant que service, en fournissant à leurs clients le logiciel pour réaliser l’infection et en prenant en charge la configuration et la maintenance du serveur de contrôle.

Ce nouveau ransomware a copié le comportement de certains des ransomwares les plus populaires, comme Ryuk, et ne se contente pas de crypter les fichiers contre une rançon, mais demande également un paiement supplémentaire afin que les attaquants ne publient pas les fichiers volés qui sont envoyés au serveur de contrôle avant d’être cryptés.

Afin de rendre publics les fichiers volés et tout leur contenu, les attaquants derrière Conti ont lancé leur propre site web où ils ont déjà commencé à télécharger des fichiers contenant des informations sensibles d’entreprises connues qui ont été attaquées et n’ont pas payé.

En effet, en exigeant une rançon pour récupérer les fichiers, un grand nombre de leurs victimes pourraient simplement ne pas payer et utiliser les copies de sauvegarde dont elles disposent. Cependant, ils cherchent ainsi à mettre les entreprises dans une situation compliquée, car si elles ne paient pas, leurs données seront exposées, ce qui est un problème pour leur réputation.

Plus d’information:
https://www.bleepingcomputer.com/news/security/ryuk-successor-conti-ransomware-releases-data-leak-site/