Étiquette : Ransomware Page 7 of 8

Il y a quelques mois, je vous avais parlé de Conti, le successeur du malware Ryuk. Dans ce cas, je faisais écho aux résultats du rapport publié par Profdat, qui met en évidence l’activité du groupe de ransomware.

Parmi les cibles de ce groupe figurent les infrastructures critiques, notamment les hôpitaux et les prestataires de services d’urgence. En septembre dernier, l’Agence pour la cybersécurité et les infrastructures (CISA) a publié une analyse des techniques employées par Conti (ainsi que des techniques d’atténuation pour les organisations), qui soulignait que le FBI avait détecté plus de 400 incidents à l’échelle internationale (en juillet 2020, il y en avait une centaine selon le rapport de Profdat, basé sur des données extraites du « site d’information » de Conti).

En septembre également, Talos a publié un article mettant en évidence les caractéristiques du groupe cybercriminel, son niveau d’organisation et la connaissance de ses victimes potentielles.

Le rapport de Profdat confirme la montée en puissance de ce logiciel malveillant, et date le début de ses investigations au mois de septembre de cette année. Pour réaliser l’étude, les chercheurs ont exploité une vulnérabilité dans les serveurs utilisés par Conti, ce qui a permis d’extraire des informations sur son panneau de gestion, ainsi que des détails sur les techniques, tactiques et procédures (TTP) utilisées dans la chaîne d’attaque.

L’un des points mis en évidence dans le rapport sur la chaîne d’attaques est qu’avant de lancer Conti, les attaquants essaient d’identifier les composants critiques du système, tels que les contrôleurs de domaine ou les serveurs de sauvegarde. S’ils sont trouvés, les attaquants peuvent déclencher la phase suivante de l’attaque plus rapidement. Ce point reflète à nouveau l’importance de segmenter le réseau et de protéger ces éléments critiques.

Les attaquants effectuent une analyse des données collectées pour identifier ce qui est important pour la victime afin de planifier leur attaque. Ce serait la deuxième phase. La troisième phase est le cryptage des fichiers et les sauvegardes. À la fin de cette phase, les fichiers considérés comme importants seront chiffrés, les fichiers de sauvegarde seront supprimés et la « note de rançon » sera clairement visible. La note de rançon avec les instructions de paiement est l’une des similitudes identifiées jusqu’à présent avec Ryuk.

Une partie du rapport explique également comment s’est déroulée l’analyse de désanonymisation, en extrayant l’IP réelle du service TOR utilisé par Conti, ainsi que des détails sur le serveur hébergeant le service. À partir de là, l’équipe de recherche a pu suivre l’activité des services, dont les résultats sont présentés en détail dans le rapport.

Plus d’information:
Conti Ransomware Nets at Least $25,5 Millones in Four Months. Elliptic. 18.11.2021. https://www.elliptic.co/blog/conti-ransomware-nets-at-least-25.5-million-in-four-months
[Conti] Ransomware Group In-Depth Analysis. Prodaft. 18.11.2021. https://www.prodaft.com/resource/detail/conti-ransomware-group-depth-analysis
CISA helps draw the Curtain on Conti Ransomware Operations. PCrisk. 23.09.2021. https://www.pcrisk.com/internet-threat-news/21900-cisa-helps-draw-the-curtain-on-conti-ransomware-operations
Translated: Talos’ insights from the recently leaked Conti ransomware playbook. Talos, 02.09.2021. https://blog.talosintelligence.com/2021/09/Conti-leak-translation.html

Malgré les efforts déployés par Europol au début de l’année pour démanteler l’infrastructure de ce qui a été qualifié d’un des virus informatiques les plus dangereux au monde, Emotet fait un retour en force. Quelques mois plus tard, le malware TrickBot est utilisé pour distribuer ce qui semble être une nouvelle version d’Emotet aux systèmes qui ont été précédemment infectés par TrickBot.

Selon un nouveau rapport de Luca Ebach, le 14 novembre, Emotet a été détecté par son équipe d’analyse alors qu’elle exécutait un échantillon de TrickBot dans sandbox. Cette variante d’Emotet se présente sous la forme d’un fichier DLL. Lorsqu’ils ont analysé l’échantillon trouvé, il semblait avoir été compilé quelques minutes avant que l’on observe son déploiement sur les botnets TrickBot.

Cette nouvelle variante se caractérise notamment par le fait que le cryptage destiné à masquer les données diffère de la version précédente du malware. En outre, l’échantillon trouvé utilise une autorité de certification auto-signée pour pouvoir utiliser le protocole HTTPS afin de protéger le trafic réseau, ainsi que divers flux de contrôle pour obscurcir le code. Une comparaison entre le code de l’ancien et du nouvel échantillon peut être observée dans les images ci-dessous, qui montrent qu’au lieu d’utiliser des flux de contrôle If-else pour obscurcir le code, ils utilisent une boucle while et l’expression switch-case pour obscurcir le code.

L’équipe d’analyse, dont fait partie Luce Ebach, poursuit actuellement ses recherches pour en savoir plus sur cette nouvelle variante afin de freiner l’Emotet.

Plus d’information:
https://cyber.wtf/2021/11/15/guess-whos-back/
https://thehackernews.com/2021/11/trickbot-operators-partner-with-shatak.html

Il faut savoir que si la maxime est « ne négociez pas avec les attaquants de ransomware », la réalité est très différente pour les entreprises dont l’alternative est de tout perdre. Par conséquent, si vous devez payer, vous devez au moins envisager quelques conseils de négociation. Les analystes de Fox-IT, après avoir observé un ensemble de 700 négociations menées entre 2019 et 2020, ont décortiqué quelques réponses et conseils.

Il est important de comprendre que le compte à rebours commence lorsque vous cliquez sur le lien pour chatter avec l’attaquant. La stratégie doit donc être très claire au préalable. Localisez le point zéro, la communication et le montant qu’il est possible de payer. L’attaquant de l’autre côté sait parfaitement combien la victime peut se permettre de payer, mais elle est toujours prête à faire des économies si l’attaquant sait comment l’obtenir.

Il est également important de passer à un chat privé, à la fois pour les communications avec l’attaquant et en interne. Après les nombreuses fuites de ces derniers temps, il est possible qu’une tierce partie à l’opération ait accès à la négociation et s’en mêle pour son propre bénéfice.

Et surtout, même si cela fait mal, la meilleure stratégie est d’être professionnel avec l’attaquant de l’autre côté. Demandez toujours plus de temps, car cela fonctionne, pour négocier, pour contrôler la situation et pour évaluer les dommages. Connaître l’étendue de l’attaque et l’attaquant lui-même est le plus grand avantage pour pouvoir négocier un sauvetage avec une arme de la part de l’attaqué.

Plus d’information:
https://research.nccgroup.com/2021/11/12/we-wait-because-we-know-you-inside-the-ransomware-negotiation-economics/

Jusqu’où les attaquants professionnels sont-ils prêts à aller pour obtenir des « clients » à qui extorquer au travers de ransomwares ? Au point de créer une fausse entreprise dans le seul but de recruter des pentesters imprudents pour faire le sale boulot de s’introduire dans les entreprises ciblées sans le savoir. Les travailleurs, déjà lors de l’entretien, ont dû passer un test : s’introduire dans les systèmes de clients supposés de la fausse société. Ils ont reçu des outils typiques de ces attaquants et ont été encouragés à passer le test pour voir jusqu’où ils pouvaient aller « chez un client ». Les attaquants, une fois qu’ils ont eu accès à la victime, ont lancé le ransomware. Le travailleur en herbe croyait avoir atteint son objectif.

Le groupe FIN7 l’a fait au milieu des années 20 avec une fausse société appelée Combi Security et maintenant avec Bastion Secure. Ils ont prétendu être dans le secteur de la sécurité du secteur public. Tout a été mis au jour parce que Gemini Advisory, une entreprise légitime, a infiltré le processus de recrutement (via Telegram) et s’est vu proposer, sans rien signer, de s’introduire dans une entreprise en utilisant les outils typiques de FIN7. Il avait répondu à des annonces en ligne où Bastion Secure demandait des pentesters.

Pourquoi faire ça ? Il est beaucoup moins coûteux d’embaucher une personne dans une entreprise supposée légitime (environ 1 200 dollars par mois en Russie) que de payer quelqu’un dans la clandestinité qui, sachant ce que gagnent les attaquants et le risque qu’il court, demandera probablement plus.

Plus d’information:
https://therecord.media/cybercrime-gang-sets-up-fake-company-to-hire-security-experts-to-aid-in-ransomware-attacks/amp/