La semaine dernière, dans l’actualité du ransomware : semaine du 21 juin

Actualité du ransomware En lançant son ransomware contre une infrastructure américaine, le groupe Darkside s’est attiré les foudres de la justice américaine, qui a fini par le démanteler en mai....
Michael Raymond
3 minute de lecture
Dernière mise à jour 28 octobre 2021

Actualité du ransomware

En lançant son ransomware contre une infrastructure américaine, le groupe Darkside s’est attiré les foudres de la justice américaine, qui a fini par le démanteler en mai. Pour autant, d’autres groupes usurpent depuis son identité et envoient de fausses demandes de rançon à des entreprises des secteurs de l’énergie et de l’agroalimentaire.

Une récente étude menée par Cybereason a révélé que 80 % des organisations s’étant acquittées d’une rançon ont ensuite été touchées par une deuxième attaque. Dans la moitié des cas, le même groupe était à l’origine des deux attaques. D’après le FBI, les pertes dues aux ransomwares ont augmenté de 225 % en 2020, ce qui explique pourquoi il est tentant de payer la rançon demandée. Toutefois, l’étude de Cybereason semble montrer qu’il ne s’agit pas d’une solution viable à long terme.

« En seulement une heure, je vous enseignerai les bases des ransomwares et ce que vous pouvez faire pour vous en protéger et vous préparer à leurs attaques. »

Au rayon des bonnes nouvelles, la police ukrainienne a perquisitionné 21 résidences en lien avec le ransomware Clop. Ses opérations ont abouti à l’arrestation de 6 personnes.

Vous y repenserez certainement la prochaine fois que vous ferez réparer votre ordinateur : la police sud-coréenne a arrêté un réparateur informatique qui créait et distribuait des ransomwares. Son petit manège lui aurait rapporté pour plus de 300 000 $ de rançons.

Au cours d’une récente rencontre, Joe Biden et Vladimir Poutine ont évoqué la question des cybermenaces, et notamment des ransomwares. Le président américain a insisté sur le fait que certains secteurs essentiels devraient être hors limite pour les hackers. Ses paroles auront-elles des conséquences concrètes ? Seul l’avenir nous le dira.

Recherches sur les malwares

De récentes études ont montré que le groupe GOLD WINTER pourrait utiliser le ransomware Hades et se concentrer sur les cibles les plus rémunératrices ignorées par les autres groupes, qui sont plus dans l’opportunisme. L’absence de Hades sur les forums et les places de marché a poussé Secureworks à conclure qu’il s’agissait d’un ransomware privé. Par ailleurs, les sites Web Tor utilisés pour Hades tendent à montrer que le malware est personnalisé pour chaque victime. Il utilise deux vecteurs d’accès initial. Le premier : des identifiants volés permettant d’accéder à un VPN sans authentification à deux facteurs. Le second : SocGholish, un malware qui utilise de fausses mises à jour du navigateur. Cet article de blog décrit avec force de détails le ransomware Hades et les groupes qui l’utilisent.

Prodaft a également publié un rapport complet sur le ransomware LockBit. Plutôt récent, ce programme de type ransomware en tant que service a gagné en popularité ces derniers mois.

Ransomwares pour les Red Teams 

Ransom0 est un ransomware Python open source et régulièrement mis à jour hébergé sur GitHub. Il propose toutes les fonctionnalités d’un ransomware classique, y compris la recherche de fichiers, le chiffrement de ces fichiers et l’envoi de données. Il dispose également d’un mécanisme de déchiffrement. Cet outil peut être très intéressant pour les Red Teams ou d’autres équipes d’audit de la sécurité qui cherchent à tester les réponses des participants à une simulation d’attaque par ransomware.

Ce ransomware basique est gratuit et accessible à tous sur GitHub. Entièrement codé en Rust, il utilise diverses techniques anti-ingénierie inverse et le chiffrement AES standard. Créez un environnement virtuel et testez les défenses de votre système.

Protections pour les Blue Teams

Le groupe à l’origine du ransomware Avaddon semble avoir disparu après que les forces de l’ordre se soient intéressées de trop près à ses activités aux États-Unis et en Australie. Certaines de ses victimes ont peut-être ainsi perdu tout espoir de récupérer l’accès à leurs fichiers. Si vous avez été touché par Avaddon, qui utilise des chiffrements AES-256 et RSA-2048, cet outil de décryptage proposé par Emsisoft devrait pouvoir vous sauver la mise gratuitement.

L’outil d’évaluation de la sécurité en libre-service d’AWS proposé par l’équipe d’Amazon Web Services permet d’exécuter rapidement des audits de sécurité à l’aide des projets open source « Prowler » et « ScoutSuite ».

KilledProcessCanary est un programme très simple qui lance différents processus se surveillant les uns les autres. Son principe est le suivant : certains ransomwares arrêtent les services lors du démarrage du chiffrement. Lorsqu’il détecte une telle action, il envoie un jeton DNS canari pour vous en informer. Il ne doit évidemment pas s’agir de votre première ligne de défense, mais il pourrait vous aider à intercepter un ransomware avant qu’il n’ait chiffré tous vos fichiers.

Conférences de sécurité à venir

CyberSecurity Festival (16, 13 et 30 juin)

Le CyberSecurity Festival se compose d’une série de présentations et de tables rondes animées par des experts du secteur et visant à présenter les notions de base de la cybersécurité. Vous pouvez vous y inscrire gratuitement, il n’y a pas à hésiter !

The Cyber Strategy Retreat 2021 (14 et 15 juillet)

The Cyber Strategy Retreat vise à faciliter la collaboration entre les responsables des services métier, technologie et gestion du risque. Son objectif est d’aller plus loin que les programmes de conformité et de gérer le mieux possible les risques de cybersécurité comme les ransomwares.

International Conference on Cyber Security 2021 (19 au 22 juillet)

L’International Conference on Cyber Security (ICCS) est animée par le FBI et l’université Fordham. Elle réunit les agences gouvernementales, le secteur privé et le monde académique pour échanger autour des cybermenaces du moment, et notamment les ransomwares.

Black Hat USA 2021 (31 juillet – 5 août)

Black Hat est l’une des plus grandes conférences annuelles sur la sécurité. Équivalent de Defcon pour les entreprises, elle offre une opportunité exceptionnelle d’échanger avec des professionnels de sécurité comme l’équipe de Varonis. N’oubliez pas de passer par notre stand !

Que dois-je faire maintenant ?

Vous trouverez ci-dessous trois solutions pour poursuivre vos efforts visant à réduire les risques liés aux données dans votre entreprise:

1

Planifiez une démonstration avec nous pour voir Varonis en action. Nous personnaliserons la session en fonction des besoins de votre organisation en matière de sécurité des données et répondrons à vos questions.

2

Consultez un exemple de notre évaluation des risques liés aux données et découvrez les risques qui pourraient subsister dans votre environnement. Cette évaluation est gratuite et vous montre clairement comment procéder à une remédiation automatisée.

3

Suivez-nous sur LinkedIn, YouTube et X (Twitter) for pour obtenir des informations sur tous les aspects de la sécurité des données, y compris la DSPM, la détection des menaces, la sécurité de l’IA et plus encore.

Essayez Varonis gratuitement.

Obtenez un rapport détaillé sur les risques liés aux données basé sur les données de votre entreprise.
Se déploie en quelques minutes.

Keep reading

Varonis tackles hundreds of use cases, making it the ultimate platform to stop data breaches and ensure compliance.

la-semaine-dernière,-dans-l’actualité-du-ransomware-:-semaine-du-5-juillet
La semaine dernière, dans l’actualité du ransomware : semaine du 5 juillet
Actualité du ransomware Avant de nous intéresser à l’importante attaque par ransomware survenue lors de ce week-end prolongé, revenons sur l’actualité de la semaine dernière. Une ancienne version de l’outil...
la-semaine-dernière,-dans-l’actualité-du-ransomware-:-semaine-du-9-août
La semaine dernière, dans l’actualité du ransomware : semaine du 9 août
Cette semaine a vu apparaître BlackMatter, un nouveau groupe de ransomware, et a démontré que même les groupes de ransomware devraient faire attention aux employés mécontents.
la-semaine-dernière,-dans-l’actualité-du-ransomware-:-semaine-du-28-juin
La semaine dernière, dans l’actualité du ransomware : semaine du 28 juin
Actualité du ransomware Vous êtes une PME et vous utilisez des lecteurs de stockage dans le cloud hébergés localement d’une marque bien connue ? Déconnectez-les sans attendre du réseau ! Des hackers ont...
la-semaine-dernière,-dans-l’actualité-du-ransomware-:-semaine-du-12-juillet
La semaine dernière, dans l’actualité du ransomware : semaine du 12 juillet
L'édition précédente de « La semaine dernière, dans l'actualité du ransomware », était morose suite à l'attaque du ransomware REvil. Mais cette semaine, nous avons eu l'agréable surprise d'apprendre que même si ce genre d'attaque représente une menace croissante, l'attaque de REvil n'a pas été aussi dévastatrice que prévu.