Les acteurs mena\u00e7ants derri\u00e8re le Ran\u00e7ongiciel 8Base<\/strong> exploitent une variante du ransomware Phobos pour mener leurs attaques \u00e0 motivation financi\u00e8re.<\/p>\n Les conclusions proviennent de Cisco Talos, qui a enregistr\u00e9 une augmentation de l’activit\u00e9 men\u00e9e par les cybercriminels.<\/p>\n “La plupart des variantes de Phobos du groupe sont distribu\u00e9es par SmokeLoader, un cheval de Troie de porte d\u00e9rob\u00e9e”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Guilherme Venere dans une analyse exhaustive. en deux parties<\/a> analyse<\/a> publi\u00e9 vendredi.<\/p>\n “Ce chargeur de produits supprime ou t\u00e9l\u00e9charge g\u00e9n\u00e9ralement des charges utiles suppl\u00e9mentaires lorsqu’il est d\u00e9ploy\u00e9. Dans les campagnes 8Base, cependant, le composant ransomware est int\u00e9gr\u00e9 dans ses charges utiles crypt\u00e9es, qui sont ensuite d\u00e9chiffr\u00e9es et charg\u00e9es dans la m\u00e9moire du processus SmokeLoader.”<\/p>\n 8Base a fait l\u2019objet d\u2019une attention particuli\u00e8re \u00e0 la mi-2023, lorsqu\u2019un pic d\u2019activit\u00e9 similaire a \u00e9t\u00e9 observ\u00e9 par la communaut\u00e9 de la cybers\u00e9curit\u00e9. Il serait actif au moins depuis mars 2022.<\/p>\n Une analyse pr\u00e9c\u00e9dente de VMware Carbon Black en juin 2023 a identifi\u00e9 des parall\u00e8les entre 8Base et RansomHouse, en plus de d\u00e9couvrir un \u00e9chantillon de ransomware Phobos qui a \u00e9t\u00e9 trouv\u00e9 en utilisant l’extension de fichier \u00ab .8base \u00bb pour les fichiers crypt\u00e9s.<\/p>\n Cela augmente la probabilit\u00e9 que 8Base soit un successeur de Phobos ou que les acteurs malveillants \u00e0 l’origine de l’op\u00e9ration utilisent simplement des souches de ransomware d\u00e9j\u00e0 existantes pour mener leurs attaques, \u00e0 l’instar du groupe de ransomware Vice Society.<\/p>\n Les derni\u00e8res d\u00e9couvertes de Cisco Talos montrent que SmokeLoader est utilis\u00e9 comme rampe de lancement pour ex\u00e9cuter le Charge utile Phobos<\/a>qui effectue ensuite des \u00e9tapes pour \u00e9tablir la persistance, mettre fin aux processus susceptibles de maintenir les fichiers cibles ouverts, d\u00e9sactiver la r\u00e9cup\u00e9ration du syst\u00e8me et supprimer les sauvegardes ainsi que les clich\u00e9s instantan\u00e9s.<\/p>\n Une autre caract\u00e9ristique notable est le cryptage complet des fichiers inf\u00e9rieurs \u00e0 1,5 Mo et le cryptage partiel des fichiers sup\u00e9rieurs au seuil pour acc\u00e9l\u00e9rer le processus de cryptage.<\/p>\n De plus, l’artefact int\u00e8gre une configuration avec plus de 70 options crypt\u00e9es \u00e0 l’aide d’une cl\u00e9 cod\u00e9e en dur. La configuration d\u00e9verrouille des fonctionnalit\u00e9s suppl\u00e9mentaires telles que le contr\u00f4le de compte d’utilisateur (UAC<\/a>) contourner et signaler une infection victime vers une URL externe.<\/p>\n Il existe \u00e9galement une cl\u00e9 RSA cod\u00e9e en dur utilis\u00e9e pour prot\u00e9ger la cl\u00e9 AES par fichier utilis\u00e9e dans le cryptage, qui, selon Talos, pourrait aider \u00e0 permettre le d\u00e9cryptage des fichiers verrouill\u00e9s par le ransomware.<\/p>\n “Une fois que chaque fichier est crypt\u00e9, la cl\u00e9 utilis\u00e9e dans le cryptage ainsi que les m\u00e9tadonn\u00e9es suppl\u00e9mentaires sont ensuite crypt\u00e9es \u00e0 l’aide de RSA-1024 avec une cl\u00e9 publique cod\u00e9e en dur et enregistr\u00e9es \u00e0 la fin du fichier”, a expliqu\u00e9 Venere.<\/p>\n “Cela implique cependant qu’une fois la cl\u00e9 priv\u00e9e RSA connue, tout fichier crypt\u00e9 par n’importe quelle variante de Phobos depuis 2019 peut \u00eatre d\u00e9chiffr\u00e9 de mani\u00e8re fiable.”<\/p>\n Phobos<\/a>apparu pour la premi\u00e8re fois en 2019, est une \u00e9volution du ransomware Dharma (alias Crysis), le ransomware se manifestant principalement sous les variantes Eking, Eight, Elbie, Devos et Faust, en fonction du volume d’artefacts d\u00e9couverts sur VirusTotal.<\/p>\n “Les \u00e9chantillons contenaient tous le m\u00eame code source et \u00e9taient configur\u00e9s pour \u00e9viter de chiffrer des fichiers d\u00e9j\u00e0 verrouill\u00e9s par d’autres affili\u00e9s de Phobos, mais la configuration changeait l\u00e9g\u00e8rement en fonction de la variante d\u00e9ploy\u00e9e”, a d\u00e9clar\u00e9 Venere. “Ceci est bas\u00e9 sur une liste de blocage d’extensions de fichiers dans les param\u00e8tres de configuration du ransomware.”<\/p>\n Cisco Talos estime que Phobos est \u00e9troitement g\u00e9r\u00e9 par une autorit\u00e9 centrale, tout en \u00e9tant vendu en tant que ransomware-as-a-service (RaaS) \u00e0 d’autres soci\u00e9t\u00e9s affili\u00e9es sur la base de la m\u00eame cl\u00e9 publique RSA, des variations des e-mails de contact et des mises \u00e0 jour r\u00e9guli\u00e8res de les listes de blocage d’extension du ransomware.<\/p>\n “Les listes de blocage des extensions semblent raconter quels groupes ont utilis\u00e9 le m\u00eame \u00e9chantillon de base au fil du temps”, a d\u00e9clar\u00e9 Venere.<\/p>\n “Les listes de blocs d’extension trouv\u00e9es dans les nombreux \u00e9chantillons Phobos […] sont continuellement mis \u00e0 jour avec de nouveaux fichiers qui ont \u00e9t\u00e9 verrouill\u00e9s lors des pr\u00e9c\u00e9dentes campagnes Phobos. Cela peut conforter l\u2019id\u00e9e selon laquelle il existe une autorit\u00e9 centrale derri\u00e8re le constructeur qui garde la trace des personnes qui ont utilis\u00e9 Phobos dans le pass\u00e9. L\u2019intention pourrait \u00eatre d\u2019emp\u00eacher les filiales de Phobos d\u2019interf\u00e9rer les unes avec les autres. \u00bb<\/p>\n Le d\u00e9veloppement intervient alors que FalconFeeds divulgu\u00e9<\/a> qu’un acteur malveillant fait la publicit\u00e9 d’un produit ransomware sophistiqu\u00e9 appel\u00e9 UBUD, d\u00e9velopp\u00e9 en C et dot\u00e9 de \u00ab\u00a0mesures anti-d\u00e9tection puissantes contre les machines virtuelles et les outils de d\u00e9bogage\u00a0\u00bb.<\/p>\n Cela fait \u00e9galement suite \u00e0 une plainte officielle d\u00e9pos\u00e9e par le groupe de ransomware BlackCat aupr\u00e8s de la Securities and Exchange Commission (SEC) des \u00c9tats-Unis, all\u00e9guant que l’une de ses victimes, MeridianLink, n’avait pas respect\u00e9 les nouvelles r\u00e9glementations en mati\u00e8re de divulgation qui obligent les entreprises concern\u00e9es \u00e0 signaler l’incident dans un d\u00e9lai de quatre heures. jours, DataBreaches.net signal\u00e9<\/a>.<\/p>\n La soci\u00e9t\u00e9 de logiciels financiers a depuis confirm\u00e9 qu’elle avait \u00e9t\u00e9 la cible d’une cyberattaque le 10 novembre, mais a not\u00e9 qu’elle n’avait trouv\u00e9 aucune preuve d’acc\u00e8s non autoris\u00e9 \u00e0 ses syst\u00e8mes.<\/p>\n Bien que les r\u00e8gles de divulgation de la SEC n’entrent en vigueur que le mois prochain, le 18 d\u00e9cembre, cette tactique de pression inhabituelle est le signe que les acteurs de la menace surveillent de pr\u00e8s l’espace et sont pr\u00eats \u00e0 contourner les r\u00e9glementations gouvernementales \u00e0 leur avantage et \u00e0 obliger les victimes \u00e0 payer.<\/p>\n Cela dit, il convient de noter que l\u2019application des r\u00e8gles s\u2019applique exclusivement dans les situations o\u00f9 les entreprises ont identifi\u00e9 que les attaques ont eu un impact \u00ab mat\u00e9riel \u00bb sur leurs r\u00e9sultats.<\/p>\n Entre-temps, LockBit, un autre gang prolifique de ransomwares, a institu\u00e9 de nouvelles r\u00e8gles de n\u00e9gociation \u00e0 partir d’octobre 2023, citant des r\u00e8glements moins que pr\u00e9vu et des remises plus importantes offertes aux victimes en raison des \u00ab diff\u00e9rents niveaux d’exp\u00e9rience des affili\u00e9s \u00bb.<\/p>\n “\u00c9tablir une demande de ran\u00e7on minimale en fonction du chiffre d’affaires annuel de l’entreprise, par exemple \u00e0 3%, et interdire les remises sup\u00e9rieures \u00e0 50%”, ont d\u00e9clar\u00e9 les op\u00e9rateurs de LockBit, selon un communiqu\u00e9. rapport d\u00e9taill\u00e9<\/a> de Analyst1.<\/p>\n “Ainsi, si le chiffre d’affaires de l’entreprise est de 100 millions de dollars, la demande de ran\u00e7on initiale devrait commencer \u00e0 3 millions de dollars et le paiement final ne doit pas \u00eatre inf\u00e9rieur \u00e0 1,5 million de dollars.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/8Base-Group-deploie-une-nouvelle-variante-du-ransomware-Phobos-via.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n