Les acteurs mena\u00e7ants associ\u00e9s au Ransomware M\u00e9duse<\/strong> ont intensifi\u00e9 leurs activit\u00e9s apr\u00e8s le lancement d’un site d\u00e9di\u00e9 aux fuites de donn\u00e9es sur le dark web en f\u00e9vrier 2023 pour publier les donn\u00e9es sensibles des victimes qui ne veulent pas acc\u00e9der \u00e0 leurs demandes.<\/p>\n “Dans le cadre de leur strat\u00e9gie multi-extorsion, ce groupe offrira aux victimes plusieurs options lorsque leurs donn\u00e9es sont publi\u00e9es sur leur site de fuite, comme la prolongation du d\u00e9lai, la suppression des donn\u00e9es ou le t\u00e9l\u00e9chargement de toutes les donn\u00e9es”, Anthony, chercheur de l’unit\u00e9 42 de Palo Alto Networks. Galiette et Doel Santos dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “Toutes ces options ont un prix qui d\u00e9pend de l’organisation touch\u00e9e par ce groupe.”<\/p>\n Medusa (\u00e0 ne pas confondre avec Medusa Locker) fait r\u00e9f\u00e9rence \u00e0 une famille de ransomwares apparue fin 2022 avant de prendre de l’importance en 2023. Elle est connue pour cibler de mani\u00e8re opportuniste un large \u00e9ventail d’industries telles que la haute technologie, l’\u00e9ducation, la fabrication, la sant\u00e9 et la vente au d\u00e9tail. .<\/p>\n On estime que pas moins de 74 organisations, principalement aux \u00c9tats-Unis, au Royaume-Uni, en France, en Italie, en Espagne et en Inde, ont \u00e9t\u00e9 touch\u00e9es par le ransomware en 2023.<\/p>\n Les attaques de ransomware orchestr\u00e9es par le groupe commencent par l’exploitation d’actifs ou d’applications Internet pr\u00e9sentant des vuln\u00e9rabilit\u00e9s connues non corrig\u00e9es et par le d\u00e9tournement de comptes l\u00e9gitimes, en employant souvent des courtiers d’acc\u00e8s initiaux pour prendre pied sur les r\u00e9seaux cibles.<\/p>\n Dans un cas observ\u00e9 par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, un serveur Microsoft Exchange a \u00e9t\u00e9 exploit\u00e9 pour t\u00e9l\u00e9charger un shell Web, qui a ensuite \u00e9t\u00e9 utilis\u00e9 comme canal pour installer et ex\u00e9cuter le logiciel de surveillance et de gestion \u00e0 distance (RMM) ConnectWise.<\/p>\n Un aspect notable des infections est le recours aux techniques de vie de la terre (LotL) pour se fondre dans les activit\u00e9s l\u00e9gitimes et contourner la d\u00e9tection. On observe \u00e9galement l’utilisation d’une paire de pilotes du noyau pour mettre fin \u00e0 une liste cod\u00e9e en dur de produits de s\u00e9curit\u00e9.<\/p>\n La phase d’acc\u00e8s initiale est suivie par la d\u00e9couverte et la reconnaissance du r\u00e9seau compromis, les acteurs lan\u00e7ant finalement le ransomware pour \u00e9num\u00e9rer et chiffrer tous les fichiers, \u00e0 l’exception de ceux portant les extensions .dll, .exe, .lnk et .medusa (l’extension donn\u00e9e). aux fichiers crypt\u00e9s).<\/p>\n Pour chaque victime compromise, le site de fuite de Medusa affiche des informations sur les organisations, la ran\u00e7on demand\u00e9e, le temps restant avant que les donn\u00e9es vol\u00e9es ne soient rendues publiques et le nombre de vues dans le but d’exercer une pression sur l’entreprise.<\/p>\n Les acteurs proposent \u00e9galement diff\u00e9rents choix \u00e0 la victime, qui impliquent tous une forme d’extorsion pour supprimer ou t\u00e9l\u00e9charger les donn\u00e9es vol\u00e9es et demander une prolongation de d\u00e9lai pour emp\u00eacher la divulgation des donn\u00e9es.<\/p>\n Alors que les ransomwares continuent de constituer une menace end\u00e9mique, ciblant les entreprises technologiques, les soins de sant\u00e9, les infrastructures critiques et tout le reste, les auteurs de la menace sont de plus en plus effront\u00e9s dans leurs tactiques, allant au-del\u00e0 de la d\u00e9nonciation publique et de l’humiliation des organisations en recourant \u00e0 des menaces de violence physique. et m\u00eame des canaux de relations publiques d\u00e9di\u00e9s.<\/p>\n \u00ab Les ransomwares ont chang\u00e9 de nombreuses facettes du paysage des menaces, mais un d\u00e9veloppement r\u00e9cent cl\u00e9 est leur marchandisation et leur professionnalisation croissantes \u00bb, ont d\u00e9clar\u00e9 les chercheurs de Sophos le mois dernier, qualifiant les gangs de ransomwares de \u00ab de plus en plus avertis en mati\u00e8re de m\u00e9dias \u00bb.<\/p>\n Medusa, selon l’unit\u00e9 42, dispose non seulement d’une \u00e9quipe m\u00e9diatique pour g\u00e9rer probablement ses efforts de branding, mais exploite \u00e9galement un canal Telegram public appel\u00e9 \u00ab support d’information \u00bb, o\u00f9 les fichiers des organisations compromises sont partag\u00e9s et accessibles via Clearnet. La cha\u00eene a \u00e9t\u00e9 cr\u00e9\u00e9e en juillet 2021.<\/p>\n “L’\u00e9mergence du ransomware Medusa fin 2022 et sa notori\u00e9t\u00e9 en 2023 marquent une \u00e9volution significative dans le paysage des ransomwares”, estiment les chercheurs. “Cette op\u00e9ration pr\u00e9sente des m\u00e9thodes de propagation complexes, exploitant \u00e0 la fois les vuln\u00e9rabilit\u00e9s du syst\u00e8me et les courtiers d’acc\u00e8s initiaux, tout en \u00e9vitant habilement la d\u00e9tection gr\u00e2ce \u00e0 des techniques de vie hors du terrain.”<\/p>\n Cette \u00e9volution intervient alors qu’Arctic Wolf Labs a rendu public deux cas dans lesquels des victimes des gangs de ransomwares Akira et Royal ont \u00e9t\u00e9 cibl\u00e9es par des tiers malveillants se faisant passer pour des chercheurs en s\u00e9curit\u00e9 pour des tentatives d’extorsion secondaires.<\/p>\n “Les acteurs de la menace ont racont\u00e9 qu’ils essayaient d’aider les organisations victimes, en proposant de pirater l’infrastructure des serveurs des groupes de ransomwares impliqu\u00e9s \u00e0 l’origine pour supprimer les donn\u00e9es exfiltr\u00e9es”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Stefan Hostetler et Steven Campbell. dit<\/a>notant que l’acteur mena\u00e7ant recherchait environ 5 bitcoins en \u00e9change du service.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Medusa-Ransomware-a-la-hausse-des-fuites-de-donnees-a.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n