Une nouvelle op\u00e9ration de ransomware en tant que service (RaaS) appel\u00e9e Eldorado est livr\u00e9e avec des variantes de casier pour crypter les fichiers sur les syst\u00e8mes Windows et Linux.<\/p>\n
Eldorado est apparu pour la premi\u00e8re fois le 16 mars 2024, lorsqu’une publicit\u00e9 pour le programme d’affiliation a \u00e9t\u00e9 publi\u00e9e sur le forum de ransomware RAMP, a d\u00e9clar\u00e9 Group-IB, bas\u00e9 \u00e0 Singapour.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, qui a infiltr\u00e9 le groupe de ransomware, a not\u00e9 que son repr\u00e9sentant est russophone et que le malware ne se chevauche pas avec des souches pr\u00e9c\u00e9demment divulgu\u00e9es telles que LockBit ou Babuk.<\/p>\n
\u00ab Le ransomware Eldorado utilise Golang pour ses capacit\u00e9s multiplateformes, en employant Chacha20 pour le chiffrement des fichiers et Rivest Shamir Adleman-Optimal Asymmetric Encryption Padding (RSA-OAEP) pour le chiffrement des cl\u00e9s \u00bb, expliquent les chercheurs Nikolay Kichatov et Sharmine Low. dit<\/a>\u00ab Il peut crypter des fichiers sur des r\u00e9seaux partag\u00e9s \u00e0 l’aide du protocole Server Message Block (SMB). \u00bb<\/p>\n Le crypteur d’Eldorado se d\u00e9cline en quatre formats, \u00e0 savoir esxi, esxi_64, win et win_64, son site de fuite de donn\u00e9es r\u00e9pertoriant d\u00e9j\u00e0 16 victimes de juin 2024. Treize des cibles sont situ\u00e9es aux \u00c9tats-Unis, deux en Italie et une en Croatie.<\/p>\n Ces entreprises couvrent divers secteurs d\u2019activit\u00e9 tels que l\u2019immobilier, l\u2019\u00e9ducation, les services professionnels, les soins de sant\u00e9 et la fabrication, entre autres.<\/p>\n Une analyse plus approfondie de la version Windows des artefacts a r\u00e9v\u00e9l\u00e9 l\u2019utilisation d\u2019une commande PowerShell pour \u00e9craser le casier avec des octets al\u00e9atoires avant de supprimer le fichier dans le but de nettoyer les traces.<\/p>\n Eldorado est le dernier de la liste des nouveaux acteurs de ransomware \u00e0 double extorsion qui ont fait leur apparition ces derniers temps, notamment Arcus M\u00e9dia<\/a>, AzzaSec<\/a>, dan0n<\/a>, Limpopo<\/a> (alias SOCOTRA, FORMOSA, SEXi), LukaLocker<\/a>, Shinra<\/a>et Ours de l’espace<\/a> soulignant une fois de plus le caract\u00e8re durable et persistant de la menace.<\/p>\n LukaLocker, li\u00e9 \u00e0 un op\u00e9rateur surnomm\u00e9 Volcano Demon par Halcyon, est remarquable par le fait qu’il n’utilise pas de site de fuite de donn\u00e9es et appelle plut\u00f4t la victime par t\u00e9l\u00e9phone pour extorquer et n\u00e9gocier le paiement apr\u00e8s avoir crypt\u00e9 les postes de travail et les serveurs Windows.<\/p>\n Le d\u00e9veloppement co\u00efncide avec la d\u00e9couverte de nouvelles variantes Linux du ransomware Mallox (alias Fargo, TargetCompany, Mawahelper) ainsi que de d\u00e9crypteurs associ\u00e9s \u00e0 sept builds diff\u00e9rentes.<\/p>\n Mallox est connu pour se propager par force brute sur les serveurs Microsoft SQL et par des e-mails de phishing ciblant les syst\u00e8mes Windows, les intrusions r\u00e9centes utilisant \u00e9galement un chargeur bas\u00e9 sur .NET nomm\u00e9 PureCrypter.<\/p>\n \u00ab Les attaquants utilisent des scripts Python personnalis\u00e9s pour la livraison de la charge utile et l’exfiltration des informations de la victime \u00bb, ont d\u00e9clar\u00e9 les chercheurs d’Uptycs Tejaswini Sandapolla et Shilpesh Trivedi. dit<\/a>\u00ab Le logiciel malveillant crypte les donn\u00e9es de l’utilisateur et ajoute l’extension .locked aux fichiers crypt\u00e9s. \u00bb<\/p>\n Un d\u00e9crypteur a \u00e9galement \u00e9t\u00e9 mis \u00e0 disposition pour DoNex et ses pr\u00e9d\u00e9cesseurs (Muse, faux LockBit 3.0 et DarkRace) par Avast en exploitant une faille dans le sch\u00e9ma cryptographique. L’entreprise tch\u00e8que de cybers\u00e9curit\u00e9 dit<\/a> elle \u00ab fournit silencieusement le d\u00e9crypteur \u00bb aux victimes depuis mars 2024 en partenariat avec les forces de l’ordre.<\/p>\n \u00ab Malgr\u00e9 les efforts des forces de l\u2019ordre et les mesures de s\u00e9curit\u00e9 renforc\u00e9es, les groupes de ransomware continuent de s\u2019adapter et de prosp\u00e9rer \u00bb, a d\u00e9clar\u00e9 Group-IB.<\/p>\n Donn\u00e9es partag\u00e9es par Malwarebytes<\/a> et Groupe NCC<\/a> Les victimes r\u00e9pertori\u00e9es sur les sites de fuites montrent que 470 attaques de ransomware ont \u00e9t\u00e9 enregistr\u00e9es en mai 2024, contre 356 en avril. La majorit\u00e9 des attaques ont \u00e9t\u00e9 revendiqu\u00e9es par LockBit, Play, Medusa, Akira, 8Base, Qilin et RansomHub.<\/p>\n \u00ab Le d\u00e9veloppement continu de nouvelles souches de ransomware et l\u2019\u00e9mergence de programmes d\u2019affiliation sophistiqu\u00e9s d\u00e9montrent que la menace est loin d\u2019\u00eatre ma\u00eetris\u00e9e \u00bb, a soulign\u00e9 Group-IB. \u00ab Les organisations doivent rester vigilantes et proactives dans leurs efforts de cybers\u00e9curit\u00e9 pour att\u00e9nuer les risques pos\u00e9s par ces menaces en constante \u00e9volution. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-nouveau-ransomware-en-tant-que-service-Eldorado.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n