Des chercheurs en cybers\u00e9curit\u00e9 ont mis en lumi\u00e8re une nouvelle version d’une souche de ransomware appel\u00e9e HardBit, qui est fournie avec de nouvelles techniques d’obscurcissement pour dissuader les efforts d’analyse.<\/p>\n
\u00ab Contrairement aux versions pr\u00e9c\u00e9dentes, le groupe HardBit Ransomware a am\u00e9lior\u00e9 la version 4.0 avec une protection par mot de passe \u00bb, ont d\u00e9clar\u00e9 les chercheurs de Cybereason Kotaro Ogino et Koshi Oyama dit<\/a> dans une analyse.<\/p>\n \u00ab La phrase de passe doit \u00eatre fournie pendant l’ex\u00e9cution pour que le ransomware soit ex\u00e9cut\u00e9 correctement. Une obscurcissement suppl\u00e9mentaire emp\u00eache les chercheurs en s\u00e9curit\u00e9 d’analyser le malware. \u00bb<\/p>\n HardBit, qui est apparu pour la premi\u00e8re fois<\/a> en octobre 2022, est un acteur de menace motiv\u00e9 par des raisons financi\u00e8res qui, comme d’autres groupes de ransomware, op\u00e8re dans le but de g\u00e9n\u00e9rer des revenus illicites via des tactiques de double extorsion.<\/p>\n Ce qui distingue ce groupe de pirates, c’est qu’il n’exploite pas de site de fuite de donn\u00e9es, mais fait pression sur les victimes pour qu’elles paient en mena\u00e7ant de mener de nouvelles attaques \u00e0 l’avenir. Son principal mode de communication s’effectue via le service de messagerie instantan\u00e9e Tox.<\/p>\n Le vecteur d’acc\u00e8s initial exact utilis\u00e9 pour violer les environnements cibles n’est pas actuellement clair, bien qu’il soit suspect\u00e9 d’impliquer une attaque par force brute sur les services RDP et SMB.<\/p>\n Les \u00e9tapes de suivi comprennent le vol d’informations d’identification \u00e0 l’aide d’outils tels que Mimikatz et NLBrute, ainsi que la d\u00e9couverte du r\u00e9seau via des utilitaires tels que Advanced Port Scanner, permettant aux attaquants de se d\u00e9placer lat\u00e9ralement sur le r\u00e9seau au moyen de RDP.<\/p>\n \u00ab Apr\u00e8s avoir compromis un h\u00f4te victime, la charge utile du ransomware HardBit est ex\u00e9cut\u00e9e et effectue un certain nombre d’\u00e9tapes qui r\u00e9duisent la posture de s\u00e9curit\u00e9 de l’h\u00f4te avant de crypter les donn\u00e9es de la victime \u00bb, a d\u00e9clar\u00e9 Varonis. not\u00e9<\/a> dans son article technique sur HardBit 2.0 l’ann\u00e9e derni\u00e8re.<\/p>\n Le chiffrement des h\u00f4tes victimes est effectu\u00e9 en d\u00e9ployant HardBit, qui est fourni \u00e0 l’aide d’un virus infectant les fichiers connu appel\u00e9 Neshta<\/a>Il convient de noter que Neshta a \u00e9t\u00e9 utilis\u00e9 par des acteurs malveillants dans le pass\u00e9 pour \u00e9galement distribuer le ransomware Big Head.<\/p>\n HardBit est \u00e9galement con\u00e7u pour d\u00e9sactiver l’antivirus Microsoft Defender et mettre fin aux processus et services afin d’\u00e9chapper \u00e0 la d\u00e9tection potentielle de ses activit\u00e9s et d’emp\u00eacher la r\u00e9cup\u00e9ration du syst\u00e8me. Il crypte ensuite les fichiers d’int\u00e9r\u00eat, met \u00e0 jour leurs ic\u00f4nes, change le fond d’\u00e9cran du bureau et modifie le nom du volume du syst\u00e8me avec la cha\u00eene \u00ab\u00a0Verrouill\u00e9 par HardBit\u00a0\u00bb.<\/p>\n En plus d’\u00eatre propos\u00e9 aux op\u00e9rateurs sous forme de versions en ligne de commande ou d’interface graphique, le ransomware n\u00e9cessite un identifiant d’autorisation pour pouvoir \u00eatre ex\u00e9cut\u00e9 avec succ\u00e8s. La version GUI prend \u00e9galement en charge un mode d’effacement pour effacer irr\u00e9vocablement les fichiers et effacer le disque.<\/p>\n \u00ab Une fois que les acteurs de la menace ont saisi avec succ\u00e8s l’ID d’autorisation d\u00e9cod\u00e9, HardBit demande une cl\u00e9 de cryptage pour crypter les fichiers sur les machines cibles et proc\u00e8de \u00e0 la proc\u00e9dure de ransomware \u00bb, a not\u00e9 Cybereason.<\/p>\n \u00ab La fonctionnalit\u00e9 du mode effaceur doit \u00eatre activ\u00e9e par le groupe HardBit Ransomware et il s’agit probablement d’une fonctionnalit\u00e9 suppl\u00e9mentaire que les op\u00e9rateurs doivent acheter. Si les op\u00e9rateurs ont besoin du mode effaceur, ils doivent d\u00e9ployer hard.txt, un fichier de configuration optionnel du binaire HardBit et contenant l’ID d’autorisation pour activer le mode effaceur. \u00bb<\/p>\n Ce d\u00e9veloppement intervient alors que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trellix d\u00e9taill\u00e9<\/a> une attaque de ransomware CACTUS qui a \u00e9t\u00e9 observ\u00e9e exploitant des failles de s\u00e9curit\u00e9 dans Ivanti Sentry (CVE-2023-38035) pour installer le malware de cryptage de fichiers \u00e0 l’aide d’outils de bureau \u00e0 distance l\u00e9gitimes comme AnyDesk et Splashtop.<\/p>\n L’activit\u00e9 des ransomwares continue de \u00ab suivre une tendance \u00e0 la hausse \u00bb en 2024, les acteurs du ransomware ayant revendiqu\u00e9 962 attaques au premier trimestre 2024, contre 886 attaques signal\u00e9es d’une ann\u00e9e sur l’autre. LockBit, Akira et BlackSuit sont apparus comme les familles de ransomwares les plus r\u00e9pandues au cours de cette p\u00e9riode, a d\u00e9clar\u00e9 Symantec.<\/p>\n Selon le rapport de r\u00e9ponse aux incidents de l’unit\u00e9 42 de 2024 de Palo Alto Networks, temps m\u00e9dian<\/a> Le temps n\u00e9cessaire pour passer d\u2019une compromission \u00e0 une exfiltration de donn\u00e9es est pass\u00e9 de neuf jours en 2021 \u00e0 deux jours l\u2019an dernier. Dans pr\u00e8s de la moiti\u00e9 (45 %) des cas cette ann\u00e9e, ce d\u00e9lai a \u00e9t\u00e9 d\u2019un peu moins de 24 heures.<\/p>\n \u00ab Les preuves disponibles sugg\u00e8rent que l’exploitation des vuln\u00e9rabilit\u00e9s connues dans les applications publiques continue d’\u00eatre le principal vecteur des attaques de ransomware \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 appartenant \u00e0 Broadcom. dit<\/a>\u00ab Bring Your Own Vulnerable Driver (BYOVD) continue d’\u00eatre une tactique privil\u00e9gi\u00e9e parmi les groupes de ransomware, notamment comme moyen de d\u00e9sactiver les solutions de s\u00e9curit\u00e9. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Le-nouveau-ransomware-HardBit-40-utilise-la-protection-par-mot.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n