La souche de ransomware connue sous le nom de BlackSuit a demand\u00e9 jusqu’\u00e0 500 millions de dollars de ran\u00e7on \u00e0 ce jour, avec une demande de ran\u00e7on individuelle atteignant 60 millions de dollars.<\/p>\n
C’est ce qu’indique un avis mis \u00e0 jour de l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) et du Federal Bureau of Investigation (FBI).<\/p>\n
\u00ab Les acteurs de BlackSuit ont montr\u00e9 une volont\u00e9 de n\u00e9gocier les montants des paiements \u00bb, ont d\u00e9clar\u00e9 les agences dit<\/a>\u00ab Les montants de la ran\u00e7on ne font pas partie de la note de ran\u00e7on initiale, mais n\u00e9cessitent une interaction directe avec l’acteur de la menace via une URL .onion (accessible via le navigateur Tor) fournie apr\u00e8s le cryptage. \u00bb<\/p>\n Les attaques impliquant des ransomwares ont cibl\u00e9 plusieurs secteurs d\u2019infrastructures critiques couvrant les installations commerciales, les soins de sant\u00e9 et la sant\u00e9 publique, les installations gouvernementales et la fabrication critique.<\/p>\n \u00c9volution du ransomware Royal, il exploite l’acc\u00e8s initial obtenu via des e-mails de phishing pour d\u00e9sarmer les logiciels antivirus et exfiltrer les donn\u00e9es sensibles avant de d\u00e9ployer finalement le ransomware et de crypter les syst\u00e8mes.<\/p>\n D\u2019autres voies d\u2019infection courantes incluent l\u2019utilisation du protocole RDP (Remote Desktop Protocol), l\u2019exploitation d\u2019applications Internet vuln\u00e9rables et l\u2019acc\u00e8s achet\u00e9 via des courtiers d\u2019acc\u00e8s initiaux (IAB).<\/p>\n Les acteurs de BlackSuit sont connus pour utiliser des logiciels et des outils l\u00e9gitimes de surveillance et de gestion \u00e0 distance (RMM) tels que les logiciels malveillants SystemBC et GootLoader pour maintenir la persistance dans les r\u00e9seaux des victimes.<\/p>\n \u00ab Des acteurs de BlackSuit ont \u00e9t\u00e9 observ\u00e9s en train d’utiliser SharpShares et SoftPerfect NetWorx pour recenser les r\u00e9seaux des victimes \u00bb, ont not\u00e9 les agences. \u00ab L’outil de vol d’identifiants Mimikatz, disponible au public, et les outils de collecte de mots de passe de Nirsoft ont \u00e9galement \u00e9t\u00e9 trouv\u00e9s sur les syst\u00e8mes des victimes. Des outils tels que PowerTool et GMER sont souvent utilis\u00e9s pour arr\u00eater les processus syst\u00e8me. \u00bb<\/p>\n La CISA et le FBI ont mis en garde contre une augmentation des cas o\u00f9 les victimes re\u00e7oivent des communications t\u00e9l\u00e9phoniques ou par courrier \u00e9lectronique de la part des acteurs de BlackSuit concernant la compromission et la ran\u00e7on, une tactique de plus en plus adopt\u00e9e par les gangs de ransomware pour augmenter la pression.<\/p>\n \u00ab Ces derni\u00e8res ann\u00e9es, les acteurs malveillants semblent de plus en plus int\u00e9ress\u00e9s non seulement \u00e0 menacer directement les organisations, mais \u00e9galement \u00e0 menacer les victimes secondaires \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sophos. dit<\/a> Dans un rapport publi\u00e9 cette semaine, \u00ab par exemple, comme cela a \u00e9t\u00e9 rapport\u00e9 en janvier 2024, des attaquants ont menac\u00e9 d’\u00ab \u00e9craser \u00bb les patients d’un h\u00f4pital sp\u00e9cialis\u00e9 dans le cancer et ont envoy\u00e9 des SMS mena\u00e7ants \u00e0 l’\u00e9pouse d’un PDG. \u00bb<\/p>\n Ce n\u2019est pas tout. Les acteurs malveillants ont \u00e9galement affirm\u00e9 avoir \u00e9valu\u00e9 les donn\u00e9es vol\u00e9es \u00e0 la recherche de preuves d\u2019activit\u00e9s ill\u00e9gales, de non-conformit\u00e9 r\u00e9glementaire et d\u2019\u00e9carts financiers, allant m\u00eame jusqu\u2019\u00e0 d\u00e9clarer qu\u2019un employ\u00e9 d\u2019une organisation compromise avait recherch\u00e9 du mat\u00e9riel d\u2019abus sexuel sur enfant en publiant l\u2019historique de son navigateur Web.<\/p>\n De telles m\u00e9thodes agressives peuvent non seulement \u00eatre utilis\u00e9es comme moyen de pression suppl\u00e9mentaire pour contraindre leurs cibles \u00e0 payer, mais elles peuvent \u00e9galement nuire \u00e0 leur r\u00e9putation en les critiquant comme \u00e9tant contraires \u00e0 l\u2019\u00e9thique ou n\u00e9gligentes.<\/p>\n Ce d\u00e9veloppement intervient dans un contexte d’\u00e9mergence de nouvelles familles de ransomwares comme Lynx<\/a>, Espion oc\u00e9anique<\/a>, Radar<\/a>, Zilla<\/a> (une variante du ransomware Crysis\/Dharma), et Zola<\/a> (une variante du ransomware Proton) dans la nature, m\u00eame si les groupes de ransomware existants font constamment \u00e9voluer leur modus operandi en incorporant de nouveaux outils dans leur arsenal.<\/p>\n Un exemple de cas est celui de Hunters International, qui a \u00e9t\u00e9 observ\u00e9 en utilisant un nouveau malware bas\u00e9 sur C# appel\u00e9 SharpRhino comme vecteur d’infection initial et un cheval de Troie d’acc\u00e8s \u00e0 distance (RAT). ThunderShell<\/a> Famille de logiciels malveillants, elle est diffus\u00e9e via un domaine de typosquatting se faisant passer pour l’outil d’administration r\u00e9seau populaire Angry IP Scanner.<\/p>\n Il convient de souligner que des campagnes de malvertising ont \u00e9t\u00e9 rep\u00e9r\u00e9<\/a> en livrant le malware aussi r\u00e9cemment qu’en janvier 2024, selon eSentire. Le RAT open source est \u00e9galement appel\u00e9 Colis RAT<\/a> et JAMBON FUM\u00c9<\/a>.<\/p>\n \u00ab Lors de son ex\u00e9cution, il \u00e9tablit une persistance et fournit \u00e0 l’attaquant un acc\u00e8s \u00e0 distance \u00e0 l’appareil, qui est ensuite utilis\u00e9 pour faire progresser l’attaque \u00bb, explique Michael Forret, chercheur chez Quorum Cyber. dit<\/a>\u00ab En utilisant des techniques in\u00e9dites, le logiciel malveillant est capable d’obtenir un niveau \u00e9lev\u00e9 d’autorisation sur l’appareil afin de garantir que l’attaquant est en mesure de poursuivre son ciblage avec un minimum de perturbations. \u00bb<\/p>\n Hunters International est consid\u00e9r\u00e9 comme une nouvelle entit\u00e9 du groupe de ransomware Hive, aujourd’hui disparu. D\u00e9tect\u00e9 pour la premi\u00e8re fois en octobre 2023, il a revendiqu\u00e9 la responsabilit\u00e9 de 134 attaques au cours des sept premiers mois de 2024.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Le-FBI-et-la-CISA-mettent-en-garde-contre-le.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n