Les syst\u00e8mes Windows et Linux sont cibl\u00e9s par une variante de ransomware appel\u00e9e HelloXD, les infections impliquant \u00e9galement le d\u00e9ploiement d’une porte d\u00e9rob\u00e9e pour faciliter l’acc\u00e8s \u00e0 distance persistant aux h\u00f4tes infect\u00e9s.<\/p>\n
“Contrairement \u00e0 d’autres groupes de ransomwares, cette famille de ransomwares n’a pas de site de fuite actif\u00a0; \u00e0 la place, elle pr\u00e9f\u00e8re diriger la victime touch\u00e9e vers des n\u00e9gociations via Chat toxicomane<\/a> et les instances de messagerie bas\u00e9es sur l’oignon \u00bb, Daniel Bunce et Doel Santos, chercheurs en s\u00e9curit\u00e9 de l’unit\u00e9 42 de Palo Alto Networks, a dit<\/a> dans une nouvelle r\u00e9daction.<\/p>\n BonjourXD<\/a> a fait surface dans la nature le 30 novembre 2021 et est bas\u00e9 sur le code divulgu\u00e9 de Babuk, qui \u00e9tait publi\u00e9<\/a> sur un forum russophone sur la cybercriminalit\u00e9 en septembre 2021.<\/p>\n La famille des ran\u00e7ongiciels ne fait pas exception \u00e0 la norme dans la mesure o\u00f9 les op\u00e9rateurs suivent l’approche \u00e9prouv\u00e9e de double extorsion<\/a> d’exiger des paiements en crypto-monnaie en exfiltrant les donn\u00e9es sensibles d’une victime en plus de les chiffrer et de menacer de rendre publiques les informations.<\/p>\n L’implant en question, nomm\u00e9 Micro porte d\u00e9rob\u00e9e<\/a>est un logiciel malveillant open source utilis\u00e9 pour les communications de commande et de contr\u00f4le (C2), avec son d\u00e9veloppeur Dmytro Oleksiuk appel<\/a> c’est “une chose vraiment minimaliste avec toutes les fonctionnalit\u00e9s de base en moins de 5 000 lignes de code”.<\/p>\n Notamment, diff\u00e9rentes variantes de l’implant ont \u00e9t\u00e9 adopt\u00e9es par l’acteur mena\u00e7ant bi\u00e9lorusse surnomm\u00e9 Ghostwriter (alias UNC1151) dans son cyber-op\u00e9rations<\/a> contre les organisations \u00e9tatiques ukrainiennes en mars 2022.<\/p>\n Les fonctionnalit\u00e9s de MicroBackdoor permettent \u00e0 un attaquant de parcourir le syst\u00e8me de fichiers, de charger et de t\u00e9l\u00e9charger des fichiers, d’ex\u00e9cuter des commandes et d’effacer les preuves de sa pr\u00e9sence sur les machines compromises. On soup\u00e7onne que le d\u00e9ploiement de la porte d\u00e9rob\u00e9e est effectu\u00e9 pour “surveiller la progression du ransomware”. <\/p>\n L’unit\u00e9 42 a d\u00e9clar\u00e9 avoir li\u00e9 le d\u00e9veloppeur russe probable derri\u00e8re HelloXD – qui utilise les alias en ligne x4k, L4ckyguy, unKn0wn, unk0w, _unkn0wn et x4kme – \u00e0 d’autres activit\u00e9s malveillantes telles que la vente d’exploits de preuve de concept (PoC) et Kali personnalis\u00e9 Distributions Linux en reconstituant le parcours num\u00e9rique de l’acteur.<\/p>\n “x4k a une pr\u00e9sence en ligne tr\u00e8s solide, ce qui nous a permis de d\u00e9couvrir une grande partie de son activit\u00e9 au cours de ces deux derni\u00e8res ann\u00e9es”, ont d\u00e9clar\u00e9 les chercheurs. “Cet acteur de la menace n’a pas fait grand-chose pour cacher les activit\u00e9s malveillantes et va probablement continuer ce comportement.”<\/p>\n Les r\u00e9sultats proviennent d’une nouvelle \u00e9tude d’IBM X-Force r\u00e9v\u00e9l\u00e9<\/a> que la dur\u00e9e moyenne d’une attaque de ransomware d’entreprise – c’est-\u00e0-dire le temps entre l’acc\u00e8s initial et le d\u00e9ploiement du ransomware – a r\u00e9duit de 94,34 % entre 2019 et 2021, passant de plus de deux mois \u00e0 seulement 3,85 jours.<\/p>\n Les tendances \u00e0 la vitesse et \u00e0 l’efficacit\u00e9 accrues de l’\u00e9cosyst\u00e8me des ran\u00e7ongiciels en tant que service (RaaS) ont \u00e9t\u00e9 attribu\u00e9es au r\u00f4le central jou\u00e9 par les courtiers d’acc\u00e8s initiaux (IAB) pour obtenir l’acc\u00e8s aux r\u00e9seaux des victimes, puis vendre l’acc\u00e8s aux affili\u00e9s, qui, \u00e0 leur tour, abuser de la prise de pied pour d\u00e9ployer des charges utiles de ransomware.<\/p>\n “L’achat d’un acc\u00e8s peut r\u00e9duire consid\u00e9rablement le temps n\u00e9cessaire aux op\u00e9rateurs de ransomwares pour mener une attaque en permettant la reconnaissance des syst\u00e8mes et l’identification des donn\u00e9es cl\u00e9s plus t\u00f4t et plus facilement”, Intel 471 a dit<\/a> dans un rapport soulignant les relations de travail \u00e9troites entre les IAB et les \u00e9quipes de ransomwares.<\/p>\n “De plus, \u00e0 mesure que les relations se renforcent, les groupes de ran\u00e7ongiciels peuvent identifier une victime qu’ils souhaitent cibler et le marchand d’acc\u00e8s peut leur fournir l’acc\u00e8s une fois qu’il est disponible.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjaBbYTALewJvxPx8cnzv0FMFvygJ4ym5US2q-Uxw_N9KSMl8z0Z7pPOeXOEHgnJ9u00oLe7QZR55XMcwv60hQ_dIuT9MTSCTeu-C3cUe-RgpBF3_hTmoXh7ESgmtUaVloM9dS5jXLtkOLVeYSBrepZsVYuf3lxIAlCR4TsZhB-hFm_HGHwjkDsk9teXQ\/s1600\/Jira-ads.png\")
<\/a><\/div>\n![\"Bonjour](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1655112903_375_Hello-XD-Ransomware-Installation-dune-porte-derobee-sur-des-systemes.jpg\" "\\"Bonjour")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n