{"id":239788,"date":"2022-07-05T05:09:22","date_gmt":"2022-07-05T07:09:22","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-partagent-des-techniques-pour-decouvrir-des-sites-de-ransomware-anonymises-sur-le-dark-web\/"},"modified":"2022-07-05T05:09:23","modified_gmt":"2022-07-05T07:09:23","slug":"des-chercheurs-partagent-des-techniques-pour-decouvrir-des-sites-de-ransomware-anonymises-sur-le-dark-web","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-partagent-des-techniques-pour-decouvrir-des-sites-de-ransomware-anonymises-sur-le-dark-web\/","title":{"rendered":"Des chercheurs partagent des techniques pour d\u00e9couvrir des sites de ransomware anonymis\u00e9s sur le dark web"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9taill\u00e9 les diff\u00e9rentes mesures que les acteurs des ran\u00e7ongiciels ont prises pour masquer leur v\u00e9ritable identit\u00e9 en ligne ainsi que l’emplacement d’h\u00e9bergement de leur infrastructure de serveur Web.<\/p>\n

“La plupart des op\u00e9rateurs de ransomwares utilisent des h\u00e9bergeurs en dehors de leur pays d’origine (comme la Su\u00e8de, l’Allemagne et Singapour) pour h\u00e9berger leurs sites d’op\u00e9rations de ransomwares”, a d\u00e9clar\u00e9 Paul Eubanks, chercheur chez Cisco Talos. a dit<\/a>. “Ils utilisent des points de saut VPS comme proxy pour masquer leur v\u00e9ritable emplacement lorsqu’ils se connectent \u00e0 leur infrastructure Web de ransomware pour des t\u00e2ches d’administration \u00e0 distance.”<\/p>\n

L’utilisation du r\u00e9seau TOR et des services d’enregistrement proxy DNS pour fournir une couche suppl\u00e9mentaire d’anonymat pour leurs op\u00e9rations ill\u00e9gales est \u00e9galement importante.<\/p>\n

Mais en profitant des faux pas de s\u00e9curit\u00e9 op\u00e9rationnelle des acteurs de la menace et d’autres techniques, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a r\u00e9v\u00e9l\u00e9 la semaine derni\u00e8re qu’elle \u00e9tait en mesure d’identifier les services cach\u00e9s TOR h\u00e9berg\u00e9s sur des adresses IP publiques, dont certaines sont des infrastructures jusque-l\u00e0 inconnues associ\u00e9es \u00e0 Anges noirs<\/a>, Arracher<\/a>, Quantum<\/a>et Nokoyawa<\/a> groupes de ran\u00e7ongiciels.<\/p>\n

Alors que les groupes de ran\u00e7ongiciels sont connus pour s’appuyer sur le dark web pour dissimuler leurs activit\u00e9s illicites allant de la fuite de donn\u00e9es vol\u00e9es \u00e0 la n\u00e9gociation de paiements avec les victimes, Talos a r\u00e9v\u00e9l\u00e9 qu’il \u00e9tait en mesure d’identifier “des adresses IP publiques h\u00e9bergeant la m\u00eame infrastructure d’acteur de menace que celles sur le dark”. la toile.”<\/p>\n

“Les m\u00e9thodes que nous avons utilis\u00e9es pour identifier les IP Internet publiques impliquaient de faire correspondre les acteurs de la menace” [self-signed] Certificat TLS<\/a> les num\u00e9ros de s\u00e9rie et les \u00e9l\u00e9ments de page avec ceux index\u00e9s sur l’Internet public \u00bb, a d\u00e9clar\u00e9 Eubanks.<\/p>\n

\"Sites<\/div>\n

Outre la correspondance des certificats TLS, une deuxi\u00e8me m\u00e9thode utilis\u00e9e pour d\u00e9couvrir les infrastructures Web claires des adversaires consistait \u00e0 v\u00e9rifier les favicons associ\u00e9s aux sites Web darknet par rapport \u00e0 l’Internet public \u00e0 l’aide de robots d’exploration Web comme Shodan.<\/p>\n

Dans le cas de Nokoyawa<\/a>“\/var\/log\/auth.log<\/a>” fichier utilis\u00e9 pour capturer les connexions des utilisateurs.<\/p>\n

Les r\u00e9sultats d\u00e9montrent que non seulement les sites de fuite des acteurs criminels sont accessibles \u00e0 tout utilisateur sur Internet, mais que d’autres composants de l’infrastructure, y compris l’identification des donn\u00e9es du serveur, ont \u00e9t\u00e9 laiss\u00e9s expos\u00e9s, permettant ainsi d’obtenir les emplacements de connexion utilis\u00e9s pour administrer les serveurs de ran\u00e7ongiciels.<\/p>\n

\"Sites<\/div>\n

Une analyse plus approfondie des connexions r\u00e9ussies des utilisateurs root a montr\u00e9 qu’elles provenaient de deux adresses IP 5.230.29[.]12 et 176.119.0[.]195, dont le premier appartient \u00e0 GHOSTnet GmbH, un fournisseur d’h\u00e9bergement qui propose des services de serveur priv\u00e9 virtuel (VPS).<\/p>\n

“176.119.0[.]195 appartient cependant \u00e0 AS58271 qui est r\u00e9pertori\u00e9 sous le nom de Tyatkova Oksana Valerievna \u00bb, a not\u00e9 Eubanks. \u00ab Il est possible que l’op\u00e9rateur ait oubli\u00e9 d’utiliser le VPS bas\u00e9 en Allemagne pour l’obscurcissement et se soit connect\u00e9 \u00e0 une session avec ce serveur Web directement \u00e0 partir de leur v\u00e9ritable emplacement au 176.119. .0[.]195.”<\/p>\n

LockBit ajoute un programme de primes de bogues \u00e0 son op\u00e9ration RaaS remani\u00e9e<\/h3>\n

Le d\u00e9veloppement intervient alors que les op\u00e9rateurs du ran\u00e7ongiciel \u00e9mergent Black Basta \u00e9tendu<\/a> son arsenal d’attaque en utilisant QakBot pour l’acc\u00e8s initial et le mouvement lat\u00e9ral, et en tirant parti de la vuln\u00e9rabilit\u00e9 PrintNightmare (CVE-2021-34527) pour effectuer des op\u00e9rations sur les fichiers privil\u00e9gi\u00e9s.<\/p>\n

\"La<\/a><\/div>\n

De plus, le gang du ran\u00e7ongiciel LockBit la semaine derni\u00e8re annonc\u00e9<\/a> la sortie de LockBit 3.0 avec le message “Make Ransomware Great Again!”, en plus de lancer son propre programme Bug Bounty, offrant des r\u00e9compenses allant de 1 000 \u00e0 1 million de dollars pour l’identification des failles de s\u00e9curit\u00e9 et des “id\u00e9es brillantes” pour am\u00e9liorer son logiciel.<\/p>\n

“La sortie de LockBit 3.0 avec l’introduction d’un programme de primes de bogues est une invitation formelle aux cybercriminels \u00e0 aider le groupe dans sa qu\u00eate pour rester au sommet”, a d\u00e9clar\u00e9 Satnam Narang, ing\u00e9nieur de recherche senior chez Tenable, dans un communiqu\u00e9 partag\u00e9. avec The Hacker News.<\/p>\n

“Un objectif cl\u00e9 du programme de primes de bogues sont les mesures d\u00e9fensives\u00a0: emp\u00eacher les chercheurs en s\u00e9curit\u00e9 et les forces de l’ordre de trouver des bogues dans ses sites de fuite ou de ran\u00e7ongiciels, identifier les moyens par lesquels les membres, y compris le patron du programme d’affiliation, pourraient \u00eatre dox\u00e9s, ainsi que trouver des bogues dans la messagerie. logiciel utilis\u00e9 par le groupe pour les communications internes et le r\u00e9seau Tor lui-m\u00eame.”<\/p>\n

“La menace d’\u00eatre dox\u00e9 ou identifi\u00e9 indique que les efforts des forces de l’ordre sont clairement une grande pr\u00e9occupation pour des groupes comme LockBit. Enfin, le groupe pr\u00e9voit d’offrir Zcash comme option de paiement, ce qui est important, car Zcash est plus difficile \u00e0 tracer que Bitcoin, ce qui rend plus difficile pour les chercheurs de garder un \u0153il sur l’activit\u00e9 du groupe.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9taill\u00e9 les diff\u00e9rentes mesures que les acteurs des ran\u00e7ongiciels ont prises pour masquer leur v\u00e9ritable identit\u00e9 en ligne ainsi que l’emplacement d’h\u00e9bergement de leur infrastructure de serveur Web. “La plupart des op\u00e9rateurs de ransomwares utilisent des h\u00e9bergeurs en dehors de leur pays d’origine (comme la Su\u00e8de, l’Allemagne et Singapour) pour […]<\/p>\n","protected":false},"author":1,"featured_media":239789,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[86317,12848,4168,4158,4165,4161,6503,343,133,4157,4159,4171,4170,4167,4160,4163,4162,5937,185,4392,4172,4169,2783,60,7447,4166,4164,2784],"class_list":["post-239788","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-anonymises","tag-chercheurs","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dark","tag-decouvrir","tag-des","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-partagent","tag-pour","tag-ransomware","tag-securite-informatique","tag-securite-internet","tag-sites","tag-sur","tag-techniques","tag-violation-de-donnees","tag-vulnerabilite-logicielle","tag-web"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/239788","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=239788"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/239788\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/239789"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=239788"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=239788"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=239788"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}