Apr\u00e8s que la Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis ait publi\u00e9 un d\u00e9crypteur permettant aux victimes concern\u00e9es de se remettre des attaques de ran\u00e7ongiciels ESXiArgs, les acteurs de la menace ont rebondi avec une version mise \u00e0 jour qui crypte davantage de donn\u00e9es.<\/p>\n
L’\u00e9mergence de la nouvelle variante a \u00e9t\u00e9 signal\u00e9<\/a> par un administrateur syst\u00e8me sur un forum en ligne, o\u00f9 un autre participant a d\u00e9clar\u00e9 que les fichiers de plus de 128 Mo auront 50 % de leurs donn\u00e9es crypt\u00e9es, ce qui rend le processus de r\u00e9cup\u00e9ration plus difficile.<\/p>\n Un autre changement notable est la suppression de l’adresse Bitcoin de la note de ran\u00e7on, les attaquants exhortant d\u00e9sormais les victimes \u00e0 les contacter sur Tox pour obtenir les informations sur le portefeuille.<\/p>\n Les acteurs de la menace “ont r\u00e9alis\u00e9 que les chercheurs suivaient leurs paiements, et ils savaient peut-\u00eatre m\u00eame avant de publier le ransomware que le processus de cryptage dans la variante d’origine \u00e9tait relativement facile \u00e0 contourner”, Censys a dit<\/a> dans un \u00e9crit.<\/p>\n \u00ab En d’autres termes : ils regardent.<\/p>\n Statistiques partag\u00e9es par la plateforme crowdsourc\u00e9e Ransomwhere r\u00e9v\u00e9ler<\/a> que jusqu’\u00e0 1 252 serveurs ont \u00e9t\u00e9 infect\u00e9s par la nouvelle version d’ESXiArgs au 9 f\u00e9vrier 2023, dont 1 168 sont des r\u00e9infections.<\/p>\n Depuis le d\u00e9but de l’\u00e9pid\u00e9mie de ransomware d\u00e9but f\u00e9vrier, plus de 3 800 h\u00f4tes uniques ont \u00e9t\u00e9 compromis. UN majorit\u00e9<\/a> des infections se situent en France, aux \u00c9tats-Unis, en Allemagne, au Canada, au Royaume-Uni, aux Pays-Bas, en Finlande, en Turquie, en Pologne et \u00e0 Ta\u00efwan.<\/p>\n ESXiArgs, comme Cheerscrypt et PrideLocker<\/a>est bas\u00e9 sur le casier Babuk, qui avait son fuite du code source<\/a> dans Septembre 2021<\/a>. Mais un aspect crucial qui le diff\u00e9rencie des autres familles de ran\u00e7ongiciels est l’absence de site de fuite de donn\u00e9es, indiquant qu’il ne fonctionne pas sur un ran\u00e7ongiciel en tant que service<\/a> (RaaS<\/a>) mod\u00e8le.<\/p>\n “Les ran\u00e7ons sont fix\u00e9es \u00e0 un peu plus de deux bitcoins (47 000 dollars am\u00e9ricains) et les victimes ont trois jours pour payer”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Intel471. a dit<\/a>.<\/p>\n Alors que l’on soup\u00e7onnait initialement que les intrusions impliquaient l’abus d’un bogue OpenSLP vieux de deux ans et maintenant corrig\u00e9 dans VMware ESXi (CVE-2021-21974), des compromis ont \u00e9t\u00e9 signal\u00e9s dans des appareils sur lesquels le protocole de d\u00e9couverte de r\u00e9seau est d\u00e9sactiv\u00e9.<\/p>\n VMware a depuis d\u00e9clar\u00e9 qu’il n’avait trouv\u00e9 aucune preuve sugg\u00e9rant qu’une vuln\u00e9rabilit\u00e9 zero-day dans son logiciel \u00e9tait utilis\u00e9e pour propager le ransomware.<\/p>\n Cela indique que les acteurs de la menace \u00e0 l’origine de l’activit\u00e9 peuvent tirer parti plusieurs vuln\u00e9rabilit\u00e9s connues<\/a> dans ESXi \u00e0 leur avantage, ce qui rend imp\u00e9ratif que les utilisateurs agissent rapidement pour mettre \u00e0 jour vers la derni\u00e8re version. Les attaques n’ont pas encore \u00e9t\u00e9 attribu\u00e9es \u00e0 un acteur ou \u00e0 un groupe mena\u00e7ant connu.<\/p>\n “Sur la base de la demande de ran\u00e7on, la campagne est li\u00e9e \u00e0 un seul acteur ou groupe mena\u00e7ant”, d\u00e9clare Arctic Wolf. soulign\u00e9<\/a>. “Des groupes de ran\u00e7ongiciels plus \u00e9tablis effectuent g\u00e9n\u00e9ralement un OSINT sur des victimes potentielles avant de proc\u00e9der \u00e0 une intrusion et fixent le paiement de la ran\u00e7on en fonction de la valeur per\u00e7ue.”<\/p>\n![\"Ran\u00e7ongiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676132080_788_Une-nouvelle-variante-ESXiArgs-Ransomware-emerge-apres-la-publication-de.png\" "\\"Ran\u00e7ongiciel")
<\/div>\n![\"Ran\u00e7ongiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676132080_834_Une-nouvelle-variante-ESXiArgs-Ransomware-emerge-apres-la-publication-de.png\" "\\"Ran\u00e7ongiciel")
<\/div>\n