La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a lib\u00e9r\u00e9<\/a> un nouvel avis sur Royal ransomware, qui est apparu dans le paysage des menaces l’ann\u00e9e derni\u00e8re.<\/p>\n “Apr\u00e8s avoir eu acc\u00e8s aux r\u00e9seaux des victimes, les acteurs royaux d\u00e9sactivent les logiciels antivirus et exfiltrent de grandes quantit\u00e9s de donn\u00e9es avant de finalement d\u00e9ployer le ransomware et chiffrer les syst\u00e8mes”, CISA a dit<\/a>.<\/p>\n La douane programme ran\u00e7ongiciel<\/a>qui cible les organisations am\u00e9ricaines et internationales depuis septembre 2022, aurait \u00e9volu\u00e9 \u00e0 partir d’it\u00e9rations ant\u00e9rieures surnomm\u00e9es Zeon. <\/p>\n De plus, il serait exploit\u00e9 par des acteurs chevronn\u00e9s de la menace qui faisaient autrefois partie de Conti Team One, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Trend Micro a r\u00e9v\u00e9l\u00e9 en d\u00e9cembre 2022.<\/p>\n Le groupe de ran\u00e7ongiciels utilise le phishing de rappel comme moyen de transmettre son ran\u00e7ongiciel aux victimes, une technique largement adopt\u00e9e par les groupes criminels qui se sont s\u00e9par\u00e9s de l’entreprise Conti l’ann\u00e9e derni\u00e8re apr\u00e8s sa fermeture.<\/p>\n D’autres modes d’acc\u00e8s initial incluent le protocole de bureau \u00e0 distance (RDP), l’exploitation d’applications destin\u00e9es au public et via des courtiers d’acc\u00e8s initial (IAB).<\/p>\n Les demandes de ran\u00e7on faites par Royal varient de 1 \u00e0 11 millions de dollars, les attaques ciblant divers secteurs critiques, notamment les communications, l’\u00e9ducation, la sant\u00e9 et la fabrication.<\/p>\n “Royal ransomware utilise une approche de chiffrement partiel unique qui permet \u00e0 l’auteur de la menace de choisir un pourcentage sp\u00e9cifique de donn\u00e9es dans un fichier \u00e0 chiffrer”, a not\u00e9 la CISA. “Cette approche permet \u00e0 l’acteur de r\u00e9duire le pourcentage de chiffrement pour les fichiers plus volumineux, ce qui permet d’\u00e9chapper \u00e0 la d\u00e9tection.”<\/p>\n L’agence de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que plusieurs serveurs de commande et de contr\u00f4le (C2) associ\u00e9s \u00e0 Qakbot ont \u00e9t\u00e9 utilis\u00e9s dans les intrusions de ransomware Royal, bien qu’il soit actuellement ind\u00e9termin\u00e9 si le logiciel malveillant repose exclusivement sur l’infrastructure Qakbot.<\/p>\n Les intrusions sont \u00e9galement caract\u00e9ris\u00e9es par l’utilisation de Cobalt Strike et PsExec pour les mouvements lat\u00e9raux ainsi que la suppression des clich\u00e9s instantan\u00e9s pour emp\u00eacher la r\u00e9cup\u00e9ration du syst\u00e8me. Cobalt Strike est \u00e9galement r\u00e9utilis\u00e9 pour l’agr\u00e9gation et l’exfiltration de donn\u00e9es.<\/p>\n Depuis f\u00e9vrier 2023, Royal ransomware est capable<\/a> de cibler \u00e0 la fois les environnements Windows et Linux. Il a \u00e9t\u00e9 li\u00e9<\/a> \u00e0 19 attaques au cours du seul mois de janvier 2023, le pla\u00e7ant derri\u00e8re LockBit, ALPHV et Vice Society.<\/p>\n <\/p>\n