Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9voil\u00e9 une souche de ransomware auparavant non document\u00e9e appel\u00e9e Rorschach<\/strong> c’est \u00e0 la fois sophistiqu\u00e9 et rapide.<\/p>\n “Ce qui distingue Rorschach des autres souches de ransomwares, c’est son haut niveau de personnalisation et ses fonctionnalit\u00e9s techniquement uniques qui n’ont jamais \u00e9t\u00e9 vues auparavant dans les ransomwares”, a d\u00e9clar\u00e9 Check Point Research. a dit<\/a> dans un nouveau rapport. “En fait, Rorschach est l’un des souches de ransomware les plus rapides<\/a> jamais observ\u00e9, en termes de rapidit\u00e9 de son cryptage.”<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir observ\u00e9 le ransomware d\u00e9ploy\u00e9 contre une soci\u00e9t\u00e9 anonyme bas\u00e9e aux \u00c9tats-Unis, ajoutant qu’elle n’avait trouv\u00e9 aucune marque ou chevauchement qui la relie \u00e0 des acteurs de ransomware connus auparavant.<\/p>\n Cependant, une analyse plus approfondie du code source de Rorschach r\u00e9v\u00e8le des similitudes avec le ran\u00e7ongiciel Babuk, qui a subi une fuite en septembre 2021, et LockBit 2.0. En plus de cela, les notes de ran\u00e7on envoy\u00e9es aux victimes semblent s’inspirer de celles de Yanluowang et DarkSide.<\/p>\n L’aspect le plus significatif de l’intrusion est l’utilisation d’une technique appel\u00e9e Chargement lat\u00e9ral de DLL<\/a> pour charger la charge utile du ransomware, une m\u00e9thode non observ\u00e9e dans de telles attaques. Le d\u00e9veloppement marque une nouvelle sophistication dans les approches adopt\u00e9es par les groupes motiv\u00e9s financi\u00e8rement pour \u00e9viter la d\u00e9tection.<\/p>\n Plus pr\u00e9cis\u00e9ment, le ran\u00e7ongiciel aurait \u00e9t\u00e9 d\u00e9ploy\u00e9 en abusant de l’outil de service Cortex XDR Dump (cy.exe) de Palo Alto Network pour charger une biblioth\u00e8que nomm\u00e9e “winutils.dll”.<\/p>\n Une autre caract\u00e9ristique unique est sa nature hautement personnalisable et l’utilisation d’appels syst\u00e8me directs pour manipuler les fichiers et contourner les m\u00e9canismes de d\u00e9fense.<\/p>\n Le ransomware Rorschach est \u00e9galement charg\u00e9 de mettre fin \u00e0 une liste pr\u00e9d\u00e9finie de services, de supprimer les volumes fant\u00f4mes et les sauvegardes, d’effacer les journaux d’\u00e9v\u00e9nements Windows pour effacer les traces m\u00e9dico-l\u00e9gales, de d\u00e9sactiver le pare-feu Windows et m\u00eame de se supprimer apr\u00e8s avoir termin\u00e9 ses actions.<\/p>\n La propagation interne est obtenue en compromettant le contr\u00f4leur de domaine et en cr\u00e9ant un strat\u00e9gie de groupe<\/a>selon Check Point et la soci\u00e9t\u00e9 sud-cor\u00e9enne de cybers\u00e9curit\u00e9 AhnLab, qui, \u00e0 tort, attribu\u00e9<\/a> la cha\u00eene d’infection \u00e0 DarkSide au d\u00e9but de f\u00e9vrier.<\/p>\n Le ran\u00e7ongiciel, comme d’autres souches de logiciels malveillants observ\u00e9s dans la nature, machines \u00e0 sauter<\/a> situ\u00e9s dans les pays de la Communaut\u00e9 des \u00c9tats ind\u00e9pendants (CEI) en v\u00e9rifiant la langue du syst\u00e8me.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n “Le ran\u00e7ongiciel Rorschach utilise un sch\u00e9ma de cryptographie hybride tr\u00e8s efficace et rapide, qui associe les algorithmes de chiffrement curve25519 et eSTREAM hc-128 \u00e0 des fins de chiffrement”, ont expliqu\u00e9 les chercheurs Jiri Vinopal, Dennis Yarizadeh et Gil Gekker.<\/p>\n Ce processus est con\u00e7u pour ne crypter qu’une partie sp\u00e9cifique du contenu du fichier d’origine au lieu du fichier entier, et utilise des m\u00e9thodes d’optimisation suppl\u00e9mentaires du compilateur qui en font un “d\u00e9mon de la vitesse”.<\/p>\n Lors de cinq tests distincts effectu\u00e9s par Check Point dans un environnement contr\u00f4l\u00e9, 220 000 fichiers ont \u00e9t\u00e9 chiffr\u00e9s \u00e0 l’aide de Rorschach en quatre minutes et 30 secondes en moyenne. LockBit 3.0, en revanche, a pris environ sept minutes.<\/p>\n “Ses d\u00e9veloppeurs ont mis en \u0153uvre de nouvelles techniques d’anti-analyse et d’\u00e9vasion de la d\u00e9fense pour \u00e9viter la d\u00e9tection et rendre plus difficile pour les logiciels de s\u00e9curit\u00e9 et les chercheurs d’analyser et d’att\u00e9nuer ses effets”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “De plus, Rorschach semble avoir pris certaines des “meilleures” fonctionnalit\u00e9s de certains des principaux ransomwares divulgu\u00e9s en ligne, et les a toutes int\u00e9gr\u00e9es ensemble. En plus des capacit\u00e9s d’auto-propagation de Rorschach, cela place la barre plus haut pour les attaques de ran\u00e7on.”<\/p>\n Les r\u00e9sultats arrivent alors que Fortinet FortiGuard Labs d\u00e9taill\u00e9<\/a> deux familles de ran\u00e7ongiciels \u00e9mergentes appel\u00e9es PayMe100USD, un logiciel malveillant de verrouillage de fichiers bas\u00e9 sur Python, et Dark Power, qui est \u00e9crit dans le langage de programmation Nim.<\/p>\n <\/p>\n