Le ransomware Hive largement déchiffré

Quatre chercheurs coréens – Giyoon Kim, Soram Kim, Soojin Kang, et Jongsung Kim – viennent de publier les fruits de leurs travaux : « une méthode pour déchiffrer les données infectées [sic] avec le ransomware Hive ». Les chercheurs ont « analysé le processus de chiffrement » de ce dernier pour trouver des failles dans l’algorithme utilisé. Ainsi, ils sont parvenus à « recouvrer partiellement la clé maître utilisée pour générer la clé de chiffrement des fichiers », à 95 % précisément.

Si les chercheurs indiquent qu’à leur connaissance, il s’agit de la « première tentative réussie pour déchiffrer le ransomware Hive », ils se trompent. Sur la base de nos sources, nous pouvons affirmer que d’autres chercheurs avaient identifié ces défauts d’implémentation du chiffrement il y a plus d’un mois, et partagé les informations correspondantes afin que puissent être aidées d’éventuelles victimes de Hive.

La communication publique des chercheurs coréens devrait rapidement mettre un terme à ces interventions discrètes : les opérateurs de la franchise mafieuse Hive vont pouvoir mettre à jour leur ransomware et corriger ses failles. Une telle situation s’est déjà produite l’an passé, avec Darkside.

Mi-janvier 2021, Bitdefender a ainsi rendu disponible, au téléchargement, un outil gratuit de déchiffrement pour le ransomware Darkside, pour Windows. Mais au moins une frange de la communauté de la cybersécurité connaissait une faille dans les algorithmes de chiffrement de Darkside. Et pour certains, l’éditeur a en fait vendu la mèche.

Les cyberdélinquants aux manettes du rançongiciel n’ont d’ailleurs, de leur côté, pas tardé à exprimer une certaine gratitude : « remerciements spéciaux à Bitdefender pour nous aider à corriger nos problèmes. Cela nous rendra encore meilleurs ».