Ransomware : la France miraculée de l’été 2024 ?

L’essentiel de l’actualité

• Un rapport de TRM Labs a révélé que les groupes russophones dominent les cybercrimes liés aux cryptomonnaies, en particulier les attaques par ransomware. En 2023, ces groupes étaient responsables de 69 % des revenus issus de ce type de cybercriminalité, générant plus de 500 millions de dollars. Ils contrôlent également 95 % des ventes illicites de drogues en cryptomonnaies sur le dark web. Certains de ces acteurs utilisent les cryptomonnaies pour financer des équipements militaires, notamment dans le cadre de la guerre en Ukraine.
• Le rapport de mi-année de Chainalysis sur la criminalité liée aux cryptomonnaies révèle une baisse globale de 19,6 % des activités illicites, mais une hausse notable des fonds volés et des attaques avec ransomware. Les cybercriminels ont presque doublé le montant des fonds volés, atteignant 1,58 milliard de dollars, tandis que les paiements de ransomware pourraient battre des records cette année. L’attaque la plus importante a vu une rançon de 75 millions de dollars payée à un groupe. Les cibles principales incluent désormais les entreprises centralisées et les infrastructures critiques.
• Les attaques avec le ransomware Magniber ont récemment augmenté, touchant principalement des utilisateurs individuels dans le monde entier. Ces infections sont souvent liées à l’exécution de logiciels pirates ou de générateurs de clés, et les rançons exigées varient de 1 000 à 5 000 dollars en Bitcoin. Le ransomware chiffre les fichiers des victimes et ajoute des extensions aléatoires aux noms de fichiers. Actuellement, il n’existe aucun moyen gratuit de déchiffrer ces fichiers. 
• Quorum Cyber a identifié un nouveau malware, SharpRhino, utilisé par le groupe Hunters International. Ce Remote Access Trojan (RAT), écrit en C#, est distribué via des sites typosquattés qui imitent des outils légitimes comme Angry IP Scanner, souvent utilisés par les administrateurs réseau. Une fois installé, SharpRhino donne aux attaquants un accès à distance aux systèmes visés, permettant l’exécution de commandes, notamment des scripts PowerShell, et facilitant l’élévation de privilèges. 
• Le groupe de ransomware Mad Liberator, identifié par l’équipe Sophos X-Ops, utilise des techniques d’ingénierie sociale pour cibler les utilisateurs de logiciels d’accès à distance comme Anydesk. Leurs attaques visent principalement l’exfiltration de données, avec des tactiques de double extorsion. En usurpant des sessions légitimes, ils trompent les victimes pour installer des fichiers malveillants déguisés en mises à jour Windows, tout en désactivant l’entrée utilisateur.
• Selon les équipes Talos de Cisco, le groupe de ransomware BlackByte s’avère bien plus actif qu’il n’en donne l’impression : il ne dévoilerait publiquement que 20 à 30 % de ses attaques réussies. En outre, le groupe utilise des techniques éprouvées combinées à des vulnérabilités récemment divulguées, comme la CVE-2024-37085, pour cibler les infrastructures critiques.