Qu¡¯est-ce que le ransomware RYUK??
live casino online:?diminuer les risques li¨¦s aux ransomwares avec une gestion proactive de la surface d'attaque
Ryuk est une version du ransomware attribu¨¦e au groupe de pirates WIZARD SPIDER qui a compromis des gouvernements, des universit¨¦s, des ¨¦tablissements de sant¨¦, des entreprises manufacturi¨¨res et des organisations technologiques. En 2019, Ryuk a connu la plus forte demande de ran?on, avec 12,5?millions?USD, et a probablement r¨¦colt¨¦ un total de 150?millions?USD jusqu¡¯¨¤ fin?2020.
Attaque de ransomware Ryuk
Ryuk, ¨¤ prononcer ri-yuk, est une famille de ransomware qui a fait sa premi¨¨re apparition entre le milieu et la fin de l¡¯ann¨¦e?2018. En d¨¦cembre?2018, le New?York?Times a indiqu¨¦ que Tribune Publishing avait ¨¦t¨¦ infect¨¦ par Ryuk, ce qui avait perturb¨¦ l¡¯impression ¨¤ San Diego et en Floride. Le New York Times et le Wall Street Journal partageaient un site d'impression ¨¤ Los Angeles. Ils ont ¨¦galement ¨¦t¨¦ affect¨¦s par l¡¯attaque, qui a caus¨¦ des probl¨¨mes de distribution pour les ¨¦ditions des journaux du samedi.
Variante de l¡¯ancien ransomware Hermes, Ryuk arrive en t¨ºte de la liste des attaques de ransomware les plus dangereuses. Dans le rapport mondial sur les menaces CrowdStrike?2020, Ryuk repr¨¦sente trois des 10?plus grandes demandes de ran?on de l¡¯ann¨¦e?: 5,3?millions USD, 9,9?millions?USD et 12,5?millions USD. Ryuk a r¨¦ussi ¨¤ attaquer des industries et soci¨¦t¨¦s du monde entier. Les pirates d¨¦signent la pratique de ciblage des grandes soci¨¦t¨¦s par le nom de ??big game hunting?? (BGH).
Fait int¨¦ressant, cette famille de ransomware porte un nom japonais issu de l¡¯anime Death Note. Son nom signifie ??cadeau de Dieu??, un choix ¨¦trange pour un ransomware, ¨¦tant donn¨¦ que les cibles perdent des donn¨¦es ou de l¡¯argent. Mais du point de vue du pirate, il peut ¨ºtre consid¨¦r¨¦ comme un cadeau de Dieu.
On pense qu¡¯un groupe de cybercriminels russe nomm¨¦ WIZARD SPIDER exploite le ransomware Ryuk. UNC1878, un acteur malveillant d¡¯Europe de l¡¯Est, est ¨¤ l¡¯origine d¡¯attaques sp¨¦cifiques aux soins de sant¨¦. Le d¨¦ploiement de ce ransomware n¡¯est pas direct?; les pirates commencent par t¨¦l¨¦charger d¡¯autres malwares sur un ordinateur.
Lorsque Ryuk infecte un syst¨¨me, il commence par arr¨ºter 180?services et 40?processus. Ces services et processus pourraient emp¨ºcher le bon fonctionnement de Ryuk, ou sont n¨¦cessaires pour faciliter l'attaque.
Le chiffrement peut alors avoir lieu. Ryuk chiffre des fichiers comme des photos, des vid¨¦os, des bases de donn¨¦es et des documents, toutes les donn¨¦es importantes pour vous, ¨¤ l'aide d¡¯un chiffrement AES-256. Les cl¨¦s de chiffrement sym¨¦trique sont ensuite chiffr¨¦es ¨¤ l¡¯aide du RSA-4096 asym¨¦trique.
Ryuk peut chiffrer ¨¤ distance, y compris des partages administratifs distants. De plus, il peut ex¨¦cuter la fonction Wake-On-Lan et sortir les ordinateurs de veille pour les chiffrer. Ces fonctionnalit¨¦s participent ¨¤ l¡¯efficacit¨¦ et ¨¤ la port¨¦e de son chiffrement et des dommages qu¡¯il peut causer.
Les pirates laissent des notes al¨¦atoires dans le syst¨¨me, comme RyukReadMe.txt et UNIQUE_ID_DO_NOT_REMOVE.txt, comportant du texte semblable ¨¤ celui pr¨¦sent¨¦ dans la capture d'¨¦cran suivante.
Source?:
Vecteur d'attaque de Ryuk
Ryuk peut utiliser le t¨¦l¨¦chargement en tant que service (DaaS) pour infecter les syst¨¨mes cibl¨¦s. DaaS est un service propos¨¦ par un pirate ¨¤ un autre. Si un pirate d¨¦veloppe un ransomware, mais ne sait pas comment le distribuer, d'autres pirates poss¨¦dant ces comp¨¦tences vont l¡¯y aider.
Souvent, des utilisateurs deviennent malencontreusement la proie d'attaques de phishing qui facilitent l¡¯infection initiale. AdvIntel indique que 91?% des attaques commencent par des emails de phishing. Il est extr¨ºmement important de former les utilisateurs ¨¤ d¨¦tecter ce type d¡¯emails. Cela permet de r¨¦duire radicalement ce type d¡¯infections. Consultez .
Ryuk est l¡¯un des programmes de ransomware as a service (RaaS) les plus connus en termes de port¨¦e d¡¯infection. Le ransomware as a service (RaaS) est un mod¨¨le dans lequel les d¨¦veloppeurs de ransomware le mettent ¨¤ la disposition d¡¯autres pirates. Le d¨¦veloppeur re?oit un pourcentage sur les paiements de ran?on per?us. Le RaaS est une adaptation du mod¨¨le software as a service (SaaS).
Lorsque l¡¯utilisateur clique sur l¡¯email de phishing, Ryuk t¨¦l¨¦charge des ¨¦l¨¦ments de malware suppl¨¦mentaires, nomm¨¦s injecteurs. Les malwares suppl¨¦mentaires comprennent Trickbot, Zloader, BazarBackdoor et d¡¯autres. Ces injecteurs peuvent installer Ryuk directement.
Ils peuvent ¨¦galement installer un autre malware, tel que Cobalt Strike Beacon, pour communiquer avec un r¨¦seau de commandement et contr?le (C2). Ryuk se t¨¦l¨¦charge une fois le malware install¨¦. Ryuk a ¨¦galement tir¨¦ parti d¡¯exploits tels que la vuln¨¦rabilit¨¦ ZeroLogon dans les serveurs Windows.
Le diagramme ci-dessous montre le parcours d¡¯infection ou kill chain d'attaque de Ryuk.
Sophos Group, une soci¨¦t¨¦ de s¨¦curit¨¦ britannique, a identifi¨¦ le flux d'attaque de Ryuk, ¨¦galement nomm¨¦ kill chain d'attaque. Consultez le sch¨¦ma ci-dessous.
Source?:
Trickbot
Trickbot a fait son apparition en 2016. On pense qu¡¯il est dirig¨¦ par WIZARD SPIDER, le m¨ºme groupe de piratage qui exploite Ryuk. Ce malware a ¨¦t¨¦ utilis¨¦ en tant que cheval de Troie bancaire pour voler les informations d¡¯identification des utilisateurs, les informations personnellement identifiables et les bitcoins.
Des pirates comp¨¦tents ont cr¨¦¨¦ Trickbot. Ils l¡¯ont con?u pour qu¡¯il puisse ¨ºtre utilis¨¦ ¨¤ d'autres fins, comme la recherche de fichiers sur un syst¨¨me infect¨¦. Il peut se d¨¦placer lat¨¦ralement dans un r¨¦seau, d'une machine ¨¤ une autre. Les capacit¨¦s de Trickbot int¨¨grent ¨¤ pr¨¦sent la r¨¦cup¨¦ration d¡¯informations d'identification, le minage de cryptomonnaie, etc., mais sa fonction la plus importante consiste ¨¤ d¨¦ployer le ransomware Ryuk.
Indicateurs de compromission de Ryuk
Les causes de d¨¦vastation du ransomware peuvent ¨ºtre dramatiques. Mieux vaut donc ¨¦viter une infection avant qu¡¯elle ne se produise. Cela n¡¯¨¦tant pas toujours possible, l'¨¦quipe des op¨¦rations doit guetter les premiers pas d¡¯une attaque et agir imm¨¦diatement pour ¨¦viter tous dommages suppl¨¦mentaires.
Ryuk pouvant infecter un syst¨¨me via de nombreux vecteurs d'attaque diff¨¦rents, le travail n¨¦cessaire pour le d¨¦tecter est complexe. De nombreux indicateurs de compromission (IOC) permettent aux administrateurs de r¨¦seau et de s¨¦curit¨¦ de voir les signes pr¨¦curseurs d¡¯une infection Ryuk.
BazarLoader, un injecteur, est un point d¡¯entr¨¦e courant pour Ryuk. Un injecteur, ou DaaS, est un malware qui t¨¦l¨¦charge d'autres malwares. Voici quelques IOC BazarLoader ¨¤ surveiller?:
- Une t?che planifi¨¦e nomm¨¦e ??StartAd-Ad?? s'affiche dans le registre Windows avec des entr¨¦es autorun ajout¨¦es ¨¤ c?t¨¦
- Des fichiers ex¨¦cutables ¨¤ double extension comme Report.DOC.exe
?
TrickBot est une autre entr¨¦e courante pour Ryuk, comme indiqu¨¦ ci-dessus. Son IOC est un fichier ex¨¦cutable qui contient un nom de fichier ¨¤ 12?caract¨¨res, g¨¦n¨¦r¨¦ de mani¨¨re al¨¦atoire. Lorsque TrickBot cr¨¦e le fichier, comme mnfjdieks.exe, il serait dans l¡¯un de ces r¨¦pertoires?:
- C:\Windows\
- C:\Windows\SysWOW64
- C:\Users\[Username]\AppData\Roaming
?
Pour obtenir la liste compl¨¨te des IOC TrickBot, veuillez consulter l'alerte sur le site Web des ?tats-Unis.
Le premier IOC qu¡¯une entreprise voit ressemble souvent ¨¤ la capture d¡¯¨¦cran suivante. Cette capture d'¨¦cran montre que Ryuk a infect¨¦ l¡¯organisation et chiffr¨¦ des donn¨¦es sensibles. La r¨¦cup¨¦ration est bien plus rapide si l¡¯entreprise est pr¨ºte ¨¤ y faire face, avec de bonnes ¨¦quipes de r¨¦ponse aux incidents et manuels, et si elle a sauvegard¨¦ ses donn¨¦es hors ligne.
Source?:
Attaques de ransomware Ryuk en 2020
Ryuk ¨¦tant utilis¨¦ en tant que BGH, il a ¨¦t¨¦ utilis¨¦ pour attaquer des gouvernements, des soci¨¦t¨¦s technologiques et des syst¨¨mes scolaires. Sopra Steria, une soci¨¦t¨¦ de services IT fran?aise poss¨¦dant une marque de cybers¨¦curit¨¦, a subi une infection par Ryuk en 2020. Elle pensait qu'il lui faudrait plusieurs semaines pour s¡¯en remettre.
Ryuk est l¡¯une des plus grandes menaces contre les soins de sant¨¦, et il semblerait que la Covid-19 ait jou¨¦ un r?le dans les attaques sur les soins de sant¨¦ en g¨¦n¨¦ral. Universal Health Services (UHS) est une soci¨¦t¨¦ de soins de sant¨¦ Fortune?500 poss¨¦dant des h?pitaux aux ?tats-Unis et au Royaume-Uni. La soci¨¦t¨¦ a subi une attaque du ransomware Ryuk le 27?septembre?2020.
a indiqu¨¦ que le point d¡¯infection le plus probable pour UHS ¨¦tait un email de phishing. L¡¯email de phishing aurait contenu Emotet, un cheval de Troie. Emotet aurait install¨¦ Trickbot, qui a ensuite permis au groupe de pirates WIZARD SPIDER d¡¯installer manuellement Ryuk gr?ce ¨¤ un reverse shell.
En octobre?2020, des pirates ont infect¨¦ deux autres centres m¨¦dicaux ¨¤ Ryuk. L¡¯un ¨¦tait dans l¡¯Oregon, le Sky Lakes Medical Center, et l¡¯autre ¨¤ New York, le Lawrence Health System. Les attaques ont mis hors ligne les syst¨¨mes informatiques, rendant les dossiers m¨¦dicaux ¨¦lectroniques indisponibles. Les h?pitaux ¨¦taient d¨¦j¨¤ sous tension en raison des soins aux patients pour la Covid-19, et l¡¯attaque n'a fait qu¡¯aggraver la situation. La plupart de ces attaques sur les h?pitaux ont dur¨¦ plusieurs semaines.
Bonnes pratiques en mati¨¨re de ransomware
Les soci¨¦t¨¦s et les personnes peuvent faire de nombreuses choses pour se prot¨¦ger des malwares et des ransomware en particulier. En voici quelques exemples?:
- S'assurer que des correctifs sont appliqu¨¦s pour le syst¨¨me d¡¯exploitation, les logiciels et les firmwares.
- Utiliser l¡¯authentification multifacteur d¨¨s que possible, avec un deuxi¨¨me facteur solide. 2FA en est un exemple. Le National Institute of Standards and Technology (NIST) des ?tats-Unis recommande de pas utiliser les SMS en tant que deuxi¨¨me facteur.
- R¨¦aliser des audits fr¨¦quents sur les comptes, l¡¯acc¨¨s, les journaux et tous les ¨¦l¨¦ments possibles pour v¨¦rifier les configurations et l¡¯activit¨¦
- Cr¨¦er r¨¦guli¨¨rement des sauvegardes de donn¨¦es et les stocker hors ligne, en particulier pour les syst¨¨mes critiques
- ?duquer les utilisateurs, en particulier sur les emails de phishing. Les utilisateurs sont au premier plan pour recevoir, lire les emails et y r¨¦pondre.
live casino online Ransomware Protection
L'ann¨¦e derni¨¨re, 83?% des organisations ont fait face ¨¤ plusieurs violations qui ont co?t¨¦ 4,4?millions USD chacune. La r¨¦duction de l¡¯exposition aux risques a permis d¡¯¨¦conomiser en moyenne 1,3?million?USD.
Cyber Risk Exposure Management, qui fait partie de notre plateforme de cybers¨¦curit¨¦ d'entreprise Trend Vision One?, r¨¦duit fortement les cyber-risques gr?ce ¨¤ une d¨¦tection continue, ¨¤ des ¨¦valuations en temps r¨¦el et ¨¤ une ma?trise automatis¨¦e des risques dans les environnements cloud, hybrides ou sur site.