Ransomware Qilin.B

Par Mezo en Ransomware

Se traduisent par :

Les spécialistes de la cybersécurité ont identifié une version améliorée du ransomware Qilin, présentant une plus grande complexité et des stratégies affinées pour éviter la détection.

Cette variante est désormais cataloguée par les experts sous le nom de Qilin.B. Il est significatif que Qilin.B utilise le chiffrement AES-256-CTR sur les systèmes prenant en charge AESNI, tout en conservant l'utilisation de Chacha20 sur les systèmes sans cette capacité. Pour protéger les clés de chiffrement, il intègre RSA-4096 avec remplissage OAEP, garantissant que le déchiffrement est impossible sans la clé privée de l'attaquant ou la capture de valeurs de départ spécifiques.

Table des matières

La menace Qilin est proposée via un système RaaS

Initialement connu sous le nom d'Agenda, le ransomware Qilin a attiré l'attention de la communauté de la cybersécurité en juillet et août 2022. Les premières versions ont été développées en Golang mais sont ensuite passées à Rust.

Selon un rapport de mai 2023, le modèle Ransomware-as-a-Service (RaaS) de Qilin alloue entre 80 et 85 % de chaque paiement de rançon à ses affiliés. Les récentes attaques attribuées à cette opération de ransomware se sont concentrées sur la collecte d'identifiants stockés dans Google Chrome sur quelques systèmes compromis, marquant un changement par rapport aux tactiques habituelles de double extorsion.

Le ransomware Qilin.B affiche des capacités malveillantes étendues

L’analyse de la variante Qilin.B révèle qu’elle s’appuie sur les versions précédentes avec des options de cryptage étendues et des tactiques opérationnelles affinées.

Cela inclut l'exploitation du chiffrement AES-256-CTR ou Chacha20 tout en résistant activement à l'analyse et à la détection en fermant les services liés aux outils de sécurité, en effaçant systématiquement les journaux d'événements Windows et en s'auto-supprimant après exécution. De plus, il est équipé pour mettre fin aux processus liés aux outils de sauvegarde et de virtualisation tels que Veeam, SQL et SAP et supprimer les copies de volume fantôme, ce qui rend la récupération plus difficile.

Le cryptage avancé de Qilin.B, ses techniques d'évasion sophistiquées et sa perturbation ciblée des services de sauvegarde le positionnent comme une variante de ransomware particulièrement redoutable.

Les dangers des ransomwares

Les ransomwares restent l'une des cybermenaces les plus perturbatrices, affectant aussi bien les particuliers que les entreprises. Ce type de menace fonctionne en cryptant les fichiers sur le système ciblé, empêchant les utilisateurs d'accéder à leurs propres données à moins qu'une rançon ne soit payée. Les demandes de rançon peuvent aller de quelques centaines de dollars à des millions de dollars, selon la valeur des informations compromises pour la victime. Cependant, même si une rançon est payée, il n'y a aucune garantie que les attaquants fourniront une clé de déchiffrement, ce qui entraîne une double perte pour les victimes : financière et en termes d'accessibilité des données.

Au-delà des pertes financières, les attaques de ransomware peuvent sérieusement perturber les opérations. Les entreprises peuvent subir des temps d’arrêt prolongés, une perte de confiance des clients et potentiellement faire face à des conséquences juridiques si des données sensibles sont exposées. Le stress et l’incertitude liés à la gestion des ransomwares peuvent également avoir des conséquences émotionnelles importantes pour les individus et les organisations.

Stratégies efficaces de défense contre les ransomwares

Sauvegardes de routine : l'une des meilleures défenses consiste à effectuer des sauvegardes fréquentes des fichiers essentiels. Un plan de sauvegarde organisé, comprenant des instantanés hors site ou stockés dans le cloud, garantit que les fichiers peuvent être récupérés en cas d'attaque, éliminant ainsi la nécessité de payer une rançon.
Logiciel de sécurité fiable : l'utilisation d'outils de sécurité reconnus qui offrent une protection en temps réel peut aider à détecter et bloquer les ransomwares avant qu'ils ne compromettent votre système. Des mises à jour régulières de ces outils garantissent qu'ils peuvent reconnaître les menaces émergentes.
Formation de sensibilisation des employés : les attaques de ransomware exploitent souvent l'erreur humaine par le biais du phishing ou de l'ingénierie sociale. Proposer régulièrement des formations aux employés sur l'identification des e-mails et des liens suspects peut réduire considérablement le risque d'infection accidentelle par ransomware.
Mises à jour des logiciels et des systèmes : les cybercriminels exploitent généralement les vulnérabilités des logiciels obsolètes pour déployer des ransomwares. La mise à jour de tous les systèmes et applications peut contribuer à empêcher l'exploitation de ces vulnérabilités.
Segmentation du réseau : pour les entreprises, la segmentation des réseaux peut réduire la propagation des ransomwares en isolant les actifs critiques. Ce faisant, les entreprises peuvent contenir une attaque, protéger les données sensibles et minimiser les dommages potentiels.
Contrôles d'accès : l'application d'autorisations d'accès strictes limite les personnes autorisées à consulter ou à modifier les fichiers sensibles. Cela réduit le risque d'actions non autorisées pouvant entraîner une attaque par ransomware.

En intégrant ces mesures de sécurité proactives, les utilisateurs peuvent renforcer leur défense contre les ransomwares et réduire la probabilité d’être victime de ces attaques dommageables.