Ransomware NailaoLocker

L’évolution constante des cybermenaces rend indispensable pour les particuliers et les institutions de prendre des mesures proactives pour protéger leurs actifs numériques. Parmi les nombreux types de logiciels malveillants qui circulent en ligne, les ransomwares restent l’un des plus perturbateurs. Le ransomware NailaoLocker, un ajout relativement récent à la liste croissante des menaces basées sur le chiffrement, a été observé ciblant des organisations, notamment en Europe. Il est essentiel de comprendre son fonctionnement et de savoir comment s’en défendre pour minimiser les dommages potentiels.

Comment fonctionne le ransomware NailaoLocker

Le ransomware NailaoLocker est écrit en langage de programmation C++ et est conçu pour crypter les fichiers sur les appareils infectés. Une fois actif, il verrouille systématiquement les fichiers et ajoute une extension « .locked » à leur nom. Par exemple, un document nommé « report.doc » serait renommé « report.doc.locked », le rendant inaccessible à la victime. Une fois le processus de cryptage terminé, le ransomware laisse une note de rançon contenant des instructions sur la façon de récupérer l'accès aux fichiers affectés.

Les victimes sont informées que leurs données ne seront restaurées que si elles paient une rançon en Bitcoin. La note prévient que le non-respect des exigences des attaquants dans un délai d'une semaine entraînera la suppression définitive des fichiers. En outre, elle met en garde contre toute tentative de décryptage ou de modification manuelle des fichiers verrouillés, car de telles actions pourraient entraîner une perte de données supplémentaire.

Liens vers des activités cybercriminelles antérieures

NailaoLocker a été observé dans des attaques qui présentent des similitudes avec celles orchestrées par des acteurs chinois connus. Bien qu’aucune attribution directe n’ait été établie, les chercheurs spéculent que ce ransomware pourrait être exploité par un groupe ayant des liens avec la Chine. Il est intéressant de noter que, bien que la plupart des campagnes de ransomware modernes utilisent des tactiques de double extorsion (vol de données sensibles avant de les chiffrer), NailaoLocker ne mentionne pas explicitement l’exfiltration d’informations dans son message de rançon. Cependant, des éléments suggèrent qu’il tente de collecter des données système, peut-être à des fins de collecte de renseignements.

Les limites techniques de NailaoLocker

Bien qu'il s'agisse d'une menace perturbatrice, NailaoLocker ne dispose pas de certaines des fonctionnalités sophistiquées que l'on retrouve dans les souches de ransomware plus avancées. Il n'utilise pas de techniques anti-débogage et ne tente pas de désactiver les processus système essentiels avant de lancer le chiffrement. Cette limitation fait craindre que le ransomware puisse par inadvertance rendre un système infecté inutilisable en chiffrant les fichiers critiques nécessaires à son fonctionnement.

Comment NailaoLocker infecte les systèmes

NailaoLocker a été associé à des attaques exploitant des vulnérabilités du logiciel Check Point VPN, en particulier la faille identifiée comme « CVE-2024-24919 ». Les chercheurs ont découvert que le ransomware était déployé sur des systèmes compromis via d'autres outils malveillants, tels que le malware ShadowPad et le cheval de Troie d'accès à distance PlugX (RAT). Ces menaces fournissaient aux attaquants un accès à distance aux machines ciblées, leur permettant d'exécuter NailaoLocker et de lancer le processus de chiffrement.

Cependant, les ransomwares se propagent souvent à l'aide de plusieurs tactiques de distribution. Les vecteurs d'infection les plus courants sont les suivants :

• Pièces jointes et liens frauduleux dans les messages de phishing
• Téléchargements intempestifs à partir de sites Web compromis ou trompeurs
• Exploiter les vulnérabilités des logiciels et des infrastructures réseau obsolètes
• Fausses mises à jour de logiciels et programmes piratés
• Applications trojanisées qui semblent légitimes mais contiennent des menaces cachées
• Accès à distance non autorisé rendu possible par des mots de passe faibles ou des fuites d'informations d'identification

Pourquoi payer la rançon est risqué

Pour les victimes d’attaques par ransomware, la récupération des fichiers chiffrés est souvent impossible sans la clé de déchiffrement détenue par les attaquants. Malheureusement, le paiement de la rançon demandée ne garantit pas la fourniture de l’outil de déchiffrement promis. Les cybercriminels n’ont aucune obligation de remplir leur part du marché, et certaines victimes se sont retrouvées à payer des sommes importantes pour recevoir un logiciel de déchiffrement non fonctionnel ou incomplet. De plus, le paiement des rançons encourage la poursuite de cette activité illégale, finançant ainsi d’autres cybercrimes.

Meilleures pratiques de sécurité pour se défendre contre les ransomwares

La prévention des infections par ransomware nécessite une stratégie de sécurité multicouche qui comprend à la fois des défenses techniques et la sensibilisation des utilisateurs. En mettant en œuvre les meilleures pratiques suivantes, le risque d'être victime de menaces telles que NailaoLocker sera considérablement réduit :

• Sauvegardes régulières des données : conservez plusieurs copies des fichiers essentiels à différents emplacements, y compris des sauvegardes hors ligne stockées sur des disques externes et un stockage cloud avec des fonctionnalités de contrôle de version. Cela garantit que même si les fichiers sont chiffrés, ils peuvent être récupérés sans payer de rançon.

Le ransomware NailaoLocker met en évidence l’évolution constante des cybermenaces. Il cible les organisations en exploitant les vulnérabilités logicielles et les configurations de sécurité faibles. Bien que ce ransomware particulier ne soit peut-être pas la souche la plus avancée, sa capacité à crypter les fichiers et à perturber les opérations ne doit pas être sous-estimée. La mise en œuvre de solides défenses de cybersécurité, le maintien de sauvegardes de données appropriées et la tenue informée des menaces émergentes sont les meilleurs moyens de prévenir les attaques de ransomware.