Ransomware SuperBlack

Les cybermenaces évoluent rapidement, les rançongiciels restant l'une des formes d'attaque les plus dévastatrices. Une seule infection peut entraîner des pertes financières, des interruptions de service et la divulgation d'informations sensibles. Le rançongiciel SuperBlack est une souche récente et sophistiquée, probablement basée sur LockBit 3.0 . Il chiffre les fichiers des victimes, exige une rançon et menace de divulguer les données détournées. Comprendre ses méthodes et appliquer des mesures de cybersécurité rigoureuses est essentiel pour prévenir et atténuer de telles attaques.

Le rançongiciel SuperBlack : comment il fonctionne

SuperBlack est conçu pour chiffrer les fichiers et les rendre inaccessibles aux victimes. Contrairement aux rançongiciels classiques qui utilisent des extensions fixes, SuperBlack ajoute une chaîne de caractères aléatoire aux noms de fichiers. Par exemple :

• 1.png → 1.png.fB1SZ2i3X

Une fois le processus de cryptage terminé, SuperBlack apporte d'autres modifications :

• Le fond d'écran du bureau est remplacé par un avertissement de rançon.
• Une note de rançon est déposée avec un nom de fichier aléatoire suivant le modèle « [random_string].README.txt ».

Vol de données et extorsion

SuperBlack ne se limite pas au chiffrement : il intègre également des tactiques de double extorsion. Les attaquants affirment avoir volé des données sensibles, notamment :

• Informations sur le réseau
• Données de fabrication
• Documents financiers (factures, budgets, rapports annuels, etc.)
• Informations sur les employés et les clients

Les victimes sont averties que le refus de payer la rançon entraînera la fuite de leurs données. Pour accentuer la pression, les attaquants proposent de fournir la preuve du vol de données et de déchiffrer un seul fichier pour démontrer leurs capacités.

Attribution : L’acteur menaçant « Mora_001 »

Le rançongiciel SuperBlack a été déployé lors de campagnes menées entre janvier et mars 2025 par un acteur malveillant russophone connu sous le nom de « Mora_001 ». Ce malware a été observé à l'aide d'identifiants Tox liés au rançongiciel LockBit , bien que son infrastructure semble indépendante. Bien que sa relation exacte avec LockBit soit incertaine, SuperBlack présente des similitudes notables avec son prédécesseur.

Vecteur d’attaque : comment SuperBlack infecte les systèmes

Les infections par le rançongiciel SuperBlack ont été associées à des vulnérabilités du pare-feu Fortinet. L'attaque se déroule généralement en plusieurs étapes :

• Accès initial : les attaquants exploitent les failles de sécurité des dispositifs pare-feu Fortinet.
• Escalade des privilèges : ils obtiennent des autorisations plus élevées au sein du système.
• Mécanismes de persistance : le malware garantit qu'il reste actif même après les redémarrages.
• Mouvement latéral : l’infection se propage sur le réseau, ciblant plusieurs appareils.
• Exfiltration de données : les données sensibles sont collectées avant le début du processus de cryptage.
• Cryptage des fichiers : L’étape finale consiste à verrouiller les fichiers et à exiger une rançon.

Pourquoi il n’est pas recommandé de payer la rançon

Les victimes du rançongiciel SuperBlack peuvent se sentir obligées de payer dans l'espoir de récupérer leurs fichiers chiffrés, mais cela comporte des risques importants. Il n'est pas certain que les cybercriminels fournissent l'outil de déchiffrement nécessaire, même après avoir reçu le paiement, laissant les victimes sans accès à leurs données malgré leur acceptation des exigences. De plus, payer une rançon ne fait qu'alimenter de nouvelles campagnes de rançongiciels, encourageant les attaquants à continuer de cibler les particuliers et les organisations.

Une autre préoccupation majeure est le risque de double extorsion, où les cybercriminels exigent des paiements supplémentaires même après le paiement de la rançon initiale. Dans certains cas, les victimes peuvent se retrouver piégées dans un cycle d'extorsion incessant, sans solution. Même avec des outils de déchiffrement, rien ne garantit que le rançongiciel a été complètement supprimé du système. Les logiciels malveillants persistants peuvent réinfecter les fichiers, causant ainsi des dommages supplémentaires et prolongeant la crise de sécurité. Compte tenu de ces risques, payer la rançon n'est ni une solution fiable ni recommandée.

Comment protéger vos appareils contre le ransomware SuperBlack

Pour atténuer les risques d’infection et de dommages potentiels, suivez ces bonnes pratiques essentielles en matière de cybersécurité :

1. Conservez des sauvegardes de vos données critiques : conservez des sauvegardes hors ligne et dans le cloud, inaccessibles aux rançongiciels. Utilisez des sauvegardes versionnées pour restaurer les fichiers à partir d'un point antérieur à l'infection.
2. Mettez à jour régulièrement vos logiciels et systèmes d'exploitation : appliquez des correctifs aux pare-feu Fortinet et autres périphériques réseau pour corriger les vulnérabilités connues. Activez les mises à jour automatiques des systèmes d'exploitation, des logiciels de sécurité et des applications.
3. Utilisez des solutions de sécurité performantes pour vos terminaux : déployez des outils anti-malware avancés avec une protection en temps réel. Utilisez des solutions de détection et de réponse aux terminaux (EDR) pour surveiller les menaces.
4. Mettre en œuvre des mesures de sécurité réseau : configurer des pare-feu et des systèmes de détection d'intrusion (IDS) pour bloquer les activités suspectes. Limiter l'accès au protocole RDP (Remote Desktop Protocol) et utiliser l'authentification multifacteur (MFA).
5. Attention aux attaques d'hameçonnage : évitez de cliquer sur des liens ou de télécharger des pièces jointes provenant d'e-mails inconnus ou suspects. Formez vos employés à reconnaître les arnaques par hameçonnage et à les signaler.
6. Limiter les privilèges administratifs : appliquer le principe du moindre privilège (PoLP) pour limiter l'accès des utilisateurs. Désactiver l'exécution des macros dans Microsoft Office et empêcher l'exécution non autorisée de scripts.
7. Désactiver les services et les ports inutiles : fermez les ports réseau inutilisés pour réduire l'exposition aux menaces externes. Supprimez les outils d'accès à distance obsolètes ou inutilisés qui pourraient être exploités.
8. Utilisez la liste blanche et le sandboxing des applications : limitez l'exécution aux applications approuvées pour empêcher l'exécution des rançongiciels. Exécutez les fichiers suspects dans un environnement isolé avant de les autoriser sur le système.

Conclusion : garder une longueur d’avance sur les menaces de ransomware

Le rançongiciel SuperBlack représente une évolution menaçante des cybermenaces modernes, combinant chiffrement des données et tactiques d'extorsion. Les organisations et les particuliers doivent adopter des mesures proactives pour protéger leurs systèmes. En mettant en œuvre des mesures de sécurité rigoureuses, en se tenant informés des menaces émergentes et en conservant des sauvegardes sécurisées, les risques d'être victime d'attaques de rançongiciels peuvent être considérablement réduits. La cybersécurité est un processus continu : mieux vaut prévenir que guérir.

Ransomware SuperBlack Vidéo

Astuce: Activez votre son et regarder la vidéo en mode plein écran.