Ransomware V (Dharma)

Les cybermenaces sont devenues de plus en plus sophistiquées, ce qui rend crucial pour les utilisateurs de mettre en œuvre des mesures de sécurité solides pour protéger leurs appareils. Une souche de ransomware particulièrement agressive, le ransomware V (Dharma), chiffre les fichiers et exige un paiement pour le décryptage. Il est essentiel de comprendre le fonctionnement de cette menace et d'adopter des pratiques de sécurité robustes pour rester en sécurité.

Comment le ransomware V (Dharma) crypte les fichiers

Le ransomware V (Dharma) appartient à la famille Dharma , un groupe de ransomware bien connu qui cible principalement les systèmes Windows. Une fois qu'il s'infiltre dans un appareil, il crypte les fichiers et modifie leurs noms en ajoutant un identifiant de victime unique, une adresse e-mail contrôlée par l'attaquant et l'extension « .V ». Par exemple, un fichier nommé « 1.png » devient « 1.png.id-9ECFA84E.[vijurytos@tuta.io].V », tandis que « 2.pdf » est renommé « 2.pdf.id-9ECFA84E.[vijurytos@tuta.io].V ».

Une fois le chiffrement terminé, le ransomware V affiche une note de rançon contextuelle et crée un fichier texte nommé « info.txt » dans les répertoires concernés. La note de rançon demande aux victimes de contacter les attaquants par e-mail, en indiquant leur identifiant unique. Si aucune réponse n'est reçue dans les 12 heures, une adresse e-mail secondaire est fournie.

Demandes de rançon et tactiques

La demande de rançon avertit les victimes que leurs fichiers ont été chiffrés et ne peuvent être restaurés qu'en achetant un outil de déchiffrement auprès des attaquants. Pour convaincre les victimes de la possibilité de déchiffrer les fichiers, les criminels proposent de déchiffrer gratuitement jusqu'à trois fichiers (de moins de 3 Mo), à condition que ces fichiers ne contiennent pas de données précieuses.

En outre, la note déconseille aux victimes de renommer les fichiers cryptés ou de tenter d'utiliser un logiciel de décryptage tiers, avertissant que cela peut entraîner une perte permanente de données ou une augmentation des demandes de rançon. Un lien pour acheter des bitcoins est inclus, soulignant que les paiements de rançon doivent être effectués en cryptomonnaie.

Tactiques furtives et mécanismes de persistance

Le ransomware V partage de nombreuses caractéristiques avec d'autres variantes de Dharma, ce qui le rend très efficace pour empêcher les victimes d'accéder à leurs données. Au-delà du chiffrement, il effectue plusieurs actions pour renforcer son emprise sur un système infecté :

• Désactivation des fonctionnalités de sécurité : le ransomware désactive le pare-feu du système pour éviter d’être détecté.
• Suppression des copies de sauvegarde : il supprime les copies fantômes de volume (fichiers de sauvegarde Windows), ce qui rend difficile la récupération des données sans clé de déchiffrement.
• Assurer la persistance : V se copie dans le répertoire « %LOCALAPPDATA% » et modifie les clés d'exécution du registre Windows pour se lancer à chaque démarrage du système.

• Ciblage sélectif : le ransomware peut éviter de crypter les fichiers dans des emplacements spécifiques, ce qui est susceptible de garantir la fonctionnalité continue du système ou d'échapper à la détection.

Comment se propage le ransomware V (Dharma)

Les attaquants utilisent diverses méthodes pour diffuser le ransomware V, ciblant les utilisateurs qui exposent sans le savoir leurs systèmes à des risques de sécurité. Certains des vecteurs d'infection les plus courants incluent :

• Services RDP (Remote Desktop Protocol) compromis : les acteurs malveillants exploitent les informations d'identification RDP faibles en effectuant des attaques par force brute ou par dictionnaire pour obtenir un accès non autorisé.
• Pièces jointes et liens frauduleux : les utilisateurs peuvent recevoir des e-mails de phishing contenant des pièces jointes infectées ou des liens menant à des sites Web qui déploient des ransomwares.
• Exploitation des vulnérabilités logicielles : les cybercriminels profitent des failles de sécurité non corrigées pour installer des ransomwares sur les systèmes vulnérables.
• Logiciels piratés et programmes crackés : le téléchargement de logiciels à partir de sources non officielles augmente le risque de tomber sur des exécutables contenant des ransomwares.
• Fausses publicités et sites Web dangereux : les utilisateurs peuvent être amenés à télécharger des ransomwares via des publicités trompeuses ou des sites Web compromis.
• Clés USB infectées : les cybercriminels utilisent parfois des lecteurs externes infectés pour propager des ransomwares lorsqu'ils sont branchés sur un appareil cible.

Bonnes pratiques pour renforcer votre sécurité

La prévention des infections par ransomware nécessite une approche proactive de la cybersécurité. Voici les mesures les plus efficaces que les utilisateurs devraient prendre pour sécuriser leurs appareils :

• Utilisez des mots de passe difficiles à casser et activez l'authentification multifacteur (MFA) : protégez les comptes RDP et en ligne avec des mots de passe complexes et uniques et activez l'authentification multifacteur pour empêcher tout accès non autorisé.
• Maintenez les logiciels et les systèmes d’exploitation à jour : installez régulièrement des mises à jour de sécurité pour corriger les vulnérabilités que les ransomwares peuvent exploiter.
• Désactiver les services RDP inutilisés : si l’accès au bureau à distance n’est pas nécessaire, désactivez RDP pour éliminer un vecteur d’attaque courant.

• Sauvegardez régulièrement vos données : stockez vos sauvegardes sur des périphériques externes ou des services cloud qui ne sont pas directement connectés au système central pour empêcher les ransomwares de les crypter.

• Soyez prudent avec les pièces jointes et les liens des e-mails : évitez d'accéder à des pièces jointes inattendues ou de cliquer sur des liens suspects, même s'ils semblent provenir de sources fiables.

• Téléchargez des logiciels uniquement à partir de sources officielles : évitez les programmes piratés et les téléchargeurs tiers, car ils contiennent souvent du code malveillant.

• Utilisez un logiciel de sécurité avec protection contre les ransomwares : bien qu'aucun outil ne garantisse une protection complète, les solutions de sécurité dotées de fonctionnalités de détection des ransomwares peuvent aider à prévenir les infections.

• Activer la segmentation du réseau : si vous utilisez plusieurs appareils, isolez les systèmes critiques des machines à usage général pour limiter la capacité du ransomware à se propager sur un réseau.

Réflexions finales

Le ransomware V (Dharma) est une menace extrêmement perturbatrice qui crypte les fichiers et exige des rançons de la part des victimes. Étant donné que les attaquants suppriment délibérément les copies de sauvegarde et désactivent les fonctions de sécurité, la restauration des données cryptées sans clé de décryptage peut s'avérer extrêmement difficile. La meilleure mesure pour éviter d'être victime d'un ransomware est d'adopter de solides habitudes de cybersécurité, de conserver des sauvegardes des fichiers essentiels et de rester vigilant lorsque vous naviguez sur le Web ou ouvrez des e-mails.