Le fournisseur de sécurité informatique Palo Alto Networks et son équipe d'analyse des logiciels malveillants Unit42 rapportent de nouvelles découvertes sur "Ransom Cartel" - un fournisseur de ransomware en tant que service (RaaS) qui a fait surface pour la première fois à la mi-décembre 2021. Techniquement, il y a chevauchement avec le rançongiciel REvil.
Ce groupe de criminels effectue des attaques à double ransomware et partage plusieurs similitudes et chevauchements techniques avec le ransomware REvil. Le ransomware REvil a disparu quelques mois seulement avant l'émergence du cartel des ransomwares et un mois seulement après l'arrestation de 14 de ses membres présumés en Russie. Lorsque Ransom Cartel est apparu pour la première fois, il n'était pas clair s'il s'agissait d'un changement de nom de REvil ou d'un acteur de menace indépendant réutilisant ou imitant le code du ransomware REvil.
Le rançongiciel Ransom-Cartel en cours d'analyse
Palo Alto Networks et Unit42 présentent le ransomware Ransom-Cartel et une évaluation des liens possibles entre REvil et le ransomware Ransom-Cartel dans leur dernière analyse. En octobre 2021, c'est devenu calme autour des opérateurs REvil. Le site de fuite Web sombre de REvil est devenu indisponible. Vers la mi-avril 2022, des chercheurs en sécurité et des médias en cybersécurité ont signalé un nouveau développement chez REvil qui pourrait signifier le retour du gang.
En parallèle, le rançongiciel Palo Alto Networks a observé Cartel pour la première fois vers la mi-janvier 2022. Les chercheurs en sécurité de MalwareHunterTeam pensent que le groupe est actif depuis au moins décembre 2021. Ils ont observé la première activité connue de Ransom Cartel et ont trouvé plusieurs similitudes et chevauchements techniques avec le ransomware REvil. L'unité 42 a également observé des groupes de cartels de rançon ciblant des organisations, avec les premières victimes connues que nous avons observées en janvier 2022 aux États-Unis et en France. Ransom Cartel ciblait les organisations dans les secteurs verticaux suivants : éducation, fabrication, services publics et énergie.
Ransomware-as-a-Service en tant qu'entreprise
Les criminels derrière Ransom Cartel sont des acteurs proposant de vendre un accès réseau compromis. Leur motivation n'est pas de lancer eux-mêmes des cyberattaques, mais de vendre l'accès à d'autres acteurs de la menace. Compte tenu de la rentabilité des ransomwares, ces courtiers sont susceptibles d'avoir des relations de travail avec des groupes RaaS en fonction du montant qu'ils sont prêts à payer. L'unité 42 a vu des preuves que Ransom Cartel s'appuyait sur ces types de services pour obtenir un accès initial afin de fournir des ransomwares.
Conclusion des experts en sécurité
Ransom Cartel est l'une des nombreuses familles de ransomwares apparues en 2021. Alors que Ransom Cartel utilise le double chantage et certains des mêmes TTP souvent observés dans les attaques de ransomware, ce type de ransomware utilise des outils moins courants - DonPAPI, par exemple - jamais vus auparavant dans d'autres attaques de ransomware.
Les opérateurs de Ransom Cartel avaient clairement accès au code source original du ransomware REvil. Cependant, ils ne semblent pas avoir le moteur d'obscurcissement qui crypte ou masque les chaînes et les appels d'API. Par conséquent, les experts en sécurité supposent que les opérateurs du cartel de la rançon avaient une relation avec le groupe REvil avant de lancer leur propre opération.
D'autres évaluations du groupe et des informations techniques sont disponibles en ligne sur Unit42.
Plus sur PaloAltoNetworks.com
À propos des réseaux de Palo Alto Palo Alto Networks, le leader mondial des solutions de cybersécurité, façonne l'avenir basé sur le cloud avec des technologies qui transforment la façon dont les gens et les entreprises travaillent. Notre mission est d'être le partenaire privilégié en matière de cybersécurité et de protéger notre mode de vie numérique. Nous vous aidons à relever les plus grands défis de sécurité au monde grâce à une innovation continue tirant parti des dernières avancées en matière d'intelligence artificielle, d'analyse, d'automatisation et d'orchestration. En fournissant une plate-forme intégrée et en renforçant un écosystème croissant de partenaires, nous sommes les leaders dans la protection de dizaines de milliers d'entreprises sur les clouds, les réseaux et les appareils mobiles. Notre vision est un monde où chaque jour est plus sûr que le précédent.
Une réflexion sur "Ransom Cartel ransomware-as-a-service vient de REvil ? »
Commentaires fermés