Tout savoir sur le ransomware rançongiciel

Beaucoup de ransomwares arrivent intégrés au sein de pièces jointes en JavaSript. Habituellement, le JavaScript malveillant se connecte à un serveur de téléchargement, recherche le véritable ransomware sous la forme d’un programme exécutable Windows (un fichier .EXE), et le lance pour finaliser le processus d’infection.

Le JavaScript ne télécharge pas le ransomware, il est lui-même un ransomware. Aucun logiciel additionnel n’est téléchargé, ainsi une fois que le malware JS/Ransom-DDL est entré au sein de votre réseau, il est prêt à chiffrer toutes vos données et à afficher un message pour vous faire payer, et tout ceci de manière autonome.

Le ransomware Petya s’attaque à vos disques durs en modifiant l’amorçage de votre disque dur. Récemment détecté en Allemagne, «Petya» est un rançongiciel (ransomware) diffusé principalement sous la forme de courriel de candidature adressée au service des Ressources Humaines. Le message contient un lien hypertexte vers un dossier en ligne Dropbox présentant un curriculum vitae et une photo.

En ouvrant l’un des deux fichiers, le destinataire libère le rançongiciel qui va alors modifier le secteur d’amorçage du disque dur (MBR). Un ransomware habituel crypte généralement des fichiers de certains types, tels que des photos, les document Office etc en laissant le système d’exploitation intact de façon à ce que la victime puisse utiliser l’ordinateur pour payer la rançon. Mais Petya s’avère encore plus cruel puisqu’il vise à bloquer l’accès à tout le disque dur.

TorrentLocker est l’un des plus grands et les plus dangereuses familles de ransomware nous l’avons vu en action lors des deux dernières années. TorrentLocker est également connu comme Win32 / Filecoder.DI. Il tire son nom d’un billet de blog par iSIGHT Partenaires publié à l’été 2014.

Typiquement, TorrentLocker crypte les fichiers de la victime par l’intermédiaire d’AES-256 algorithme de chiffrement et demande un paiement en Bitcoin. Le paiement moyen est jusqu’à 4.081Bitcoins (environ 1500 $ US), tel que rapporté par chercheurs de ESET.

Comme la plupart des ransomwares, Locky se diffuse par email (envoyés grâce à un botnet) dans lesquels se trouve une pièce jointe mortelle. Le sujet de ces emails suit toujours la même syntaxe (pour le moment), à savoir « ATTN: Invoice J-XXXXXXX ». Le corps du message contient un message correctement rédigé, parfois en français, qui nous demande de payer rapidement une facture, et la pièce jointe est au format « invoice_J-XXXXXX.doc ».

Quant au nom de l’expéditeur, ce n’est jamais le même. Il doit s’agir du propriétaire d’une des machines détournées via le botnet pour l’envoi de ces spams.

Locky a dès le départ fait son apparition via un fichier joint de type word qui demandait l’activation des macros pour pouvoir visualiser le contenu du fichier (ici en anglais).

Une des forces dans l’attaque est qu’il y a eu un réel effort dans la syntaxe dans les différentes langues d’envoi du mail alors que bon nombre de ses homologues laissaient paraitre des fautes d’orthographes de façon récurrente dans le corps des emails.

Tous les fichiers cryptés par Critoni sont définis au format CTBL et il est impossible de les ouvrir.

Une fois installé, ce logiciel escroc analysera votre ordinateur pour trouver quels fichiers vous avez dessus puis en crypter la plus grande partie (pas nécessairement tous).

Ce qu’il se passe après est qu’une grande fenêtre est affichée sur votre écran. Cela ressemble à ça (voir dessous).

Cela affirmera que vos dossiers personnels sont cryptés et si vous les voulez de nouveau, vous devrez payer une rançon d’environ 120$ US.

ZCRYPTOR est un rançongiciel qui se propage via les clés USB et les Disques durs externes. Il s’attrape via une pièce jointe infectée.

ZCRYPTOR a la spécificité de détecter les supports amovibles de type clé USB ou disque dur externe et copie ses fichiers dans la séquence d’initialisation de ces derniers. Les fichiers sont alors modifiés et rendus invisibles à l’utilisateur. L’infection va ainsi se propager et infecter de nouvelles machines lorsque l’appareil infecté sera branché sur un nouvel ordinateur.

En ouvrant le fichier contaminé, ou en connectant l’appareil infecté, le destinataire libère le rançongiciel qui va alors chiffrer le contenu de son ordinateur. Une demande de paiement d’une rançon (généralement 1,2 bitcoins, soit environ 500 euros au cours actuel) s’affiche à l’écran au travers d’une boîte de dialogue et le montant réclamé à la victime augmente si la somme n’est pas réglée rapidement.

Veillez à désactiver la fonction autoplay des clés USB et disques durs afin de limiter la possibilité pour ZCRYPTOR d’infecter d’autres stations de travail.