Un gang de ransomware avec 483 victimes et une boîte à outils en expansion

Une opération de ransomware connue sous le nom de The Gentlemen aurait compromis 483 victimes en combinant deux outils malveillants distincts : un utilitaire d'évasion défensive appelé GentleKiller et un cheval de Troie d'accès distant nommé EtherRAT. Ensemble, ces outils permettent au groupe de désactiver les logiciels de sécurité sur la machine d'une cible et de maintenir une communication furtive de commande et de contrôle plus difficile à interrompre pour les défenseurs.

Le groupe, que les chercheurs en sécurité ont également lié à des attaques contre des organisations telles que le stade de glace néerlandais couvert dans notre rapport sur l'attaque du gang de ransomware The Gentlemen contre Thialf, n'a cessé d'étendre sa portée. Plutôt que de s'appuyer sur un unique exploit inédit, le succès du gang semble provenir de l'empilement de plusieurs techniques d'évasion bien connues dans un package automatisé, puis de la réutilisation de ce package sur un grand nombre de cibles.

Comment GentleKiller neutralise les logiciels de sécurité

Au centre de cette campagne se trouve GentleKiller, un outil construit autour d'une technique communément appelée BYOVD, ou « Bring Your Own Vulnerable Driver » (amenez votre propre pilote vulnérable). En termes simples, les attaquants installent un pilote légitime mais défectueux, matériel ou logiciel, sur l'ordinateur d'une victime. Comme ce pilote est souvent signé numériquement et approuvé par Windows, il peut s'exécuter avec des privilèges profonds au niveau du système. Les attaquants exploitent ensuite une faiblesse connue de ce pilote pour désactiver ou aveugler les logiciels de sécurité exécutés sur la machine, transformant ainsi un logiciel de confiance en arme contre les outils mêmes censés l'arrêter.

Selon les informations sur cette campagne, GentleKiller a été utilisé pour neutraliser les produits de 48 fournisseurs de sécurité différents. Ce chiffre est important car il suggère que l'outil n'a pas été conçu pour échapper à un ou deux antivirus spécifiques. Il a plutôt été construit comme un cadre large et réutilisable capable de neutraliser une grande partie du marché de la protection des endpoints. Cela reflète un schéma que nous avons déjà suivi dans notre couverture de comment le ransomware The Gentlemen aveugle les outils EDR, où les opérateurs du groupe ont montré un intérêt constant pour désactiver la détection avant de déployer leur charge utile de chiffrement réelle.

EtherRAT et la touche blockchain

Le deuxième composant, EtherRAT, gère la communication de commande et de contrôle (C2), le canal par lequel les attaquants envoient des instructions aux machines infectées et reçoivent des données volées ou des mises à jour de statut. Ce qui distingue EtherRAT est son utilisation signalée de l'infrastructure blockchain à cette fin. Les serveurs C2 traditionnels peuvent être identifiés et démantelés par les chercheurs ou les forces de l'ordre une fois découverts. En acheminant la communication via des mécanismes basés sur la blockchain, les attaquants rendent ce type de démantèlement nettement plus difficile, car les données de la blockchain sont distribuées et résistantes à un point d'arrêt unique.

Cette combinaison, un tueur de défenses basé sur des pilotes associé à un canal C2 résilient, reflète une tendance plus large parmi les opérations de ransomware-as-a-service : construire une fois, vendre ou concéder sous licence à grande échelle, et laisser les affiliés mener des campagnes à grande échelle contre diverses cibles, y compris les petites et moyennes entreprises de plus en plus visées par des groupes en concurrence pour des parts de marché, comme nous l'avons détaillé dans notre article sur Qilin et The Gentlemen intensifiant les attaques contre les PME.

Ce que cela signifie pour vous

Si vous gérez des systèmes informatiques pour une entreprise, ou même si vous vous souciez simplement de la sécurité de votre réseau domestique, la leçon essentielle ici n'est pas spécifique à The Gentlemen. Elle concerne les limites de la dépendance à un seul produit de sécurité. Un outil capable de neutraliser 48 fournisseurs différents démontre que l'antivirus ou le logiciel de détection des endpoints ne peut à lui seul être considéré comme une défense complète.

Pour les particuliers, le risque pratique est plus faible mais pas nul : les groupes de ransomware obtiennent souvent un accès initial via des e-mails de phishing, des services d'accès distant exposés ou des logiciels non corrigés, les mêmes points d'entrée qui mettent en danger les données personnelles et les réseaux domestiques. Maintenir les systèmes à jour, utiliser des mots de passe uniques et se méfier des pièces jointes non sollicitées reste une protection fondamentale, quelle que soit la sophistication du logiciel malveillant en arrière-plan.

Pour les organisations, cette campagne rappelle que payer une rançon ne garantit pas la sécurité à l'avenir. Comme couvert dans notre analyse précédente d'une étude Proofpoint sur les payeurs de rançons, environ une entreprise sur trois qui paie une rançon est à nouveau ciblée. Les défenses en couches, les sauvegardes hors ligne et les politiques de liste blanche des pilotes qui restreignent les pilotes au niveau du noyau pouvant être chargés sont des protections bien plus durables que d'espérer qu'un seul outil de sécurité détectera chaque menace.

Points à retenir

  • Ne comptez pas sur un seul produit de sécurité ; les défenses en couches comptent davantage lorsque les attaquants conçoivent spécifiquement des outils pour contourner des fournisseurs individuels.
  • Restreignez les pilotes pouvant être chargés sur vos systèmes, car les attaques BYOVD dépendent de l'installation de pilotes externes avec accès au noyau.
  • Conservez des sauvegardes hors ligne et testées afin qu'une infection par ransomware ne force pas une décision de paiement.
  • Traitez les e-mails, liens et demandes d'accès distant inattendus avec suspicion, car l'accès initial commence encore généralement par de l'ingénierie sociale basique ou des logiciels non corrigés.
  • Restez informé sur des groupes comme l'opération de ransomware The Gentlemen, car leurs outils et leurs cibles continuent d'évoluer.

FAQ (traduire chaque question et réponse) : Q1 : Combien de victimes le ransomware The Gentlemen a-t-il compromises ? R1 : The Gentlemen aurait compromis 483 victimes. Q2 : Qu'est-ce que GentleKiller ? R2 : GentleKiller est un outil d'évasion défensive qui utilise une technique BYOVD pour désactiver ou aveugler les logiciels de sécurité sur la machine d'une victime. Q3 : Que fait EtherRAT ? R3 : EtherRAT gère la communication de commande et de contrôle pour les attaquants, en utilisant l'infrastructure blockchain pour rendre le démantèlement plus difficile. Q4 : Contre combien de produits de fournisseurs de sécurité GentleKiller peut-il agir ? R4 : GentleKiller a été utilisé pour neutraliser les produits de 48 fournisseurs de sécurité différents. Q5 : Qu'est-ce que le BYOVD ? R5 : BYOVD signifie « Bring Your Own Vulnerable Driver » (amenez votre propre pilote vulnérable), où les attaquants installent un pilote signé légitime mais défectueux et exploitent une faiblesse connue pour désactiver les logiciels de sécurité. ---END---