Un gang de ransomware avec 483 victimes et une boîte à outils grandissante

Une opération de ransomware connue sous le nom de The Gentlemen aurait compromis 483 victimes en combinant deux outils malveillants distincts : un utilitaire d'évasion de défense appelé GentleKiller et un cheval de Troie d'accès à distance nommé EtherRAT. Ensemble, ces outils permettent au groupe de désactiver les logiciels de sécurité sur la machine d'une cible et de maintenir une communication de commande et contrôle furtive plus difficile à interrompre pour les défenseurs.

Le groupe, que les chercheurs en sécurité ont également lié à des attaques contre des organisations comme le stade de glace néerlandais couvert dans notre rapport sur l'attaque du gang de ransomware The Gentlemen contre Thialf, ne cesse d'étendre sa portée. Plutôt que de s'appuyer sur un seul exploit novateur, le succès du gang semble provenir de l'empilement de plusieurs techniques d'évasion bien connues dans un seul package automatisé, puis de la réutilisation de ce package sur un grand nombre de cibles.

Comment GentleKiller défait les logiciels de sécurité

Au centre de cette campagne se trouve GentleKiller, un outil construit autour d'une technique communément appelée BYOVD, ou « Bring Your Own Vulnerable Driver » (apportez votre propre pilote vulnérable). En termes simples, les attaquants installent un pilote matériel ou logiciel légitime mais défectueux sur l'ordinateur d'une victime. Comme ce pilote est souvent signé numériquement et approuvé par Windows, il peut s'exécuter avec des privilèges système profonds. Les attaquants exploitent ensuite une faiblesse connue dans ce pilote pour arrêter ou aveugler les logiciels de sécurité exécutés sur la machine, transformant effectivement un logiciel de confiance en une arme contre les outils mêmes censés l'arrêter.

Selon les rapports sur cette campagne, GentleKiller a été utilisé pour défaire les produits de 48 fournisseurs de sécurité différents. Ce chiffre est important car il suggère que l'outil n'a pas été conçu pour contourner un ou deux programmes antivirus spécifiques. Il a plutôt été construit comme un cadre large et réutilisable capable de neutraliser une vaste partie du marché de la protection des points terminaux. Cela reflète un schéma que nous avons suivi auparavant dans notre couverture de comment le ransomware The Gentlemen aveugle les outils EDR, où les opérateurs du groupe ont montré un intérêt constant à désactiver la détection avant de déployer leur charge utile de chiffrement réelle.

EtherRAT et la touche blockchain

Le second composant, EtherRAT, gère la communication de commande et contrôle (C2), le canal que les attaquants utilisent pour envoyer des instructions aux machines infectées et recevoir les données volées ou les mises à jour de statut en retour. Ce qui distingue EtherRAT, c'est son utilisation rapportée de l'infrastructure blockchain à cette fin. Les serveurs C2 traditionnels peuvent être identifiés et démantelés par les chercheurs ou les forces de l'ordre une fois découverts. En acheminant la communication via des mécanismes basés sur la blockchain, les attaquants rendent ce type de démantèlement nettement plus difficile, car les données blockchain sont distribuées et résistantes à un point unique d'arrêt.

Cette combinaison, un tueur de défense basé sur un pilote associé à un canal C2 résilient, reflète une tendance plus large parmi les opérations de ransomware-as-a-service : construire une fois, vendre ou licencier largement, et laisser les affiliés mener des campagnes à grande échelle contre une variété de cibles, y compris les petites et moyennes entreprises de plus en plus ciblées par des groupes en concurrence pour des parts de marché, comme nous l'avons détaillé dans notre article sur Qilin et The Gentlemen intensifiant les attaques contre les PME.

Ce que cela signifie pour vous

Si vous gérez des systèmes informatiques pour une entreprise, ou même si vous vous souciez simplement de la sécurité de votre réseau domestique, la leçon principale ici n'est pas spécifique à The Gentlemen. Elle concerne les limites de la dépendance à un seul produit de sécurité. Un outil capable de défaire 48 fournisseurs différents démontre que l'antivirus ou le logiciel de détection des points terminaux seul ne peut pas être considéré comme une défense complète.

Pour les particuliers, le risque pratique est plus faible mais pas nul : les groupes de ransomware obtiennent souvent un accès initial par le biais d'e-mails de phishing, de services d'accès à distance exposés ou de logiciels non corrigés, les mêmes points d'entrée qui mettent en danger les données personnelles et les réseaux domestiques. Garder les systèmes à jour, utiliser des mots de passe uniques et être prudent face aux pièces jointes non sollicitées reste une protection fondamentale, quelle que soit la sophistication du malware en arrière-plan.

Pour les organisations, cette campagne rappelle que payer une rançon ne garantit pas la sécurité à l'avenir. Comme couvert dans notre analyse précédente d'une étude Proofpoint sur les payeurs de rançon, environ une entreprise sur trois qui paie une rançon est ciblée à nouveau. Des défenses en couches, des sauvegardes hors ligne et des politiques de liste blanche de pilotes qui restreignent les pilotes au niveau du noyau pouvant se charger sont des protections bien plus durables que d'espérer qu'un seul outil de sécurité détectera chaque menace.

Points clés

  • Ne vous fiez pas à un seul produit de sécurité ; les défenses en couches importent davantage lorsque les attaquants conçoivent spécifiquement des outils pour contourner des fournisseurs individuels.
  • Restreignez les pilotes pouvant se charger sur vos systèmes, car les attaques BYOVD dépendent de l'installation de pilotes externes avec accès au noyau.
  • Maintenez des sauvegardes hors ligne et testées afin qu'une infection par ransomware ne force pas une décision de paiement.
  • Traitez les e-mails, liens et demandes d'accès à distance inattendus avec suspicion, car l'accès initial commence encore généralement par une ingénierie sociale basique ou un logiciel non corrigé.
  • Restez informé sur des groupes comme l'opération de ransomware The Gentlemen, car leurs outils et cibles continuent d'évoluer.