Ransomware : Négociations à Huis Clos
Pour de nombreux rançongiciels opérés par des attaquants aux prétentions financières limitées, la négociation par e-mail ou via la messagerie sécurisée Tox, voire Session, est courante. En revanche, cela est moins fréquent avec des groupes plus professionnels, comme Hive, Conti ou LockBit 3.0, qui disposent d’une infrastructure IT solide pour gérer la relation client.
Ces groupes privilégient des discussions dans des interfaces Web dédiées, souvent connectées à un backend spécialisé. En cas de soupçon d’intrusion, les cybercriminels peuvent ouvrir de nouveaux salons de discussion, une pratique observée avec des groupes tels que Ragnar Locker et Conti.
Les détails d’accès aux salons de négociation sont fournis dans la note de rançon après le chiffrement des fichiers. Historiquement, ces informations sont codées dans l’exécutable de chiffrement, ce qui permet aux chercheurs en cybersécurité d’accéder à ces données via des échantillons. Le ransomware Money Message, découvert en mars 2023, en est un exemple, car il contient des identifiants de comptes utilisateurs pour les domaines Active Directory des victimes.
Les opérateurs de Money Message génèrent un onion Tor unique pour chaque victime, avec une durée de vie limitée, rendant essentiel pour les victimes de contrôler la diffusion des échantillons d’exécutables collectés. La franchise Royal a également renforcé la confidentialité des échanges en veillant à ce que les échantillons ne contiennent aucune donnée susceptible d’être exploitée par des tiers.
L’identifiant unique de la victime, une clé alphanumérique de 32 caractères, n’est pas codé dans l’exécutable mais passé comme argument lors de son lancement. Cela permet de construire l’URL Tor pour la négociation, qui est fournie dans la note de rançon.
Ainsi, un échantillon de Royal seul ne permet pas d’accéder à la négociation, ce qui renforce la confidentialité des échanges. D’autres groupes, comme Qilin, adoptent des pratiques similaires, tandis que d’autres, comme BianLian, privilégient la messagerie chiffrée Tox pour communiquer avec leurs victimes.
Certaines enseignes, comme LockBit, imposent la création d’un mot de passe pour protéger les échanges dans une interface Web, mais cela n’élimine pas le risque de divulgation des négociations échouées.
Source : LeMagIT.
