Ransomware : la fin de l’extravagance ?

DarkGate, une nouvelle menace bien présente

Il n’est pas le seul à avoir été confronté à DarkGate, un logiciel malveillant qui fait particulièrement parler de lui des spécialistes du renseignement sur les menaces depuis l’été. 

Fabian Cosset, responsable des activités de renseignement sur les menaces d’Advens, justement, constate que DarkGate a notamment été utilisé, entre fin septembre et courant octobre, dans des campagnes à destination des entreprises françaises. 

Il rappelle : « DarkGate, développé en 2017, semble être commercialisé depuis juin 2023 comme MaaS [Malware as a Service, ou maliciel en mode service, N.D.L.R.] ». Son développeur « a apporté des améliorations au mois de juillet » pour en renforcer la furtivité vis-à-vis des systèmes de protection des serveurs et postes de travail. En outre, « les diverses publications du développeur indiquent que DarkGate serait en mesure d’intégrer les machines infectées dans des botnets de minage de cryptomonnaie ».

Fabian Cosset décrit le mode opératoire observé : « le vecteur d’infection est Teams, avec une invitation des victimes dans une conversation de groupe, dans lequel la cible est incitée à récupérer une archive protégée par un mot de passe présent dans la conversation ».

L’archive en question « contient des fichiers [à l’apparence de fichiers] pdf qui sont en fait des .lnk en charge de télécharger des fichiers vbs ». De là, « chaque fichier vbs télécharge l’exécutable autoit3.exe depuis un dépôt ainsi qu’un fichier au3 ». C’est lui qui constitue la souche virale de DarkGate.

L’utilisation de DarkGate est attribuée à l’acteur malveillant suivi sous la référence TA577, adepte d’IcedId, DarkGate et Pikabot, depuis que Qakbot n’est plus disponible. En bout de chaîne, les victimes peuvent s’attendre notamment à un rendez-vous avec le ransomware BlackBasta. 

Des nouveautés en approche

Un nouveau ransomware, baptisé qBit, a été présenté fin octobre. Actuellement en bêta, il apparaît essentiellement écrit en Go. Son auteur s’occupe également de son propre infostealer. 

Deux semaines plus tôt, le groupe GhostSec annonçait quant à lui son propre rançongiciel en mode service, Ghost Locker. Initialement, il est proposé à 999 $ pour une licence à vie, pour les 15 premiers achats. 

En outre, le code source du ransomware HelloKitty a été divulgué sur un forum russophone bien connu des cybercriminels – notamment –, ouvrant la voie à de potentielles adaptations.

Enfin, le groupe Alphv a lancé un programme d’affiliation « AffiliatePlus » visant à motiver ses affidés à travailler et rapporter plus à la franchise : à partir de 1,5 million de dollars de revenus générés, l’affilié peut accéder à Munhckin, conçu pour chiffrer les données sur les hôtes à systèmes d’exploitation basés sur Linux. 

Situation stable en France

Dans l’Hexagone, cybermalveillance.gouv.fr a reçu, en octobre, un nombre de demandes d’assistance encore stable et toujours relativement faible (150), secteurs privé et public confondus, hors particuliers. C’est autant qu’en novembre 2022, et comparable à décembre 2022, janvier 2023, ou encore mars et mai derniers. De notre côté, nous avons recensé 13 cas connus publiquement.