Payouts King : l’héritage de BlackBasta

Vecteurs d’accès et établissement de la persistance

La méthodologie d’intrusion repose sur une combinaison de « spam bombing », de phishing et de vishing. Les attaquants envoient des courriels indésirables en masse puis usurpent l’identité du personnel informatique de l’organisation cible. Les victimes sont incitées à rejoindre un appel Microsoft Teams et à utiliser l’outil Quick Assist, permettant aux attaquants de déployer un malware et d’établir un point d’ancrage sur le réseau. Pour assurer la persistance, Payouts King crée des tâches planifiées nommées exécutées sous le compte SYSTEM. Payouts King emploie en outre des méthodes sophistiquées pour contourner les solutions EDR et antivirus.

Mécanismes de chiffrement et impact sur les données

Le ransomware utilise un chiffrement hybride combinant RSA 4096 bits et AES 256 bits en mode compteur (CTR). La stratégie de chiffrement est sélective : les fichiers de moins de 10 Mo sont intégralement chiffrés, tandis que les fichiers plus volumineux sont divisés en 13 blocs, dont seulement la moitié de chaque bloc est chiffrée pour optimiser les performances.

Le renommage des fichiers est effectué selon une technique discrète visant à échapper à la surveillance des outils de protection. Le processus se conclut par la suppression des Windows shadow copies, le vidage de la corbeille, l’effacement des journaux d’événements et l’affichage d’une note de rançon nommée sur le bureau de la victime.