Alerte Microsoft : un nouveau ransomware INC cible le secteur de la santé aux États-Unis

Selon une récente alerte de Microsoftun acteur menaçant aux motivations financières malveillantes a été observé en train d'exploiter une nouvelle souche de ransomware INC pour cibler le secteur de la santé aux États-Unis. Dans cet article, nous allons entrer dans les détails et déterminer qui est l'acteur de la menace et comment de telles attaques sont menées. Commençons par le commencement !

Alerte Microsoft Sur Vanilla Tempest

Compte tenu des détails de l'alerte de alerte de MicrosoftLes équipes de renseignement sur les menaces de Microsoft suivent les activités de cet acteur de la menace sous le nom de Vanilla Tempest, précédemment connu sous les noms de DEV-0832 et Vice Society.

Depuis 2021, l'acteur de la menace s'est fait une réputation en ciblant différents secteurs, notamment l'éducation, la santé, l'informatique et l'industrie. Les différentes souches de ransomware utilisées lors de ces attaques sont les suivantes :  

• Rhysida
• Zeppelin. 
• Chat noir. 
• Quantum Locker. 

CheckPoint, une société spécialisée dans les technologies logicielles, a également établi un lien entre Vanilla Tempest et un groupe de ransomware Rhysida. Il a été révélé que les attaques menées par ce groupe visaient également le secteur des soins de santé, dans le but de vendre des données de patients acquises à l'hôpital Lurie Children's de Chicago.

Compte tenu des activités de l'acteur de la menace en tant que Vice Society, on pense que le groupe de criminels en ligne malveillants est connu pour utiliser des casiers déjà existants pour leurs attaques plutôt que de développer une version personnalisée. 

Le Ransomware INC

Les personnes désireuses d'assurer récupération et la protection contre de telles menaces en ligne doivent savoir que le ransomware INC mentionné dans l'alerte de alerte de Microsoft est un ransomware-as-a-service (RaaS). Des opérations malveillantes en ligne relatives à son utilisation ont ciblé des organisations publiques et privées depuis juillet 2023. Ces cibles sont les suivantes :

• Yamaha Motor Philippines. 
• Le service national de santé écossais (NHS).
• La division américaine de Xerox Business Solutions (XBS).

Il convient de mentionner que le code source des versions Windows et Linux/ESXi de INC Ransom a été mis en vente en mai 2024 pour 300 000 dollars. L'acteur de la menace à l'origine de cette vente était "salfetka". et l'annonce a été faite sur les forums de piratage Exploit et XSS.

Chaîne d'attaque Tempest Vanilla

Selon l'alerte de alerte de Microsoftles récentes cyberattaques contre le secteur de la santé aux États-Unis constituent la première utilisation de l'outil INC Ransom par cet acteur de la menace. Les renseignements sur les menaces alerte Microsoftdans une série de messages sur X, a déclaré que :

"Vanilla Tempest reçoit des transferts d'infections GootLoader par l'acteur Storm-0494, avant de déployer des outils tels que la porte dérobée Supper, l'outil légitime de surveillance et de gestion à distance (RMM) AnyDesk et l'outil de synchronisation des données MEGA."

Une fois les outils déployés, les attaquants commencent à se déplacer latéralement au sein du réseau compromis en utilisant des protocoles de bureau à distance. Ensuite, les auteurs de la menace utilisent l'hôte de fournisseur WMI (Windows Management Instrumentation) pour déployer l'attaque par ransomware. 

Rapports des médias concernant l'alerte de alerte de Microsoft affirment que ces groupes d'acteurs de la menace utilisent également Azure Storage Explorer et AzCopy pour extraire des données sensibles tout en essayant d'échapper à la détection.

Conclusion 

La montée en puissance de Vanilla Tempest et le déploiement du ransomware INC dans le secteur de la santé aux États-Unis mettent en évidence les cybermenaces permanentes qui pèsent sur les secteurs critiques. Les organisations doivent rester vigilantes, adopter des mesures de cybersécurité robusteset suivre de près l'évolution des tactiques utilisées par ces acteurs de la menace afin d'atténuer les dommages potentiels.

Les sources de cet article comprennent des articles dans The Hacker News et Tech Business News.