Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Les acteurs de la menace sont en train de mettre à jour l'outil d'exfiltration de données Exmatter avec une fonction unique de corruption de données, que les attaquants pourraient utiliser pour effectuer des attaques par ransomware à l'avenir.
Cette nouvelle fonctionnalité unique de corruption de données a été découverte par des analystes de logiciels malveillants travaillant avec l'équipe d'opérations spéciales de Cyderes lors d'une récente réponse à un incident.
Cette tactique consiste à utiliser les données d'un fichier exfiltré pour endommager un autre fichier. Les chercheurs en sécurité pensent qu'il s'agit d'une tentative de contourner la détection heuristique des ransomwares ou des wiper, qui pourrait être déclenchée en cas d'utilisation de données générées de manière aléatoire.
"Au fur et à mesure que les fichiers sont téléchargés sur le serveur contrôlé par l'acteur, les fichiers qui ont été copiés avec succès sur le serveur distant sont mis en file d'attente pour être traités par une classe nommée Eraser. Un segment de taille aléatoire commençant au début du deuxième fichier est lu dans une mémoire tampon, puis écrit au début du premier fichier, l'écrasant et corrompant le fichier".
Les chercheurs pensent que ce nouvel outil modifiera la stratégie utilisée par les affiliés des ransomwares. Cela signifie que les opérateurs/développeurs sont responsables du développement du ransomware, du site de paiement et des négociations, tandis que les affiliés se chargent de casser les réseaux d'entreprise, de voler des données, de supprimer les sauvegardes et de crypter les appareils.
Toutefois, cette structure désavantage les affiliés. Les opérations de ransomware introduisent des bogues qui permettent aux chercheurs en sécurité de créer des décrypteurs qui peuvent aider les victimes à récupérer leurs fichiers gratuitement.
Bien que l'accord de paiement signifie que les opérateurs de ransomware reçoivent entre 15 et 30 %, tandis que les affiliés reçoivent le reste, ces derniers perdent, dans les cas où les chercheurs en sécurité créent un décrypteur, toutes les recettes potentielles qu'ils auraient reçues dans le cadre du paiement d'une rançon.
Toutefois, avec la nouvelle fonction de corruption des données, on pourrait passer des attaques traditionnelles par ransomware, dans lesquelles les données sont volées puis cryptées, à des attaques dans lesquelles les données sont volées puis supprimées ou endommagées.
Cette méthode permet aux affiliés de conserver tous les revenus d'une attaque puisqu'ils n'ont pas à partager un pourcentage avec le développeur du cryptage.
Les sources de cet article comprennent un article de BleepingComputer.
