Nous sommes tous au courant du conflit en cours entre la Russie et l'Ukraine. Outre les affrontements terrestres, ce conflit engendre également des cyberattaques contre la Russie et l'Ukraine. Nous constatons une recrudescence des activités cybercriminelles malveillantes au fil des semaines. Cet article passe en revue la plupart des attaques malveillantes relayées par la presse et liées à la cyberguerre russo-ukrainienne .
- Essuie-glace hermétique :
Ce virus a été observé pour la première fois le 23 février et cible l'Ukraine. HermeticWiper doit son nom au certificat Hermetica Digital Ltd qu'il contient. Il exploite le pilote légitime d'EaseUS en effaçant le processus en le chargeant en tant que service. Il désactive également les vidages sur incident à l'aide d'une entrée de registre et d'un cliché instantané de volume via le service. Il écrase le MBR, la MFT et des fichiers à plusieurs emplacements avec des octets aléatoires. La machine infectée ne pourra pas démarrer en raison de l'écrasement de son MBR.
- WhisperGate :
Il s'agit d'un malware destructeur, observé pour la première fois le 13 janvier 2022 et ciblant l'Ukraine. Il corrompt le disque en écrasant le code MBR par du code assembleur 16 bits et une demande de rançon. Dans ce cas, la demande de rançon n'est qu'une tactique, car il n'y a aucun moyen de récupération. Si l'écrasement du MBR échoue, une deuxième étape implique un corrupteur de fichiers. Ce malware écrase des fichiers d'extension spécifiques dans des répertoires spécifiques avec un nombre fixe d'octets 2xCC en ajoutant des extensions aléatoires au nom du fichier.
- Isaac Wiper :
Encore un malware ciblant l'Ukraine. Isaac Wiper a été repéré pour la première fois le 24 février 2022. Il identifie les disques physiques et efface les premiers 0x10000 octets de chaque disque. Ce malware peut également identifier les disques logiques et effacer tous les fichiers qu'ils contiennent avec des octets aléatoires.
- RURançon :
Malgré son nom, RURansom est un wiper et non une variante de rançongiciel, car il détruit irréversiblement les fichiers chiffrés. Il se propage comme un ver en se copiant sur tous les disques amovibles et lecteurs réseau mappés. Après sa propagation, il commence à chiffrer toutes les extensions de fichiers, à l'exception des fichiers « .bak », qui sont supprimés. Les fichiers sont chiffrés avec une clé générée aléatoirement et d'une longueur égale à base64. L'algorithme de chiffrement utilisé par RURansom est AES-CBC.
Les clés de chiffrement utilisées par RURansom sont uniques pour chaque fichier chiffré et ne sont stockées nulle part. Le chiffrement est donc irréversible, ce qui classe ce logiciel malveillant comme un « wiper » plutôt que comme une variante de ransomware. Certaines variantes de logiciels malveillants vérifient l'adresse IP pour éviter leur exécution hors de Russie.
Comment Seqrite protéger ses utilisateurs ?
Seqrite détecte les logiciels malveillants mentionnés ci-dessus sous les noms de détection suivants :
- Whispergte.S26928601
- Whispergte.S26928613
- WhisperGateCiR
- HrmetcWipr.S26876287
- Essuie-glace hermétiqueCiR
- Essuie-glace hermétique
- Win32CiR
- RURansom
- MSIL
Conclusion
Alors que le conflit russo-ukrainien perdure, les auteurs de logiciels malveillants utilisent de nouveaux outils et astuces pour attirer leurs victimes. La meilleure défense contre ces cyberattaques en constante évolution est de rester vigilant et d'adopter une cyberhygiène de sécurité.
Gardez votre Seqrite Les produits EPS sont mis à jour avec les dernières définitions de virus. Chez Seqrite Nous surveillons en permanence l'évolution de la situation et mettrons régulièrement à jour nos détections. À ce jour, nous sommes déjà protégés contre tous les logiciels malveillants signalés.
