Un nouveau ransomware ciblé, nommé SNAKE ou EKANS, a été découvert début janvier. Ce logiciel malveillant, écrit en Go, est fortement obfusqué et cible les environnements ICS. Snake semble être distribué via une campagne ciblée et spécifique visant exclusivement les réseaux d'entreprise. Il utilise les algorithmes de chiffrement AES et RSA. Une fois infectés, les fichiers concernés sont écrasés par des données chiffrées. Chaque fichier modifié est également marqué de la chaîne « EKANS » à la fin.
Le logiciel malveillant vérifie la présence d'un nom de système interne codé en dur et d'adresses IP publiques. Dans notre cas, ce nom est lié à la société Honda. Il s'arrête immédiatement si les requêtes DNS vers un domaine interne appartenant à Honda ne sont pas résolues.
Analyse technique:
Le fichier est un exécutable PE32 pour MS Windows et possède une section « .symtab » avec moins d'importations, ce qui indique que le fichier est écrit et compilé en langage Go.
Plusieurs chaînes confirment que le binaire est compilé en langage Go. Voici l'identifiant de build Go.
Le logiciel malveillant commence par demander une résolution DNS pour « MDS.HONDA.COM ». Honda a récemment été victime d'une cyberattaque de type ransomware ciblant ses systèmes informatiques. Il semblerait donc que cet échantillon soit celui utilisé pour compromettre le site web de Honda.
Le logiciel malveillant associe « MDS.HONDA.COM » à l'adresse IP correspondante et fait également référence à l'adresse IP américaine 170.108.71.15 , qui correspond au nom d'hôte « unspec170108.amerhonda.com ». En cas d'échec de la résolution DNS, le logiciel malveillant interrompt son exécution.
Lorsque le logiciel malveillant détecte que le nom de domaine a été résolu, il modifie les paramètres du pare-feu en envoyant une commande à netsh.exe (outil réseau). La commande transmise est :
« Netsh advfirewall définit tous les profils firewallpolicy blockinbound, blockoutbound ».
Cette commande bloquera toutes les connexions entrantes et sortantes pour tous les profils qui ne correspondent pas aux règles d'entrée et de sortie à l'aide de la fonction de pare-feu Windows.
Les logiciels malveillants utilisent l'algorithme ci-dessous pour décrypter toutes les chaînes utilisées lors de l'exécution des logiciels malveillants. Cependant, chaque donnée cryptée utilise une clé XOR différente.
La boucle de décryptage ci-dessous décrypte la clé publique RSA, qui sera utilisée pour crypter chacune des clés AES utilisées pour crypter les fichiers.
Le code décompilé de l'algorithme est donné ci-dessous.
Le logiciel malveillant vérifie la présence du mutex « EKANS ». S'il est présent, le rançongiciel interrompt son exécution et n'infecte pas les systèmes. Dans le cas contraire, le mutex est créé et l'infection progresse.
Il contient une liste de processus et de services codés en dur, présents sous forme de chaînes chiffrées du logiciel malveillant. Si l'un des services est en cours d'exécution sur le système victime, le rançongiciel l'arrête. De plus, si des processus sont en cours d'exécution sur le système, il les arrête à l'aide de la fonction TerminateProcess(). Certains noms de processus sont indiqués ci-dessous.
Les logiciels malveillants suppriment toutes les sauvegardes de clichés instantanés de volumes (VSS) trouvées sur le système. Ils ignorent certaines extensions du fichier lors du chiffrement. En voici quelques-unes :
.sys .mui .tmp .lnk .config .tlb .olb .blf .ico .manifest .bat .cmd .ps1 etc
Certaines des extensions mentionnées ci-dessous sont décryptées par le malware bien qu'elles ne soient pas utilisées lors du cryptage.
Le procédé de chiffrement Snake combine les cryptographies symétrique et asymétrique, incluant AES-256 et RSA-2048. Une clé symétrique est nécessaire pour chiffrer et déchiffrer les fichiers. Cette clé symétrique est chiffrée avec la clé publique de l'attaquant. Le déchiffrement n'est possible qu'avec sa clé privée. Cela rend le déchiffrement difficile, voire impossible, pour les fournisseurs de sécurité.
Le logiciel malveillant utilise le mode AES CTR pour chiffrer le fichier avec une clé aléatoire de 0x20 octets et un vecteur d'initialisation aléatoire de 0x10 octets. La clé publique RSA est codée en dur dans le fichier. Après le chiffrement, le logiciel malveillant ajoute le marqueur « EKANS » à la fin. EKANS est l'inverse de SNAKE.
Après avoir chiffré tous les fichiers, le logiciel malveillant renomme chaque fichier chiffré. Il ajoute une chaîne aléatoire de cinq caractères à l'extension du fichier. Les extensions étant des rançons, il est difficile d'identifier le rançongiciel à travers les extensions. L'image ci-dessous illustre le renommage des fichiers par le rançongiciel serpent.
Conclusion
Les rançongiciels sont devenus une menace permanente pour les particuliers comme pour les entreprises. Une fois les fichiers chiffrés, il est très difficile de les déchiffrer. Compte tenu de l'ampleur des dommages qu'un rançongiciel peut causer à vos données, vous devez suivre les mesures de sécurité recommandées ci-dessous.
- Utilisez un antivirus multicouche capable d’arrêter les menaces en temps réel.
- Maintenez votre antivirus à jour.
- Mettez régulièrement à jour votre système d’exploitation, car des correctifs critiques sont publiés chaque jour.
- Maintenez votre logiciel à jour.
- Ne connectez jamais directement des systèmes distants à Internet.
- Ne cliquez pas sur les liens et ne téléchargez pas les pièces jointes dans les e-mails reçus de sources inconnues.
- Effectuez régulièrement des sauvegardes de vos données et conservez-les dans un endroit sûr.
- Auditez le système de passerelle et vérifiez les erreurs de configuration.
Seqrite Nos produits sont équipés de technologies de détection multicouches telles que l'IDS/IPS, l'analyse ADN, l'analyse des e-mails, le BDS, la protection web et la détection brevetée des rançongiciels. Cette approche de sécurité multicouche nous permet de protéger efficacement nos clients contre ce type de rançongiciels et d'autres menaces connues et inconnues.
Indicateur de compromis
d4da69e424241c291c173c8b3756639c654432706e7def5025a649730868c4a1
