La nouvelle astuce dangereuse des ransomwares consiste à doublement crypter vos données.

Les groupes de ransomware ont toujours pris une approche « plus c’est plus. Si une victime paie une rançon et reprend ses activités habituelles, frappez-la à nouveau. Ou bien, ne vous contentez pas de chiffrer les systèmes de votre cible, volez d’abord ses données, afin d’éviter les problèmes de sécurité. vous pouvez menacer de les divulguer s’ils ne paient pas. La dernière escalade ? Ransomware Les pirates informatiques qui cryptent les données d’une victime deux fois en même temps.

Des attaques à double chiffrement ont déjà eu lieu, généralement à cause de deux gangs de ransomware distincts qui compromettent la même victime en même temps. Mais la société antivirus Emsisoft dit avoir connaissance de dizaines d’incidents dans lesquels le même acteur ou groupe superpose intentionnellement deux types de ransomware.

« Les groupes sont constamment en train d’essayer de trouver les meilleures stratégies Brett Callow, analyste des menaces chez Emsisoft, explique : « Dans cette approche, un seul acteur déploie deux types de ransomware. « Ainsi, dans cette approche, vous avez un acteur unique qui déploie deux types de ransomware. La victime déchiffre ses données et découvre qu’elles ne sont en fait pas du tout déchiffrées. »

Certaines victimes reçoivent deux notes de rançon à la fois, dit Callow, ce qui signifie que les pirates veulent que leurs victimes soient au courant de l’attaque à double cryptage. Dans d’autres cas, cependant, les victimes ne voient qu’une seule note de rançon et ne découvrent la deuxième couche de cryptage qu’après avoir payé pour éliminer la première.

« Même dans le cas d’un ransomware standard à chiffrement unique, la récupération est souvent un véritable cauchemar », explique M. Callow. « Mais nous voyons cette tactique de double cryptage assez souvent pour que nous estimions que c’est quelque chose dont les organisations doivent être conscientes lorsqu’elles envisagent leur réponse. »

Emsisoft a identifié deux tactiques distinctes. Dans la première, les pirates chiffrent les données avec le ransomware A, puis les rechiffrent avec le ransomware B. L’autre voie implique ce qu’Emsisoft appelle une attaque de « chiffrement côte à côte », dans laquelle les attaques chiffrent certains systèmes d’une organisation avec le ransomware A et d’autres avec le ransomware B. Dans ce cas, les données ne sont chiffrées qu’une seule fois, mais une victime aurait besoin des deux clés de déchiffrement pour tout déverrouiller. Les chercheurs notent également que, dans ce scénario côte à côte, les attaquants prennent des mesures pour que les deux souches distinctes de ransomware se ressemblent le plus possible, de sorte qu’il est plus difficile pour les intervenants en cas d’incident de comprendre ce qui se passe.

Les gangs de ransomware fonctionnent souvent sur un modèle de partage des revenus, où un groupe construit et maintient une souche de ransomware, puis loue son infrastructure d’attaque à des « affiliés » qui mènent des attaques spécifiques. Selon M. Callow, le double cryptage s’inscrit dans ce modèle en permettant aux clients qui souhaitent lancer des attaques de négocier des partages avec deux gangs qui peuvent chacun fournir une souche distincte de logiciels malveillants.

La question de la de savoir s’il faut payer des rançons numériques est une question épineuse et importante. Les victimes de ransomware qui choisissent de payer doivent déjà se méfier de la possibilité que les attaquants ne fournissent pas de clé de décryptage. Mais l’essor du double chiffrement en tant que stratégie augmente le risque qu’une victime paie, déchiffre ses fichiers une fois, puis découvre qu’elle doit payer à nouveau pour obtenir la deuxième clé. Par conséquent, la menace du double cryptage rend la capacité de restauration à partir de sauvegardes plus cruciale que jamais.

« La restauration à partir de sauvegardes est un processus long et complexe, mais le double cryptage ne le complique pas davantage », déclare Callow. « Si vous décidez de reconstruire à partir de sauvegardes, vous repartez de zéro, donc peu importe le nombre de fois où les anciennes données ont été cryptées. »

Pour les victimes de ransomware qui n’ont pas de sauvegardes adéquates en premier lieu ou qui ne veulent pas prendre le temps de reconstruire leurs systèmes à partir de zéro, les attaques par double cryptage constituent une menace supplémentaire. Cependant, si la crainte des attaques par double cryptage rend les victimes moins enclines à payer en général, les attaquants pourraient renoncer à cette nouvelle stratégie.