Le logiciel malveillant Burntcigar fonctionne en tandem avec le ransomware
Burntcigar est un outil malveillant fréquemment utilisé par les cybercriminels dans le cadre d'attaques de ransomware, en particulier en conjonction avec la variante du ransomware Cuba. Burntcigar recherche activement les noms de processus qui semblent être liés à des logiciels antivirus (AV) ou de détection et réponse de point final (EDR) largement reconnus. Par la suite, il intègre les ID de processus correspondants de ces processus identifiés dans une file d'attente pour une terminaison à un stade ultérieur de son fonctionnement.
Les cybercriminels déploient régulièrement ces logiciels malveillants dans le but spécifique d'exécuter des attaques de ransomware, en mettant particulièrement l'accent sur l'infiltration des environnements informatiques de victimes sans méfiance.
Burntcigar présente un mode de fonctionnement intelligent, qui inclut l'exploitation des vulnérabilités trouvées dans les produits antivirus et de détection et réponse des points finaux (EDR) bien établis. L'une de ses stratégies notables implique le ciblage délibéré des processus associés à ces solutions de sécurité, suivi de l'ajout de leurs ID de processus à une liste de terminaison. Cette décision stratégique conduit finalement à la désactivation de mesures de sécurité vitales sur les machines compromises.
De plus, Burntcigar est reconnu pour sa capacité à compromettre l'intégrité des systèmes informatiques en exploitant des pilotes de périphériques et en exécutant du code malveillant. À certaines occasions, il a été observé qu'il exploitait les vulnérabilités du pilote anti-rootkit d'Avast, accordant ainsi un accès non autorisé aux systèmes ciblés.
En plus de ces exploits, le logiciel malveillant a été documenté en utilisant des fichiers BAT (Batch) comme moyen d'installer des pilotes non sécurisés, créant ainsi un point d'entrée pour des activités malveillantes orchestrées par des cyber-attaquants. Les conséquences potentielles découlant d’une rencontre avec Burntcigar ou des souches de logiciels malveillants similaires sont importantes et peuvent avoir des répercussions considérables.
Principalement, les victimes peuvent subir d'importantes pertes de données lorsque le logiciel malveillant chiffre les fichiers, les rendant inaccessibles sans clé de déchiffrement. En outre, il existe un risque important de pertes financières, car les attaquants exigent régulièrement une rançon en échange de la clé de déchiffrement. Ceci, à son tour, constitue une incitation pour les cybercriminels et amplifie encore les risques associés.
Comment les logiciels malveillants peuvent-ils contourner les solutions antivirus ?
Les développeurs de logiciels malveillants s'adaptent et emploient continuellement diverses techniques pour échapper à la détection par les solutions antivirus. Bien que les logiciels antivirus soient conçus pour détecter et supprimer les logiciels malveillants, ils ne sont pas infaillibles. Voici plusieurs manières par lesquelles les logiciels malveillants peuvent contourner les solutions antivirus :
Code polymorphe : les logiciels malveillants peuvent utiliser du code polymorphe, qui change d'apparence à chaque fois qu'il infecte un nouveau système. Il est donc difficile pour les logiciels antivirus de reconnaître la signature ou les modèles de comportement du logiciel malveillant.
Chiffrement : les logiciels malveillants peuvent crypter leur code ou leurs communications pour apparaître comme des données inoffensives. Il se décrypte uniquement lorsqu'il est exécuté, ce qui rend difficile l'inspection de la charge utile par les programmes antivirus.
Obfuscation du code : les auteurs de logiciels malveillants peuvent obscurcir leur code pour le rendre plus complexe et plus difficile à analyser. Cela peut inclure l'utilisation de techniques de compression ou d'obscurcissement qui obscurcissent la véritable intention du logiciel malveillant.
Logiciels malveillants sans fichier : les logiciels malveillants sans fichier fonctionnent en mémoire sans laisser d'empreinte sur le système de fichiers, ce qui rend la tâche difficile pour les logiciels antivirus qui reposent sur l'analyse de fichiers.
Exploits Zero Day : les logiciels malveillants peuvent exploiter des vulnérabilités de logiciels ou de systèmes d'exploitation qui ne sont pas encore connues des fournisseurs d'antivirus. Ces exploits Zero Day permettent aux logiciels malveillants d'infecter les systèmes avant que les mises à jour de sécurité ou les correctifs ne soient disponibles.
Techniques de rootkits : les rootkits peuvent masquer les logiciels malveillants en modifiant les fonctions et les API au niveau du système, ce qui rend difficile leur détection ou leur suppression par un logiciel antivirus.
Chargement dynamique : les logiciels malveillants peuvent charger dynamiquement du code malveillant dans des processus légitimes, donnant l'impression que le processus légitime se comporte normalement lors de l'exécution d'actions malveillantes.
