Qu'est-ce que le rançongiciel DarkBit ?

En enquêtant sur de nouvelles souches de logiciels malveillants, notre équipe est tombée sur DarkBit - un logiciel de rançon qui fonctionne en cryptant les données et en exigeant des rançons pour le décryptage. Lors du lancement d'un échantillon de DarkBit, il commence immédiatement à chiffrer les fichiers et à les renommer avec une chaîne de caractères aléatoire et l'extension ".Darkbit".

Une fois le processus de cryptage terminé, DarkBit a créé une note de rançon nommée "RECOVERY_DARKBIT.txt" et l'a laissée sur le bureau. Contrairement à d'autres notes de rançon, le message de DarkBit a commencé par une diatribe politique, ce qui implique que le ransomware était destiné à cibler de grandes entités comme des entreprises plutôt que des utilisateurs à domicile.

Selon la note de rançon, les fichiers ont été cryptés à l'aide de l'algorithme cryptographique AES-256 et les données sensibles ont été exfiltrées. La note met en garde les victimes contre l'utilisation d'outils ou de services de récupération tiers, ce qui peut entraîner une perte permanente de données.

Les attaquants exigent une rançon de 80 BTC (crypto-monnaie Bitcoin) pour les clés/outils de décryptage, ce qui équivaut à environ 1,7 million USD (selon les taux de change). Le montant de la rançon indique que le rançongiciel n'est généralement pas exploité contre les utilisateurs à domicile. La note indique également que si aucune action n'est entreprise dans les 48 heures, le montant de la rançon augmentera de 30 %, et cinq jours plus tard, les attaquants mettront en vente les données volées.

La note de rançon DarkBit devient politique

Le texte complet du fichier "RECOVERY_DARKBIT.txt" qui contient la demande de rançon se présente comme suit :

Chers collègues,
Nous sommes désolés de vous informer que nous avons dû pirater complètement le réseau Technion et transférer "toutes" les données vers nos serveurs sécurisés.
Alors, restez calme, respirez et pensez à un régime d'apartheid qui cause des troubles ici et là.
Ils devraient payer pour leurs mensonges et leurs crimes, leurs noms et leurs hontes. Ils devraient payer pour l'occupation, les crimes de guerre contre l'humanité,
tuant les gens (pas seulement les corps des Palestiniens, mais aussi les âmes des Israéliens) et détruisant l'avenir et tous les rêves que nous avions.
Ils devraient payer pour licencier des experts hautement qualifiés.

Quoi qu'il en soit, vous (en tant qu'individu) n'avez rien à craindre.
C'est le rôle de l'administration de donner suite à nos instructions de récupération du réseau.
Mais, vous pouvez nous contacter via TOX Messenger si vous souhaitez récupérer vos fichiers personnellement. (ID TOX : AB33BC51AFAC64D98226826E70B483593C81CB22E6A3B504F7A75348C38C862F00042F5245AC)

Notre instruction pour l'administration:
Tous vos fichiers sont cryptés à l'aide de l'algorithme de qualité militaire AES-256. Donc,

1. N'essayez pas de récupérer les données, car les fichiers cryptés sont irrécupérables à moins que vous n'ayez la clé.
   Toute tentative de récupération de données sans la clé (en utilisant des applications/sociétés tierces) cause des dommages PERMANENTS. Prenez-le au sérieux.
2. Vous devez nous faire confiance. C'est notre métier (après avoir été licencié par des entreprises de haute technologie) et la réputation est tout ce que nous avons.
3. Tout ce que vous avez à faire est de suivre la procédure de paiement, puis vous recevrez la clé de décryptage à utiliser pour renvoyer tous vos fichiers et machines virtuelles.
4. Mode de paiement:
   Entrez le lien ci-dessous
   hxxp://iw6v2p3cruy7tqfup3yl4dgt4pfibfa3ai4zgnu5df2q3hus3lm7c7ad.onion/support

Entrez l'ID ci-dessous et payez la facture (80 BTC)

Vous recevrez la clé de décryptage après le paiement.

Notez que vous n'avez que 48 heures. Passé ce délai, une pénalité de 30% sera ajoutée au prix.
Nous mettons les données en vente après 5 jours.
Prenez les choses au sérieux et n'écoutez pas les conseils probables d'un gouvernement stupide.

Bonne chance!
DarkBit

Pourquoi certaines variantes de ransomwares comme DarkBit choisissent-elles de cibler les entreprises plutôt que les particuliers ?

Selon la note de rançon laissée par DarkBit, il semble cibler de grandes entités comme les entreprises plutôt que les particuliers. Bien que les motivations exactes des auteurs de rançongiciels puissent varier, l'une des raisons possibles pour cibler les entreprises est le potentiel de paiements plus importants. Les entreprises peuvent avoir plus de données précieuses ou sensibles que les utilisateurs individuels, et elles peuvent être disposées à payer une rançon plus importante pour éviter les perturbations et la responsabilité légale potentielle qui pourraient résulter d'une violation de données. De plus, les entreprises peuvent avoir mis en place des mesures de sécurité moins robustes que les utilisateurs à domicile, ce qui les rend plus vulnérables aux attaques. Cependant, il est important de noter que toute organisation ou tout individu peut être la cible d'une attaque de ransomware, quelle que soit sa taille ou son secteur d'activité.