EXISC Ransomware cible les entreprises et les entreprises

Au cours de notre enquête sur les nouvelles soumissions sur le site VirusTotal, nous sommes tombés sur un programme de ransomware appelé EXISC. Son objectif principal est de crypter les données et d'exiger un paiement en échange de leur décryptage.

Lors de l'exécution d'un échantillon d'EXISC sur notre système de test, nous avons observé qu'il réussissait à crypter les fichiers et à ajouter une extension ".EXISC" à leurs noms de fichiers d'origine. Par exemple, un fichier nommé "1.jpg" serait transformé en "1.jpg.EXISC", tandis que "2.png" deviendrait "2.png.EXISC", et ainsi de suite.

Après le processus de cryptage, EXISC a généré une note de rançon intitulée "Veuillez nous contacter pour restaurer.txt". D'après le contenu de ce message, il est devenu évident que le ransomware cible principalement les grandes organisations plutôt que les particuliers.

La note de rançon indique à la victime que le réseau de son entreprise a été compromis. L'étendue des dommages est décrite comme suit : les fichiers ont été cryptés et des données sensibles ou confidentielles ont été volées.

Selon la note, la victime doit verser une rançon pour retrouver l'accès à ses fichiers et empêcher la fuite du contenu exfiltré. Bien que le montant exact de la rançon ne soit pas précisé, il est explicitement mentionné que le paiement doit être effectué en crypto-monnaies Bitcoin ou Monero.

De plus, la note suggère qu'un certain nombre de fichiers peuvent être envoyés pour un test de décryptage. Cela devrait servir de preuve à la victime que la récupération des données est en effet possible.

La note de rançon EXISC s'attend à un contact via Tox

Le texte intégral de la note de rançon EXISC se lit comme suit :

Bonjour, l'ordinateur de votre entreprise est crypté par moi, et la base de données et les données sont téléchargées. Si vous ne voulez pas que je divulgue ces documents, vous devez me payer une rançon. Après avoir reçu la rançon, je supprimerai tous les fichiers téléchargés et vous aiderai à décrypter votre ordinateur, sinon si nous le faisons, nous divulguerons ces documents et votre entreprise fera face à des répercussions sans précédent.

Nous ne travaillons que pour l'argent et ne détruisons pas votre réseau, et nous sommes très honnêtes. Après avoir reçu la rançon, nous vous fournirons également des informations sur la vulnérabilité de votre système pour vous aider à corriger la vulnérabilité afin d'éviter de nouvelles attaques.

Si vous doutez de notre capacité à décrypter les fichiers, vous pouvez m'envoyer des fichiers cryptés et je les décrypterai pour le prouver.

Veuillez payer la rançon en Bitcoin ou en Monero.

Veuillez utiliser TOX pour me contacter ou m'envoyer un e-mail.

Courriel : HonestEcoZ@dnmx.org

ID TOX :(chaîne alphanumérique)
Téléchargement TOX : hxxps://tox.chat/download.html

Quels sont les vecteurs d'infection les plus courants pour les ransomwares comme EXISC ?

Les rançongiciels comme EXISC utilisent divers vecteurs d'infection pour infiltrer les systèmes et les réseaux. Voici quelques-uns des vecteurs d'infection les plus couramment utilisés par les rançongiciels :

• E-mails d'hameçonnage : les e-mails d'hameçonnage restent une méthode courante de distribution de rançongiciels. Les cybercriminels élaborent des e-mails convaincants qui semblent légitimes, usurpant souvent l'identité d'entités ou d'individus de confiance. Ces e-mails contiennent des pièces jointes malveillantes ou des liens intégrés qui, lorsqu'ils sont cliqués ou ouverts, déclenchent le processus d'infection du ransomware.
• Téléchargements et pièces jointes malveillants : les rançongiciels peuvent être téléchargés par inadvertance à partir de sites Web malveillants ou via des pièces jointes infectées. Cela peut se produire lorsque les utilisateurs visitent des sites Web compromis ou ouvrent des pièces jointes contenant des fichiers exécutables, des macros ou des charges utiles basées sur des scripts.
• Kits d'exploitation : les kits d'exploitation sont des outils malveillants qui tirent parti des vulnérabilités logicielles présentes dans les navigateurs Web, les plug-ins ou les systèmes d'exploitation. En exploitant ces vulnérabilités, les rançongiciels peuvent être transmis en silence au système d'une victime lorsqu'elle visite un site Web compromis ou clique sur une publicité malveillante.
• Attaques RDP (Remote Desktop Protocol) : les opérateurs de ransomware ciblent souvent des systèmes avec des connexions Remote Desktop Protocol exposées ou faiblement sécurisées. Ils utilisent des techniques de force brute pour obtenir un accès non autorisé et installer le ransomware.
• Vulnérabilités logicielles : les rançongiciels peuvent exploiter des vulnérabilités logicielles non corrigées ou obsolètes pour infiltrer les systèmes. Cela inclut les vulnérabilités des systèmes d'exploitation, des applications ou des services réseau, qui permettent au ransomware d'obtenir un accès non autorisé et d'exécuter sa charge utile.
• Publicités malveillantes : des publicités malveillantes ou des publicités malveillantes peuvent être trouvées sur des sites Web ou des réseaux publicitaires légitimes. Ces publicités contiennent des scripts cachés qui redirigent les utilisateurs vers des sites Web malveillants hébergeant des ransomwares ou déclenchent des téléchargements automatiques de la charge utile du ransomware.
• Téléchargements intempestifs : les téléchargements intempestifs se produisent lorsqu'un logiciel de rançon est automatiquement téléchargé sans le consentement ou l'interaction de l'utilisateur, généralement à partir de sites Web compromis. Ces sites Web contiennent un code malveillant qui exploite les vulnérabilités du navigateur Web ou des plug-ins de l'utilisateur, permettant au logiciel de rançon d'être diffusé en silence.