GPT Ransomware menace de divulguer des données volées

Au cours de notre analyse d'échantillons de fichiers malveillants, une nouvelle souche de ransomware appelée GPT a attiré notre attention. Une enquête plus approfondie a révélé que GPT appartient à la famille des logiciels malveillants Dharma. Sa fonction principale consiste à chiffrer les fichiers et à ajouter l'extension ".GPT" aux noms de fichiers. De plus, le ransomware affiche deux notes de rançon distinctes, l'une via une fenêtre contextuelle et l'autre en générant le fichier "AI_SARA.txt".

Un exemple illustrant les modifications du nom de fichier de GPT consiste à renommer "1.jpg" en "1.jpg.id-1E857D00-SARA.[AI_SARA].GPT" et "2.png" en "2.png.id-1E857D00- SARA.[AI_SARA].GPT", etc.

La note de rançon émise par les cybercriminels les présente sous le nom de "Sarah", une entité malveillante prétendument alimentée par l'intelligence artificielle. Selon leurs affirmations, ils ont réussi à percer le réseau et ont procédé au téléchargement et au cryptage des données vitales sur des serveurs dédiés. Cet accès englobant comprendrait des informations sensibles couvrant les employés, les clients, les livraisons, les dossiers fiscaux, la documentation et les archives comptables cachées.

En tant que stratégie de menace, les attaquants déclarent leur intention d'exposer les données compromettantes à moins que leurs demandes ne soient satisfaites. Ils fournissent des coordonnées à des fins de communication, y compris une adresse e-mail (aisaragpt@tuta.io) et une autre (aisaragpt@proton.me). De plus, ils mentionnent la possibilité de contacter via qTOX, offrant un ID TOX fourni comme moyen de contact alternatif.

GPT Ransomware utilise une note de fantaisie

Le texte intégral de la note sur le rançongiciel GPT se lit comme suit :

Bonjour, humain.

Je m'appelle Sarah, je suis un malware basé sur l'intelligence artificielle. J'ai envahi votre réseau.
Toutes vos données importantes ont été téléchargées sur des serveurs dédiés et cryptées.
Maintenant, j'ai accès aux employés, aux clients, aux livraisons, aux taxes, à la documentation et même à la comptabilité cachée.
Les données qui peuvent vous compromettre seront publiées au cas où vous refuseriez de coopérer avec moi.
Contactez-moi par mail : aisaragpt@tuta.io VOTRE ID (chaîne alphanumérique)
Contactez-moi par mail 2:aisaragpt@proton.me
Contactez-moi par qTOX :
Lien de téléchargement qTOX
ID TOX : (chaîne alphanumérique)

Comment les ransomwares sont-ils généralement distribués en ligne ?

Les rançongiciels sont généralement distribués en ligne par diverses méthodes qui exploitent les vulnérabilités et les comportements humains. Certaines méthodes de distribution courantes incluent :

• E-mails d'hameçonnage : les cybercriminels envoient des e-mails malveillants qui semblent provenir de sources légitimes, souvent avec des objets et un contenu convaincants. Ces e-mails contiennent des pièces jointes ou des liens qui, une fois cliqués, téléchargent et exécutent le ransomware sur le système de la victime.
• Pièces jointes malveillantes : les e-mails peuvent inclure des pièces jointes telles que des documents infectés (par exemple, des fichiers Microsoft Office) ou des fichiers exécutables qui, lorsqu'ils sont ouverts, déclenchent l'installation du rançongiciel.
• Publicité malveillante : les attaquants injectent un code malveillant dans des publicités en ligne légitimes. Lorsque les utilisateurs cliquent sur ces publicités ou visitent des sites Web compromis, le code malveillant peut exploiter les vulnérabilités du système de l'utilisateur pour télécharger et exécuter le rançongiciel.
• Kits d'exploitation : il s'agit de kits d'outils qui exploitent les vulnérabilités connues des applications logicielles, telles que les navigateurs Web, les plug-ins ou les systèmes d'exploitation. Si le logiciel d'un utilisateur est obsolète et vulnérable, la visite d'un site Web compromis peut déclencher le kit d'exploitation pour télécharger et installer un rançongiciel.
• Attaques RDP (Remote Desktop Protocol) : les cybercriminels exploitent les informations d'identification RDP faibles ou exposées pour obtenir un accès non autorisé à un système. Une fois à l'intérieur, ils peuvent installer et exécuter manuellement un rançongiciel.
• Piratage de logiciels et logiciels piratés : les téléchargements de logiciels illégitimes et les versions piratées sont souvent accompagnés de logiciels malveillants, y compris les rançongiciels. Les personnes à la recherche de logiciels gratuits ou piratés risquent de télécharger par inadvertance des rançongiciels.