Ransomware NotLockBit : la menace trompeuse qui cible Windows et Mac

Qu'est-ce que NotLockBit Ransomware ?

NotLockBit est une variante sophistiquée du ransomware conçue pour ressembler au célèbre ransomware LockBit , une tactique qui vise à dérouter les victimes et à échapper à la détection. Contrairement à de nombreuses menaces de ransomware qui se concentrent sur un seul système d'exploitation, NotLockBit est conçu pour cibler à la fois les ordinateurs Windows et Mac, élargissant ainsi considérablement sa portée. Une fois à l'intérieur d'un système, il crypte et exfiltre les fichiers, ce qui donne aux attaquants le contrôle des données cryptées tout en leur permettant de menacer les victimes en exposant des informations sensibles. De plus, NotLockBit modifie le fond d'écran du bureau de l'utilisateur, laissant un rappel numérique de sa présence.

Au-delà du chiffrement, NotLockBit renomme les fichiers à l'aide d'un format distinct qui inclut un vecteur d'initialisation et une extension « .abcd ». Ce processus de renommage affecte un large éventail de types de fichiers, tels que les documents, les images et d'autres données essentielles pour les utilisateurs. Par exemple, le fichier « document.pdf » peut être transformé en « document.pdf.3544329bb141eea628f7c3bff6c79c11.abcd », ce qui indique clairement aux victimes que les attaquants ont verrouillé leurs fichiers.

La demande de rançon : un avertissement déguisé

La demande de rançon présentée par NotLockBit est conçue pour imiter celle du véritable ransomware LockBit, dans le but de tromper les victimes en leur faisant croire qu'elles ont affaire à ce groupe de ransomware notoire. Dans la note, les attaquants informent les victimes que leurs fichiers ont été à la fois cryptés et volés, ce qui leur donne la possibilité de menacer à la fois la perte de données et la divulgation publique. Cette tactique de double extorsion devient de plus en plus courante, car elle met les victimes sous pression non seulement en leur faisant perdre des données, mais aussi en leur faisant courir un risque de réputation en cas de fuite de fichiers sensibles.

Dans un revirement inhabituel, la note présente aux victimes une proposition alléchante : si elles aident à infiltrer les réseaux d'autres entreprises, elles peuvent « gagner des millions » grâce à ces activités illégales. Les victimes sont invitées à fournir des identifiants de connexion pour des services tels que RDP, VPN ou des comptes de messagerie d'entreprise, voire à exécuter un fichier malveillant sur un ordinateur de l'entreprise. La communication avec les attaquants est facilitée par Tox Messenger, une application de chat sécurisée, et la note comprend un ToxID pour un contact direct.

Comment fonctionne le ransomware NotLockBit

Le processus opérationnel de NotLockBit sur une machine infectée est extrêmement ciblé. Lors de son premier démarrage, le ransomware récupère l'ID unique de la machine, puis analyse les fichiers sur l'ensemble du système. Sur macOS, le ransomware cible les fichiers du répertoire racine tout en contournant certains répertoires pour éviter d'être détecté. Les fichiers tels que les documents, les images et divers types de données sont particulièrement exposés, car ils sont chiffrés et envoyés vers un compartiment Amazon S3 contrôlé par les attaquants. Cette combinaison de chiffrement et d'exfiltration de fichiers ajoute une couche de danger unique, car les utilisateurs risquent de perdre à la fois leurs fichiers et la confidentialité de leurs données.

Sous macOS, NotLockBit utilise la commande « osascript » pour modifier le fond d'écran du bureau, et sous Windows, il utilise la fonction SystemParametersInfoW pour effectuer ces modifications. Dans certaines variantes de Windows, NotLockBit inclut également un code conçu pour supprimer les copies fantômes ou les sauvegardes, ce qui rend encore plus difficile pour les utilisateurs de restaurer leurs fichiers sans payer la rançon.

Le paysage des ransomwares : NotLockBit et ses pairs

Les ransomwares sont devenus l'un des types de cybermenaces les plus répandus et les plus dommageables financièrement. En empêchant les victimes d'accéder à leurs fichiers et en exigeant une rançon pour y accéder, les ransomwares comme NotLockBit obligent les victimes à prendre des décisions difficiles sous pression. Bien que certaines personnes et entreprises puissent tenter de négocier ou même de payer pour récupérer leurs fichiers, les experts déconseillent fortement cette approche, car elle ne garantit pas que les attaquants procéderont au décryptage. Des cas passés ont montré que même après le paiement, certains attaquants peuvent continuer à retenir des données, ce qui fait du paiement une stratégie risquée.

La famille de ransomwares LockBit, ainsi que des variantes telles que NK et Ztax , s'inscrivent dans une tendance mondiale où les cybercriminels exploitent les ransomwares à des fins lucratives. L'approche unique de NotLockBit, qui se fait passer pour une autre variante et cible à la fois Windows et Mac, met en évidence l'innovation continue dans le paysage des ransomwares, ce qui rend la vigilance essentielle.

Méthodes de distribution des ransomwares

Les développeurs de ransomwares utilisent un large éventail de techniques pour infecter les systèmes des victimes. NotLockBit et les menaces similaires se propagent souvent via des e-mails de phishing contenant des pièces jointes ou des liens malveillants. En outre, les cybercriminels peuvent intégrer des ransomwares dans des logiciels piratés, des générateurs de clés et des outils de piratage, ce qui rend crucial d'éviter les téléchargements de logiciels non autorisés. Les utilisateurs qui téléchargent des fichiers piratés ou interagissent avec des publicités et des fenêtres contextuelles en ligne douteuses risquent également d'être la proie d'un ransomware.

Une autre méthode de diffusion courante consiste à exploiter les vulnérabilités logicielles. Les acteurs malveillants profitent des systèmes non corrigés pour pénétrer dans les systèmes par des points faibles. D'autres tactiques incluent l'utilisation de clés USB infectées, de réseaux peer-to-peer et de sites de téléchargement tiers. Souvent, des fichiers malveillants tels que des documents MS Office, des PDF, des fichiers exécutables et JavaScript sont utilisés pour tromper les utilisateurs et les amener à infecter leurs systèmes sans le savoir.

Protection contre le ransomware NotLockBit

Avec la sophistication croissante des ransomwares comme NotLockBit, il est essentiel d'adopter un comportement en ligne sûr et de maintenir des mesures de sécurité régulières. Une stratégie préventive clé consiste à créer des sauvegardes régulières stockées sur des disques externes ou un stockage cloud sécurisé, afin de garantir que les données peuvent être récupérées sans interagir avec les attaquants. De plus, la mise à jour régulière des logiciels antivirus et anti-malware, ainsi que la mise à jour régulière des systèmes d'exploitation, des navigateurs et des logiciels, peuvent contribuer à combler les failles de sécurité potentielles que les ransomwares peuvent exploiter.

Il est également essentiel de rester vigilant face aux e-mails, pièces jointes et liens suspects pour réduire le risque d'infection. Évitez de cliquer sur des publicités ou des fenêtres contextuelles provenant de sites Web non fiables et soyez prudent lorsque vous téléchargez des fichiers à partir de sources inconnues. Cette approche proactive peut constituer une ligne de défense solide contre les ransomwares tels que NotLockBit.

Garder une longueur d'avance sur les menaces de ransomware

NotLockBit illustre la complexité croissante des attaques de ransomware modernes, qui utilisent désormais des techniques trompeuses pour cibler un plus large éventail d'utilisateurs sur plusieurs plateformes. En restant informés de ces tactiques en constante évolution et en mettant en œuvre de solides pratiques de cybersécurité, les particuliers et les organisations peuvent réduire le risque d'attaques de ransomware. En prenant les précautions appropriées, les utilisateurs peuvent naviguer sur Internet de manière plus sûre et réagir efficacement s'ils rencontrent des menaces comme NotLockBit.