SULINFORMATICA Ransomware tente une double extorsion

Nos chercheurs ont découvert SULINFORMATICA, un type de ransomware, lors d'un examen de routine de nouveaux fichiers soumis. Ce logiciel malveillant est spécialement conçu pour crypter les données et exiger un paiement pour leur décryptage.

Après avoir testé SULINFORMATICA sur notre système d'évaluation, il a procédé au cryptage des fichiers et a ajouté une extension « .aes » à leurs noms de fichiers. Par exemple, un fichier initialement nommé « 1.jpg » a été transformé en « 1.jpg.aes » et « 2.png » est devenu « 2.png.aes », et ainsi de suite.

Une fois le processus de cryptage terminé, un message de rançon nommé « Instruction.txt » a été généré. D'après le texte de ce message, il devient évident que ce ransomware cible principalement les entreprises plutôt que les utilisateurs individuels. SULINFORMATICA utilise également une stratégie de double extorsion.

La demande de rançon de SULINFORMATICA informe la victime que le réseau de son entreprise a été compromis. Lors de l'attaque, les fichiers de la victime ont été cryptés. Le message rassure qu’une récupération complète est possible grâce au décryptage. En outre, il avertit que des bases de données, documents et autres fichiers vitaux ont été volés sur le réseau.

La victime est fortement encouragée à entamer rapidement des négociations. Ne pas établir de contact avec les attaquants dans les 24 heures aura un impact négatif sur le processus de négociation. Le message suggère que le non-respect des exigences des cybercriminels entraînera non seulement l'accès permanent aux fichiers, mais également la divulgation des données volées de l'entreprise.

Note de rançon SULINFORMATICA dans son intégralité

Le texte complet de la demande de rançon SULINFORMATICA se lit comme suit :

Hello. I SULINFORMATICA. Your infrastructure has been hit and all files are encrypted. Be warned - this is complex multi-threaded encryption. All your files are intact, they will be fully accessible after decryption. All important files/documents/databases have been downloaded from your network. They are securely hidden and stored in order to further work with your company data. We suggest that you start negotiations to resolve the situation. You can get all the information on decryption at the contacts listed below. You can get all the information on the company's data and return it to you / or remove it from public access at the contacts listed below. We also inform you that every 24 hours delays will worsen the negotiating position. Contact us as soon as possible, we are ready to help and waiting for you. SULINFORMATICA@proton.me brazil-sulin@tutanota.com Or qTox messenger (available 24/7): (alphanumeric string)

Pourquoi les acteurs du ransomware ont-ils recours à la double extorsion ?

Les acteurs du ransomware utilisent des tactiques de double extorsion pour plusieurs raisons stratégiques :

• Effet de levier accru : la double extorsion offre aux opérateurs de ransomware un plus grand effet de levier sur leurs victimes. En plus de chiffrer les données de la victime, ils menacent également de divulguer des informations sensibles ou confidentielles au public, ce qui pourrait nuire considérablement à la réputation, à la stabilité financière ou à la situation juridique de la victime. Cette menace supplémentaire incite les victimes à payer la rançon rapidement.
• Diversification des revenus : en volant des données et en exigeant un paiement non seulement pour le décryptage mais également pour la non-divulgation des informations volées, les auteurs de ransomwares peuvent diversifier leurs sources de revenus. Cela leur permet d'extraire de l'argent des victimes qui peuvent être réticentes à payer une rançon pour la récupération de données mais qui sont prêtes à payer pour empêcher la divulgation de données sensibles.
• Pression accrue : la double extorsion crée une pression supplémentaire sur les victimes pour qu'elles répondent aux demandes des attaquants. Les victimes sont confrontées non seulement à la perspective de perdre l’accès à leurs données, mais également aux conséquences des fuites de données, notamment aux conséquences juridiques et réglementaires potentielles. Cette pression supplémentaire peut pousser les victimes à prendre des décisions plus rapides concernant le paiement de la rançon.
• Adaptation aux mesures défensives : à mesure que les organisations améliorent leurs défenses en matière de cybersécurité, les acteurs des ransomwares ont recherché de nouvelles tactiques pour surmonter ces obstacles. La double extorsion est l’une de ces adaptations, car elle exploite le fait que même les organisations bien protégées peuvent ne pas être en mesure d’empêcher le vol de données lors d’une attaque de ransomware.
• Rentabilité accrue : les attaques de double extorsion peuvent être plus rentables pour les groupes de ransomwares. Ils peuvent exiger un montant de rançon plus élevé car ils offrent à la fois des clés de déchiffrement et l’assurance que les données volées ne seront pas exposées. Cela se traduit potentiellement par des indemnisations plus importantes de la part des victimes.