SWIFT Ransomware verrouille les systèmes infectés

En analysant de nouveaux échantillons de logiciels malveillants, nous avons identifié une variante de ransomware associée à la famille Proton, nommée SWIFT. Lors de l'infiltration d'un ordinateur, SWIFT crypte et modifie les noms des fichiers, modifie l'arrière-plan du bureau et génère une demande de rançon intitulée "#SWIFT-Help.txt".

Pour modifier les noms de fichiers, SWIFT ajoute l'adresse e-mail swift_1@tutamail.com et ajoute l'extension « .SWIFT ». Par exemple, il transforme « 1.jpg » en « 1.jpg.[swift_1@tutamail.com].SWIFT » et « 2.png » devient « 2.png.[swift_1@tutamail.com].SWIFT », et ainsi de suite.

La demande de rançon commence par une description de la situation, affirmant que les attaquants ont utilisé les algorithmes AES et ECC pour crypter et saisir tous les fichiers de la victime, rendant la récupération des fichiers impossible sans leur service de décryptage.

Par la suite, la note décrit les étapes de récupération, mettant l'accent sur les motivations financières des cybercriminels et proposant l'échange de paiement contre un logiciel de décryptage et la destruction des données. Pour démontrer leur capacité, le groupe recommande d'envoyer un fichier sans importance de moins de 1 Mo pour décryptage comme preuve de son engagement à tenir ses promesses.

Les coordonnées, telles que l'adresse e-mail (swift_1@tutamail.com) et l'identifiant Telegram (@swift_support), sont fournies, avec une adresse e-mail alternative (swift@onionmail.com) suggérée s'il n'y a pas de réponse dans les 24 heures. La victime est invitée à inclure son identifiant personnel dans l'objet de l'e-mail.

En conclusion, la note déconseille de solliciter l'aide d'entreprises de recouvrement, mettant en garde contre une exploitation potentielle par des intermédiaires à des fins lucratives. De plus, la victime est avertie de ne pas retarder le paiement et de s'abstenir de supprimer ou de modifier les fichiers cryptés pour éviter des complications avec le processus de décryptage.

Note de rançon SWIFT dans son intégralité

Le texte complet de la demande de rançon SWIFT est le suivant :

SWIFT
What happened?
We encrypted and stolen all of your files.
We use AES and ECC algorithms.
Nobody can recover your files without our decryption service.

How to recover?
We are not a politically motivated group and we want nothing more than money.
If you pay, we will provide you with decryption software and destroy the stolen data.

Quelles garanties ?
Vous pouvez nous envoyer un fichier sans importance de moins de 1 MG, nous le décryptons en guise de garantie.
Si nous ne vous envoyons pas le logiciel de décryptage ou ne supprimons pas les données volées, personne ne nous paiera à l'avenir et nous respecterons donc notre promesse.

Comment nous contacter?
Notre adresse e-mail : swift_1@tutamail.com
Notre identifiant Telegram : @swift_support
En cas de non réponse dans les 24 heures, contactez à cet email : swift@onionmail.com
Écrivez votre identifiant personnel dans le sujet de l'e-mail.

Votre identifiant personnel: -

Avertissements!

N'allez pas vers des sociétés de recouvrement, ce ne sont que des intermédiaires qui vous feront gagner de l'argent et vous tromperont.
Ils négocient secrètement avec nous, achètent un logiciel de décryptage et vous le vendront plusieurs fois plus cher ou ils vous escroqueront simplement.

N'hésitez pas longtemps. Plus vous payez vite, plus le prix est bas.

Ne supprimez pas et ne modifiez pas les fichiers cryptés, cela entraînerait des problèmes de décryptage des fichiers.

Comment pouvez-vous protéger vos données contre les ransomwares ?

La protection de vos données contre les ransomwares nécessite une approche proactive et à plusieurs niveaux. Voici quelques étapes clés que vous pouvez suivre pour protéger vos données contre les attaques de ransomwares :

Sauvegardez régulièrement :
Sauvegardez régulièrement vos données importantes et assurez-vous que les sauvegardes sont stockées hors ligne ou dans un emplacement distinct et sécurisé. Cela peut vous aider à restaurer vos fichiers s'ils sont cryptés par un ransomware.

Utilisez un logiciel de sécurité fiable :
Installez et mettez régulièrement à jour des logiciels antivirus et anti-malware réputés. Ce logiciel peut détecter et bloquer les menaces de ransomware connues.

Gardez le logiciel à jour :
Mettez régulièrement à jour votre système d'exploitation, vos logiciels et vos applications. Les mises à jour logicielles incluent souvent des correctifs de sécurité qui peuvent aider à protéger contre les vulnérabilités exploitées par les ransomwares.

Éduquer et former les employés :
Formez les employés aux meilleures pratiques de sécurité, notamment à la façon de reconnaître les e-mails de phishing et les liens suspects. L’erreur humaine est un point d’entrée courant pour les attaques de ransomwares.

Utilisez les mesures de sécurité des e-mails :
Mettez en œuvre des solutions de filtrage des e-mails pour bloquer les e-mails de phishing et les pièces jointes malveillantes. Soyez prudent lorsque vous cliquez sur des liens ou téléchargez des pièces jointes provenant de sources inconnues ou inattendues.

Limiter les privilèges des utilisateurs :
Restreindre l’accès des utilisateurs au niveau minimum nécessaire à leurs fonctions professionnelles. Cela peut contribuer à limiter l’impact d’une attaque de ransomware en réduisant le nombre de fichiers accessibles aux menaces potentielles.

Segmentation du réseau :
Segmentez votre réseau pour isoler les systèmes critiques et les données sensibles. Cela peut empêcher la propagation rapide des ransomwares sur l’ensemble de votre réseau.