Ransomware SuperBlack : une autre menace à éviter

Comprendre le ransomware SuperBlack

SuperBlack est une variante de rançongiciel dérivée de la famille LockBit 3.0 . Cette infection chiffre les fichiers et exige une rançon pour leur déchiffrement, laissant aux victimes peu de possibilités de récupération, sauf si elles disposent de sauvegardes. Une fois infecté, SuperBlack renomme les fichiers en ajoutant une chaîne aléatoire à leur nom d'origine. Par exemple, un fichier nommé « document.pdf » peut devenir « document.pdf.fB1SZ2i3X ».

En plus de chiffrer les données, SuperBlack modifie le fond d'écran de la victime et affiche une demande de rançon intitulée par une chaîne générée aléatoirement (par exemple, « [random_string].README.txt »). Cette demande indique à la victime comment contacter les attaquants et met en garde contre l'utilisation d'outils de récupération tiers, au risque d'endommager définitivement les fichiers chiffrés.

Voici ce que dit la demande de rançon :

>>>> Your data are stolen and encrypted!

>>>> Sensitive data on your system was DOWNLOADED and it will be PUBLISHED if you refuse to cooperate. Your competitors or law enforcement may get them on the web.

Data includes:
- Employees personal data, CVs, DL, SSN.
- Complete network map including credentials for local and remote services.
- Financial information including clients data, bills, budgets, annual reports, bank statements.
- Complete datagrams/schemas/drawings for manufacturing in solidworks format
- And more...

You can request the tree of files that we have.

>>>> You need contact us and decrypt one file for free, send a small file for test decryption with your personal DECRYPTION ID to tox chat:

>>>> Your personal DECRYPTION ID: 7FBC34A4128F7B75E19B7F2A4E1938A0

1)Download and install TOX chat: hxxps://tox.chat
2)Write to this tox id: DED25DCB2AAAF65A05BEA584A0D1BB1D55DD 2D8BB4185FA39B5175C60C8DDD0C0A7F8A8EC815 and wait for the answer, we will always answer you.

>>>> DO NOT MODIFY FILES YOURSELF.
>>>> DO NOT USE THIRD PARTY SOFTWARE TO RESTORE YOUR DATA.
>>>> YOU MAY DAMAGE YOUR FILES, IT WILL RESULT IN PERMANENT DATA LOSS.
>>>> YOUR DATA IS STRONGLY ENCRYPTED, YOU CAN NOT DECRYPT IT WITHOUT CIPHER KEY.

Les tactiques et les objectifs du ransomware SuperBlack

SuperBlack est principalement utilisé par un groupe de cybercriminels connu sous le nom de « Mora_001 », un acteur malveillant présumé russophone. Cette campagne de rançongiciel a été particulièrement active entre janvier et mars 2025. Le groupe infiltre les systèmes des victimes, chiffre leurs fichiers et vole des données sensibles. Les informations volées comprennent des informations réseau, des dossiers financiers, des données de fabrication et des informations personnelles sur les employés et les clients.

La demande de rançon stipule que si la victime refuse d'obtempérer, les attaquants divulgueront les données volées en ligne. Pour accentuer la pression, les attaquants proposent de prouver l'exfiltration des données en fournissant un échantillon et en démontrant le déchiffrement d'un fichier chiffré. Cette tactique joue sur la peur et l'urgence, augmentant la probabilité que les victimes cèdent aux demandes de rançon.

Lien entre SuperBlack et le ransomware LockBit

Des éléments suggèrent que SuperBlack présente des similitudes avec le rançongiciel LockBit, notamment dans sa structure de code et ses techniques de chiffrement. De plus, SuperBlack a été observé utilisant des identifiants Tox (identifiants de messagerie anonymes) précédemment associés aux opérateurs de LockBit. Cependant, SuperBlack n'utilise pas l'infrastructure de LockBit, ce qui indique que, même si les deux souches de rançongiciels peuvent être liées, il s'agit d'entités distinctes avec des opérations distinctes.

Contrairement aux attaques hautement ciblées, les campagnes SuperBlack sont opportunistes, c'est-à-dire qu'elles exploitent les systèmes vulnérables sans cible spécifique. Les attaquants sont connus pour exploiter les failles de sécurité des pare-feu Fortinet afin d'obtenir un accès initial, puis d'élever leurs privilèges, d'établir une persistance et de se déplacer latéralement sur le réseau. La phase finale de l'attaque culmine par l'exfiltration des données suivie du chiffrement des fichiers.

Que se passe-t-il si vous êtes infecté ?

Pour la plupart des attaques par rançongiciel, le déchiffrement sans la coopération de l'attaquant est quasiment impossible. Les cybercriminels utilisent des techniques de chiffrement avancées, ce qui complique le développement d'outils de déchiffrement par les experts en sécurité. SuperBlack ne fait pas exception. Les victimes qui ne disposent pas de sauvegardes subissent souvent une perte définitive de leurs données.

Même si les victimes paient la rançon, personne ne peut être sûr de recevoir une clé de déchiffrement. De nombreux groupes de cybercriminels ne fournissent pas les outils nécessaires, même après le paiement, et ne font que financer d'autres activités criminelles. Les experts en sécurité déconseillent fortement de payer la rançon et recommandent plutôt de supprimer le logiciel malveillant et de tenter de récupérer les données à partir des sauvegardes.

Comment les ransomwares se propagent

Les rançongiciels comme SuperBlack se propagent via divers vecteurs d'attaque. Parmi les méthodes les plus courantes, on peut citer :

• E-mails de phishing : les attaquants utilisent des e-mails frauduleux contenant des liens ou des pièces jointes malveillants qui exécutent le ransomware.
• Exploitation des vulnérabilités logicielles : les pirates informatiques profitent de logiciels obsolètes ou non corrigés, tels que les faiblesses du pare-feu, pour accéder à vos systèmes.
• Téléchargements intempestifs : les utilisateurs téléchargent sans le savoir des ransomwares en visitant des sites Web compromis ou en cliquant sur des publicités malveillantes.
• Téléchargeurs de chevaux de Troie : certains programmes malveillants installent des ransomwares comme charge utile secondaire à l'insu de l'utilisateur.
• Logiciels piratés et cracks : les téléchargements illégaux de logiciels contiennent souvent des logiciels malveillants cachés, notamment des ransomwares.
• Supports amovibles et propagation sur le réseau : les ransomwares peuvent se propager via des clés USB, des disques durs externes et même via des réseaux locaux.

Protégez-vous contre le ransomware SuperBlack

La prévention des infections par rançongiciel nécessite une combinaison de mesures de sécurité proactives et de sensibilisation des utilisateurs. Voici quelques bonnes pratiques pour se protéger contre SuperBlack et les menaces similaires :

• Conservez des sauvegardes dans plusieurs emplacements : sauvegardez régulièrement les données importantes sur des disques externes, un stockage cloud et un stockage hors ligne pour garantir la récupérabilité.
• Utilisez des solutions de sécurité robustes : installez et maintenez à jour des outils antivirus et anti-malware pour détecter et bloquer les menaces.
• Mettez à jour régulièrement vos logiciels : corrigez les vulnérabilités de votre système d’exploitation, de vos pare-feu et d’autres logiciels pour réduire les risques d’attaque.
• Méfiez-vous des e-mails et des liens : évitez d’ouvrir des pièces jointes ou de cliquer sur des liens provenant d’expéditeurs inconnus, car ils peuvent contenir des ransomwares.
• Téléchargez des logiciels à partir de sources fiables : utilisez uniquement des sites Web officiels et des magasins d'applications réputés pour les logiciels et les mises à jour.
• Restreindre les privilèges administratifs : limitez les autorisations des utilisateurs pour empêcher les modifications non autorisées des fichiers système.
• Utilisez l’authentification multifacteur (MFA) : renforcez la sécurité en exigeant plusieurs étapes d’authentification pour les comptes sensibles.

Que faire si vous êtes infecté

Si votre système est compromis par le ransomware SuperBlack, suivez immédiatement les étapes suivantes :

1. Déconnectez-vous du réseau : isolez le système infecté pour empêcher le ransomware de se propager à d’autres appareils.
2. Ne payez pas la rançon : payer ne garantit pas la récupération des fichiers et peut encourager d'autres attaques.
3. Supprimez le logiciel malveillant : utilisez un logiciel de sécurité pour rechercher et éliminer le ransomware.
4. Tenter de récupérer les données : Restaurez les fichiers à partir des sauvegardes si disponibles. Consultez les ressources de sécurité en ligne pour trouver des outils de déchiffrement potentiels.
5. Signalez l'attaque : informez les forces de l'ordre et les agences de cybersécurité pour aider à suivre les acteurs de la menace.

Principaux points

Le rançongiciel SuperBlack est un logiciel malveillant sophistiqué et dangereux qui chiffre les fichiers et menace de divulguer les données volées si la victime ne se conforme pas à la demande de rançon. Bien qu'il présente certaines similitudes avec le rançongiciel LockBit, il fonctionne de manière indépendante, utilisant sa propre infrastructure et ses propres méthodologies.

Les victimes ne doivent jamais payer la rançon, car cela favorise les activités criminelles et ne garantit pas la récupération des données. Elles doivent plutôt se concentrer sur la suppression du logiciel malveillant, le renforcement des mesures de sécurité et la réalisation de sauvegardes régulières. En se tenant informés et en appliquant les bonnes pratiques de cybersécurité, les utilisateurs peuvent réduire le risque d'attaques par rançongiciel comme SuperBlack.