Ransomware Tianrui : une cybermenace qui prend les données en otage
Table of Contents
Qu'est-ce que Tianrui Ransomware ?
Tianrui est une souche de rançongiciel qui fonctionne comme de nombreuses autres familles de rançongiciels connues, telles que Hush , MoneyIsTime et Boramae . Ce logiciel malveillant chiffre les fichiers de ses victimes et exige ensuite une rançon en échange de leur déchiffrement.
Lors de l'infection d'un système, Tianrui renomme les fichiers chiffrés en ajoutant un identifiant unique suivi de l'extension « .tianrui ». Par exemple, un fichier initialement nommé « document.pdf » apparaîtra sous le nom « document.pdf.{UniqueID}.tianrui » après chiffrement. Une fois le chiffrement terminé, le rançongiciel génère une demande de rançon intitulée « README.TXT » pour informer les victimes de l'attaque et des exigences des cybercriminels.
Voici ce que dit la demande de rançon :
I'll try to be brief: 1. It is beneficial for us that your files are decrypted no less than you, we don't want to harm you, we just want to get a ransom for our work.
2. Its only takes for us at list 20 minutes after payment to completely decrypt you,
to its original state, it's very simple for us!
3.If you contact decryption companies, you are automatically exposed to publicity,also, these companies do not care about your files at all, they only think about their own benefit!
4.They also contact the police. Again, only you suffer from this treatment!
5. We have developed a scheme for your secure decryption without any problems, unlike the above companies,
who just as definitely come to us to decipher you and simply make a profit from you as intermediaries, preventing a quick resolution of this issue!
6. In case of refusal to pay, we transfer all your personal data such as (emails, link to panel, payment documents , certificates , personal information of you staff, SQL,ERP,financial information for other hacker groups) and they will come to you again for sure!
We will also publicize this attack using social networks and other media, which will significantly affect your reputation!7. If you contact us no more than 12 hours after the attack, the price is only 50% of the price afterwards!
8. Do not under any circumstances try to decrypt the files yourself; you will simply break them!
YOU MUST UNDERSTAND THAT THIS IS BIG MARKET AND DATA RECOVERY NEED MONEY ONLY !!!
9.IF YOU CHOOSE TO USE DATA RECOVERY COMPANY ASK THEM FOR DECRYPT TEST FILE FOR YOU IF THEY CANT DO IT DO NOT BELIEVE THEM !
10.Do not give data recovery companies acces to your network they make your data cant be decrypted by us - for make more money from you !!!!! DO NOT TELL THEM YOUR COMPANY NAME BEFORE THEY GIVE YOU TEST FILE !!!!!!Contacts :
Download the (Session) messenger (hxxps://getsession.org) You fined me "0585ae8a3c3a688c78cf2e2b2b7df760630377f29c0b36d999862861bdbf93380d"
MAIL:tianrui@mailum.com
Comment fonctionne le ransomware Tianrui ?
Comme d'autres variantes de rançongiciels, Tianrui suit un schéma d'attaque structuré. Il infiltre le système de la victime, chiffre les fichiers, puis présente une demande de rançon expliquant la marche à suivre. Cette demande prévient la victime qu'en cas de non-paiement, les informations sensibles volées lors de l'attaque (bases de données, dossiers financiers et e-mails, par exemple) seront partagées avec d'autres groupes de pirates. De plus, les attaquants menacent de rendre la faille publique, ce qui pourrait nuire à la réputation de l'entreprise ou de la personne ciblée.
Les victimes sont invitées à contacter les attaquants dans les 12 heures pour bénéficier d'une réduction sur le montant de la rançon. La note met également en garde contre toute tentative de déchiffrement manuel des fichiers ou de recours à l'aide d'un tiers, car de telles actions pourraient rendre les données définitivement inaccessibles.
La nature des attaques de ransomware
Les rançongiciels utilisent des techniques de chiffrement qui rendent les données illisibles sans clé de déchiffrement unique. Deux principaux types de chiffrement sont utilisés : symétrique et asymétrique. Ces deux méthodes rendent la récupération des fichiers verrouillés quasiment impossible sans l'intervention des attaquants.
L'un des principaux risques liés aux attaques par rançongiciel est que le paiement de la rançon ne garantit pas aux victimes la réception de la clé de déchiffrement promise. Les cybercriminels ne sont pas tenus de respecter cette obligation et, dans de nombreux cas, les victimes qui paient ne récupèrent pas l'accès à leurs données. De plus, le paiement de la rançon alimente la cybercriminalité en finançant de futures attaques.
Comment le ransomware Tianrui se propage
Tianrui, comme de nombreux autres rançongiciels, se propage principalement par des tactiques trompeuses, notamment par e-mails d'hameçonnage et par ingénierie sociale. Les cybercriminels utilisent des messages frauduleux pour inciter leurs victimes à ouvrir des pièces jointes malveillantes ou à cliquer sur des liens dangereux. Ces fichiers infectés peuvent prendre diverses formes, notamment :
- Fichiers d'archives (ZIP, RAR, etc.)
- Fichiers exécutables (.exe, .run, etc.)
- Documents (Microsoft Office, PDF, OneNote, etc.)
- Fichiers JavaScript
D’autres méthodes d’infection courantes comprennent :
- Cheval de Troie malveillant qui se fait passer pour un logiciel légitime
- Téléchargements furtifs à partir de sites Web compromis ou faux
- Publicités malveillantes (malvertising)
- Piratage de logiciels et outils de « cracking » illégaux
- Fausses mises à jour de logiciels qui installent secrètement des logiciels malveillants
- Mécanismes de propagation du réseau qui propagent les infections via des lecteurs partagés ou des périphériques de stockage amovibles
Les fichiers infectés peuvent-ils être récupérés ?
Récupérer des fichiers chiffrés par Tianrui est difficile, voire impossible, sans l'outil de déchiffrement des cybercriminels. À moins que le rançongiciel ne présente une faille dans son algorithme de chiffrement, les victimes ont peu d'espoir de débloquer leurs fichiers sans payer la rançon.
La meilleure solution est de s'appuyer sur des sauvegardes sécurisées. Sauvegarder régulièrement les fichiers importants sur plusieurs emplacements, y compris hors ligne et dans le cloud, garantit la sécurité des données en cas d'attaque. Cependant, les sauvegardes doivent être conservées séparément du système principal, car certaines variantes de ransomware tentent de les chiffrer ou de les supprimer.
Mesures préventives pour éviter les infections par ransomware
La prévention est la meilleure défense contre les menaces de rançongiciels. En adoptant les meilleures pratiques de cybersécurité, les particuliers et les organisations peuvent minimiser leur risque d'infection :
- Utilisez des sources de téléchargement vérifiées – Téléchargez uniquement des logiciels et des mises à jour provenant de sources officielles et fiables. Évitez d'utiliser des plateformes tierces susceptibles d'héberger des versions malveillantes de programmes légitimes.
- Attention aux attaques de phishing – Les cybercriminels diffusent souvent des rançongiciels par e-mail. Soyez vigilant lorsque vous ouvrez des pièces jointes ou cliquez sur des liens provenant d'expéditeurs inconnus ou suspects.
- Maintenez vos logiciels à jour – Assurez-vous que vos systèmes d'exploitation, applications et outils de sécurité sont à jour. Les mises à jour sont souvent accompagnées de correctifs de sécurité qui corrigent les vulnérabilités exploitées par les rançongiciels.
- Activez la sécurité multicouche – Utilisez un logiciel antivirus et anti-malware pour détecter et bloquer les fichiers malveillants avant qu’ils ne puissent s’exécuter.
- Restreindre les privilèges d’administrateur – Limitez les autorisations des utilisateurs pour empêcher les installations de logiciels et les modifications du système non autorisées.
- Désactivez les macros et l'exécution de scripts – Les scripts malveillants dissimulés dans les documents peuvent déclencher des infections par rançongiciel. Désactivez l'exécution automatique des macros dans Microsoft Office et évitez d'activer des scripts inutiles.
- Sauvegardez les données importantes – Sauvegardez régulièrement les fichiers critiques dans des emplacements hors ligne sécurisés pour garantir la récupération des données en cas d’attaque.
Réflexions finales
Le rançongiciel Tianrui illustre une fois de plus la manière dont les cybercriminels exploitent les technologies de chiffrement pour extorquer des victimes. Cette variante suit la même stratégie que les autres souches de rançongiciels : chiffrer les fichiers, exiger un paiement et menacer de divulguer des données sensibles. Malgré la pression de payer, les experts en cybersécurité déconseillent fortement cette pratique, car elle ne garantit pas la récupération des données et ne fait qu'inciter à de nouvelles activités criminelles.
La meilleure protection contre les rançongiciels est une approche proactive de cybersécurité qui inclut des sauvegardes régulières des données, des mises à jour logicielles et une vigilance contre les tentatives d'hameçonnage. En comprenant les tactiques employées par les attaquants et en prenant les précautions nécessaires, les particuliers et les entreprises peuvent réduire considérablement leur risque de rançongiciels.
