Anatomie d'une attaque par rançongiciel : assistance par chat, réduction et supplément pour Bitcoin

Une nouvelle étude sur une attaque de ransomware révèle le dialogue qui a lieu entre l'attaquant et la victime, y compris le support par chat en direct, une remise négociée et un supplément pour le paiement.Bitcoin.

Recherche menée par la société d'analyse de blockchain EllipticpubliéLundi, nous examinons le cas d'une petite entreprise contactée par des attaquants du ransomware REvil exigeant 50 000 $ enMoneropour un outil de décryptage.

Dans le dialogue qui s'ensuit sur un « portail de victimes » rappelant le support par chat en direct sur un site Web d'aide informatique :

• La victime a déclaré que 50 000 $ était trop élevé et a demandé une réduction, ce à quoi l'agressé a répondu : « Mon patron peut offrir une réduction de 20 %. »
• Plutôt que de payer en Crypto , axées sur l'anonymat, la victime a demandé à payer en Bitcoin , plus faciles à obtenir. L'attaquant a accepté la Request , moyennant toutefois une majoration de 10 %, reflétant la traçabilité accrue du Bitcoin.
• La victime a demandé à être rassurée sur le fait que l'attaquant pourrait effectuer le décryptage en demandant une démonstration avec deux des fichiers affectés, ce que l'attaquant a semblé faire.
• L'attaquant a rejeté une Request de réduction du paiement à 10 000 $ ou 20 000 $, acceptant finalement « 25 000 $ et d'accord, pas moins ».

L'étude d'Elliptic présente ensuite les étapes suivies par REvil pour blanchir les Bitcoin reçus : ils ont été divisés en différents flux, transférés vers différents portefeuilles et combinés avec des bitcoins provenant d'autres sources. Le cabinet d'analyse a déclaré avoir pu mettre ces informations à la disposition des forces de l'ordre, des plateformes d'échange de Crypto et des institutions financières afin d'identifier les cryptomonnaies et les portefeuilles associés à la cybercriminalité et de prendre les mesures appropriées pour empêcher les criminels de les retirer.

« Dans ce cas précis, le blanchiment est toujours en cours, mais nous pouvons déjà remonter jusqu'aux plateformes d'échange », indique le rapport. « Ces plateformes détiendront des informations sur l'identité des personnes dont les comptes ont reçu les fonds, ce qui fournira des pistes solides aux forces de l'ordre. »

Sur le même sujet : La réserve de Bitcoin des pirates de DarkSide a été localisée

Alors que des attaques très médiatisées contre de grandes entreprises et des infrastructures critiques, comme ONE qui frapperEn mai, Colonial Pipeline a attiré une attention généralisée, les petites entreprises représentant 50 à 75 % des victimes de ransomware, selon le rapport d'Elliptic.