Une entreprise russe au lieu de traiter des fichiers cryptés par des virus paie les attaquants

Source: Naked Security - Sophos

De nombreuses entreprises travaillent dans le domaine de la sécurité de l'information. Les technologies s'améliorent, ce qui signifie que les attaquants disposent de plus en plus d'outils de travail. Ils sont confrontés à des experts en sécurité de l'information. Certes, ils n'agissent pas tous de la même manière professionnelle.

Par exemple, récemment, il y a eu des informations sur le réseau concernant une entreprise qui se positionne comme la dernière chance pour les victimes de programmes de crypto-ransomware. Cette société prétend être capable de décrypter les fichiers concernés, sauvant ainsi l'entreprise et la réputation de la victime.

Mais dans ce cas, tout n'est pas si clair. En fin de compte, une entreprise appelée Dr. Shifro, ne déchiffre pas les fichiers. Au lieu de cela, elle paie les attaquants et fournit des fichiers décryptés aux clients, affirmant que ses experts ont pu tout décrypter.

Mais ce n'est pas tout à fait vrai - le fait est que le Dr Shifro prend simplement 2-3 fois plus d'argent aux clients que les attaquants ne le demandent et travaille avec ces derniers. Une fois les fichiers de la partie concernée décryptés, Dr. Shifro déclare que c'est son mérite.

Dans un cas, la société a demandé 2,5 milliers de dollars pour un service de décryptage de fichiers bloqués par des ransomwares. Il s'est avéré que les assaillants eux-mêmes demandent le même montant de 1 500 $. Ainsi, l'entreprise a pris 1 000 $ pour des services de médiation, versant le reste aux cybercriminels.

Souvent, les propriétaires de l'entreprise concernée sont prêts à payer et plus pour résoudre le problème des fichiers cryptés. Les entreprises ne veulent souvent pas s'impliquer avec les cybercriminels, elles sont donc prêtes à payer beaucoup à ceux qui peuvent résoudre le problème.

Mais il s'est avéré que le Dr Shifro ne pense même pas à se déchiffrer. Elle préfère négocier avec les attaquants, obtenant ainsi un bon profit des cybercriminels.

Selon les estimations, la société a réalisé un bénéfice d'environ 300 000 $ au cours de ses activités. En moyenne, la résolution d'un seul incident coûte aux clients de l'organisation 3 000 $ (en équivalent bitcoin). Mais il est impossible de faire un calcul précis, car il n'est pas clair si tous les clients reçoivent le même prix pour les services.

La recommandation générale des experts en sécurité de l'information est de ne pas payer les cybercriminels qui distribuent des rançongiciels cryptographiques. On pense à juste titre que si la rançon est versée aux assaillants, ils travailleront encore plus activement. Par conséquent, de nombreuses victimes de virus de rançongiciels cryptographiques se tournent vers des sociétés tierces qui promettent de décrypter les fichiers. Dans ce cas, certaines victimes sont prêtes à payer davantage aux pirates «blancs» qu'à payer une rançon aux assaillants.

Cependant, les chances de décrypter des fichiers encodés à l'aide d'une technologie sérieuse sont faibles. Nous pouvons donc supposer que le Dr Shifro est loin d'être la seule entreprise à simplement négocier avec des maîtres chanteurs.

Eh bien, ces derniers ne vont pas arrêter leurs activités. Récemment, un nouveau type de rançongiciel cryptographique a frappé plus de 100 000 ordinateurs en Chine. Certes, les escrocs ont exigé un petit montant pour la clé de déchiffrement - seulement 16 $. Il s'agit généralement de centaines, voire de milliers de dollars américains. Pour autant que vous puissiez comprendre, la nouvelle version du ransomware est conçue exclusivement pour les utilisateurs chinois - dans d'autres pays, il n'y a pas encore de cas d'infection par ce virus.

Le malware se propage comme un ajout «agréable» aux sujets des forums locaux et des messagers. Mais le plus souvent, les utilisateurs chinois sont infectés par ce virus lors de l'installation du logiciel «Account Operation V3.1», c'est une application qui vous permet de gérer plusieurs comptes dans QQ en même temps. Il est possible que le virus se cache dans le module EasyLanguage. Les chercheurs disent que le virus non seulement crypte les fichiers, mais vole également l'accès des utilisateurs à divers réseaux sociaux et messageries instantanées, ainsi qu'aux portefeuilles numériques et à l'hébergement.

Il convient de noter que le rançongiciel cryptographique le plus répandu a été reçu en Chine. Dans d'autres pays, l'activité de ce type de virus est devenue nulle. Selon des experts, en particulier, de la société Velvet Threat, des ransomwares de différents types ont infecté environ 2 millions d'ordinateurs en Chine.