Ce nouveau ransomware cible les serveurs Microsoft Exchange non patchés

• La comparaison
• Informatique
• Ce nouveau ransomware cible les serveurs Microsoft Exchange non patchés

Les spécialistes de la cybersécurité ont été témoins d'une pluralité sans précédent de ransomwares Windows qui auraient pu compromettre un serveur de messagerie Microsoft Exchange non corrigé et atteindre les réseaux d'une société hôtelière basée aux États-Unis. Dans un article détaillé, les analystes de Sophos ont découvert que le ransomware écrit dans le langage de programmation Go est appelé Epsilon Red. Sur la base de l’adresse de cryptomonnaie fournie par les attaquants, Sophos estime qu’au moins une des victimes d’Epsilon Red a payé une rançon de quatre cent vingt-neuf BTC le XNUMX mai, soit environ XNUMX €.

La Comparaison a besoin de vous ! Nous examinons comment nos lecteurs utilisent les VPN pour un prochain rapport détaillé. Nous serions ravis de vous entendre dans le sondage maintenant. Cela ne prendra pas plus de soixante secondes de votre temps.

Cliquez ici pour démarrer l'enquête dans une nouvelle fenêtre

« Il semble qu'un serveur Microsoft Exchange d'entreprise ait été le point d'entrée initial des attaquants dans le réseau de l'entreprise. Il n’est pas clair si cela a été déclenché par l’exploit ProxyLogon ou par une autre vulnérabilité, mais il semble probable que la cause première soit un serveur non corrigé », écrit Andrew Brandt, chercheur principal chez Sophos.

Ransomware PowerShell

Une fois qu'Epsilon Red a été introduit sur une machine, il utilise Windows Management Instrumentation (WMI) pour installer d'autres logiciels sur n'importe quelle machine du réseau à laquelle il peut accéder depuis le serveur Exchange. Sophos partage que tout au long de l’attaque, les acteurs malveillants exécutent une série de scripts PowerShell pour préparer les machines attaquées au ransomware final. Cela inclut, par exemple, la suppression des clichés instantanés de volumes, pour garantir que les machines chiffrées ne peuvent pas être restaurées, avant que le ransomware ne soit finalement publié et exécuté. Le ransomware lui-même est assez petit et ne crypte en réalité que les fichiers, puisque tous les autres aspects de l'attaque sont effectués via des scripts PowerShell. Les chercheurs soulignent que l'exécutable du ransomware contient du code qu'ils ont extrait d'un projet open source appelé godirwalk, pour analyser le disque et le compiler dans une liste. L'aspect peut-être le plus étrange de toute la campagne est que la demande de rançon Epsilon Red "ressemble beaucoup" à celle laissée par les acteurs de la menace après le ransomware REvil, bien qu'un peu plus raffinée grammaticalement pour donner un sens aux anglophones.