Le ransomware Babuk, le petit nouveau aux multiples noms

Les pirates cachés derrière le ransomware Babuk a déjà changé 3 fois de noms et de site. Il s’attaque à cinq secteurs d’activité, dont la santé et les transports.

L’équipe McAfee Advanced Threat Research a dévoilé, il y a quelques jours, de nouvelles conclusions sur les opérations stratégiques à l’origine d’une des campagnes de rançongiciel signé par le groupe Babuk (Baruk / Baruk ). ZATAZ a été le premier à vous révéler l’existence de cette banque de pirates informatique qui a déjà changé 3 fois de noms et de design de site web !
Le ransomware, cette prise d’otage informatique qui touche fichiers, ordinateurs, serveurs, mais aussi les téléphones portables. Autant dire, comme le rappelle le site MonPetitForfait, dédié au smartphone, qu’il faut avoir les bons réflexes pour prévenir tout piratage et réagir rapidement le cas échéant car les pirates ne laisseront aucun délai à leurs victimes.

Lentement… mais surement

Avec plusieurs organisations confirmées victimes de la nouvelle souche découverte mi-janvier – dont une que l’on sait avoir versé une rançon de 85 000 dollars aux criminels – cette nouvelle analyse de l’éditeur d’antivirus fournit aux entreprises des renseignements précieux pour les aider à évaluer leurs risques et à prendre des mesures pour se protéger contre les menaces futures. Ces informations permettent notamment de mieux comprendre les cibles et les tactiques spécifiques employées par le groupe.
Les acteurs derrière Babuk ont ciblé des organisations dans les secteurs des transports, de la santé, de la fabrication de produits plastiques et électroniques, et de l’agriculture. Parmi les preuves que ZATAZ a pu collecter, on retrouve la société Frulac, Human ou encore Boca Group.
Dans la version analysé, le rançongiciel ne comporte pas de vérification de la langue locale, et son code contraste avec celui d’autres gangs de ransomware qui épargnent normalement les ordinateurs des pays de l’Est (même si ce détail est un leurre dans la majorité des cas, NDRL).
Un examen approfondi des attaques précédentes révèle comment le rançongiciel contient trois commandes différentes pour se propager et chiffrer les ressources du réseau ; vérifie les services et les processus en cours d’exécution afin d’éviter la détection.
A noter que les serveurs des pirates (point de contact et « blog » ne répondent plus depuis une semaine).
Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. Gendarme commandant réserviste Cyberdéfense Hauts-de-France. Ce blog est personnel. En savoir plus : https://www.damienbancal.fr

Articles connexes

Laisser un commentaire

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.