Plus d’un million de systèmes impactés par Sodinokibi

Le 2 juillet 2021 le monde découvrait, une fois encore, que les cyberattaques… c’est dangereux. La vaste attaque lancée par le gang de ransomware REvil contre les fournisseurs MSP/KASEYA n’est qu’une nouvelle démonstration qui dure depuis années et qui vient d’impacter 1 million de systèmes !

A la suite de cette cyberattaque, des milliers d’entreprises sont ainsi devenues des victimes potentielles du ransomware du groupe REvil (Sodinokibi). Des chercheurs ont déjà identifiés plus de 5 000 tentatives d’attaques en Europe ainsi qu’en Amérique du Nord et du Sud.

REvil (aka Sodinokibi) est l’un des opérateurs de ransomware-as-a-service (RaaS) les plus prolifiques. Il est apparu pour la première fois en 2019 et a fait la Une à de nombreuses reprises ces derniers mois, notamment à cause de ses cibles et des sommes records des rançons perçues. Dans l’attaque la plus récente, REvil a infecté un fournisseur de logiciel de Gestion informatique pour les MSP, ce qui a eu pour effet d’ affecter de nombreuses entreprises à travers le monde; dont plus de 800 magasins suédois COOP.

Les attaquants ont déployé une charge utile malveillante via un script PowerShell qui, à son tour, a été vraisemblablement exécuté via le logiciel du fournisseur MSP. Le script a désactivé les fonctionnalités de la protection Microsoft Defender for Endpoint et a ensuite décodé un exécutable malveillant qui comportait un système binaire Microsoft légitime, une ancienne version de la solution Microsoft Defender et une librairie malveillante contenant le ransomware REvil.

En utilisant cette combinaison de composantes dans la machine, les attaquants ont été capables d’exploiter la technique DLL side-loading et d’attaquer un grand nombre d’organisations. F-Secure vous propose de découvrir les différents types de ransomwares croisés sur la toile.

Sodinokibi réclame 70 millions de dollars pour fournir la clé de déchiffrement. Capture écran : zataz.com

5.000 attaques

En utilisant son service de Threat Intelligence, Kasersky a observé plus de 5.000 tentatives d’attaques dans 22 pays, dont les plus touchés sont l’Italie (45,2% des tentatives d’attaques enregistrées), les USA (25,91%), la Colombie (14,83%), l’Allemagne (3,21%) et le Mexique (2,21%). Pendant ce temps ZATAZ a pu lire de la main de Sodinokibi que plus d’un million de systèmes ont été infectés. « Si quelqu’un veut négocier sur le décrypteur universel – notre prix est de 70 000 000$ en BTC et nous publierons publiquement le décrypteur qui décrypte les fichiers de toutes les victimes, de sorte que tout le monde sera en mesure de récupérer de l’attaque en moins d’une heure« .