Les chercheurs en cybersécurité de Check Point Research ont découvert un nouveau type de ransomware déployé sur les réseaux d’une compagnie américaine. Ils l’ont surnommé Rorschach. À les croire, en plus d’être très sophistiqué, ce malware est extrêmement rapide.

En analysant le code de Rorschach, les experts ont découvert qu’il s’agit d’un des ransomwares les plus rapides jamais observés, par sa vitesse de cryptage. Si son déploiement est automatisé. Ses concepteurs profitent de la fonctionnalité de side-loading de Cortex XDR, une application de sécurité professionnelle, pour télécharger une librairie de liens dynamiques (DLL) sur un ordinateur relié au réseau de l’entreprise ciblée. Une fois celle-ci en place, elle décompresse le code malveillant. Celui-ci s’exécute ensuite à travers un script dans le Bloc-Notes de Windows et se réplique sur les autres systèmes connectés au réseau à partir du Domain Controller. À partir de là, tous les fichiers et disques sont chiffrés. Le piège est en place.

Rorschach se distingue des autres ransomwares sur plusieurs aspects. D’une part, le rançongiciel n’est pas signé, une pratique pourtant répandue chez les cybermaîtres chanteurs. Par ailleurs, « il est partiellement autonome, effectuant des tâches qui sont généralement effectuées manuellement lors du déploiement du ransomware à l’échelle de l’entreprise, comme la création d’une stratégie de groupe de domaine ».

Rorschach s’octroie la palme du ransomware le plus redoutable devant LockBit

Rorschach efface ses traces en supprimant les journaux d’événements relatifs à Windows. Il efface également les sauvegardes automatiques ou manuelles de fichiers ou de disques (Shadow Copy), afin d’empêcher toute récupération de ces derniers, et il désactive également le firewall de l’ordinateur.

Par dessus tout, Rorschach a impressionné les chercheurs par sa vitesse d’exécution. Alors que Lockbit est considéré comme le ransomware le plus redoutable du moment, les mesures effectuées par les analystes ne laissent pas de place au doute : quand Lockbit met 7 minutes à chiffrer 220 000 fichiers sur le stockage en SSD local d’un PC, il ne faut que 4 minutes 30 à Rorschach pour accomplir la même tâche. Les analystes ajoutent qu’il suffirait de régler le malware un peu plus finement pour qu’il soit encore plus rapide.

Source : Check Point Research