Ransomware NailaoLocker : une menace croissante pour les entreprises européennes

Qu'est-ce que le ransomware NailaoLocker ?

NailaoLocker est un programme de type ransomware écrit en C++, conçu pour crypter les fichiers des victimes et exiger un paiement pour leur décryptage. Cette menace a été observée ciblant des organisations en Europe, notamment celles du secteur de la santé. Bien qu'elle n'ait pas été définitivement liée à un groupe cybercriminel connu, ses tactiques ressemblent à celles d'acteurs notoirement affiliés à la Chine.

Une fois que NailaoLocker s'est infiltré dans un système, il crypte les fichiers et ajoute une extension « .locked » à leurs noms. Par exemple, un fichier nommé « document.pdf » apparaîtra comme « document.pdf.locked » après cryptage. Suite à ce processus, le ransomware génère une note de rançon avertissant les victimes des conséquences du non-paiement de la somme demandée.

Ce que demande le ransomware NailaoLocker

La demande de rançon informe les victimes que leurs fichiers sont cryptés et ne peuvent être récupérés qu'en payant une rançon en Bitcoin . Bien que le montant exact ne soit pas précisé, le message prévient que le non-respect de la demande dans un délai d'une semaine entraînera la suppression des fichiers concernés. Les attaquants affirment qu'une fois le paiement effectué, le décryptage aura lieu dans les 24 heures.

Il est également conseillé aux victimes de ne pas altérer les fichiers cryptés. Les tentatives de déplacement, de suppression ou de décryptage à l'aide d'applications tierces peuvent entraîner une perte permanente de données. Cependant, malgré ces avertissements, rien ne garantit que les attaquants fourniront des outils de décryptage même si la rançon est payée.

Voici la demande de rançon dans son intégralité :

[1.Your important files are encrypted. If you want to decrypt your files, please follow the instructions.]

[2.Do you need file decryption service (restore your files to their original state)? If not, your files will be automatically deleted after one week.]

[3.If you need to purchase unlocking service, please contact us and we will tell you the amount (pay with BTC)]

[4.After you complete the payment using BTC, we will deliver the unlocking program within 24 hours. Once the program is run on the locked computer, all files will be unlocked.]

[5.BTC purchase website:hxxps://www.coinbase.com, hxxps://www.bitfinex.com, hxxps://www.binance.com]

[Contact us on johncollinsy@proton.me]

[Notice:Do not delete or move locked files without unlocking them first.]

[Notice:The encryption algorithm uses symmetric encryption, and the password is a string of characters with the same length as the Bitcoin private key. If you can crack Bitcoin, then congratulations, you can decrypt it yourself. Otherwise, please contact us to purchase our decryption tool. Don't have illusions!!!]

Une souche de ransomware avec une exécution faible

Contrairement aux ransomwares plus avancés, NailaoLocker ne dispose pas de fonctionnalités anti-débogage et ne désactive pas les processus ou services critiques du système avant le chiffrement. Cette erreur signifie que si des fichiers système essentiels sont chiffrés, le système d'exploitation pourrait devenir inutilisable. De plus, alors que certaines souches de ransomware se livrent à une double extorsion en volant des données sensibles, la demande de rançon de NailaoLocker ne mentionne pas explicitement l'exfiltration de données.

Compte tenu de notre vaste expérience en matière d'infections par ransomware, nous pouvons conclure que le décryptage sans la coopération des attaquants est généralement impossible. Même dans les cas où la rançon est payée, les cybercriminels ne parviennent souvent pas à fournir la clé de décryptage promise. Il est fortement déconseillé de soutenir cette activité illicite en payant la rançon.

Prévenir d'autres dommages causés par NailaoLocker

La suppression de NailaoLocker d'un système infecté peut empêcher le chiffrement supplémentaire des fichiers, mais ne restaurera pas les données compromises. Le seul moyen efficace de récupérer des fichiers chiffrés consiste à effectuer des sauvegardes stockées séparément du système infecté. Cela souligne l'importance de conserver des sauvegardes dans plusieurs emplacements, tels que des périphériques de stockage externes débranchés et des serveurs distants.

Les similitudes entre NailaoLocker et d'autres ransomwares

NailaoLocker suit le même schéma que d'autres menaces de ransomware, telles que Vgod , CipherLocker , FXLocker , SafePay et DeathHunters . Tous ces programmes chiffrent les fichiers et exigent un paiement pour leur restauration. Cependant, ils diffèrent sur deux aspects clés : les algorithmes cryptographiques utilisés (symétriques ou asymétriques) et le montant de la rançon, qui varie selon que la cible est un utilisateur individuel ou une grande organisation.

Bien que NailaoLocker soit relativement peu sophistiqué, il représente néanmoins une menace importante pour les entreprises et les institutions qui ne disposent pas de mesures de cybersécurité robustes. Les groupes de ransomware adaptent souvent leurs attaques pour exploiter des vulnérabilités spécifiques au sein des réseaux de leurs cibles.

Comment NailaoLocker s'infiltre dans les systèmes

Lors d'attaques observées contre des organisations européennes, NailaoLocker a été déployé en exploitant une vulnérabilité dans l'application Check Point VPN, probablement celle identifiée comme « CVE-2024-24919 ». La menace a été introduite via le malware ShadowPad ou le cheval de Troie d'accès à distance PlugX (RAT). Cependant, ce ransomware pourrait également se propager via d'autres méthodes de distribution courantes.

Les cybercriminels ont souvent recours à des tactiques d'hameçonnage et d'ingénierie sociale pour diffuser des ransomwares. Les logiciels malveillants sont souvent déguisés ou associés à des fichiers apparemment inoffensifs. Une fois ouverts, ces fichiers déclenchent le téléchargement et l'exécution du malware.

Méthodes courantes de distribution des ransomwares

Les ransomwares comme NailaoLocker sont généralement distribués par divers moyens, notamment :

• Téléchargements intempestifs à partir de sites Web compromis ou malveillants
• Menaces de type chargeur/porte dérobée
• Sources de téléchargement douteuses, telles que les plateformes d'hébergement de fichiers tierces et les réseaux de partage Peer-to-Peer
• Escroqueries en ligne conçues pour inciter les utilisateurs à exécuter des fichiers malveillants
• Campagnes de malvertising qui injectent des publicités nuisibles sur des sites légitimes
• Courriers indésirables et messages instantanés contenant des pièces jointes ou des liens infectés
• Fausses mises à jour de logiciels et outils d'activation illégaux (« cracks »)
• Autopropagation via les réseaux locaux et les périphériques de stockage amovibles

Ces tactiques permettent aux ransomwares de se propager rapidement et d’infecter plusieurs systèmes au sein d’une organisation, amplifiant ainsi leur impact.

Bonnes pratiques pour éviter les infections par ransomware

Pour réduire le risque d’infection par ransomware, les utilisateurs et les organisations doivent adopter les mesures de sécurité suivantes :

• Téléchargez des logiciels uniquement à partir de sites Web officiels et réputés
• Mettez régulièrement à jour les programmes à l'aide de fonctions de mise à jour légitimes
• Soyez prudent lorsque vous ouvrez des e-mails provenant d'expéditeurs inconnus, en particulier ceux contenant des pièces jointes ou des liens
• Utiliser des mesures de sécurité réseau solides, notamment des pare-feu et des systèmes de détection d'intrusion
• Maintenir des sauvegardes hors ligne et dans le cloud des données critiques
• Sensibiliser les employés à reconnaître le phishing et autres attaques d'ingénierie sociale

En mettant en œuvre ces pratiques, les particuliers et les entreprises pourraient réduire considérablement la probabilité d’une attaque de NailaoLocker ou de menaces similaires.

Conclusion

Le ransomware NailaoLocker, bien qu'il ne soit pas le plus sophistiqué, représente un risque réel pour les entreprises, en particulier en Europe. Son recours à des tactiques de chiffrement standard et à des demandes de rançon le place dans la même catégorie que d'autres programmes de ransomware, mais son manque de techniques d'évasion avancées peut limiter son efficacité globale.

Comme pour tous les ransomwares, la prévention est la meilleure défense. Les utilisateurs doivent rester vigilants, adopter les meilleures pratiques de sécurité et s'assurer que les données critiques sont sauvegardées dans des emplacements sécurisés. Le paiement de la rançon ne garantissant pas la récupération des données, il est primordial d'éviter toute infection en premier lieu.