Snatch : ce ransomware redémarre votre PC en mode sans échec pour contourner les antivirus

Maintenir ses logiciels à jour, disposer d'une solution de sécurité minimale et faire attention à ses clics et téléchargements : ce sont les recommandations générales, et les plus fréquentes, pour protéger nos appareils. Mais nous savons bien qu'elles ne sont pas parfaites. Les malwares s'adaptent et leurs développeurs deviennent plus astucieux. Snatch en est un exemple frappant. Au lieu de perdre du temps et des ressources à attaquer les solutions antivirus du moment, ce ransomware les contourne en s'exécutant en mode sans échec de Windows, sans aucune opposition.

Le malware a réussi à se cacher dans presque tous les formats disponibles : courriels, documents, modèles Excel, jeux. Il a infecté des extensions spécifiques, des secteurs de démarrage, et même des firmwares. Dernièrement, le concept de ransomware a gagné du terrain avec force, à la suite de campagnes très agressives qui ont touché des entreprises, des agences gouvernementales et des systèmes de santé publique. Logiquement, les principales solutions de sécurité ont répondu à la menace, mais l'histoire est loin d'être terminée.

Le problème, si l'on peut dire, est que la grande majorité de ces solutions fonctionne dans un environnement Windows conventionnel, avec tous ses éléments chargés. En mode sans échec, autrement dit «à l'épreuve des pannes», elles ne s'activent pas. En d'autres termes, le mode sans échec ouvre un espace totalement non protégé... et c'est exactement ce qu'exploite Snatch.

L'équipe de Sophos, qui a enquêté sur une campagne de ransomware ces dernières semaines, a partagé une excellente démonstration de Snatch en action. La première étape consiste à forcer le redémarrage de l'ordinateur en mode sans échec à l'aide de la commande «shutdown», puis le ransomware se recharge sous ce mode comme s'il s'agissait d'un service Windows, grâce à une chaîne dans le registre. Les fichiers de l'utilisateur sont effectivement chiffrés pendant le redémarrage, et il ne reste plus qu'à demander la rançon classique.

Bien sûr, tout dépend de la manière dont la charge utile de Snatch arrive sur l'ordinateur, mais une fois qu'elle y est et parvient à s'exécuter... game over. Les responsables de ce ransomware ont décidé de ne pas pêcher de petits poissons et préfèrent chasser des requins, c'est-à-dire concentrer leurs efforts sur les grandes entreprises et les agences gouvernementales. Cependant, cela n'empêche pas d'autres développeurs malveillants de s'inspirer de l'astuce du mode sans échec et de l'appliquer à leurs créations.

Maintenant, les cerveaux derrière Snatch ne se limitent pas au chiffrement de données. L'équipe de Sophos a découvert un intérêt marqué pour recruter de nouveaux membres ayant un accès privilégié à des réseaux d'entreprises, des magasins et d'autres sociétés. En substance, ils n'ont aucun problème à payer pour accéder à un réseau déjà piraté, ou à s'allier avec d'autres éléments.

Parallèlement, Sophos possède des preuves de données volées par ce groupe. Une entreprise ciblée par Snatch ne risque pas seulement de se retrouver avec des fichiers chiffrés et séquestrés. Il est également possible qu'ils soient vendus sur le marché noir.

Source : Sophos