Les cybercriminels charmeurs : plongée dans l’ascension impitoyable du groupe de ransomware Chocom

Un lundi matin tranquille, un fabricant de taille moyenne se connecte pour découvrir ses fichiers chiffrés et une note de rançon glaçante : payez, ou vos secrets seront rendus publics. Le groupe derrière ce nouveau cauchemar numérique ? Une menace émergente connue sous le nom de Chocom. Si leur nom peut évoquer le chocolat, leurs opérations n’ont rien de doux. Dans les recoins obscurs du web, Chocom s’est forgé une réputation d’attaques rapides et impitoyables - et ils ne font que commencer.

En bref

• Le groupe Chocom est un nouveau gang de ransomware apparu pour la première fois en 2023.
• Le groupe utilise la double extorsion : il chiffre les données et menace de les divulguer.
• Les victimes couvrent plusieurs secteurs et pays, les attaques étant publiquement listées sur des sites de fuite comme Ransomfeed.
• Les méthodes de Chocom incluent l’exploitation de vulnérabilités non corrigées et l’utilisation de courriels de phishing.
• Les chercheurs en sécurité avertissent que les techniques de Chocom évoluent rapidement.

Anatomie d’une menace de ransomware moderne

Chocom n’est pas un groupe de cybercriminels ordinaire. Apparu pour la première fois fin 2023, le gang s’est rapidement imposé en publiant un flux régulier de victimes sur des “sites de fuite” - des plateformes en ligne où des données confidentielles sont exposées pour faire pression sur les entreprises afin qu’elles paient. Contrairement aux anciens groupes de ransomware qui se contentaient de chiffrer les fichiers, Chocom adopte le modèle de la “double extorsion” : non seulement ils verrouillent les données de la cible, mais ils menacent aussi de publier des informations sensibles si leurs exigences ne sont pas satisfaites. Cette tactique s’est révélée terriblement efficace, laissant les entreprises désemparées face au dilemme entre les coûts d’arrêt, la perte de réputation et les amendes réglementaires.

Les attaques de Chocom commencent souvent par une méthode bien connue : des courriels de phishing contenant des pièces jointes ou des liens malveillants, ou l’exploitation de vulnérabilités connues mais non corrigées dans des systèmes exposés au public. Une fois à l’intérieur, le groupe se déplace latéralement sur les réseaux, élève ses privilèges et exfiltre les données avant de lancer la charge finale de chiffrement. Selon les renseignements recueillis auprès de sources comme Ransomfeed, Chocom a ciblé des organisations dans des secteurs allant de la santé et de la fabrication à l’éducation et aux administrations locales.

Ce qui distingue Chocom, c’est son agilité. Les analystes en sécurité rapportent que le groupe adapte rapidement ses malwares et son infrastructure d’attaque, rendant leur détection et leur blocage plus difficiles pour les défenseurs. Leurs notes de rançon sont directes et professionnelles, proposant souvent un portail pour la négociation et le paiement - généralement en cryptomonnaie, laissant peu de traces.

Pour les défenseurs, l’ascension de Chocom rappelle brutalement que les gangs de ransomware deviennent de plus en plus sophistiqués et professionnels. Leur volonté d’humilier publiquement les victimes et de divulguer des données sensibles fait monter les enchères, poussant davantage d’organisations à payer les rançons, malgré les recommandations officielles contraires.

Perspectives : pas de fin heureuse

Alors que Chocom continue d’affiner ses tactiques et d’élargir sa liste de victimes, les organisations doivent renforcer leurs défenses et repenser leurs stratégies de réponse aux incidents. L’évolution du ransomware, passé du simple vandalisme numérique à une extorsion organisée et multi-niveaux, exige vigilance et résilience. Une chose est sûre : dans le monde de la cybercriminalité, le groupe Chocom incarne une nouvelle réalité amère.

WIKICROOK

• Double extorsion : La double extorsion est une tactique de ransomware où les attaquants chiffrent les fichiers et volent également des données, menaçant de les divulguer si la rançon n’est pas payée.
• Site de fuite : Un site de fuite est un site web où les cybercriminels publient ou menacent de publier des données volées pour faire pression sur les victimes afin qu’elles paient une rançon.
• Phishing : Le phishing est un cybercrime où les attaquants envoient de faux messages pour tromper les utilisateurs et leur faire révéler des données sensibles ou cliquer sur des liens malveillants.
• Exfiltration : L’exfiltration est le transfert non autorisé de données sensibles du réseau d’une victime vers un système externe contrôlé par les attaquants.
• Escalade de privilèges : L’escalade de privilèges se produit lorsqu’un attaquant obtient un accès de niveau supérieur, passant d’un compte utilisateur standard à des privilèges administrateur sur un système ou un réseau.