Caché à la vue de tous : comment des raccourcis trompeurs déclenchent le chaos du ransomware hors ligne

Ce n’était qu’un email de plus dans une boîte de réception encombrée, avec un objet promettant banalement « Votre document ». Mais pour des milliers de personnes à travers le monde, cliquer sur ce qui semblait être un simple fichier Word déclenchait un cauchemar silencieux : fichiers chiffrés, systèmes paralysés, et une note de rançon glaçante remplaçant le fond d’écran du bureau. Le coupable ? Pas une faille zero-day sophistiquée, mais un simple fichier de raccourci Windows - transformé en arme cybernétique dévastatrice par les cerveaux derrière le ransomware GLOBAL GROUP.

En bref

• Les attaquants utilisent des fichiers .lnk (raccourcis) déguisés en documents Word pour tromper les utilisateurs.
• Le botnet Phorpiex distribue le ransomware GLOBAL GROUP lors de vagues massives de phishing.
• Le ransomware GLOBAL GROUP fonctionne entièrement hors ligne, chiffrant les fichiers sans contacter de serveurs externes.
• Il utilise un chiffrement puissant ChaCha20-Poly1305, rendant la récupération quasiment impossible sans la clé de l’attaquant.
• Des fonctions de persistance, de furtivité et d’autodestruction compliquent la détection et l’analyse forensique.

Le nouveau visage du ransomware : raccourcis, furtivité et silence

La dernière campagne exploite une astuce classique avec une touche moderne. En profitant du comportement par défaut de Windows qui masque les extensions de fichiers connues, les attaquants envoient des emails contenant des pièces jointes telles que « Document.doc.lnk ». Pour un œil non averti, cela ressemble à un fichier Word inoffensif, surtout avec des icônes authentiques empruntées à Windows. Mais un simple clic lance une invite de commande cachée, qui appelle discrètement PowerShell pour récupérer une charge malveillante depuis un serveur distant.

La charge utile, déguisée en pilote Windows légitime (windrv.exe), est installée et exécutée sans aucun avertissement pour l’utilisateur. Dès lors, le ransomware se met à l’œuvre, chiffrant les fichiers avec l’algorithme robuste ChaCha20-Poly1305 et ajoutant l’extension .Reco. Les victimes se retrouvent avec une note de rançon - README.Reco.txt - et une demande de paiement via un portail basé sur Tor.

Ce qui distingue GLOBAL GROUP, c’est son mode « muet » : il n’a besoin d’aucune connexion à un serveur de commande et contrôle. Toutes les clés de chiffrement sont générées localement, permettant au malware de dévaster même des réseaux isolés ou déconnectés d’Internet, qui seraient normalement protégés par leur absence de connectivité. Les outils de déchiffrement précédents sont impuissants face à sa cryptographie avancée.

Le malware est conçu pour la furtivité et la persistance. Il vérifie la présence de machines virtuelles et d’outils d’analyse pour contourner les chercheurs, tue les processus de bases de données pour s’assurer que tous les fichiers puissent être verrouillés, et se programme pour se lancer au démarrage du système avec les privilèges SYSTEM. Une fois son travail accompli, il utilise une simple commande ping comme minuteur avant d’effacer ses traces, se supprimant lui-même pour compliquer l’investigation forensique.

Les organisations font face à une double menace : les fichiers de raccourci contournent facilement la vigilance des utilisateurs et les défenses réseau, tandis que les capacités hors ligne de GLOBAL GROUP rendent obsolètes de nombreuses techniques de détection traditionnelles. Les signes visibles de compromission incluent un fond d’écran modifié, des fichiers chiffrés, et un marqueur de fichier distinctif (« xcrydtednotstill_amazingg_time!! ») détectable dans les éditeurs hexadécimaux.

Leçons de défense

Le retour des attaques basées sur les raccourcis rappelle brutalement que l’ingénierie sociale et les vieilles astuces de fichiers restent aussi efficaces que jamais. Les experts recommandent aux organisations de rendre visibles les extensions de fichiers sous Windows, de désactiver l’exécution automatique des fichiers de raccourci provenant des emails, et d’investir dans une surveillance robuste des postes de travail. Plus important encore, des sauvegardes régulières hors ligne restent la dernière ligne de défense contre les ransomwares qui n’ont pas besoin d’Internet pour semer le chaos.

WIKICROOK

• Phishing : Le phishing est une cybercriminalité où les attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• Fichier .lnk : Les fichiers .LNK sont des raccourcis Windows qui peuvent être utilisés par des attaquants pour exécuter des scripts malveillants ou des logiciels malveillants lorsque des utilisateurs non méfiants les ouvrent.
• Living : Living off the Land signifie que les attaquants utilisent des outils système de confiance (LOLBins) pour des actions malveillantes, rendant leurs activités furtives et difficiles à détecter.
• ChaCha20 : ChaCha20 est un algorithme de chiffrement rapide et sécurisé qui brouille les données pour les protéger contre tout accès non autorisé, largement utilisé en cybersécurité moderne.
• Persistance : La persistance regroupe les techniques utilisées par les malwares pour survivre aux redémarrages et rester cachés sur les systèmes, souvent en imitant des processus ou mises à jour légitimes.