CACTUS Ransomware

Comment fonctionne CACTUS logiciel rançonneur ?

CACTUS logiciel rançonneur exploite généralement la vulnérabilité d’un logiciel de réseau privé virtuel (RVP) pour accéder à un environnement cible. Après avoir accédé au système, le logiciel malveillant établit des communications de commande et de contrôle (C2) avec son opérateur via SSH. Il tire également parti des tâches planifiées sur le système infecté pour maintenir la persistance entre les redémarrages.

Avec une empreinte sur le réseau cible, le logiciel malveillant utilise l’analyse du réseau pour identifier les cibles potentielles d’infection sur le réseau. Il utilise ensuite diverses méthodes pour voler les informations d’identification des utilisateurs, telles que la collecte à partir de navigateurs Web et leur vidage de LSASS. Ces informations d’identification compromises sont ensuite utilisées pour obtenir le niveau d’accès requis pour effectuer l’attaque. Cela inclut l’ajout ou l’accès à des comptes sur un appareil distant que le logiciel malveillant peut utiliser pour se propager sur le réseau.

Une fois sur un appareil, le logiciel malveillant utilise msiexec pour désinstaller les logiciels antivirus courants. Le logiciel malveillant intègre également diverses techniques conçues pour le protéger contre la détection, notamment la distribution du logiciel malveillant sous une forme cryptée qui nécessite une clé AES pour être décompressé. Cette technique est probablement conçue pour protéger contre l’analyse du logiciel malveillant, car les chercheurs et les sandbox peuvent ne pas avoir collecté la clé de déchiffrement appropriée avec leur copie du logiciel malveillant ou ne pas connaître les paramètres de configuration requis pour déclencher sa fonctionnalité malveillante.

CACTUS est un exemple de variante de logiciel rançonneur à double extorsion. En plus de chiffrer les données - avec une combinaison de RSA et AES - le logiciel malveillant tente également de les exfiltrer. Il a été observé d’utiliser Rclone pour cela, qui déplace les fichiers volés vers cloud stockage. Une fois le chiffrement et l’exfiltration terminés, le logiciel malveillant affiche des notes de rançon sur l’ordinateur de l’utilisateur.

Comment se protéger contre CACTUS logiciel rançonneur

CACTUS est un exemple de variante de logiciel rançonneur conçue pour attaquer le réseau d’entreprise tout en utilisant diverses techniques d’évasion pour passer sous le radar. Voici quelques bonnes pratiques de sécurité que les organisations peuvent mettre en œuvre pour se protéger contre cette menace :

• Gestion des correctifs : CACTUS logiciel rançonneur infecte principalement les systèmes en exploitant la vulnérabilité connue des systèmes RVP non corrigés. L’application rapide des mises à jour et des correctifs lorsqu’ils sont disponibles peut empêcher le logiciel malveillant d’utiliser ce vecteur d’accès.
• Authentification forte : Ce rançonneur de logiciels tente souvent de voler les informations d’identification des navigateurs et du LSASS pour obtenir l’accès et les privilèges nécessaires à la réalisation de ses objectifs. La mise en œuvre de l’authentification multifacteur (MFA) pour les comptes d’utilisateurs peut empêcher CACTUS d’utiliser les mots de passe qu’il vole sur un ordinateur infecté.
• Formation des employés : CACTUS tente d’exploiter la réutilisation des mots de passe en déversant des mots de passe de diverses sources sur un ordinateur infecté. La formation des employés aux meilleures pratiques de sécurité des comptes peut aider à réduire ou à éliminer cette menace.
• réseau Segmentation : CACTUS tente de se déplacer latéralement dans le réseau en utilisant des comptes qu’il a créés ou compromis à partir d’un ordinateur infecté. La segmentation du réseau isole les systèmes de grande valeur du reste du réseau, ce qui les rend plus difficiles d’accès pour un attaquant.
• réseau Sécurité : Ce logiciel rançonneur utilise des outils de balayage de réseau et d’accès à distance pour se déplacer dans le réseau. Les solutions de surveillance et de sécurité du réseau peuvent identifier et bloquer ces tentatives de mouvement latéral.
• Solutions anti-logiciel rançonneur : CACTUS tente de crypter les fichiers sensibles et de les exfiltrer via cloud stockage. Les solutions anti-logiciel rançonneur permettent d’identifier ce comportement malveillant et d’éradiquer l’infection malveillante.