Traiter avec DarkSide

Brian Krebs a examiné plus en détail le groupe « DarkSide » et son rôle dans la paralysie du Colonial Pipeline. DarkSide est un groupe qui développe et propose des fonctionnalités de ransomware sous forme de service. D'autres groupes et organisations spécialisés dans les ransomwares paient pour bénéficier des outils et des services de DarkSide, ce qui rend difficile l'attribution précise de la responsabilité.

Ce groupe adapte et modifie des portes dérobées courantes telles que Harpy, Sekur et Cobalt Strike en y intégrant ses propres chargeurs et interfaces de gestion personnalisés. Il configure et déploie divers packs de ransomware, comme le ransomware REvil, dont aucun n’est en réalité propre à DarkSide. Ce ne sont pas les logiciels malveillants qu’ils vendent ni les techniques particulières qu’ils utilisent qui font leur efficacité, mais le fait qu’ils soient bien organisés et expérimentés. Ce groupe dispose d’une branche de renseignement à part entière et de procédures opérationnelles rationalisées qui commencent par la recherche de leurs victimes, afin de s’assurer qu’elles sont vulnérables, peu méfiantes et en mesure de payer les rançons.

Comment faire face à DarkSide :

Alors, que pouvez-vous faire face à cette menace potentielle ? Cela peut sembler simple, mais la priorité doit être donnée à l’infrastructure de sécurité et à la surveillance. DarkSide passe par des phases de reconnaissance et de collecte de renseignements qui lui permettent d’évaluer en toute sécurité les capacités de ses victimes. Ce groupe a tendance à éviter les organisations bien protégées et les victimes dotées de moyens de le détecter, comme des capacités de détection comportementale et de réponse. La CISA a également formulé ces recommandations pour prévenir les perturbations des activités liées aux attaques par ransomware.

Techniques à surveiller :

• DarkSide utilise PowerShell pour télécharger les premières phases du logiciel malveillant et préparer les systèmes.
• Ils suppriment les clichés instantanés de volume via PowerShell.
• Ils décodent et exécutent des logiciels malveillants via Certutil.exe.
• Ils peuvent procéder à une élévation de privilèges sur des systèmes d'exploitation plus anciens, comme Windows 7 (aucun cas n'a encore été observé sur la plupart des systèmes d'exploitation modernes).

Une fois la phase de reconnaissance terminée, ils se propagent à l'ensemble du réseau et lancent des campagnes de relations publiques avant de procéder au chiffrement et à la demande de rançon. Cela constitue une fenêtre d'opportunité pour la détection et la neutralisation si vous disposez d'un service MDR actif chargé de surveiller ces activités.

Pour découvrir comment protéger vos clients contre les cybermenaces les plus sophistiquées et les plus malveillantes, prenez rendez-vous pour une démonstration avec l'un de nos conseillers.