Previous Story
Le ransomware Babuk, le petit nouveau aux multiples noms
Les pirates cachés derrière le ransomware Babuk a déjà changé 3 fois de noms et de site. Il s’attaque à cinq secteurs d’activité, dont la santé et les transports.
L’équipe McAfee Advanced Threat Research a dévoilé, il y a quelques jours, de nouvelles conclusions sur les opérations stratégiques à l’origine d’une des campagnes de rançongiciel signé par le groupe Babuk (Baruk / Baruk ). ZATAZ a été le premier à vous révéler l’existence de cette banque de pirates informatique qui a déjà changé 3 fois de noms et de design de site web !
Le ransomware, cette prise d’otage informatique qui touche fichiers, ordinateurs, serveurs, mais aussi les téléphones portables. Autant dire, comme le rappelle le site MonPetitForfait, dédié au smartphone, qu’il faut avoir les bons réflexes pour prévenir tout piratage et réagir rapidement le cas échéant car les pirates ne laisseront aucun délai à leurs victimes.
Lentement… mais surement
Avec plusieurs organisations confirmées victimes de la nouvelle souche découverte mi-janvier – dont une que l’on sait avoir versé une rançon de 85 000 dollars aux criminels – cette nouvelle analyse de l’éditeur d’antivirus fournit aux entreprises des renseignements précieux pour les aider à évaluer leurs risques et à prendre des mesures pour se protéger contre les menaces futures. Ces informations permettent notamment de mieux comprendre les cibles et les tactiques spécifiques employées par le groupe.
Les acteurs derrière Babuk ont ciblé des organisations dans les secteurs des transports, de la santé, de la fabrication de produits plastiques et électroniques, et de l’agriculture. Parmi les preuves que ZATAZ a pu collecter, on retrouve la société Frulac, Human ou encore Boca Group.
Dans la version analysé, le rançongiciel ne comporte pas de vérification de la langue locale, et son code contraste avec celui d’autres gangs de ransomware qui épargnent normalement les ordinateurs des pays de l’Est (même si ce détail est un leurre dans la majorité des cas, NDRL).
Un examen approfondi des attaques précédentes révèle comment le rançongiciel contient trois commandes différentes pour se propager et chiffrer les ressources du réseau ; vérifie les services et les processus en cours d’exécution afin d’éviter la détection.
A noter que les serveurs des pirates (point de contact et « blog » ne répondent plus depuis une semaine).
Pingback: ZATAZ » Cyberattaque à l’encontre du 1er acteur indépendant du tourisme français