Windows 10, 7 et 8.1 : le ransomware Thanos infecte les PC et échappe aux antivirus

 

Thanos est le premier ransomware à exploiter une faille sous Windows 10, 7 et 8.1 connue sous le nom de RIPlace. Cette dernière lui permet d’échapper à quasiment tous les antivirus du marché, Windows Defender y compris.

Ransomware

Son nom bien choisi évoque la terreur et son mode de fonctionnement en fait un ransomware redouble. Thanos sévit sur Windows 7, 8.1 et 10 depuis octobre 2019 sous divers noms, mais ce n’est qu’en janvier 2020 qu’il a fait l’objet d’un rapport détaillé publié par la société Inskit Group. Il s’agit d’une famille de ransomwares ayant pour ancêtre un seul et même outil développé par un hacker nommé Nosophoros.

Cet outil est capable de générer des ransomwares personnalisés sur la base de 43 options de configuration différentes. La solution est disponible sur le Dark Web et en particulier sur des forums de hackers russes en tant que logiciel de type « ransomware as a service ». En d’autres termes Nosophorus recrute d’autres pirates pour propager le malware. Ces derniers reçoivent une part de revenus d’environ 60 à 70% pour tout paiement de rançon.

Thanos : premier ransomware à exploiter la faille RIPlace qui la rend indétectable

RIPlace est une technique de camouflage qui a été dévoilée sous forme de preuve de concept fin 2019 par des chercheurs de Nyotron.  Elle est utilisée pour modifier des fichiers d’une manière indétectable par Windows et par les antivirus. Les attaquants peuvent ainsi contourner diverses mesures de protection anti-ransomware pour chiffrer des fichiers sur les machines ciblées.

Lire aussi — Ransomware: des pirates s’excusent pour le tort qu’ils ont causé à leurs victimes !

Nyotron a fait part de sa découverte aux fournisseurs d’antivirus et à Microsoft. À l’époque, la plupart d’entre eux considéraient que cette technique n’avait pas à être traitée comme une vulnérabilité, et ce, d’autant plus que son exploitation réelle n’était pas prouvée. Seuls Kaspersky et Carbon Black (propriété de VMware) avaient modifié leurs logiciels pour empêcher l’exécution de cette technique.

Dans un nouveau rapport publié le 10 juin 2020, Inskit Group détaille comment la faille RIPlace est utilisée par Thanos, le premier ransomware à s’en servir. Les chercheurs pensent que logiciel malveillant continuera à être exploité, soit individuellement, soit collectivement dans le cadre du programme d’affiliation de son créateur. Cette nouvelle publication devrait inciter Microsoft et les autres fournisseurs de solutions de protection à prendre des mesures.

Source : Recoded Future



Abonnez-vous gratuitement à la newsletter
Chaque jour, le meilleur de Phonandroid dans votre boite mail !
Réagissez à cet article !
Demandez nos derniers articles !
top 200 pires mots passe 2020
Voici le top 200 des pires mots de passe de 2020

Le top 200 des pires mots de passe de l’année 2020 est désormais disponible. Comme tous les ans, l’indémodable 123456 arrive en tête du classement. Parmi les thématiques favorites des internautes, on trouve le divertissement, les grossièretés, les prénoms ou les suites de chiffres….

tesla powerwall faille
Tesla : une importante faille de sécurité menace les batteries Powerwall

Des chercheurs en sécurité informatique ont détecté une faille de sécurité importante dans le Tesla Backup Gateway, le système qui gère les connexions au réseau des Powerwall, les batteries de stockage d’énergie domestiques du constructeur. En 2015, Tesla a lancé…

carte sim arnaque
Elle se fait pirater sa carte SIM et perd 17 000 €

Un pirate a réussi à pirater la carte SIM d’une utilisatrice à de multiples reprises, interceptant à sa place les SMS de double authentification. Malgré de nombreuses tentatives pour stopper le processus, le hacker a réussi à voler 17 000…