Catégories
hyères informatique Ransomware

Ransomware: Mespinoza frappe les autorités locales françaises

Logiciel de rançon Mespinoza
Le CERT-FR attire l’attention sur le rançongiciel Mespinoza, une variante utilisée contre les autorités locales françaises.

La grande région orientale et méridionale, victime de Mespinoza?

Le CERT-FR ne le dit pas, mais émet un avertissement à propos de cette rançon, impliquée dans des attaques « ciblant les autorités locales françaises » *.

Utilisé depuis au moins octobre 2018, Mespinoza produisait à l’origine des fichiers avec l’extension .locked.

Depuis décembre 2019, une nouvelle version a été documentée en open source. La production de fichiers .pysa semble être la base de ces attaques.

Les logiciels malveillants se présentent sous deux formes:

un exécutable (svchost.exe) accompagné de scripts batch;
une archive Python qui contient, entre autres, une variable qui vous permet de sélectionner l’extension des fichiers cryptés. Ensuite, des fichiers .newversion ont été découverts sur l’un des SI compromis.
Cryptage fort?
Jusqu’à présent, le vecteur d’infection n’est pas connu. Cependant, selon le CERT-FR, plusieurs événements auraient pu permettre un accès initial ou une latéralisation:

Tentatives de connexion Brute Force sur une console d’administration et des comptes Active Directory
Filtrage de la base de données de mots de passe
Connexions RDP illégales entre les contrôleurs de domaine
L’un des scripts .bat exécute un script PowerShell sur les ordinateurs du réseau. Parmi ses caractéristiques:

Arrêtez les services, en particulier l’antivirus (il peut même désinstaller Windows Defender)
Suppression de points de restauration et d’instantanés sur le cliché instantané
Le cryptage est basé sur les bibliothèques pyas et rsa. Aucune erreur n’y a encore été détectée, précise le CERT-FR. Et les algorithmes utilisés sont « avancés ». En d’autres termes, il est encore difficile de récupérer des données pour le moment.

  • Des attaques de ransomwares ont eu lieu ces dernières semaines au Grand Est (notamment à Charleville-Mézières) puis dans la Région Sud (Aix-Marseille). Lien

Laisser un commentaire