‘Les logiciels de rançon associés à LockBit continuent de se propager 2 jours après la mise hors service du serveur.’

Deux jours après qu’une équipe internationale d’autorités ait porté un coup majeur au groupe de rançongiciel LockBit, l’un des syndicats de ransomware les plus prolifiques d’Internet, des chercheurs ont détecté une nouvelle série d’attaques qui installent des logiciels malveillants associés au groupe. Les attaques, détectées au cours des dernières 24 heures, exploitent deux vulnérabilités critiques dans ScreenConnect, une application de bureau à distance vendue par Connectwise. Selon les chercheurs de deux sociétés de sécurité – SophosXOps et Huntress – les attaquants qui exploitent avec succès les vulnérabilités passent à l’installation du rançongiciel LockBit et d’autres logiciels malveillants post-exploit. Il n’était pas immédiatement clair si le rançongiciel était la version officielle de LockBit. « Nous ne pouvons pas nommer publiquement les clients pour le moment, mais nous pouvons confirmer que le logiciel malveillant déployé est associé à LockBit, ce qui est particulièrement intéressant dans le contexte de la récente élimination de LockBit », a écrit John Hammond, chercheur en sécurité principal chez Huntress, dans un e-mail. « Bien que nous ne puissions pas attribuer cela directement au groupe LockBit plus large, il est clair que LockBit a une grande portée qui englobe les outils, divers groupes affiliés et des dérivés qui n’ont pas été complètement effacés même avec la prise en main majeure par les autorités. » Hammond a déclaré que le rançongiciel était déployé dans des « cabinets vétérinaires, des cliniques de santé et des gouvernements locaux (y compris des attaques contre des systèmes liés aux systèmes d’urgence 911) ». SophosXOps et Huntress n’ont pas précisé si le rançongiciel installé était la version officielle de LockBit ou une version divulguée par un insider mécontent de LockBit en 2022. Le constructeur divulgué a largement circulé depuis lors et a déclenché une série d’attaques imitatrices qui ne font pas partie de l’opération officielle.