Les attaquants ont pénétré dans le système via un serveur web IIS accessible au public. Dès qu’ils ont obtenu l’accès, ils ont déployé un webshell leur permettant d’explorer davantage le réseau et d’atteindre d’autres systèmes, selon les chercheurs en sécurité de security.com.
Désactivation des mesures de sécurité avant l’attaque
L’enquête révèle que les attaquants ne voulaient pas perdre de temps. Ils ont désactivé plusieurs fonctions de sécurité, activé le Bureau à distance et créé un compte utilisateur supplémentaire afin de conserver un accès ultérieur. Par ailleurs, ils ont tenté d’extraire les mots de passe enregistrés dans Windows afin de pouvoir se déplacer plus loin dans le réseau.
Mais ils ne se sont pas arrêtés là. Grâce à Windows Management Instrumentation (WMI), ils se sont propagés à plus de dix autres ordinateurs. Parallèlement, ils ont établi plusieurs connexions leur permettant de conserver l’accès au réseau même s’ils étaient découverts.
Avant d’activer le rançongiciel, les cybercriminels ont désactivé Microsoft Defender et mis hors service un grand nombre de services de plateformes de sauvegarde et de virtualisation connues, notamment Veeam, VMware, Hyper-V et Microsoft SQL Server. Ils ont ainsi considérablement compliqué la tâche de l’entreprise touchée pour restaurer rapidement ses systèmes.
Le rançongiciel Spirals agit à
la vitesse de l’éclair.
Le rançongiciel lui-même a été développé en Rust et chiffre principalement les fichiers volumineux de manière intelligente. Au lieu de chiffrer un fichier dans son intégralité, Spirals n’en cible que certaines parties. Cela suffit à rendre les fichiers inutilisables, tout en accélérant considérablement le processus de chiffrement. De plus, le logiciel malveillant était déguisé en programme Windows « bitsadmin.exe », ce qui lui a permis de passer plus inaperçu lors de son déploiement sur le réseau.
Après l’attaque, une note de rançon s’affiche, contenant des instructions pour contacter les attaquants. Si la victime ne paie pas dans les six jours, les criminels menacent de rendre publiques les données volées.
Pour l’instant, une seule attaque impliquant Spirals a été signalée. Il est donc encore difficile de déterminer s’il s’agit d’un nouveau groupe de ransomware cherchant à faire davantage de victimes, ou d’un logiciel malveillant développé spécifiquement pour cette attaque. Symantec a entre-temps partagé des informations techniques sur l’attaque, afin que les équipes de sécurité puissent identifier plus rapidement cette nouvelle menace.
