Ransomware Kraken : un encryptage modulé selon la puissance des systèmes

brève actu

Kraken ajuste son chiffrement après avoir évalué la performance des machines infectées, renforçant l’impact sans surcharger les systèmes.

Le ransomware Kraken, une menace grandissante dans le paysage de la cybersécurité, cible les systèmes d’exploitation Windows, Linux et VMware ESXi. Ce logiciel malveillant se distingue par sa capacité à évaluer les performances des machines infectées avant de procéder à l’encryptage des données, une méthode innovante qui lui permet d’optimiser son efficacité tout en évitant la surcharge du système. Cette approche lui confère un avantage stratégique, rendant ses attaques particulièrement redoutables pour les entreprises de toutes tailles.

Kraken : une menace sophistiquée et adaptable

Comme le détaille Talos Intelligence, Kraken utilise des algorithmes de chiffrement RSA de 4096 bits et ChaCha20 pour crypter les fichiers, offrant ainsi une sécurité robuste contre les tentatives de décryptage. Cette sophistication technique est renforcée par l’utilisation de tests d’encryptage, qui permettent de mesurer la vitesse à laquelle le ransomware peut opérer sans perturber excessivement le système hôte.

Ce processus garantit que l’encryptage est exécuté de manière optimale, maximisant les dégâts en un minimum de temps. En outre, Kraken propose des options de ligne de commande étendues, permettant aux attaquants d’adapter leurs stratégies en fonction de l’environnement cible. Cette flexibilité opérationnelle est un atout majeur pour les cybercriminels, leur permettant de cibler efficacement divers types de systèmes et de données, y compris les bases de données SQL et les partages réseau.

Selon BleepingComputer, Kraken a émergé des cendres du groupe de ransomware HelloKitty, et ses liens avec ce dernier sont suggérés par l’utilisation de noms de fichiers de rançon similaires. Cette continuité entre les deux groupes pourrait indiquer une transmission de savoir-faire et de ressources, renforçant la capacité de Kraken à mener des attaques sophistiquées. En outre, Kraken adopte une approche de double extorsion, menaçant de divulguer les données volées sur leur site de fuite si les demandes de rançon ne sont pas satisfaites. Ce modèle d’extorsion ajoute une pression supplémentaire sur les victimes, les incitant à céder aux exigences des attaquants pour protéger leurs informations sensibles.

Kraken ne se contente pas de cibler des entreprises spécifiques ; il opère de manière opportuniste, touchant divers secteurs et géographies, notamment les États-Unis, le Royaume-Uni, le Canada, le Danemark, le Panama et le Koweït. Cette stratégie globale lui permet d’exploiter un large éventail de vulnérabilités et d’opportunités.

Kraken a été observé en train d’exploiter des vulnérabilités du protocole SMB pour obtenir un accès initial aux systèmes, avant de déployer des outils comme Cloudflared et SSH Filesystem pour établir une persistance et exfiltrer des données. Cette approche méthodique et ciblée démontre une compréhension avancée des systèmes informatiques et une capacité à contourner les défenses de sécurité traditionnelles, rendant Kraken particulièrement dangereux pour les entreprises qui n’ont pas mis en place des mesures de sécurité robustes et actualisées.