Le groupe de ransomware Meow : une montée inattendue

Le groupe de ransomware Meow a récemment pris la deuxième place parmi les gangs les plus actifs, suite à une augmentation surprenante de son activité après une refonte majeure de sa marque.

Apparu en mars de cette année comme l’un des quatre principaux dérivés de Conti, Meow n’a pas connu le même succès que son prédécesseur, se retrouvant constamment derrière des groupes tels que LockBit et, plus récemment, RansomHub.

Selon le rapport de Check Point sur le mois d’août dans le domaine de la cybercriminalité, Meow a revendiqué neuf pour cent de toutes les attaques de ransomware à l’échelle mondiale, le plaçant devant presque tous ses concurrents, à l’exception de RansomHub, qui semble devenir le remplaçant de LockBit, capturant une part importante de son marché et de ses anciens affiliés.

Un changement de stratégie : de l’extorsion à la vente de données

Les dernières informations indiquent que Meow adopte une approche similaire à celle de Cl0p, en se concentrant moins sur le chiffrement des fichiers des victimes et en se dirigeant plutôt vers le vol de données.

Initialement, le groupe fonctionnait comme une opération typique de ransomware en tant que service (RaaS), mais a depuis opté pour des méthodes d’extorsion pures, en vendant simplement les données qu’il vole lors des intrusions.

Chaque ensemble de données volées a désormais deux prix. Un prix permet d’accéder aux données, mais d’autres peuvent également payer le même montant pour obtenir les mêmes fichiers. Il existe aussi une option pour payer un montant beaucoup plus élevé, parfois le double, le triple ou même le quadruple, pour obtenir un accès « exclusif » aux données, bien que les criminels puissent mentir à ce sujet. Ces données sont ensuite « retirées » du site de fuite qui sert de marché pour les données de Meow.

Des prix en hausse pour des données volées

Les prix pour un accès non exclusif varient généralement entre 4 000 et 10 000 dollars, bien que certaines annonces récentes aient affiché des prix aussi bas que 150 dollars et aussi élevés que 40 000 dollars.

Vendre des données plutôt que d’extorquer des victimes a été considéré par le passé comme une tactique de dernier recours, plutôt qu’un mode opératoire principal. L’attaque de RansomHub contre la maison de vente aux enchères Christie’s plus tôt cette année a finalement abouti à la vente des données à un enchérisseur plutôt qu’à leur fuite. Cependant, des experts ont déclaré à l’époque que cette enchère n’était probablement pas le succès escompté par les criminels.

Une nouvelle méthode : succès ou échec ?

Traditionnellement, les ransomwares impliquent le chiffrement des fichiers, l’extorsion des victimes pour un paiement de rançon, et si ce paiement n’est pas effectué, les données sont divulguées gratuitement au public, prouvant ainsi que le groupe avait effectivement les données qu’il prétendait avoir volées.

Vendre ces données à des enchérisseurs privés est un processus plus opaque, ce qui signifie que le public ne verra jamais de preuve définitive que les données ont été effectivement volées. Bien sûr, les acheteurs le sauraient, et si Meow mentait, cela serait rapidement révélé, ternissant ainsi sa réputation.

Concernant le succès potentiel de cette tactique, Sergey Shykevich, responsable du groupe de renseignement sur les menaces chez Check Point Research, a exprimé des doutes quant à sa rentabilité.

« À ce stade, nous ne sommes pas du tout sûrs qu’il s’agisse d’un mouvement rentable plutôt que d’une stratégie de relations publiques ou de marketing, » a-t-il déclaré. « Cela a probablement été fait pour se différencier des autres groupes et exercer plus de pression sur les victimes pour qu’elles paient. »

« Nous doutons que cela soit vraiment rentable, car dans de nombreux cas, les informations des victimes sont vendues, ce qui n’est pas extrêmement lucratif et peu exploitable par d’autres acteurs malveillants. »

Il est rare de voir une évolution majeure dans la méthodologie des ransomwares. La dernière grande innovation a été l’émergence de l’extorsion double, et peut-être dans une moindre mesure, la tendance à signaler les victimes aux régulateurs nationaux, comme l’ont fait ALPHV/BlackCat et plus récemment Cicada3301. Il est incertain que cette nouvelle approche fonctionne pour Meow à long terme.

RansomHub : le roi des ransomwares

Dans le paysage cybernétique, RansomHub continue de dominer le classement, revendiquant 15 pour cent de toutes les attaques mondiales en août, selon les chiffres de Check Point.

RansomHub s’est imposé comme la nouvelle marque de ransomware leader, remplaçant LockBit et ALPHV/BlackCat, qui se disputaient auparavant la première place.

« Le mois dernier, RansomHub a consolidé sa position en tant que principale menace de ransomware, comme l’indiquent les conseils conjoints du FBI, de la CISA, du MS-ISAC et du HHS, » a déclaré Check Point. « Cette opération RaaS a ciblé agressivement des systèmes sous Windows, macOS, Linux, et en particulier les environnements VMware ESXi, en utilisant des techniques de chiffrement sophistiquées. »

« L’émergence de RansomHub en tant que principale menace de ransomware en août souligne l’augmentation de la sophistication des opérations de ransomware en tant que service. Les organisations doivent être plus vigilantes que jamais. »

Le groupe, largement soupçonné d’être un rebranding de l’ancienne opération Knight, a récupéré les affiliés qui travaillaient auparavant pour l’ancienne garde, cherchant un nouveau refuge après la disparition de leurs anciens employeurs.

• Données volées de Christie’s vendues au plus offrant plutôt que divulguées, selon RansomHub
• Change Healthcare révèle enfin les détails sur les données médicales volées par le groupe cybercriminel
• Le CISO de Clorox démissionne après une cyberattaque de plusieurs millions de dollars
• Cinq mois après sa chute, LockBit n’est plus qu’une ombre de ce qu’il était

Bien que « disparition » puisse sembler exagéré, c’est certainement le cas pour ALPHV/BlackCat, qui a quitté la scène des ransomwares après l’attaque contre Change Healthcare, bien que Cicada3301 semble porter les marques d’un possible rebranding.

Cependant, selon Check Point, LockBit persiste malgré le démantèlement de l’opération par les forces de l’ordre ces derniers mois. En août, la souche de ransomware LockBit 3 a été responsable de 8 pour cent de toutes les attaques. Cela ne devrait pas surprendre, car le constructeur a été divulgué il y a des années et a été utilisé par divers criminels cherchant à réaliser un profit rapide. Quoi qu’il en soit, l’opération reste largement affaiblie et ses affiliés ont fui vers de meilleures opportunités dans des programmes RaaS concurrents.