Des chercheurs ont découvert un nouvel outil basé sur Rust permettant le déploiement du ransomware Embargo. Embargo est un acteur relativement nouveau sur la scène des ransomwares, observé pour la première fois par ESET en juin 2024. Seul Windows serait concerné, à ce stade.
Le malware, découvert en juin, serait actif depuis mai dernier. Il exploite le mode sans échec des systèmes d’exploitation Windows et un pilote vulnérable pour désactiver les produits de sécurité sur la machine de la victime. Les deux outils sont écrits en Rust, le langage de prédilection du groupe pour développer ses rançongiciels.
La nouvelle boîte à outils se compose d’un chargeur et d’un tueur EDR, nommés respectivement MDeployer et MS4Killer par ESET. MS4Killer est particulièrement remarquable car il est compilé sur mesure pour l’environnement de chaque victime et ne cible que certaines solutions de sécurité.
MS4Killer est un outil d’évasion de défense typique qui met fin aux processus des produits de sécurité en utilisant la technique connue sous le nom de Bring Your Own Vulnerable Driver (BYOVD). Il est écrit, comme le chargeur, en Rust. ESET estime que MS4Killer a été fortement inspiré par s4killer, une preuve de concept (POC) publiée sur GitHub, également écrite en Rust. En raison de la ressemblance avec ce POC existant, nous nous référons à cet outil comme MS4Killer – abréviation de EMbargo s4killer.
En se basant sur son mode opératoire, Embargo semble être un groupe plein de ressources. Il installe sa propre infrastructure pour communiquer avec les victimes. De plus, le groupe fait pression sur les victimes pour qu’elles paient en utilisant une double extorsion : les opérateurs exfiltrent les données sensibles et menacent les victimes de les publier sur un site de fuite et de les crypter.
Jan Holman, chercheur chez ESET, estime que : « Embargo fonctionne probablement comme un fournisseur RaaS, compte tenu de sa sophistication et de l’existence d’un site de fuite typique. ». Pour en savoir plus, rendez-vous sur le site WeLiveSecurity (en anglais). Windows serait concerné, Android y échappe. Attention aux systèmes et applications Windows émulés sous Linux.
