Abandonner les rançongiciels clés en main du darknet pour concevoir leur propre arme : le groupe Toy Ghouls déploie GenieLocker sur Windows, Linux et VMware ESXi. Un binaire furtif qui masque ses traces en supprimant les notes de rançon automatiques. Analyse.
Les chercheurs de l’équipe Securelist chez Kaspersky viennent de détailler le fonctionnement de GenieLocker, un rançongiciel sur mesure déployé depuis mars 2026 par le collectif financier Toy Ghouls (également suivi sous les identifiants Bearlyfy, Labubu ou Laboo.boo). Historiquement habitués à exploiter des souches clés en main comme LockBit, Babuk ou RedAlert, ces attaquants ont désormais développé leur propre infrastructure de chiffrement sous forme de binaires PE pour Windows et ELF pour Linux et VMware ESXi.
Une architecture cryptographique articulée autour de libsodium
Pour assurer le verrouillage des données sur les trois systèmes d’exploitation, les concepteurs de GenieLocker s’appuient sur la bibliothèque open source libsodium. Le chiffrement des fichiers repose sur l’algorithme XChaCha20-Poly1305, combiné à une dérivation de clés par fichier gérée via Curve25519-XSalsa20-Poly1305 et associée à une clé maître codée en dur dans le binaire.
La principale singularité tactique de GenieLocker réside dans l’absence totale de note de rançon générée sur le disque. Le binaire ne dépose aucun fichier texte d’instruction et ne contient aucune coordonnée de contact. Cette absence délibérée vise à déjouer les règles de détection comportementale des agents EDR, qui se déclenchent habituellement lors de la création massive de fichiers d’instructions dans les répertoires scannés. Les cybercriminels transmettent leurs exigences de paiement manuellement une fois l’intrusion consolidée.
Evasion des bacs à sable et arrêt ciblé des machines virtuelles
La variante destinée aux environnements Windows intègre des mécanismes de protection stricts contre l’analyse inverse :
-
Argument secret obligatoire : l’exécutable exige la saisie d’une chaîne hexadécimale validée par un hachage SHA-256 codé en dur pour démarrer son travail. Sans cet argument, le programme s’arrête immédiatement, neutralisant les analyses automatiques en bac à sable (sandbox).
-
Fil de surveillance en temps réel : un thread dédié s’exécute toutes les 500 millisecondes pour vérifier la présence de débogueurs et contrôler l’intégrité de sa propre section de code via un calcul de hachage CRC32.
-
Interruption de services critiques : le malware coupe les processus liés aux bases de données (MSSQL, Oracle, 1C) ainsi que les services de sauvegarde comme Veeam avant d’initier le chiffrement.
Sur les hyperviseurs VMware ESXi et les serveurs Linux, le comportement s’adapte aux spécificités du centre de données. Le binaire utilise le double-fork pour se détacher du terminal, coupe les machines virtuelles en cours d’exécution, puis cible prioritairement le répertoire d’emplacements virtuels /vmfs/volumes.
Selon l’analyse de l’écosystème du groupe menée par SecurityLab, la phase d’accès initial documentée lors des dernières campagnes s’est appuyée sur des connexions OpenVPN légitimes compromise via des identifiants volés chez des partenaires tiers. Le mouvement latéral a ensuite été orchestré à l’aide d’outils d’administration classiques comme PsExec et PAExec, sans qu’aucune exfiltration préalable de données n’ait été constatée à ce jour.
🦋 L’actualité de l’open source en français dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol comme W Social et Mu) grâce à notre compte officiel. Suivez, partagez, abonnez-vous à @goodtech.info !
