Intrusions via RDP et ransomware pour serveurs Windows

[Malekal_morte]

Une page d'actualité sur les intrusions informatiques via RDP ( Remote Desktop Protocol ) employées dans le but de conduire des campagnes organisées de chantages numériques. L'attaquant, à l'aide de crypto-ransomwares, prends en otage les fichiers stockés en échange d'une rançon.

→ https://blog.fox-it.com/2016/05/02/rans ... dp-attack/

Ce phénomène n'est pas vraiment nouveau puisqu'en 2013, le ransomware OMG avait déjà frappé les entreprises françaises, comme en témoigne ce long sujet de victimes sur le forum : extention-omg-ajoute-aux-fichiers-t4468 ... ml#p367758

Depuis, certaines familles de rançongiciels comme Criakl (Microsoft), Rakhni (Kaspersky), BandarChor (F-Secure) utilisent ce mode de diffusion. Notamment les variantes de Crysis.

Palo Alto Networks, l'équipementier américain spécialisé en sécurité informatique a émis sur son blog une entrée concernant la variante du ransomware Bucbi

Via un outil qui permet d'effectuer des attaques Bruteforce, vendu sur les forums underground :

RDP_Bruteforce.png

Les comptes testés dans le cas de Bucbi :

Administrator
Aloha
Admin
BPOS
FuturePos
HelpAssistant
KahalaPOS
Oracle
POS
SALES
SERVER
Sqladmin
Staff

La page de blocage de Bucbi, plutôt habituelle, on retrouve le : "Your personal files are encrypted!"

Bucbi_Ransomware.png

Bucbi_Ransomware_2.png

Sur les forums underground, un accès en Administrateur via RDP est vendu environ 6$

Blazin_RDP.png

Blazin_RDP_2.png

Blazin_RDP_3.png

Le service RDP est un service Windows très sensible. Dans la mesure du possible, ne pas faciliter la tâche aux attaquants en laissant les lourdes du château grandes ouvertes. Si vous n'avez pas le choix (hummm...) que de rendre ce service accessible sur internet, filtrez l'accès avec un firewall ou seulement via un VPN et pensez à imposer des identifiants forts à travers une GPO.

Liens connexes (ѠOOT):
→ http://researchcenter.paloaltonetworks. ... -makeover/