Les chercheurs en cybersécurité de Check Point Research ont découvert un nouveau type de ransomware déployé sur les réseaux d’une compagnie américaine. Ils l’ont surnommé Rorschach. À les croire, en plus d’être très sophistiqué, ce malware est extrêmement rapide.
En analysant le code de Rorschach, les experts ont découvert qu’il s’agit d’un des ransomwares les plus rapides jamais observés, par sa vitesse de cryptage. Si son déploiement est automatisé. Ses concepteurs profitent de la fonctionnalité de side-loading de Cortex XDR, une application de sécurité professionnelle, pour télécharger une librairie de liens dynamiques (DLL) sur un ordinateur relié au réseau de l’entreprise ciblée. Une fois celle-ci en place, elle décompresse le code malveillant. Celui-ci s’exécute ensuite à travers un script dans le Bloc-Notes de Windows et se réplique sur les autres systèmes connectés au réseau à partir du Domain Controller. À partir de là, tous les fichiers et disques sont chiffrés. Le piège est en place.
Rorschach se distingue des autres ransomwares sur plusieurs aspects. D’une part, le rançongiciel n’est pas signé, une pratique pourtant répandue chez les cybermaîtres chanteurs. Par ailleurs, « il est partiellement autonome, effectuant des tâches qui sont généralement effectuées manuellement lors du déploiement du ransomware à l’échelle de l’entreprise, comme la création d’une stratégie de groupe de domaine ».