Philadelphia Ransomware : nouvelle infection dans le secteur de la santé

Une nouvelle souche de ransomware a été découverte par des responsables de la sécurité de Forcepoint, au Texas, qui cible les organisations de soins de santé. Le ransomware Philadelphia appartient à la famille Stampado. Ce kit de ransomware est vendu en ligne pour quelques centaines de dollars et les attaquants demandent une rançon sous forme de Bitcoins.

Les chercheurs ont découvert que le ransomware Philadelphia est transporté via des e-mails de spear-phishing. Ces e-mails sont envoyés aux hôpitaux avec un corps de message d'une URL raccourcie qui dirige vers un espace de stockage personnel servant un fichier DOCX armé avec le logo de l'organisation de santé ciblée. Les employés se font piéger et finissent par cliquer sur ces liens qui font que le ransomware s'infiltre dans le système.

Source de l'image : forcepoint.com

Une fois que le ransomware est établi dans le système, il contacte le serveur C&C et transfère toutes les informations sur l'ordinateur victime comme le système d'exploitation, le pays, la langue du système et le nom d'utilisateur de la machine. Le serveur C&C génère ensuite un identifiant de victime, un prix de rançon et un identifiant de portefeuille Bitcoin et l'envoie à la machine ciblée.

La technique de cryptage utilisée par Philadelphia Ransomware est AES-256, qui exige une rançon de 0,3 Bitcoins une fois le verrouillage de vos fichiers terminé. Son intégration vers l'industrie de la santé peut être observée par le chemin du répertoire qui montre « hôpital/spam » comme une chaîne dans son code JavaScript crypté avec « hôpital/spa » contenu dans son chemin de serveur C&C.

Source de l'image : funender.com

Qu'est-ce que Philadelphie :

D'accord, tout le monde sait que c'est la plus grande ville de Pennsylvanie et bla bla bla… mais en ce qui concerne la cybercriminalité, c'est aussi une version mise à jour du célèbre virus de type ransomware Stampado. Dans les e-mails de phishing, vous pouvez les rencontrer avec de faux avis de retard de paiement. Ces e-mails incluent principalement des liens vers les sites Web de Philadelphie, qui sont maintenus prêts avec des applications Java pour installer des ransomwares dans votre système.

Voir aussi :  Top 5 des outils de protection contre les ransomwares

Philadelphia commence à crypter les fichiers avec diverses extensions comme .doc, .bmp, .avi, .7z, .pdf etc., après une intrusion réussie dans le système. Vous pouvez identifier un fichier crypté verrouillé par Philadelphia avec son extension « .locked ». Par exemple, un fichier de votre système portant le nom « abc.bmp » serait crypté et renommé « KD24KIH83483BJAKDF8JDR7.locked ». Une fois que vous essayez d'ouvrir le fichier crypté, le ransomware ouvre une nouvelle fenêtre avec une rançon demandée dans le message.

Le message de rançon vous informe que les fichiers ont été cryptés et que vous devez les payer pour les restaurer. Philadelphia utilise un algorithme de cryptage asymétrique qui crée une clé publique (cryptage) et privée (décryptage) tout en cryptant et verrouillant les fichiers. Décrypter les fichiers verrouillés sans la clé privée, c'est comme faire bouillir un océan car ils sont situés sur des serveurs distants gardés par des cybercriminels.

La fenêtre contient deux minuteries intéressantes : la date limite et la roulette russe. Alors que la minuterie indique le temps restant pour obtenir votre clé privée, la roulette russe indique le temps de supprimer le fichier suivant (vous poussant à l'acheter sans perdre de temps à chercher de l'aide). C'est effectivement une menace mais c'est la seule chose qui n'est pas fausse.

Source de l'image : forbes.com

Pouvez-vous éviter cette situation ?

Oui. Vous pouvez être sauvé d'être scié par le ransomware Philadelphia ; Cependant, vous devez garder votre ordinateur armé des meilleurs anti-ransomware et antimalware. Notez que certains ransomwares peuvent contourner le meilleur anti-ransomware, la meilleure pratique est donc de devenir un utilisateur vigilant et de ne pas cliquer sur quelque chose d'inhabituel et de suspect.

Voir aussi :  Les 5 meilleurs conseils pour lutter contre les ravages des ransomwares

Considérant tout, Philadelphia Ransomware peut être considéré comme un type d'infection pénétrant. Bien qu'il ne cible désormais que les organisations de santé, vous pouvez également en être une victime, car le code source de ce virus est ouvert à la vente à 400 $ sur le dark web. Tout cybercriminel en herbe peut obtenir le code et commencer à chasser une proie. Garder votre ordinateur immunisé et protégé par un antimalware et un anti-ransomware devrait vous aider.