Les groupes de ransomware Qilin et Warlock franchissent un nouveau cap dans la sophistication des attaques en utilisant une technique redoutable pour neutraliser les défenses des systèmes ciblés. Selon des chercheurs en cybersécurité, ces acteurs exploitent la méthode BYOVD (Bring Your Own Vulnerable Driver) pour désactiver plus de 300 outils de sécurité avant même de lancer le chiffrement des données.
Cette approche marque une évolution majeure dans les attaques ransomware, où la priorité n’est plus seulement l’infection, mais la neutralisation complète des mécanismes de détection.
Une attaque en plusieurs étapes pour contourner les EDR
Dans le cas de Qilin, les attaquants utilisent une DLL malveillante via une technique de DLL side-loading pour initier une chaîne d’infection sophistiquée.
Le malware :
- désactive les logs système comme Event Tracing for Windows
- contourne les mécanismes de surveillance
- exécute le payload directement en mémoire
- termine les processus liés aux solutions EDR
Cette méthode permet d’opérer sans être détecté, rendant l’attaque particulièrement difficile à stopper.
BYOVD : l’arme principale des attaquants
La technique BYOVD consiste à utiliser des pilotes légitimes mais vulnérables pour obtenir un accès au niveau noyau du système.
Dans ces attaques :
- des drivers vulnérables sont chargés pour accéder à la mémoire système
- ils permettent de désactiver les protections de sécurité au niveau kernel
- les solutions antivirus et EDR deviennent inefficaces
Cette approche est de plus en plus utilisée dans les attaques modernes, notamment par des groupes ransomware avancés.
Warlock cible les infrastructures critiques
De son côté, le ransomware Warlock exploite notamment des serveurs Microsoft SharePoint non corrigés pour pénétrer les réseaux.
Les attaquants utilisent ensuite plusieurs outils légitimes pour se déplacer latéralement et maintenir leur accès :
- PsExec pour l’exécution à distance
- RDP Patcher pour multiplier les connexions
- Rclone pour l’exfiltration de données
- Cloudflare Tunnel pour masquer le trafic
Cette combinaison rend les attaques très discrètes et difficiles à détecter.
Une stratégie d’attaque lente mais efficace
Un élément particulièrement préoccupant est le délai observé entre l’intrusion initiale et le déploiement du ransomware.
En moyenne, les attaquants attendent près de six jours avant de lancer le chiffrement, le temps de :
- désactiver les défenses
- étendre leur accès au réseau
- maximiser l’impact de l’attaque
Cette stratégie montre une évolution vers des attaques plus méthodiques et destructrices.
Comment se protéger contre ces nouvelles techniques
Face à ces menaces avancées, les recommandations incluent :
- contrôler strictement les pilotes autorisés sur les systèmes
- surveiller les activités au niveau kernel
- maintenir les systèmes et logiciels à jour
- détecter les comportements anormaux plutôt que les signatures
- segmenter les réseaux pour limiter la propagation
Source : The Hacker News
