Un faux ransomware envoyé par la poste

BianLian est un groupe de ransomware en lien avec la Russie. Il est bien connu du FBI ainsi que des professionnels de la cybersécurité et de la criminalistique. Il est responsable de nombreuses attaques coûteuses contre des cibles de premier plan. 

Ce groupe utilise généralement des identifiants RDP (Remote Desktop Protocol) pour accéder aux systèmes cibles, où ils établissent une porte dérobée sécurisée et étendent progressivement leur accès avant d’exfiltrer des données et de formuler leur demande de rançon.

L’extorsion à l’ancienne ?

S’il y a bien une chose que les membres de BianLian ne font pas, c’est envoyer des demandes d’extorsion par le biais du service postal des États-Unis. Ce n’est qu’une des nombreuses raisons pour lesquelles le FBI et d’autres organismes sont convaincus qu’une récente vague de demandes de rançon envoyées par la poste n’est pas associée à BianLian, bien que le groupe prétende le contraire.

Ces demandes de paiement par courrier postal ont visé des dirigeants de diverses organisations américaines, principalement dans le secteur de la santé. Les demandes de rançon vont de 250 000 à 500 000 millions de dollars, payables en bitcoins. Elles incluent un code QR permettant d’effectuer un dépôt sur un portefeuille de cryptomonnaies. 

Pourquoi le courrier postal ?

Les courriers physiques, contrairement aux e-mails malveillants ou suspects, ont beaucoup plus de chances d’être livrés comme prévu. Après tout, comme le dit la devise des services postaux des États-Unis, « Ni la neige, ni la pluie, ni la chaleur, ni l’ombre de la nuit ne peuvent empêcher ces messagers de livrer promptement le courrier. »

D’un autre côté, le recours au courrier postal est un signe que les pirates n’ont pas, comme ils le prétendent, infiltré les réseaux de leurs victimes ni pris le contrôle de ceux-ci. Si c’était le cas, ils pourraient attirer facilement l’attention des administrateurs sans devoir acheter des timbres.

Fonctionnement

Les lettres sont quelque peu personnalisées, mais suivent un script très similaire. Les enveloppes sont estampillées « Time Sensitive Read Immediately » (Urgent : à lire immédiatement). Créer un sentiment d’urgence constitue un principe de base dans de nombreuses arnaques et fraudes.

Les lettres affirment que des milliers de fichiers sensibles ont été volés et qu’ils seront publiés sur le site de divulgation de fuites de BianLian sur le dark web, à moins qu’une rançon ne soit payée dans les dix jours.

Un code QR permet aux victimes d’accéder à un portefeuille de cryptomonnaies où elles peuvent déposer le montant de la rançon.

La lettre précise que ses auteurs « ne négocieront pas avec les victimes ». Cela constitue un nouvel indice indiquant que BianLian n’est pas impliqué, car cette approche ne correspond pas à sa politique habituelle.

Conseils pour réduire les risques

La protection de votre organisation contre ce type de fraudes est principalement une question de sensibilisation et d’éducation. 

Le FBI recommande de prendre les précautions suivantes :

• Informez les dirigeants de l’entreprise ainsi que l’ensemble de l’organisation concernant cette arnaque pour accroître leur vigilance.

• Veillez à ce que les employés sachent ce qu’ils doivent faire s’ils reçoivent une menace de rançon.

• Si vous ou votre organisation recevez une lettre de ce type, assurez-vous que les défenses de votre réseau sont à jour et qu’il n’y a pas d’alertes actives concernant des activités malveillantes.

• Si vous découvrez que vous êtes victime du ransomware BianLian, consultez notre Bulletin conjoint de sensibilisation à la cybersécurité pour connaître les dernières tactiques, techniques et procédures, ainsi que les indicateurs de compromission visant à aider les organisations à se protéger contre les ransomwares.

Un solide programme de formation de sensibilisation à la sécurité, comme celui inclus dans Barracuda Email Protection, est un bon moyen de réduire les risques liés à des escroqueries comme celle-ci pour votre organisation.