Comment le ransomware Sinobi crypte les fichiers et détruit les sauvegardes

Résumé

Sinobi est une souche de ransomware-as-a-service, probablement une version rebrandée du ransomware Lynx, observée pour la première fois en juillet 2025. Il utilise Curve25519 en combinaison avec AES-128-CTR pour le chiffrement des fichiers et applique des techniques avancées de destruction de sauvegardes, y compris l’abus de DeviceIoControl pour supprimer les copies de l’ombre du volume. Le malware vide également la Corbeille et utilise l’API du Gestionnaire de Redémarrage pour fermer les processus qui gardent les fichiers cibles ouverts.

Investigation

L’enquête a décrit une intrusion dans laquelle un affilié a utilisé des identifiants volés d’un prestataire de services gérés tiers pour accéder à un VPN SSL SonicWall. Après avoir pris pied, l’attaquant a élevé ses privilèges en créant un compte administrateur local et de domaine nommé Assistance. L’opérateur a ensuite désactivé les services de sécurité en modifiant les chemins des exécutables et a utilisé RClone pour exfiltrer les données avant de lancer le chiffrement.

Atténuation

Les défenseurs devraient sécuriser l’infrastructure VPN avec une authentification multifactorielle et examiner de près l’accès des MSP tiers. Les organisations devraient également surveiller la création non autorisée de comptes administratifs et les modifications suspectes de configuration de services, notamment les chemins d’exécutables modifiés. Protéger les copies de l’ombre du volume et détecter l’abus de l’API du Gestionnaire de Redémarrage peuvent également aider à interrompre la chaîne du ransomware.

Réponse

Si une activité Sinobi est détectée, les intervenants doivent immédiatement isoler les comptes compromis, notamment les comptes privilégiés tels que Assistance. Les processus non autorisés RClone doivent être terminés, et toutes les modifications de services dans le Gestionnaire de contrôle des services Windows doivent être examinées. Les sauvegardes hors ligne doivent être vérifiées et prêtes pour une récupération, puisque Sinobi est conçu pour détruire les copies de l’ombre en ligne et le contenu de la Corbeille.

Exécution de la simulation

Prérequis : Le contrôle télémetrie & baseline pré-vol doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) destinée à déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer exactement la télémétrie attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un diagnostic erroné.

• Narration de l’attaque & Commandes : L’adversaire a obtenu l’accès initial et exécute maintenant la charge utile du ransomware. Pour maximiser l’impact et la demande, l’objectif de l’adversaire est de chiffrer les documents des utilisateurs et de laisser des instructions. Le script simulera cela en : 1) Créant un document fictif, 2) « Le chiffrant » en le renommant en document.pdf.SINOBI, 3) Écrivant une note de rançon nommée README.txt, et 4) Écrivant un fichier contenant les métadonnées spécifiques curve25519_pubkey pour simuler le pied de page de chiffrement du ransomware.

• Script de test de régression :

  # Script de simulation de ransomware Sinobi
  $targetDir = "$env:USERPROFILEDesktopSinobi_Sim"
  if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory }
  
  Write-Host "[+] Simulation de chiffrement de fichiers..."
  $originalFile = "$targetDirimportant_data.pdf"
  "Contenu de données sensibles" | Out-File -FilePath $originalFile
  
  # Trigger selection_ext and selection_ransom
  Rename-Item -Path $originalFile -NewName "important_data.pdf.SINOBI"
  "VOS FICHIERS SONT CHIFFRÉS ! PAYEZ EN BITCOIN À..." | Out-File -FilePath "$targetDirREADME.txt"
  
  Write-Host "[+] Simulation des métadonnées de chiffrement (selection_footer)..."
  # Trigger selection_footer
  $metadataFile = "$targetDirmetadata.dat"
  "Encryption_mode: AES256; curve25519_pubkey: 0xABC123" | Out-File -FilePath $metadataFile
  
  Write-Host "[!] Simulation terminée. Vérifiez le SIEM pour les alertes."

• Commandes de nettoyage :

  Remove-Item -Path "$env:USERPROFILEDesktopSinobi_Sim" -Recurse -Force
  Write-Host "[+] Nettoyage terminé."