Double Problème Kyber Ransomware : Attaques sur Windows et ESXi Expliquées

Résumé

Kyber est une menace de ransomware multiplateforme conçue pour chiffrer les données à la fois sur les systèmes VMware ESXi et les serveurs de fichiers Windows. Les opérateurs s’appuient sur des utilitaires natifs tels que esxcli, PowerShell, et vssadmin pour arrêter les machines virtuelles, supprimer les copies de l’ombre, et distribuer des notes de rançon dans les environnements impactés. En mars 2026, des chercheurs ont récupéré deux échantillons liés : un binaire ELF ciblant ESXi et un fichier PE basé sur Rust conçu pour Windows. Les deux variantes étaient liées par une infrastructure Tor partagée et un identifiant de campagne commun.

Investigation

Rapid7 a obtenu à la fois les charges utiles ESXi et Windows et a effectué une analyse statique pour mieux comprendre leur comportement. La recherche a montré que le malware utilise des routines de chiffrement personnalisées basées sur ChaCha8 avec un enveloppement de clé RSA-4096, tandis que la version Windows intègre également un schéma de chiffrement hybride Kyber1024 et AES-CTR. Les enquêteurs ont documenté les extensions de fichiers ciblées, le placement des notes de rançon, le comportement d’arrêt des services, et un mutex distinctif lié à une URL Boomplay.

Atténuation

Les défenses recommandées incluent le renforcement de l’accès ESXi en désactivant SSH lorsque cela est possible et en appliquant une authentification multi-facteurs, tout en restreignant l’accès aux utilitaires natifs tels que vssadmin, wmic, et reg. Les organisations devraient sécuriser les sauvegardes par immutabilité et surveiller de près les changements dans les fichiers de gestion VMware ainsi que l’apparition de l’extension de fichier .#~~~ fichier. Des détections supplémentaires devraient se concentrer sur le mutex identifié et les noms de fichiers de note de rançon spécifiques associés à la campagne.

Réponse

Si une activité Kyber est détectée, isolez immédiatement le système affecté, conservez les échantillons de malware, et commencez la récupération en utilisant des sauvegardes immuables. Les équipes de sécurité devraient bloquer l’accès aux services cachés Tor liés à l’ID de la campagne, supprimer le mutex et effacer tous les fichiers de note de rançon déposés par le logiciel malveillant. Un examen médico-légal complet devrait ensuite examiner les événements d’arrêt de service, les modifications du registre, et l’activité système associée avant de reconstruire les machines virtuelles ou les hôtes affectés à partir d’images propres.

Exécution de simulation

Prérequis : Le contrôle préalable de télémétrie et de référence doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narratif d’attaque et commandes :
  L’attaquant simulé a obtenu des droits d’administrateur local sur l’hôte compromis et souhaite empêcher la récupération du système après le chiffrement des fichiers. Suivant le comportement du ransomware Kyber, l’attaquant répertorie d’abord toutes les copies de l’ombre des volumes existants via WMI et les supprime chacune en utilisant une ligne de commande PowerShell. Comme solution de secours (ou pour assurer l’exhaustivité), l’attaquant exécute également vssadmin.exe Delete Shadows /all /quiet. Les deux commandes génèrent un champ CommandLine qui correspond exactement à la règle Sigma, provoquant une alerte.

• Script de test de régression :

  # ----------------------------------------------
  # Simulation anti-récupération style Kyber
  # ----------------------------------------------
  
  # 1. Suppression VSS PowerShell (correspondance exacte)
  $psCmd = 'powershell -ep bypass -nop -c "Get-WmiObject -Class Win32_ShadowCopy | ForEach-Object { $_.Delete() }"'
  Write-Host "Exécution de la suppression VSS PowerShell..."
  Invoke-Expression $psCmd
  
  # 2. Suppression vssadmin (correspondance exacte)
  $vssCmd = 'vssadmin.exe Delete Shadows /all /quiet'
  Write-Host "Exécution de la suppression vssadmin..."
  & $vssCmd
  
  Write-Host "Simulation terminée."

• Commandes de nettoyage :

  # Aucun artefact persistant créé par ce script.
  # Réinitialiser la politique d'exécution PowerShell à son état d'origine si modifié :
  Set-ExecutionPolicy -Scope Process -ExecutionPolicy Restricted -Force
  Write-Host "Nettoyage terminé."