ContiLeaks : Fuite des Chats et du Code Source du Groupe Ransomware Conti par un Chercheur Cybersécurité Ukrainien

L’un des acteurs de ransomware les plus féroces soutenus par la Russie, Conti Group, est devenu victime d’une fuite de données. Le 27 février 2022, un membre mystérieux de Twitter @ContiLeaks a commencé à publier une série de posts liant à des archives avec des messages privés et le code source de Conti. D’autres publications d’un lanceur d’alerte rendent assez évident qu’il est d’origine ukrainienne.

La bonne nouvelle est que maintenant, lorsque le code source du ransomware Conti est disponible publiquement, les experts en cybersécurité du côté de la défense peuvent effectuer de la rétro-ingénierie et créer des mesures de détection et de remédiation. Cependant, en parallèle, d’autres adversaires peuvent également potentiellement utiliser ce code pour intensifier leurs propres attaques.

Détection du Ransomware Conti

L’équipe de SOC Prime, soutenue par notre initiative de crowdsourcing, a continuellement développé du contenu de détection pour se défendre contre les attaques de ransomware Conti. Vous pouvez accéder aux règles comportementales Sigma dédiées ainsi qu’à leurs traductions en plusieurs formats SIEM, EDR et XDR une fois connecté à votre compte sur la plateforme SOC Prime Detection as Code. Les nouveaux utilisateurs doivent s’inscrire sur la plateforme pour profiter pleinement du contenu de détection.

Déployez les règles suivantes pour éliminer toute chance de présence de ransomware Conti dans votre réseau :

• Noms de fichiers potentiellement divulgués par ContiLeaks (via file_event)
• ContiLeaks Installer le sous-système Windows pour Linux avec Script PowerShell
• Comportement de la tâche planifiée du groupe Ransomware Conti (ContiLeaks)
• ContiLeaks Accès à une machine distante via SCHTASKS depuis Cobalt Strike
• ContiLeaks Nettoyer les journaux du visualiseur d’événements Windows avec Script PowerShell
• ContiLeaks Vidage de Lsass sans Katz via la création de processus

Coulisses de ContiLeaks

Juste quelques jours avant la fuite, le groupe de ransomware Conti a déclaré son soutien total au gouvernement russe dans la guerre en cours contre l’Ukraine. Les hackers ont également menacé d’attaquer les infrastructures critiques si quelqu’un tentait de mener des cyberattaques contre la Russie.

De telles déclarations et actions ont déclenché des réactions chez les affiliés ukrainiens au sein du Conti Group, y compris un chercheur ukrainien anonyme qui espionnait et enquêtait secrètement sur les opérations du gang. La contre-mesure du soutien ukrainien a été rapide et brutale. Les chercheurs ont immédiatement commencé à divulguer les informations internes de Conti via des canaux publics.

Les fichiers divulgués contiennent presque deux ans de messages internes du serveur de chat privé XMPP du gang. ContiLeaks a également divulgué le code source de l’API BazarBackdoor de Conti, du panneau d’administration, du générateur, cryptor, et du décrypteur pour leur ransomware. D’autres chercheurs en sécurité ont rejoint le mouvement en crackant les mots de passe des archives protégées et en traduisant les messages de chat en anglais.

Notamment, après que le monde ait vu la face cachée d’un acteur de menace russe, Conti a complètement inversé sa rhétorique en déclarant sur leur site web qu’ils “condamnent la guerre”. Cependant, la nouvelle déclaration de Conti n’a pas convaincu le chercheur ukrainien qui continue de divulguer des données sensibles.

La plateforme SOC Prime a rassemblé plus de 400 professionnels de la cybersécurité éminents qui créent des détections opportunes pour des cyberattaques de tout niveau de sophistication. Notre contenu de détection peut être déployé sur plus de 25 plateformes SIEM, EDR et XDR et est utilisé par des milliers d’organisations réputées à travers le monde. Notre communauté accueille les professionnels de l’InfoSec qui souhaitent participer à la construction de défenses contre des exploits connus et émergents. En rejoignant l’initiative de crowdsourcing de SOC Prime, chercheurs et développeurs de contenu du monde entier peuvent soumettre leurs détections, recevoir des récompenses récurrentes et gagner en reconnaissance auprès de leurs pairs dans le domaine cyber.