Une menace de plus pour les organisations – le ransomware Ako

Après Sodinokibi, DeathRansom, Clop et SNAKE, vient maintenant le ransomware Ako. Comme la plupart des autres, ce malware cible également les entreprises et vise à se propager sur des réseaux entiers plutôt que sur des systèmes individuels.

À propos d’Ako Ransomware

Bleeping Computer a partagé son une analyse de nouveaux ransomwares en ville. Cette fois, c’est le ransomware Ako qui constitue une menace pour les organisations.

Le ransomware a attiré leur attention après qu’une victime en a parlé sur leur forum. La victime a révélé que le ransomware affectait le bureau Windows 10 et le serveur Windows SBS 2011.

En collaboration avec Vitali Kremez de SentinelLab, Bleeping Computer a analysé le malware et l’a découvert comme un nouveau ransomware. Alors que l’analyse initiale a mis en évidence certaines similitudes avec MedusaLocker, les opérateurs Ako ont confirmé qu’il s’agissait de leur «propre produit». Selon leur e-mail à Bleeping Computer,

Nous voyons des nouvelles de nous. Mais c’est faux. À propos de MedusaReborn. Nous n’avons rien à voir avec Medusa ou quoi que ce soit d’autre. Ceci est notre propre produit – Ako Ransomware, eh bien, si vous êtes bien sûr intéressé.

En bref, Ako fonctionne de manière assez sophistiquée, en supprimant d’abord les copies de volume d’ombre et les sauvegardes récentes après l’infection. De plus, il désactive également l’environnement de récupération Windows avant de commencer le chiffrement des données.

Ensuite, pendant le processus de cryptage, il ignore les fichiers avec les extensions .exe, .sys, .dll, .ini, .key, .lnk et .rdp. De plus, il exclut également les chemins de fichiers manquant $, AppData, Program Files, Program Files (x86), AppData, boot, PerfLogs, ProgramData, Google, Intel, Microsoft, Application Data, Tor Browser, Windows strings.

Lors du cryptage des fichiers, il ajoute une extension générée aléatoirement aux fichiers, il ajoute également un marqueur de fichier CECAEFBE aux fichiers cryptés afin que le ransomware puisse les identifier. Il vérifie ensuite les autres machines du réseau pour terminer le processus de cryptage. Et, à la fin, il place la note de rançon intitulée «ako-readme.txt» sur le bureau.

Une menace sérieuse pour les entreprises

Ils ont dit à Bleeping Computer, avant de crypter les données, ils les volent également dans le cadre de leur «travail».

De plus, Ako, comme la plupart des ransomwares modernes, ne reste pas non plus confiné aux systèmes individuels. L’attaque vise plutôt à infecter l’ensemble du réseau, obligeant ainsi les entreprises victimes à payer la rançon.

Pour l’instant, on ne sait pas comment les attaquants derrière ce ransomware le distribuent. Pourtant, Lawrence Abrams juge «probable» que le malware exploite les services de bureau à distance pour propager l’infection.

Faites-nous part de vos réflexions dans les commentaires.