Windows Defender trompé par le rançongiciel LockBit

L’opérateur LockBit abuse de Windows Defender pour charger Cobalt Strike. Un acteur menaçant associé à l’opération de rançongiciel LockBit 3.0 abuse de l’outil de ligne de commande Windows Defender pour charger des balises Cobalt Strike sur des systèmes compromis et échapper à la détection par un logiciel de sécurité.

Le ransomware LockBit est utilisé pour les attaques hautement ciblées à l'encontre d'entreprises et autres organismes. Dans le cadre d'une cyberattaque, les cybercriminels utilisant LockBit se démarquent en menaçant les entreprises du monde entier de la manière suivante : Perturbation des opérations avec arrêt soudain des fonctions essentielles. Extorsion de gains financiers au profit des cybercriminels. Vol de données et publication illégale avec chantage si la victime refuse d'obtempérer. Il existe plusieurs modèles de revenus et d'affaires différents pour le RaaS. Le RaaS est proposé sur la base d'un abonnement mensuel, sous forme de frais uniques ou par modèle d'affiliation. En juin 2023 et selon la CISA, le rançongiciel LockBit a extorqué 91 millions de dollars lors de 1 700 attaques aux États-Unis. "Astamirov est le troisième accusé inculpé par ce bureau dans la campagne mondiale de rançongiciel LockBit, et le deuxième accusé à être appréhendé", avait déclaré le procureur américain Philip R. Sellinger pour le district du New Jersey.

Microsoft Defender, appelé officiellement Antivirus Microsoft Defender, est un composant antivirus de Microsoft Windows. Microsoft a d'abord offert le logiciel en téléchargement comme un programme anti-espion gratuit pour Windows XP. En janvier 2022, Microsoft Defender devient un antivirus multiplateforme avec la prise en charge des vulnérabilités des systèmes d'exploitation mobiles Android et iOS. En juin 2023, Microsoft améliore la protection anti-hameçonnage de Windows 11 avec de nouvelles fonctionnalités. En juillet 2023, La capacité d'analyse du micrologiciel de Defender pour IoT (Firmware Analysis) permet aux équipes de sécurité d'obtenir une visibilité plus approfondie sur les appareils IoT/OT en fournissant de meilleures informations sur le logiciel de base sur lequel ils sont construits.

Cobalt Strike est une suite de tests d’intrusion légitime avec des fonctionnalités étendues populaires parmi les acteurs de la menace pour effectuer une reconnaissance furtive du réseau et un mouvement latéral avant de voler des données et de les chiffrer. (Sources)

Le chiffrement est un procédé de cryptographie grâce auquel on souhaite rendre la compréhension d'un document impossible à toute personne qui n'a pas la clé de chiffrement. Ce principe est généralement lié au principe d'accès conditionnel. Le chiffrement est l’élément fondamental de la sécurité des données. C’est le moyen le plus simple et le plus efficace de s’assurer que les informations du système informatique ne peuvent être ni volées ni lues par quelqu’un qui souhaite les utiliser à des fins malveillantes. Un algorithme de chiffrement ou code est utilisé pour développer un schéma de chiffrement qui, en théorie, ne peut être rompu que par une exceptionnelle puissance de calcul. La méthode de brute force est souvent employée pour déchiffrer l'algorithme.


Les ransomwares, ou rançongiciels, représentent une menace informatique omniprésente, ils encryptent les fichiers d'un système, exigeant une rançon pour leur déchiffrement. Ces attaques sournoises paralysent souvent les entreprises et les particuliers, causant des pertes financières et de données critiques. Les cybercriminels utilisent diverses méthodes d'infiltration, telles que des e-mails de phishing et des vulnérabilités logicielles, pour propager leurs logiciels malveillants.

De nombreuses solutions de sécurité résidentes assurent une protection en temps réel contre les rançongiciels. Mais les gangs font régulièrement évoluer leur ransomwares pour contrer les clés de déchiffrement proposées. Certains rançongiciels comme le Raas babuk sont de véritables arnaques et ne donnent pas la clé de déchiffrement après la rançon payée. Généralement les experts en sécurité et les autorités judiciaires préconisent de ne pas payer la rançon demandée.

Les conséquences des ransomwares vont au-delà de la perte de données, affectant également la réputation et la confiance des victimes. La prévention, par le biais de mises à jour régulières, de la sensibilisation à la sécurité et de solutions de sauvegarde fiables, reste essentielle pour contrer cette menace croissante.


Bleeping Computer est un site Web couvrant l'actualité technologique et offrant une aide informatique gratuite via ses forums, qui a été créé par Lawrence Abrams en 2004. Avec plus de 700 000 membres enregistrés qui posent des questions et y répondent, BleepingComputer.com est devenu une communauté dynamique et animée de personnes partageant les mêmes idées.