Thanos est le premier ransomware à exploiter une faille sous Windows 10, 7 et 8.1 connue sous le nom de RIPlace. Cette dernière lui permet d’échapper à quasiment tous les antivirus du marché, Windows Defender y compris.
Son nom bien choisi évoque la terreur et son mode de fonctionnement en fait un ransomware redouble. Thanos sévit sur Windows 7, 8.1 et 10 depuis octobre 2019 sous divers noms, mais ce n’est qu’en janvier 2020 qu’il a fait l’objet d’un rapport détaillé publié par la société Inskit Group. Il s’agit d’une famille de ransomwares ayant pour ancêtre un seul et même outil développé par un hacker nommé Nosophoros.
Cet outil est capable de générer des ransomwares personnalisés sur la base de 43 options de configuration différentes. La solution est disponible sur le Dark Web et en particulier sur des forums de hackers russes en tant que logiciel de type « ransomware as a service ». En d’autres termes Nosophorus recrute d’autres pirates pour propager le malware. Ces derniers reçoivent une part de revenus d’environ 60 à 70% pour tout paiement de rançon.
Thanos : premier ransomware à exploiter la faille RIPlace qui la rend indétectable
RIPlace est une technique de camouflage qui a été dévoilée sous forme de preuve de concept fin 2019 par des chercheurs de Nyotron. Elle est utilisée pour modifier des fichiers d’une manière indétectable par Windows et par les antivirus. Les attaquants peuvent ainsi contourner diverses mesures de protection anti-ransomware pour chiffrer des fichiers sur les machines ciblées.
Lire aussi — Ransomware: des pirates s’excusent pour le tort qu’ils ont causé à leurs victimes !
Nyotron a fait part de sa découverte aux fournisseurs d’antivirus et à Microsoft. À l’époque, la plupart d’entre eux considéraient que cette technique n’avait pas à être traitée comme une vulnérabilité, et ce, d’autant plus que son exploitation réelle n’était pas prouvée. Seuls Kaspersky et Carbon Black (propriété de VMware) avaient modifié leurs logiciels pour empêcher l’exécution de cette technique.
Dans un nouveau rapport publié le 10 juin 2020, Inskit Group détaille comment la faille RIPlace est utilisée par Thanos, le premier ransomware à s’en servir. Les chercheurs pensent que logiciel malveillant continuera à être exploité, soit individuellement, soit collectivement dans le cadre du programme d’affiliation de son créateur. Cette nouvelle publication devrait inciter Microsoft et les autres fournisseurs de solutions de protection à prendre des mesures.