Un nouveau groupe de hackers à motivation politique nommé « Bâton de Moïse » est lié à une vague d’attaques ciblées ciblant des organisations israéliennes depuis septembre 2021 dans le but de piller et de divulguer des informations sensibles avant de chiffrer leurs réseaux, sans possibilité de récupérer l’accès ou de négocier une rançon.
« Le groupe déclare ouvertement que leur motivation en attaquant des entreprises israéliennes est de causer des dommages en divulguant les données sensibles volées et en cryptant les réseaux de la victime, sans demande de rançon », Check Point Research mentionné dans un rapport publié lundi. « Dans le langage des attaquants, leur objectif est de ‘Lutter contre la résistance et dénoncer les crimes des sionistes dans les territoires occupés’. »
Au moins 16 victimes ont vu leurs données divulguées à ce jour, selon les statistiques publiées par le collectif.
On dit que l’acteur de la menace exploite des vulnérabilités connues du public comme moyen de violer les serveurs de l’entreprise et d’obtenir un accès initial, suivi du déploiement d’un coquille Web qui est utilisé pour supprimer des logiciels malveillants supplémentaires. Une fois à l’intérieur, les intrus profitent de la vie hors-terre (LotL) pour se déplacer latéralement sur le réseau et déployer des logiciels malveillants pour verrouiller les machines derrière des barrières de chiffrement via un logiciel malveillant PyDCrypt spécialement conçu.
Les attaques reposent spécifiquement sur la bibliothèque open source DiskCryptor pour effectuer un chiffrement de volume, en plus d’infecter les systèmes avec un chargeur de démarrage qui les empêche de démarrer sans la bonne clé de cryptage. L’objectif, selon les chercheurs, est de perturber les opérations et d’infliger des « dommages irréversibles » aux victimes.
Cela dit, les fichiers cryptés peuvent être récupérés dans certains scénarios puisque le groupe utilise un clé symétrique mécanisme pour générer les clés de chiffrement. Check Point n’a attribué l’adversaire à aucun pays en particulier, citant le manque de preuves définitives, mais a noté que certains artefacts de l’ensemble d’outils du groupe avaient été soumis à VirusTotal depuis la Palestine des mois avant la première attaque.
Bâton de Moïse aussi opère sur Twitter et Telegram pour faire connaître leurs attaques, avec une activité malveillante signalée le 14 novembre dernier. Le propre site Web du groupe affirme avoir ciblé plus de 257 sites Web ainsi que des données et des documents volés s’élevant à 34 téraoctets. De plus, le portail en ligne exhorte les parties extérieures à se joindre à elles pour « dénoncer les crimes des sionistes en Palestine occupée ».
« Le personnel de Moses est toujours actif, diffusant des messages et des vidéos provocateurs sur leurs comptes de réseaux sociaux », ont déclaré les chercheurs. « Les vulnérabilités exploitées dans les attaques du groupe ne datent pas d’un jour, et donc toutes les victimes potentielles peuvent se protéger en corrigeant immédiatement tous les systèmes accessibles au public. »
