Guide de suppression et de sécurité du logiciel Clop Ransomware

Clop est une famille de ransomwares qui crypte les fichiers et leur ajoute l'extension .clop, par exemple photo1.jpg est renommé photo1.jpg.clop. Il a été découvert en 2019 et cible depuis lors les entreprises et les organisations du monde entier. Clop est le successeur du ransomware CryptoMix, qui serait un groupe de hackers russes. Récemment, des variantes utilisent également le nomCl0p, avec le chiffre 0 au lieu de la lettre « o ». Bien qu’il s’agisse de différentes manières d’écrire, il s’agit du même ransomware.Le rançongiciel Cloplaisse également une lettre de rançon dans chaque dossier de l’ordinateur. La lettre exige le paiement en Bitcoins, Ethereum, Monero ou une autre crypto-monnaie.

De quel type de malware est Clop ?

Clop est un ransomware, un type de malware qui crypte et verrouille les fichiers des victimes puis demande une rançon en échange de la clé de décryptage. Il s’agit d’un logiciel malveillant de type Ransomware as a Service (RaaS). Cela signifie que les groupes de cyberattaquants, appelés affiliés, utilisent le logiciel de chiffrement Clop et paient ensuite pour les développeurs du ransomware. Puisque Clop utilise une cryptographie symétrique ou asymétrique, la récupération des fichiers sans sauvegarde est extrêmement difficile. Mais pas impossible. Les experts en récupération de ransomware SalvageData peuvent travailler avec vos données et les restaurer en toute sécurité.

Voir aussi :Le cryptomining pourrait surpasser les ransomwares en tant que plus grande menace de sécurité

Tout ce que nous savons sur le rançongiciel Clop

Nom confirmé

• Virus Clop

Type de menace

• Rançongiciel
• Virus cryptographique
• Casier de fichiers

Extension de fichiers cryptés

• .clop
• .CIop (avec un i majuscule)
• .CIIp
• .Cllp
• .C_L_O_P

Message exigeant une rançon

• ClopReadMe.txt
• README_README.txt
• Cl0pReadMe.txt
• LISEZ-MOI_!!!.TXT

Existe-t-il un décrypteur gratuit disponible ?

• Il y a unoutil de décryptage pour la variante Linux.

Le décrypteur fonctionne-t-il ?La variante du ransomware clop pour Linux est un algorithme défectueux, qui permet aux victimes de décrypter les fichiers sans payer la rançon. Les victimes Windows peuvent contacter les services de récupération de ransomware pour le décryptage. Et si les fichiers sont corrompus, ces services peuvent également aider à les réparer.Noms de détection

• AvastWin32 : RansomX-gen [Rançon]
• MOYENNEWin32 : RansomX-gen [Rançon]
• EmsisoftCheval de Troie.GenericKD.64578249 (B)
• KasperskyHEUR:Trojan-Ransom.Win32.KlopRansom.g
• MalwarebytesRansom.FileCryptor
• MicrosoftRançon : Win32/HydraCrypt!MTB

Symptômes

• Impossible d'ouvrir les fichiers stockés sur l'ordinateur
• Lettre de demande de rançon sur le bureau et dans chaque dossier
• Les fichiers ont une nouvelle extension (par exemple filename1.clop)
• Une note avec des instructions apparaît lorsque la victime tente d'ouvrir un fichier crypté

Famille, type et variante de ransomwares

• Clop est une variante du rançongiciel CryptoMix.
• C'est une famille de ransomwares.
• Il peut avoir des variantes telles que Clop et Cl0p (avec le numéro 0)

Méthodes de distribution

• Pièces jointes infectées (e-mails de phishing)
• Sites Web torrent (liens ou fichiers infectés)
• Annonces malveillantes (malvertising)

Conséquences

• Les fichiers sont cryptés et verrouillés jusqu'au paiement de la rançon
• Vol de mot de passe
• Des logiciels malveillants supplémentaires peuvent être installés
• Fuite de données

Prévention

• Antivirus et anti-malware
• Logiciel mis à jour
• Système d'exploitation (OS) mis à jour
• Pare-feu
• N'ouvrez pas une pièce jointe à un e-mail provenant d'une source inconnue
• Ne téléchargez pas de fichiers à partir de sites Web suspects
• Ne cliquez pas sur les publicités sauf si vous êtes sûr que c'est sûr
• Accédez uniquement aux sites Web provenant de sources fiables

Comment Clop a-t-il infecté votre ordinateur

Le ransomware Clop s'introduit dans votre ordinateur ou votre réseau de plusieurs manières :

• Campagnes de spam. Il s'agit d'une attaque par courrier électronique de phishing dans laquelle les pirates utilisent l'ingénierie sociale pour inciter les victimes à cliquer sur des liens ou des pièces jointes malveillants. Après cela, le kit d’exploitation est téléchargé sur la machine et le ransomware peut être déclenché à tout moment par les acteurs malveillants. Ces e-mails peuvent être ciblés lorsque des pirates informatiques ont l'intention d'accéder à une entreprise spécifique ou peuvent constituer du phishing non ciblé lorsqu'ils envoient une campagne de spam massive de logiciels malveillants.

• Sources de téléchargement de logiciels non officielles et cracks.Les logiciels pirates et les cracks sont généralement des programmes malveillants. De plus, ce logiciel ne disposera pas des mises à jour nécessaires pour améliorer le programme et prévenir les vulnérabilités que les pirates pourraient exploiter.

• Des chevaux de Troie.Un cheval de Troie est un logiciel qui promet d'effectuer une tâche mais en exécute une autre, généralement malveillante. Ils prennent la forme de faux programmes, pièces jointes et autres types de fichiers, trompant les victimes.

• Service à distance vulnérable.Une autre façon dont les attaques du ransomware Clop se produisent est via des services distants externes non sécurisés. Les attaquants exploiteront les outils RDP (Remote Desktop Protocol) dont les informations d'identification sont connues, réutilisées, faibles ou reformulées pour accéder aux réseaux des entreprises et fuir des données.

• Vulnérabilités logicielles connues.Les pirates utilisent également des logiciels présentant des vulnérabilités connues pour attaquer les entreprises. C'est pourquoi il est très important de maintenir tous les logiciels à jour et de protéger les outils d'administration à distance comme RDP.

Demande de rançon Clop

La demande de rançon Clop figurera sur chaque dossier de votre ordinateur et de votre bureau sous forme de fichier texte. Voici un exemple de la demande de rançon :

Important:En mars 2020, les développeurs de Clop ont créé un site Web, hébergé sur le dark web, pour exposer les données de ceux qui n'ont pas payé la rançon. Mais ne soyez pas intimidé.Contactez les autorités et participez à une enquête criminelle en collaborant avec la criminalistique numérique.

Comment fonctionne Clop

Le ransomware Clop attaque les défenses de Windows et tente de désactiver Windows Defender et de supprimer Microsoft Security Essentials. C'est pourquoi la mise à jour du système d'exploitation Windows est également très importante pour la cybersécurité. Les nouvelles mises à jour peuvent améliorer les couches de protection contre les ransomwares tels que Clop. De plus, le ransomware Clop cible les entreprises et les entreprises qui visent leurs dossiers financiers, leurs e-mails et même leurs sauvegardes. Conservez donc toujours au moins une sauvegarde mise à jour hors ligne pour éviter que les données ne soient volées par des cybercriminels.

1. Accès initial

Clop pénètre dans un ordinateur via des pièces jointes de spam, des chevaux de Troie, des hyperliens, des cracks, des connexions RDP (Remote Desktop Protocol) non protégées, des sites Web infectés, etc. Il analyse ensuite l'appareil à la recherche de vulnérabilités au sein du réseau.

2. Mouvement latéral, découverte et évasion défensive

Après cela, le ransomware se propagera sur le réseau via un mouvement latéral. Au cours de cette phase, les acteurs de Clop collectent des informations, élèvent leurs privilèges et se déplacent latéralement dans le réseau. Clop installe d'autres logiciels malveillants sur la machine compromise et l'analyse également pour vérifier s'il s'agit d'un ordinateur d'entreprise ou d'un individu. S'il s'agit d'un ordinateur personnel, le malware arrêtera les comportements malveillants et se supprimera. Cependant, s'il s'agit d'une machine d'entreprise, elle installe l'outil de piratage Cobalt Strike.

3. Exfiltration

Les pirates rechercheront ensuite des données classifiées, critiques et sensibles et les exfiltreront. Plus tard, ils exigent un paiement pour ne pas divulguer ces informations.

4. Impacts

Outre le chiffrement de vos fichiers et la menace de fuite des données, les développeurs de Clop ont également conçu le ransomware pour créer un dossier contenant davantage de fichiers malveillants pour de nouvelles attaques. Contacter un service de suppression de ransomware peut non seulement restaurer vos fichiers, mais également supprimer les nouvelles menaces potentielles de Clop.

Comment gérer une attaque de ransomware Clop

La première étape pour se remettre de l'attaque Clop consiste à isoler l'ordinateur infecté en se déconnectant d'Internet et en supprimant tout appareil connecté. Ensuite, vous devez contacter les autorités locales. Dans le cas des résidents et des entreprises américaines, c'est lebureau local du FBIet leCentre de plaintes contre la criminalité sur Internet (IC3).Pour signaler une attaque de ransomware, vous devez rassembler toutes les informations possibles à ce sujet, notamment :

• Captures d'écran de la demande de rançon
• Communications avec les acteurs du Clop (si vous en avez)
• Un échantillon d'un fichier crypté

Vous devezne pas supprimer le ransomware, et conservez toutes les preuves de l'attaque. C'est important pourcriminalistique numériqueafin que les experts puissent remonter jusqu'au groupe de hackers et les identifier. C'est en utilisant les données de votre système infecté que les autorités peuventenquêtez sur l'attaque et trouvez le responsable.Une enquête sur une cyberattaque n'est pas différente de toute autre enquête criminelle : elle a besoin de preuves pour retrouver les attaquants. Après avoir isolé l'appareil et contacté les autorités, vous devez suivre les étapes suivantes pour récupérer vos données :

1. Contactez votre fournisseur de réponse aux incidents

Une réponse à un cyberincident est le processus de réponse et de gestion d’un incident de cybersécurité. Un Incident Response Retainer est un accord de service avec un fournisseur de cybersécurité qui permet aux organisations d'obtenir une aide externe en cas d'incidents de cybersécurité. Il fournit aux organisations une forme structurée d'expertise et de soutien par l'intermédiaire d'un partenaire de sécurité, leur permettant de réagir rapidement et efficacement en cas de cyberincident. Un service de réponse aux incidents offre une tranquillité d'esprit aux organisations, en offrant un soutien expert avant et après un incident de cybersécurité. La nature et la structure spécifiques d'un mandat de réponse à incident varient en fonction du fournisseur et des exigences de l'organisation. Un bon dispositif de réponse aux incidents doit être robuste mais flexible, fournissant des services éprouvés pour améliorer la posture de sécurité à long terme d'une organisation.

2. Identifiez l'infection par le ransomware

Tu peuxidentifier quel ransomwareinfecté votre ordinateur par l’extension de fichier (certains ransomwares utilisent l’extension de fichier comme nom), sinon cela figurera sur la note de rançon. Avec ces informations, vous pouvez rechercher une clé publique de déchiffrement. Dans le cas du ransomware Clop, les systèmes basés sur Linux disposent d'un décrypteur. Vous pouvez également vérifier le type de ransomware par ses IOC. Les indicateurs de compromission (IOC) sont des indices numériques que les professionnels de la cybersécurité utilisent pour identifier les compromissions système et les activités malveillantes au sein d'un réseau ou d'un environnement informatique. Il s’agit essentiellement de versions numériques de preuves laissées sur une scène de crime, et les IOC potentiels incluent un trafic réseau inhabituel, des connexions d’utilisateurs privilégiés en provenance de pays étrangers, des requêtes DNS étranges, des modifications de fichiers système, etc. Lorsqu'un IOC est détecté, les équipes de sécurité évaluent les menaces possibles ou valident son authenticité. Les IOC fournissent également des preuves de ce à quoi un attaquant avait accès s'il infiltrait le réseau.

IOC du rançongiciel Clop

• 9d59ee5fc7898493b855b0673d11c886882c5c1d
• f4492b2df9176514a41067140749a54a1cfc3c49
• 2950a3fcdd4e52e2b9469a33eee1012ef58e72b6
• 37a62c93ba0971ed7f77f5842d8c9b8a4475866c
• a71c9c0ca01a163ea6c0b1544d0833b57a0adcb4
• 21bdec0a974ae0f811e056ce8c7e237fd7c220c1
• 0a7ab8cc60b04e66be11eb41672991482b9c0656
• ec2a3e9e9e472488b7540227448c1794ee7a5be6
• e473e5b82ce65cb58fde4956ae529453eb0ec24f
• 3c8e60ce5ff0cb21be39d1176d1056f9ef9438fa
• d613f01ed5cb636feeb5d6b6843cb1686b7b7980
• c41749901740d032b8cff0e397f6c3e26d05df76
• e38bca5d39d1cfbfbcac23949700fe24a6aa5d89
• 09b4c74c0cf18533c8c5022e059b4ce289066830
• 37269b8d4115f0bdef96483b1de4593b95119b93
• 4d885d757d00e8abf8c4993bc49886d12c250c44
• bc59ff12f71e9c8234c5e335d48f308207f6accfad3e953f447e7de1504e57af
• 31829479fa5b094ca3cfd0222e61295fff4821b778e5a7bd228b0c31f8a3cc44
• 35b0b54d13f50571239732421818c682fbe83075a4a961b20a7570610348aecc
• e48900dc697582db4655569bb844602ced3ad2b10b507223912048f1f3039ac6
• 00e815ade8f3ad89a7726da8edd168df13f96ccb6c3daaf995aa9428bfb9ecf1
• 408af0af7419f67d396f754f01d4757ea89355ad19f71942f8d44c0d5515eec8
• 0d19f60423cb2128555e831dc340152f9588c99f3e47d64f0bb4206a6213d579
• 7ada1228c791de703e2a51b1498bc955f14433f65d33342753fdb81bb35e5886
• 8e1bbe4cedeb7c334fe780ab3fb589fe30ed976153618ac3402a5edff1b17d64
• d0cde86d47219e9c56b717f55dcdb01b0566344c13aa671613598cab427345b9
• cff818453138dcd8238f87b33a84e1bc1d560dea80c8d2412e1eb3f7242b27da
• 929b7bf174638ff8cb158f4e00bc41ed69f1d2afd41ea3c9ee3b0c7dacdfa238
• 102010727c6fbcd9da02d04ede1a8521ba2355d32da849226e96ef052c080b56
• 7e91ff12d3f26982473c38a3ae99bfaf0b2966e85046ebed09709b6af797ef66
• e19d8919f4cb6c1ef8c7f3929d41e8a1a780132cb10f8b80698c8498028d16eb
• 3ee9b22827cb259f3d69ab974c632cefde71c61b4a9505cec06823076a2f898e
• b207ce32398e8816ed44ea079904dc36
• 73efd5dc218db4d8c36546d9c9efe91c
• 36fe53674c67310af572daedf6e8acte
• 96caf3bcd58d41d23d1a4e27f2165ae3
• 7c90d8aed3efb9f8c661b1ab0a6f5986

3. Supprimez le ransomware et éliminez les kits d'exploitation

Avant de récupérer vos données, vous devez garantir que votre appareil est exempt de ransomware et que les attaquants ne peuvent pas lancer une nouvelle attaque via des kits d'exploitation ou d'autres vulnérabilités. Un service de suppression de ransomware peut supprimer le ransomware, créer un document médico-légal pour enquête, éliminer les vulnérabilités et récupérer vos données.

4. Utilisez une sauvegarde pour restaurer les données

Les sauvegardes sont le moyen le plus efficace de récupérer des données. Assurez-vous de conserver des sauvegardes quotidiennes ou hebdomadaires, en fonction de votre utilisation des données.

5. Contactez un service de récupération de ransomware

Si vous ne disposez pas de sauvegarde ou si vous avez besoin d'aide pour supprimer le ransomware et éliminer les vulnérabilités, vous devez contacter un service de récupération de données. Le paiement de la rançon ne garantit pas que vos données vous seront restituées. La seule manière garantie de restaurer chaque fichier est d’en disposer. Si vous ne disposez pas d'une sauvegarde récente, les services de récupération de données ransomware peuvent vous aider à décrypter et à récupérer les fichiers. Les experts de SalvageData peuvent restaurer vos fichiers en toute sécurité et garantir que le ransomware Clop n'attaquera plus votre réseau. Contactez nos experts 24h/24 et 7j/7 pour un service de récupération d'urgence ou trouvez un centre de récupération près de chez vous.

Empêcher l'attaque du rançongiciel Clop

Il est plus facile et moins coûteux de prévenir les attaques de ransomware que de s’en remettre. Le ransomware Clop peut coûter l'avenir de votre entreprise et même fermer ses portes.Le gang Clop cible les hôpitaux américains pour voler les données d'un million de patientset exploiter des vulnérabilités connues sous le nom de zero-day. Il s’agit de failles logicielles que les développeurs corrigent grâce à de nouvelles mises à jour. Selon le HHS, en 2022, plus de 289 hôpitaux ont été victimes de Clop. Cela signifie que vous devez conserver un logiciel à jour pour protéger vos données contre le ransomware Clop. Cependant, les cybercriminels peuvent parfois être plus rapides et atteindre leurs victimes avant la publication d’une mise à jour.

1. Utilisez des mots de passe forts

Assurez-vous que chaque compte dispose d'un mot de passe créé aléatoirement avec un mélange de chiffres, de lettres et de caractères spéciaux pour empêcher tout accès non autorisé.

2. Gardez le logiciel à jour

Comme mentionné précédemment, les mises à jour logicielles peuvent corriger les vulnérabilités que les cyberattaquants peuvent exploiter pour pénétrer dans votre réseau d'entreprise. Garder le logiciel à jour augmentera la sécurité de votre système.

3. Planifiez des sauvegardes régulières

Les sauvegardes constituent le moyen le plus efficace de restaurer vos données, que vous les ayez perdues à cause d'une catastrophe naturelle ou d'une cyberattaque. Ils constituent également la méthode la plus rapide pour retourner au travail après une catastrophe telle qu’une attaque Clop.

4. Utiliser une solution de cybersécurité

Faire appel à un service de cybersécurité ou disposer d’une équipe informatique pour assurer la sécurité de vos données empêchera les cyberattaquants d’accéder à vos données. Ces professionnels peuvent analyser votre système à la recherche de vulnérabilités et créer des mesures pour améliorer les protocoles et la sensibilisation à la cybersécurité de votre entreprise.

5. Ayez un plan de relance en main

Un plan de récupération de données (DRP) est un document qui définit des stratégies sur la manière de gérer les catastrophes telles que les attaques de ransomware. Ils permettent une récupération plus rapide et une continuité des activités. Découvrez comment créer un plan de récupération de données avec notre guide détaillé.