AvosLocker

Synthese executive

AvosLocker est une operation ransomware-as-a-service pour laquelle FBI et CISA ont publie une advisory mise a jour en octobre 2023. L advisory decrit des compromissions dans plusieurs secteurs d infrastructure critique aux Etats-Unis et un impact sur des environnements Windows, Linux et VMware ESXi. Pour les visiteurs, c est directement pertinent : AvosLocker n est pas seulement un probleme endpoint Windows.

Selon l advisory, le groupe utilise des logiciels legitimes et des outils open source d administration systeme distante, suivis d une extorsion de donnees basee sur l exfiltration. AvosLocker s inscrit ainsi dans les chaines ransomware modernes ou les outils d administration et le vol de donnees sont centraux.

La principale lecon pratique est que l acces distant, PowerShell, RDP, ESXi et l exfiltration de donnees doivent etre surveilles ensemble. Lorsqu un acteur peut se deplacer via des outils legitimes, l attaque ne devient visible que si l organisation sait ce qu est une administration normale.

Groupe et evolution

AvosLocker fonctionne comme un modele RaaS. Les affiliates peuvent utiliser differentes voies d acces et differents outils, mais l advisory nomme des points defensifs constants : securiser l acces distant, limiter RDP, durcir PowerShell et patcher les logiciels.

La portee plateforme est importante. Windows, Linux et VMware ESXi exigent des journaux, processus d administration et procedures de reprise differents. Une organisation mature en EDR Windows peut rester aveugle sur les hyperviseurs ou serveurs Linux.

AvosLocker utilise l extorsion basee sur l exfiltration. Le chiffrement n est donc pas le seul dommage. Les donnees volees avant chiffrement peuvent etre utilisees plus tard sur des sites de fuite ou dans les negociations.

Schema d attaque issu de cas publics

FBI/CISA decrivent des affiliates AvosLocker utilisant des logiciels legitimes et des outils open source d administration distante. La detection depend du contexte : des outils connus deviennent suspects lorsqu ils sont utilises hors des chemins d administration approuves, par des comptes inhabituels ou contre de nombreux systemes a la fois.

L advisory mentionne Windows, Linux et VMware ESXi. La reponse a incident doit donc determiner rapidement quelles plateformes etaient touchees ou accessibles. L impact ESXi est particulierement critique car de nombreux serveurs virtuels peuvent etre affectes en meme temps.

RDP et PowerShell sont explicitement cites dans les mitigations. Pour la defense, ce sont des sources centrales : schemas de connexion RDP, lignes de commande PowerShell, execution de scripts, sessions distantes et actions administratives.

IOCs et artefacts connus

Les outils legitimes d administration distante constituent une categorie d artefacts importante. Notez le nom de l outil, l heure d installation, le compte, l hote source, les hotes cibles et les connexions externes.

L extorsion basee sur l exfiltration pointe vers staging, compression, transfert cloud et volume sortant. Ces signaux doivent etre visibles avant le chiffrement.

Les activites liees a ESXi, comme connexions d administration inattendues, arrets de VM, acces aux datastores et changements de snapshots ou integrations de sauvegarde, sont des artefacts critiques.

Logique de detection pratique

Creez des baselines pour les outils d administration distante. Quels outils sont autorises, depuis quels serveurs d administration, par quels comptes et vers quels systemes ? Tout ce qui sort de cette matrice doit etre investigue.

Detectez les risques PowerShell : commandes encodees, download cradles, execution depuis chemins temporaires, scripts modifiant des services de securite et PowerShell apres connexion distante suspecte.

Surveillez ESXi separement. Beaucoup d organisations ont de bons journaux Windows mais peu de journaux hyperviseur. AvosLocker transforme cela en angle mort direct.

Priorites concretes de durcissement

Securisez l acces distant avec MFA resistant au phishing si possible, allowlisting, journalisation et restriction des routes fournisseurs.

Limitez RDP et PowerShell. RDP doit passer par des jump hosts et PowerShell doit etre journalise, limite et surveille.

Protegez VMware ESXi avec des comptes d administration separes, restrictions reseau, MFA lorsque disponible, journaux et procedures de restauration testees.

Patchez regulierement logiciels et firmwares, surtout les systemes exposes a Internet et les plateformes d administration. La defense contre AvosLocker commence par la reduction de la surface d attaque.

Identité, noms et attribution

Une évaluation fiable de AvosLocker commence par une identification précise. Le dossier local mentionne les noms ou alias suivants : AvosLocker ransomware, Avos. Un alias facilite la recherche, mais ne prouve pas l’existence d’opérateurs communs. Des noms proches, des logos réutilisés et des textes d’extorsion similaires ne suffisent pas. Conservez l’orthographe originale et distinguez l’auteur de la publication, la famille de logiciel malveillant et l’opérateur présumé de l’intrusion. Ces rôles peuvent appartenir à des personnes différentes. Un incident ne doit pas être attribué sur la seule ressemblance d’un nom de fichier. Toute relation supposée nécessite une source propre, traçable et datée.

Indicateurs de compromission (IOC)

Les indicateurs sont des observations historiques, pas la preuve d’une infection actuelle. Vérifiez la source, l’ancienneté et le contexte avant toute détection ou tout blocage ; les outils d’administration légitimes peuvent générer des faux positifs.

Sources

• CISA alert: FBI and CISA Release Update on AvosLocker Advisory
• CISA/FBI AA23-284A AvosLocker Ransomware Update PDF
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — AvosLocker

Éléments probants et limites

L’attribution reflète l’évaluation de la source, pas une identité vérifiée. Une inscription sur un site de fuite ne prouve à elle seule ni chiffrement, ni vol de données, ni vulnérabilité précise, ni relation d’affiliation. Les informations manquantes restent explicitement signalées.