Guide de détection et remédiation : NightSpire

Lire le billet Tout télécharger .zip, 33 Ko .md

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur nightspire-ransomware.md ; ce que je n'ai pas observé directement (je n'ai exécuté aucun échantillon et je n'avais aucun fichier réellement chiffré par NightSpire) est signalé comme tel.

1. Suis-je concerné ?#

Contact de rançon observé dans les échantillons analysés : nightspireteam.receiver@onionmail.org. Le nom du fichier de note de rançon exact n'a pas été extrait par cette analyse.

2. Quels fichiers sont potentiellement récupérables par cette voie#

C'est ce qui détermine si une récupération est possible. La faille décrite dans nightspire-ransomware.md ne s'applique qu'à une partie des fichiers chiffrés, selon deux critères :

Le fichier doit avoir été traité en plusieurs "chunks" (généralement des fichiers volumineux, au-delà d'environ 1 Mio). Sur la lignée de code "Encrypter v2.1", ce chemin cible spécifiquement les extensions .iso, .vhdx, .vmdk, .zip, .vib, .kab, .mdf, .flt, .mdl (images disque de machine virtuelle, sauvegardes, archives). Sur la lignée "ImmoRan", le déclencheur est la taille du fichier plutôt qu'une liste d'extensions fixe (voir nightspire-ransomware.md §5). Les petits fichiers (documents bureautiques, images, fichiers de quelques centaines de Ko) ne sont généralement traités qu'en un seul appel de chiffrement et ne sont pas concernés par cette voie de récupération spécifique.
Il faut pouvoir deviner ou connaître le contenu en clair d'au moins une partie d'un chunk du fichier concerné. Les formats visés (images disque VM, ISO, sauvegardes) contiennent typiquement de larges zones de remplissage à zéro (espace non alloué) ou des en-têtes de format standard : c'est l'hypothèse de départ la plus praticable, sans connaissance préalable du contenu réel.

Attention, ce n'est pas comme d'autres ransomwares qui ont un défaut de réutilisation de flux comparable : la réutilisation ici est interne à chaque fichier (entre les chunks d'un même fichier), pas entre fichiers différents. Un fichier chiffré seul, ou dont chaque chunk est un contenu réellement aléatoire/compressé sans zone prévisible, n'offre pas de prise pour cette technique.

3. Piste de récupération#

Identifiez un fichier chiffré volumineux (au moins deux chunks, donc généralement supérieur à 1-2 Mio) dont le format est connu et contient probablement une zone de remplissage prévisible : image disque VM (souvent sparse, larges zones à zéro), ISO (padding de fin de piste), sauvegarde avec zones non allouées.
Utilisez tools/nightspire_recover_chunk.py avec l'hypothèse --known-zero sur un chunk suspecté d'être du remplissage, pour tenter de récupérer le texte clair des autres chunks du même fichier à la même position relative.
Si un autre fichier non chiffré, structurellement proche d'un fichier chiffré (même logiciel/modèle), est disponible, son contenu peut servir de texte clair connu (--known-plaintext-file) pour une récupération plus étendue que la seule hypothèse de zéro-remplissage.

Aucun fichier réellement chiffré par NightSpire n'était disponible pour valider cette voie de bout en bout ; l'outil a été testé sur un fichier synthétique reproduisant le mécanisme validé par émulation bit-exacte du vrai binaire (nightspire-ransomware.md §4, §6), pas sur un ciphertext produit par une exécution réelle du ransomware. Le taux de récupération réel dépendra fortement du format et du contenu exacts des fichiers concernés.

4. Confinement et nettoyage#

Isolez la machine du réseau dès le constat.
Conservez le binaire de l'encrypteur si retrouvable : nécessaire pour déterminer la lignée de code exacte (§2) et donc la nature précise du chemin de chiffrement appliqué.
Conservez une copie de tous les fichiers chiffrés volumineux (images disque, sauvegardes, archives) avant tout nettoyage : ce sont les candidats les plus prometteurs pour une récupération partielle (§2-3).
Conservez la note de rançon et toute trace de contact avec l'attaquant.
Réinstallez depuis une image saine si l'étendue de la compromission n'est pas entièrement caractérisée : cette analyse couvre le seul module de chiffrement, pas le reste de la chaîne d'intrusion.

5. Signalement#

CERT national, plateforme de signalement type cybermalveillance.gouv.fr, ou No More Ransom (aucun décrypteur public NightSpire n'y a été recherché au moment de cette analyse).
IOCs consolidés dans nightspire-ransomware.md §8 : hashs des sept échantillons connus, contact de rançon.

6. Réduire la surface d'attaque#

Sauvegardes hors ligne et testées régulièrement : seule protection garantie contre l'ensemble des fichiers, y compris ceux hors du périmètre de récupération décrit ici (petits fichiers, fichiers sans zone de contenu prévisible).
Détection via nightspire_keystream_reuse.yar sur un binaire suspect ou dans un dump mémoire.