# Guide de détection et remédiation : Prince-Ransomware / CrazyHunter (générateur Go, ECIES)

Ce guide s'adresse à quelqu'un qui doit vérifier ou récupérer des fichiers chiffrés par cette famille, pas à des analystes. Il s'appuie sur [`prince-ecies-go.md`](prince-ecies-go.md) ; le motif décrit ici n'a pas été validé sur un vrai fichier de victime (voir §9 du writeup), seulement sur le code binaire, le code source public et une preuve de concept sur données synthétiques.

## 1. Suis-je concerné ?

Fichiers renommés avec l'extension `.MOONMAN` (variante analysée en détail ; d'autres variantes du même générateur, dont CrazyHunter, utilisent des extensions et noms de note différents, configurables dans le code source public du projet). Note de rançon `READTHISNOW.txt` pour la variante `.MOONMAN`.

## 2. Récupération immédiate : les deux tiers du contenu sont déjà en clair

**Le plus important pour une victime de cette famille.** La boucle de chiffrement du contenu de ce générateur ne transforme réellement qu'un octet sur trois ; les deux autres sont recopiés tels quels. **Sans avoir besoin d'aucune clé**, il est possible de récupérer environ deux tiers du contenu original de chaque fichier chiffré :

1. Localisez le séparateur `||` (deux octets `0x7c`) dans le fichier chiffré : il marque la fin de l'enveloppe ECIES (clé + nonce) et le début du contenu.
2. Utilisez [`tools/poc_recover_plaintext.py`](tools/poc_recover_plaintext.py) sur cette portion pour extraire directement les octets en clair (motif : 1 octet chiffré, 2 octets en clair, répété).
3. Si besoin, [`tools/poc_infer_gaps.py`](tools/poc_infer_gaps.py) tente de deviner certains octets manquants restants par recherche dans un dictionnaire (efficace sur du texte, inutile sur du contenu binaire ou déjà compressé).

Pour de nombreux formats de fichiers (texte, code source, logs, XML/JSON, images non compressées), ce niveau de récupération partielle suffit déjà à retrouver l'essentiel du contenu utile, sans attendre ni payer de rançon.

**Le tiers restant nécessite la clé privée de la campagne (ECIES/secp256k1)**, qui n'est normalement embarquée que dans le Decryptor remis aux victimes ayant payé (voir `prince-ecies-go.md` §7). Aucun décrypteur public n'est connu pour cette famille.

## 3. Signes d'infection active

- Fichiers renommés avec une extension caractéristique (`.MOONMAN` pour la variante documentée ici)
- Fichiers exclus systématiquement (dans la variante `.MOONMAN`) : `.exe`, `.dll`, `.sys`, `.lnk`, ainsi que la note de rançon elle-même
- Le générateur d'origine étant open-source, l'extension, le nom de note et le contact peuvent varier fortement d'une variante à l'autre (CrazyHunter, AnonWorld, et d'autres non répertoriées)

## 4. Confinement et nettoyage

1. Isolez la machine du réseau dès le constat.
2. Conservez une copie des fichiers chiffrés et de la note de rançon avant tout nettoyage, avant de tenter la récupération partielle du §2.
3. Si le contexte correspond à une intrusion structurée (accès initial via clé USB, contournement EDR par pilote vulnérable signé, mouvement latéral) plutôt qu'un incident isolé : traitez-le comme une compromission complète, pas seulement un chiffrement de fichiers. C'est le scénario documenté pour l'incident CrazyHunter contre l'hôpital Mackay Memorial (`prince-ecies-go.md` §7).
4. Réinstallez depuis une image saine si l'étendue de la compromission n'est pas entièrement caractérisée.

## 5. Signalement

- IOCs consolidés dans `prince-ecies-go.md` §10 : hashs, extension, contacts, clés publiques de campagne par variante.
- Ce générateur a été utilisé dans au moins une série d'attaques documentées contre des hôpitaux, écoles et entreprises (CrazyHunter, Taïwan, février-mars 2025) : signalez-le à un CERT national plutôt que traiter comme un incident isolé mineur, même si le texte de la note semble non professionnel sur certaines variantes.

## 6. Réduire la surface d'attaque

- Sauvegardes hors ligne et testées : la récupération partielle (§2) est un filet de sécurité, pas une garantie de récupération complète.
- Détection via [`prince_ecies_go.yar`](prince_ecies_go.yar) sur un binaire suspect (chemin de build du générateur, marqueurs de la variante `.MOONMAN`).
- Le vecteur documenté pour CrazyHunter combine clé USB et un pilote signé vulnérable (BYOVD, Zemana AntiMalware) pour désactiver l'EDR : bloquer le chargement de pilotes vulnérables connus (liste de blocage Microsoft, HVCI) réduit ce chemin d'attaque spécifique.