Guide de détection : RagnarLocker (builds protégés VMProtect, novembre 2020)

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur ragnarlocker-vmprotect-emulation.md.

1. Suis-je concerné ?#

RagnarLocker est un groupe actif depuis 2020. Une opération d'application de la loi en 2023 a saisi une partie de son infrastructure, mais cela ne fournit pas de clé de déchiffrement pour des fichiers déjà chiffrés.

2. Pas de déchiffreur public connu#

Le schéma de chiffrement documenté publiquement pour cette famille (RSA-2048 pour protéger des clés Salsa20 générées par un générateur aléatoire cryptographique du système) n'a pas de faiblesse de conception connue à ce jour, et cette analyse n'a pas pu vérifier directement le code de génération de clé sur les échantillons examinés (voir ragnarlocker-vmprotect-emulation.md §7). Aucun déchiffreur gratuit public n'est connu pour cette famille au moment de cette analyse. Ne vous attendez pas à casser la clé de chiffrement elle-même.

3. Indicateurs de compromission#

Voir ragnarlocker-vmprotect-emulation.md §8 pour les deux hashs SHA256 identifiés (liés aux incidents Capcom et Campari Group, novembre 2020). Ces deux exécutables sont protégés par VMProtect 3.x : un outil de détection de packer générique (section .vmp0/.vmp1 ou équivalent renommé, forte entropie sur une section unique couvrant la quasi-totalité du binaire) peut aider à repérer des variantes apparentées, en gardant à l'esprit que le nom de section peut être modifié sans changer le comportement du protecteur.

4. Ce que cette analyse n'apporte pas#

Mon analyse n'a pas atteint la logique de chiffrement (voir ragnarlocker-vmprotect-emulation.md §7). Elle ne dit donc rien sur la récupération de données, ni dans un sens ni dans l'autre. Elle documente la protection VMProtect de ce build, ce qui sert à la détection, pas à réparer un incident déjà survenu.