# Guide de détection : RagnarLocker (builds protégés VMProtect, novembre 2020)

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur [`ragnarlocker-vmprotect-emulation.md`](ragnarlocker-vmprotect-emulation.md).

## 1. Suis-je concerné ?

RagnarLocker est un groupe actif depuis 2020. Une opération d'application de la loi en 2023 a saisi une partie de son infrastructure, mais cela ne fournit pas de clé de déchiffrement pour des fichiers déjà chiffrés.

## 2. Pas de déchiffreur public connu

Le schéma de chiffrement documenté publiquement pour cette famille (RSA-2048 pour protéger des clés Salsa20 générées par un générateur aléatoire cryptographique du système) n'a pas de faiblesse de conception connue à ce jour, et cette analyse n'a pas pu vérifier directement le code de génération de clé sur les échantillons examinés (voir `ragnarlocker-vmprotect-emulation.md` §7). Aucun déchiffreur gratuit public n'est connu pour cette famille au moment de cette analyse. Ne vous attendez pas à casser la clé de chiffrement elle-même.

## 3. Indicateurs de compromission

Voir `ragnarlocker-vmprotect-emulation.md` §8 pour les deux hashs SHA256 identifiés (liés aux incidents Capcom et Campari Group, novembre 2020). Ces deux exécutables sont protégés par VMProtect 3.x : un outil de détection de packer générique (section `.vmp0`/`.vmp1` ou équivalent renommé, forte entropie sur une section unique couvrant la quasi-totalité du binaire) peut aider à repérer des variantes apparentées, en gardant à l'esprit que le nom de section peut être modifié sans changer le comportement du protecteur.

## 4. Ce que cette analyse n'apporte pas

Mon analyse n'a pas atteint la logique de chiffrement (voir `ragnarlocker-vmprotect-emulation.md` §7). Elle ne dit donc rien sur la récupération de données, ni dans un sens ni dans l'autre. Elle documente la protection VMProtect de ce build, ce qui sert à la détection, pas à réparer un incident déjà survenu.