# Conti (rançongiciel)

Conti est un rançongiciel observé depuis 2020, qui serait distribué par un groupe basé en Russie. Par extension le groupe de pirates utilisant ce rançongiciel se dénomme de la même manière$^,$. Toutes les versions de Microsoft Windows sont connues pour être affectées. Le gouvernement des États-Unis a offert une récompense pouvant aller jusqu'à 10 millions de dollars pour des informations sur le groupe début mai 2022.

## Détails de la menace

Le logiciel utilise sa propre implémentation d'AES-256 qui utilise jusqu'à 32 threads logiques individuels, ce qui le rend beaucoup plus rapide que la plupart des rançongiciels. Le mode de fonctionnement n'est pas clair.
Le gang derrière Conti exploite un site à partir duquel il peut divulguer des documents copiés par le rançongiciel depuis 2020. Le même gang a exploité le rançongiciel Ryuk. Le groupe est connu sous le nom de Wizard Spider et est basé à Saint-Pétersbourg, en Russie.

## Comportement

Une fois sur un système, le rançongiciel essaie de supprimer les clichés instantanés de volume. Il essaie de mettre fin à un certain nombre de services à l'aide de Restart Manager pour s'assurer qu'il peut chiffrer les fichiers qu'ils utilisent. Cela désactive la surveillance en temps réel et désinstalle l'application Windows Defender. Le comportement par défaut consiste à chiffrer tous les fichiers sur les lecteurs Server Message Block locaux et en réseau, en ignorant les fichiers avec les extensions DLL, .exe, .sys et .lnk . Il est également capable de cibler des lecteurs spécifiques ainsi que des adresses IP individuelles$^,$.

## Remédiation

Selon NHS Digital, le seul moyen garanti de récupérer les données est de restaurer tous les fichiers concernés à partir de leur sauvegarde la plus récente.

## Fuites

Lors de l'invasion russe de l'Ukraine en 2022, le groupe Conti a annoncé son soutien à la Russie et a menacé de déployer des "mesures de représailles" si des cyberattaques étaient lancées contre le pays$^,$. En conséquence, environ 60 000 messages des journaux de discussion internes ont été divulgués par une personne anonyme qui a indiqué son soutien à l'Ukraine$^,$$^,$ ainsi que le code source et d'autres fichiers utilisés par le groupe$^,$$^,$.
Les fuites couvrent la période allant du début de 2020 au 27 février 2022 et consistent en plus de 60 000 messages de chat. La plupart des messages divulgués sont des messages directs envoyés via Jabber. Les attaques ont été coordonnées à l'aide de Rocket.Chat. Les fuites sont fragmentées.
Certains des messages discutent des actions de Cozy Bear dans le piratage des chercheurs sur COVID-19. Kimberly Goody, directrice de l'analyse de la cybercriminalité chez Mandiant, affirme que les références à une source externe anonyme dans les journaux pourraient être utiles au gang. Elle mentionne les fuites de l'avenue Liteyny à Saint-Pétersbourg, qui abrite les bureaux locaux du FSB, comme preuve que la source externe pourrait être le gouvernement russe.
Les documents extraits des fuites incluent le soutien à Vladimir Poutine, Vladimir Zhirinovsky, l'antisémitisme (y compris envers Volodymyr Zelenskyy ). Un membre connu sous le nom de Patrick a répété plusieurs fausses affirmations faites par Poutine au sujet de l'Ukraine. Patrick vit en Australie et est peut-être un citoyen russe.
Certains messages montrent une obsession pour Brian Krebs.
Les messages utilisent massivement le mat. Des messages contenant de l'homophobie, de la misogynie et des références à la maltraitance des enfants ont également été trouvés.

## Adhésion et structure

Le membre le plus ancien est connu sous les pseudonymes Stern ou Demon et agit en tant que PDG. Un autre membre connu sous le nom de Mango agit en tant que directeur général et communique fréquemment avec Stern. Mango a déclaré à Stern dans un message qu'il y avait 62 personnes dans l'équipe principale. Les nombres impliqués fluctuent, atteignant jusqu'à 100 personnes. En raison du roulement constant de ses membres, le groupe recrute constamment à partir de sites de recrutement légitimes et de sites de hackers.
Les programmeurs ordinaires gagnent environ 1 500 à 2 000 dollars par mois, et les membres négociant des paiements de rançon peuvent prendre une part des bénéfices. En avril 2021, un membre a affirmé avoir un journaliste anonyme qui a pris une part de 5% des paiements de rançongiciel en faisant pression sur les victimes pour qu'elles paient.
En mai 2022, le gouvernement des États-Unis a offert une récompense allant jusqu'à 15 millions de dollars pour des informations sur le groupe : 10 millions de dollars pour l'identité ou l'emplacement de ses dirigeants, et 5 millions de dollars pour des informations conduisant à l'arrestation de toute personne conspirant avec lui.

## Cibles connues

* Agence écossaise de protection de l'environnement
* Fat Face
* Health Service Executive en république d'Irlande .
* Conseil de santé du district de Waikato en Nouvelle-Zélande.
* Shutterfly.
* KP Snacks (en).
* Nordic Choice Hotels (en).