Nouveau décrypteur ShrinkLocker : récupérez votre mot de passe BitLocker

Bitdefender a dévoilé un décrypteur pour le ransomware ShrinkLocker, qui détourne l'outil de chiffrement BitLocker de Windows pour verrouiller les fichiers des victimes.

Un ransomware qui mise plus sur la chance que le talent

Découvert en mai 2024 par des chercheurs de Kaspersky, ShrinkLocker brille par son manque de sophistication. Recyclant du code vieux de dix ans en VBScript, ce ransomware utilise des techniques dépassées et des erreurs de débutant. Les pirates derrière ShrinkLocker ? Des amateurs, visiblement, à en juger par leurs fautes de frappe et leurs journaux de reconnaissance laissés en cadeau sous forme de fichiers texte.

Quand l’amateurisme fonctionne... parfois

Malgré tout, ces hackers du dimanche ont réussi à cibler des entreprises. Parmi leurs "exploits" : une attaque contre un réseau hospitalier qui a chiffré Windows 10, 11 et des serveurs Windows en 2h30, bloquant l'accès aux systèmes critiques et compliquant sérieusement la prise en charge des patients.

Comment ShrinkLocker fait sa tambouille ?

Pas d’algorithmes sophistiqués ici : ShrinkLocker utilise BitLocker, génère un mot de passe aléatoire et l'envoie aux attaquants. Il élimine ensuite les protections par défaut pour chiffrer rapidement le disque.

• Utilisation de BitLocker : ShrinkLocker vérifie et installe BitLocker si nécessaire, puis le configure pour n’encrypter que l’espace utilisé.
• Suppression des protecteurs : Il supprime tous les protecteurs (TPM, mots de passe, etc.) pour rendre la récupération quasi impossible.

Le ransomware se propage sur le réseau via Group Policy Objects (GPO) et planifie des tâches pour chiffrer toutes les machines connectées au domaine. Au redémarrage, les victimes se retrouvent face à un écran demandant le mot de passe BitLocker… et les coordonnées du hacker. Charmant !

Le sauveur : le décrypteur Bitdefender

Heureusement, Bitdefender a trouvé une faille : un court moment après la suppression des protecteurs BitLocker, ils peuvent être restaurés, permettant de récupérer le mot de passe et de déchiffrer le disque.

Le décrypteur fonctionne sur Windows 10, 11 et les versions récentes de Windows Server. Il est cependant plus efficace lorsqu'il est utilisé rapidement après l'attaque. Les victimes peuvent l’exécuter depuis une clé USB lors du mode de récupération BitLocker.

Un décrypteur qui fait le boulot, mais avec des limites

Attention : ce miracle Bitdefender ne fonctionnera que pour ShrinkLocker. Pour les autres méthodes de chiffrement BitLocker, passez votre chemin...

En résumé : ShrinkLocker, c’est le ransomware des bricoleurs du dimanche. Heureusement, Bitdefender est là pour vous aider à sortir de ce mauvais pas… à condition de réagir vite !