Corrélation entre BlackSuit et Royal

Cette semaine, l’équipe CTI de GLIMPS a eu l’occasion d’analyser un nouveau rançongiciel : BlackSuit. Grâce à la fonctionnalité datasets de GLIMPS Malware, nous avons pu mettre en évidence une corrélation entre la famille BlackSuit et Royal (ce dernier étant très présent ces dernières semaines).

En suivant l’actualité, l’équipe CTI a pu se constituer un dataset contenant plusieurs souches de la famille de rançongiciel Royal. Il sert de référence pour cette famille et est alimenté continuellement lors de l’apparition de nouvelles souches.

1c849adcccad4643303297fb66bfe81c5536be39a87601d67664af1d14e02b9e

Ce fichier est identifié par GLIMPS Malware comme malveillant.

Le moteur d’analyse Deep Engine nous indique que cet échantillon embarque des fonctions utilisées dans des binaires de la famille Royal.

Ce lien entre BlackSuit et Royal est mis en lumière par la plateforme d’analyse GLIMPS Malware.

L’étude des chaînes de caractères nous indique que la note de rançon se nomme README.BlackSuit.txt et que le lien contenu dans ce dernier pointe vers la vitrine des attaquants appartenant à BlackSuit.

Difficile de savoir à ce jour s’il s’agit bien d’une nouvelle famille mais plusieurs hypothèses s’offrent à nous. Est-ce une fuite de code source ? Est-ce un conflit entre les acteurs ? Ou est-ce simplement un variant ? GLIMPS Malware à toutefois été capable de montrer un lien entre ces deux familles.