EN The Ramsay version leveraged by this document is a slightly modified version of Ramsay version 2.a, with the main difference of not leveraging the spreader component
EN The Ramsay version leveraged by this document is a slightly modified version of Ramsay version 2.a, with the main difference of not leveraging the spreader component
FR La version de Ramsay sur laquelle s?appuie ce document est une version légèrement modifiée de la version 2.a de Ramsay, avec la principale différence de ne pas utiliser la composante de l?épandeur
inglês | francês |
---|---|
ramsay | ramsay |
document | document |
modified | modifié |
main | principale |
difference | différence |
component | composante |
this | ce |
slightly | légèrement |
of | de |
the | la |
is | est |
a | une |
with | avec |
version | version |
EN We initially found an instance of Ramsay in VirusTotal
FR Nous avons d?abord trouvé un exemple de Ramsay dans VirusTotal
inglês | francês |
---|---|
ramsay | ramsay |
found | trouvé |
of | de |
we | nous |
initially | un |
in | dans |
EN Figure 1. Overview of discovered Ramsay versions
FR Figure 1. Vue d?ensemble des versions de Ramsay découvertes
inglês | francês |
---|---|
figure | figure |
overview | vue |
discovered | découvertes |
ramsay | ramsay |
versions | versions |
of | de |
EN This attack vector consists of malicious documents exploiting CVE-2017-0199 intended to drop an older version of Ramsay.
FR Ce vecteur d?attaque est constitué de documents malveillants exploitant le CVE-2017-0199 destiné à déposer une ancienne version de Ramsay.
inglês | francês |
---|---|
attack | attaque |
vector | vecteur |
malicious | malveillants |
documents | documents |
exploiting | exploitant |
drop | déposer |
older | ancienne |
ramsay | ramsay |
intended | destiné |
consists | est |
to | à |
this | ce |
version | version |
of | de |
an | une |
EN , that will extract within the document’s body the Ramsay agent, masquerading as a JPG image by having a base64-encoded PE under a JPG header.
FR , qui va extraire dans le corps du document Ramsay, en se faisant passer pour une image JPG en ayant un PE codé en base64 sous un en-tête JPG.
inglês | francês |
---|---|
extract | extraire |
ramsay | ramsay |
jpg | jpg |
pe | pe |
image | image |
will | va |
documents | document |
body | corps |
the | le |
a | un |
that | qui |
header | en-tête |
within | en |
having | pour |
EN Based on the low complexity of the Ramsay agent delivered, the threat actors may be embedding this specific instance within these malicious documents for evaluation purposes.
FR Compte tenu de la faible complexité de l?agent Ramsay fourni, les acteurs de la menace peuvent intégrer ce cas spécifique dans ces documents malveillants à des fins d?évaluation.
inglês | francês |
---|---|
low | faible |
ramsay | ramsay |
agent | agent |
delivered | fourni |
threat | menace |
actors | acteurs |
embedding | intégrer |
malicious | malveillants |
documents | documents |
complexity | complexité |
evaluation | évaluation |
this | ce |
of | de |
the | la |
purposes | fins |
EN We found one instance uploaded to VirusTotal of Ramsay masquerading as a 7zip installer.
FR Nous avons trouvé une instance téléchargée sur VirusTotal de Ramsay se faisant passer pour un installateur 7zip.
inglês | francês |
---|---|
ramsay | ramsay |
installer | installateur |
found | trouvé |
uploaded | téléchargé |
of | de |
we | nous |
a | un |
instance | instance |
to | faisant |
EN The reason we named this malware Ramsay was due to some of the strings contained in this binary, such as the following:
FR La raison pour laquelle nous avons nommé ce logiciel malveillant Ramsay est liée à certaines des chaînes de caractères contenues dans cle binaire, dont les suivantes :
inglês | francês |
---|---|
reason | raison |
malware | logiciel malveillant |
ramsay | ramsay |
contained | contenues |
binary | binaire |
we | nous |
of | de |
in | dans |
to | pour |
EN The functionality of the remaining components is the same in regard to Ramsay version 2.a.
FR La fonctionnalité des autres composants est la même par rapport à la version 2.a de Ramsay.
inglês | francês |
---|---|
remaining | autres |
components | composants |
regard | par rapport |
ramsay | ramsay |
functionality | fonctionnalité |
of | de |
to | à |
the | la |
is | est |
same | même |
version | version |
EN Based on compilation timestamps among the components of the various versions of Ramsay found, we can estimate the following development timeline of this framework:
FR Sur la base des horodatages de compilation parmi les composants des différentes versions de Ramsay trouvés, nous pouvons estimer le calendrier de développement suivant de ce cadre :
inglês | francês |
---|---|
compilation | compilation |
timestamps | horodatages |
components | composants |
various | différentes |
versions | versions |
ramsay | ramsay |
estimate | estimer |
development | développement |
timeline | calendrier |
based | base |
we | nous |
framework | cadre |
found | trouvé |
can | pouvons |
on | sur |
of | de |
EN This technique is not particularly complex; it is implemented in early Ramsay versions and is common in other malware families.
FR Cette technique n?est pas particulièrement complexe; elle est mise en œuvre dans les premières versions de Ramsay et est courante dans d?autres familles de logiciels malveillants.
inglês | francês |
---|---|
technique | technique |
particularly | particulièrement |
complex | complexe |
implemented | mise en œuvre |
ramsay | ramsay |
families | familles |
versions | versions |
in | en |
this | cette |
early | dans |
is | est |
not | pas |
and | et |
other | autres |
EN Based on the high ratio of similarity with Carberp’s implementation, it?s highly probable that Ramsay?s implementation was adapted from Carberp?s publicly available source code.
FR Compte tenu du taux élevé de similitude avec la mise en œuvre de Carberp, il est très probable que la mise en œuvre de Ramsay a été adaptée à partir du code source de Carberp, qui est accessible au public.
inglês | francês |
---|---|
ramsay | ramsay |
s | s |
source | source |
was | été |
high | élevé |
it | il |
code | code |
the | la |
highly | très |
of | de |
on | au |
implementation | mise |
adapted | adapté |
publicly | accessible |
available | probable |
that | qui |
EN More mature versions of Ramsay denote an increase in complexity of its persistence techniques, which include a technique sometimes referred to as “Phantom DLL Hijacking”.
FR Des versions plus matures de Ramsay dénotent une augmentation de la complexité de ses techniques de persistance, qui comprennent une technique parfois appelée détournement du DLL fantôme (ou Phantom DLL Hijacking en version anglaise).
inglês | francês |
---|---|
mature | matures |
complexity | complexité |
techniques | techniques |
persistence | persistance |
include | comprennent |
technique | technique |
sometimes | parfois |
referred to | appelée |
dll | dll |
versions | versions |
of | de |
increase | augmentation |
phantom | phantom |
its | ses |
a | une |
in | en |
more | plus |
EN Depending on the Ramsay version, file collection won?t be restricted to the local system drive, but also will search additional drives such as network or removable drives:
FR Selon la version de Ramsay, la collecte de fichiers ne sera pas limitée au lecteur du système local, mais cherchera également sur des lecteurs supplémentaires tels que les lecteurs
inglês | francês |
---|---|
ramsay | ramsay |
file | fichiers |
collection | collecte |
drives | lecteurs |
system | système |
local | local |
additional | supplémentaires |
restricted | limité |
also | également |
the | la |
will | sera |
drive | de |
version | version |
but | mais |
or | pas |
EN Collected files under the preliminary collection directory will be compressed using a WinRAR instance that the Ramsay Installer drops
FR Les fichiers collectés dans le répertoire de collecte préliminaire seront compressés en utilisant une instance WinRAR que l?installateur Ramsay dépose
inglês | francês |
---|---|
collected | collecté |
collection | collecte |
compressed | compressés |
instance | instance |
ramsay | ramsay |
installer | installateur |
files | fichiers |
directory | répertoire |
the | le |
a | une |
that | que |
under | de |
EN This compressed archive will be saved within the preliminary collection directory and then generate a Ramsay container artifact:
FR Cette archive compressée sera sauvegardée dans le répertoire de collecte préliminaire et générera ensuite un artefact de conteneur Ramsay :
inglês | francês |
---|---|
archive | archive |
be | sera |
collection | collecte |
directory | répertoire |
ramsay | ramsay |
container | conteneur |
artifact | artefact |
a | un |
within | de |
and | et |
EN Ramsay implements a decentralized way of storing these artifacts among the victim?s file system by using inline hooks applied on two Windows API functions,
FR Ramsay met en œuvre une méthode décentralisée de stockage de ces artefacts dans le système de fichiers de la victime en utilisant des lignes de crochets appliquées sur deux fonctions de l?API Windows,
inglês | francês |
---|---|
ramsay | ramsay |
artifacts | artefacts |
victim | victime |
hooks | crochets |
windows | windows |
api | api |
functions | fonctions |
system | système |
s | d |
decentralized | décentralisé |
of | de |
a | une |
on | sur |
by using | utilisant |
EN Unlike most conventional malware, Ramsay does not have a network-based C&C communication protocol nor does it make any attempt to connect to a remote host for communication purposes
FR Contrairement à la plupart des logiciels malveillants classiques, Ramsay ne dispose pas d?un protocole de communication C&C basé sur le réseau et n?essaie pas de se connecter à un hôte distant à des fins de communication
inglês | francês |
---|---|
unlike | contrairement |
ramsay | ramsay |
protocol | protocole |
remote | distant |
host | hôte |
conventional | classiques |
based | basé |
c | c |
communication | communication |
network | réseau |
a | un |
to | à |
nor | ne |
purposes | fins |
EN Ramsay?s control protocol follows the same decentralized philosophy implemented for collected artifact storage.
FR Le protocole de contrôle de Ramsay suit la même philosophie décentralisée que celle mise en œuvre pour le stockage des artefacts collectés.
inglês | francês |
---|---|
ramsay | ramsay |
control | contrôle |
protocol | protocole |
follows | suit |
philosophy | philosophie |
implemented | mise en œuvre |
collected | collecté |
storage | stockage |
s | s |
decentralized | décentralisé |
EN Ramsay will scan all the network shares and removable drives (excluding
FR Ramsay analyse tous les partages réseau et les lecteurs amovibles (à l?exception des lecteurs
inglês | francês |
---|---|
ramsay | ramsay |
scan | analyse |
network | réseau |
shares | partages |
removable | amovibles |
drives | lecteurs |
excluding | exception |
and | à |
all | tous |
the | les |
EN drives usually reserved for floppy disks) for potential control files. First, Ramsay looks for Word documents and also, in more recent versions, for PDFs and ZIP archives:
FR . Habituellement réservés aux disquettes) à la recherche d?éventuels fichiers de contrôle. En premier lieu, Ramsay recherche les documents Word et aussi, dans des versions plus récentes, les PDF et les archives ZIP :
inglês | francês |
---|---|
control | contrôle |
ramsay | ramsay |
recent | récentes |
versions | versions |
zip | zip |
files | fichiers |
pdfs | |
archives | archives |
word | word |
documents | documents |
more | plus |
usually | habituellement |
first | des |
reserved | réservés |
and | et |
EN Figure 13. Hex-Rays output of Ramsay Scan procedure for Control File retrieval
FR Figure 13. Résultat Hex-Rays de la procédure de numérisation Ramsay pour la recherche de fichiers de contrôle
inglês | francês |
---|---|
figure | figure |
output | résultat |
ramsay | ramsay |
procedure | procédure |
control | contrôle |
file | fichiers |
scan | numérisation |
of | de |
EN More specifically, Ramsay looks for any of two given encoded Hardware Profile GUIDs
FR Plus précisément, Ramsay recherche l?un des deux GUIDs de profil matériel encodés donnés
inglês | francês |
---|---|
ramsay | ramsay |
hardware | matériel |
profile | profil |
of | de |
more | plus |
specifically | précisément |
given | donné |
EN Among the different files dropped by the latest versions of Ramsay we find a Spreader component. This executable will attempt to scan for network shares and removable drives excluding
FR Parmi les différents fichiers déposés par les dernières versions de Ramsay, on trouve un composant Spreader. Cet exécutable tentera d?analyser les partages réseau et les lecteurs amovibles, à l?exclusion des lecteurs
inglês | francês |
---|---|
files | fichiers |
ramsay | ramsay |
component | composant |
executable | exécutable |
network | réseau |
shares | partages |
removable | amovibles |
drives | lecteurs |
excluding | exclusion |
versions | versions |
a | un |
we | on |
scan | analyser |
find | et |
to | à |
of | de |
by | par |
different | différents |
the latest | dernières |
EN It is important to notice that there is a correlation between the target drives Ramsay scans for propagation and control document retrieval
FR Il est important de noter qu?il y a une corrélation entre les lecteurs cibles des scanners Ramsay pour la propagation et la récupération des documents de contrôle
inglês | francês |
---|---|
important | important |
correlation | corrélation |
drives | lecteurs |
ramsay | ramsay |
propagation | propagation |
control | contrôle |
document | documents |
retrieval | récupération |
notice | noter |
it | il |
the | la |
a | une |
is | est |
between | de |
and | et |
EN All of the different artifacts involved in the infection stage are either within the context of the spreader or dropped previously by another Ramsay component. Some of the artifacts are parsed for the following tokens:
FR Tous les différents artefacts impliqués dans le stade de l?infection sont soit dans le contexte de l?épandeur, soit déposés précédemment par un autre élément Ramsay. Certains des artefacts sont analysés pour les jetons suivants :
inglês | francês |
---|---|
artifacts | artefacts |
infection | infection |
stage | stade |
ramsay | ramsay |
context | contexte |
or | soit |
previously | précédemment |
by | par |
another | autre |
tokens | jetons |
of | de |
in | dans |
different | différents |
involved | impliqué |
EN In addition, some components of Ramsay have implemented a network scanner intended for the discovery of machines within the compromised host’s subnet that are susceptible to the EternalBlue SMBv1 vulnerability
FR En outre, certains composants de Ramsay ont mis en œuvre un scanner réseau destiné à la découverte des machines du sous-réseau de l?hôte compromis qui sont sensibles à la vulnérabilité EternalBlue SMBv1
inglês | francês |
---|---|
components | composants |
ramsay | ramsay |
network | réseau |
scanner | scanner |
discovery | découverte |
machines | machines |
hosts | hôte |
subnet | sous-réseau |
vulnerability | vulnérabilité |
a | un |
the | la |
implemented | mis en œuvre |
compromised | compromis |
to | à |
are | sont |
intended | destiné |
in | en |
of | de |
in addition | outre |
EN Ramsay’s version 2.a Spreader component was found to have reused a series of tokens seen before in Darkhotel’s Retro Backdoor. These tokens are the following:
FR La version 2.a du composant Spreader de Ramsay s?est avérée avoir réutilisé une série de jetons vus auparavant dans le Backdoor Retro de Darkhotel. Ces tokens sont les suivants :
inglês | francês |
---|---|
component | composant |
series | série |
seen | vus |
version | version |
a | une |
of | de |
tokens | jetons |
in | dans |
to | la |
EN Ramsay serializes victims using the
FR Ramsay sérialise les victimes en utilisant l?API
inglês | francês |
---|---|
ramsay | ramsay |
victims | victimes |
the | les |
EN Figure 20. Ramsay and Retro GUID generation
FR Figure 20. Génération de GUID par Ramsay et Retro
inglês | francês |
---|---|
figure | figure |
ramsay | ramsay |
guid | guid |
generation | génération |
retro | retro |
and | et |
EN Both Ramsay and Retro share the same encoding algorithm to encode the retrieved GUID.
FR Ramsay et Retro partagent tous deux le même algorithme de codage pour coder le GUID récupéré.
inglês | francês |
---|---|
ramsay | ramsay |
share | partagent |
encoding | codage |
algorithm | algorithme |
guid | guid |
retro | retro |
the | le |
to | pour |
and | et |
EN Figure 21. Ramsay and Retro GUID encoding scheme
FR Figure 21. Schéma d?encodage du GUID Ramsay et Retro
inglês | francês |
---|---|
figure | figure |
ramsay | ramsay |
guid | guid |
encoding | encodage |
scheme | schéma |
retro | retro |
and | et |
EN This implies that Retro and Ramsay share the same scheme to generate unique identifiers.
FR Cela implique que Retro et Ramsay partagent le même schéma pour générer des identifiants uniques.
inglês | francês |
---|---|
implies | implique |
ramsay | ramsay |
share | partagent |
scheme | schéma |
identifiers | identifiants |
retro | retro |
and | et |
generate | générer |
the | le |
this | cela |
unique | pour |
EN We also found similarities in the way Ramsay and Retro saved some of their log files, sharing a similar filename convention:
FR Nous avons également constaté des similitudes dans la manière dont Ramsay et Retro ont enregistré certains de leurs fichiers journaux, partageant une convention de nom de fichier similaire :
inglês | francês |
---|---|
similarities | similitudes |
ramsay | ramsay |
sharing | partageant |
convention | convention |
we | nous |
files | fichiers |
log | journaux |
in | dans |
a | une |
of | de |
similar | similaire |
and | et |
EN Figure 22. Some of Ramsay and Retro filename convention
FR Figure 22. Quelques-unes des conventions de Ramsay et Retro pour les noms de fichiers
inglês | francês |
---|---|
figure | figure |
ramsay | ramsay |
convention | conventions |
retro | retro |
of | de |
and | et |
EN , and via Phantom DLL Hijacking. As previously documented, Ramsay also uses this technique in some of its versions also using
FR , et via le détournement de DLL fantôme. Comme indiqué précédemment, Ramsay utilise également cette technique dans certaines de ses versions utilisant également
inglês | francês |
---|---|
phantom | fantôme |
dll | dll |
ramsay | ramsay |
technique | technique |
as | comme |
uses | utilise |
versions | versions |
also | également |
of | de |
this | cette |
previously | précédemment |
in | dans |
and | et |
using | utilisant |
EN Finally, we noticed Korean language metadata within the malicious documents leveraged by Ramsay, denoting the use of Korean-based templates.
FR Enfin, nous avons remarqué des métadonnées en langue coréenne dans les documents malveillants exploités par Ramsay, indiquant l?utilisation de modèles basés sur le coréen.
inglês | francês |
---|---|
finally | enfin |
metadata | métadonnées |
malicious | malveillants |
ramsay | ramsay |
noticed | remarqué |
use | utilisation |
templates | modèles |
based | basés |
korean | coréen |
documents | documents |
we | nous |
of | de |
the | le |
language | langue |
by | par |
EN Based on the different instances of the framework found, Ramsay has gone through various development stages, denoting an increasing progression in the number and complexity of its capabilities.
FR Sur la base des différents exemples de cadre trouvés, Ramsay est passé par diverses étapes de développement, ce qui dénote une progression croissante du nombre et de la complexité de ses capacités.
inglês | francês |
---|---|
ramsay | ramsay |
stages | étapes |
complexity | complexité |
framework | cadre |
development | développement |
progression | progression |
found | trouvé |
increasing | croissante |
the | la |
based | base |
of | de |
on | sur |
different | différents |
and | et |
EN Argon was discovered in 1894 by Sir William Ramsay and Lord John Rayleigh
FR L'argon a été découvert en 1894 par Sir William Ramsay et Lord John Rayleigh
inglês | francês |
---|---|
discovered | découvert |
william | william |
ramsay | ramsay |
john | john |
was | été |
sir | sir |
lord | lord |
and | et |
in | en |
by | par |
EN Xenon was discovered in 1898 by Sir William Ramsay and Moris William Travers
FR Le xénon a été découvert en 1898 par Sir William Ramsay et Morris William Travers
inglês | francês |
---|---|
discovered | découvert |
william | william |
ramsay | ramsay |
was | été |
sir | sir |
and | et |
in | en |
EN Krypton was discovered in 1898 by Sir William Ramsay and Moris William Travers
FR Le krypton a été découvert en 1898 par Sir William Ramsay et Morris William Travers
inglês | francês |
---|---|
discovered | découvert |
william | william |
ramsay | ramsay |
was | été |
sir | sir |
and | et |
in | en |
EN Neon was discovered in 1898 by Sir William Ramsay and Moris William Travers
FR Le néon a été découvert en 1898 par Sir William Ramsay et Morris William Travers
inglês | francês |
---|---|
neon | néon |
discovered | découvert |
william | william |
ramsay | ramsay |
was | été |
sir | sir |
and | et |
in | en |
Mostrando 42 de 42 traduções