WhiteLock : le ransomware qui coupe AnyDesk et TeamViewer avant de chiffrer

Rapport CTI technique du 29 juillet 2026

Résumé exécutif

L'équipe ASEC d'AhnLab a documenté début juillet 2026 un ransomware Windows baptisé WhiteLock, qui chiffre les fichiers via AES-CBC avec une clé protégée par RSA-2048, ajoute l'extension .Fbin aux fichiers touchés et dépose une note de rançon nommée c0ntact.Txt à la racine de chaque lecteur. Sa particularité opérationnelle : avant de lancer le chiffrement, WhiteLock recherche et arrête les services liés à AnyDesk et TeamViewer sur la machine infectée, une manœuvre destinée à empêcher les équipes de sécurité de reprendre la main à distance pendant l'incident.

WhiteLock n'est pas un exécutable isolé mais l'étape finale d'une chaîne de compromission : plusieurs cas documentés montrent un accès initial obtenu via un malware de vol d'informations, suivi d'une propagation interne puis du déploiement du ransomware proprement dit. La note de rançon combine chiffrement et double extorsion, menaçant de prévenir les contacts de la victime et de vendre ou publier les données volées si le paiement n'intervient pas dans le délai imparti. À ce stade, aucune attribution à un groupe ou acteur nommé n'a été publiée par les chercheurs.

Chronologie

Fiche d'acteur / campagne

WhiteLock | Ransomware Windows à double extorsion | Cible : postes et serveurs Windows d'entreprise

Aucun groupe n'a été formellement attribué à cette famille à la date de rédaction ; les analyses publiques se concentrent sur l'échantillon et son comportement plutôt que sur l'acteur qui l'opère. WhiteLock combine chiffrement de fichiers, communication avec un serveur externe pendant l'infection, sabotage des outils de télémaintenance et double extorsion par menace de divulgation.

Conditions d'exploitation : l'accès initial documenté passe par un malware voleur d'informations déployé en amont, suivi d'une propagation interne avant l'exécution du ransomware. Ni CVE ni vecteur d'accès initial unique n'a été confirmé publiquement : WhiteLock doit être traité comme la charge finale d'une intrusion déjà en cours plutôt que comme un point d'entrée en soi.

PoC disponible : sans objet, il s'agit d'un ransomware déployé en conditions réelles et non d'une vulnérabilité logicielle à reproduire.

Patch/mitigation : pas de correctif applicable puisqu'il ne s'agit pas de l'exploitation d'une CVE. La défense repose sur la détection comportementale (arrêt de services de télémaintenance, chiffrement de masse, création de note de rançon), la sauvegarde hors ligne des données critiques et la surveillance des communications sortantes inhabituelles.

Diagramme de la chaîne d'attaque

Vue reconstruite à partir de l'analyse ASEC du 7 juillet 2026 ; les nœuds Vecteur et Attribution restent partiellement documentés dans les sources publiques.

Analyse technique

Étape 1 : identification du poste infecté

Dès l'exécution, WhiteLock collecte l'adresse MAC de la machine compromise, la convertit en hash SHA-256 et transmet cette valeur à un serveur externe. Cette empreinte sert à identifier de façon unique chaque victime pour la suite du processus de chiffrement et de négociation. En l'absence de communication réussie avec le serveur, le ransomware retente la connexion en boucle, ce qui peut ralentir ou bloquer certains comportements ultérieurs dans les environnements dont les flux sortants sont restreints.

Étape 2 : sabotage des outils de télémaintenance

Après avoir enregistré l'appareil, WhiteLock vérifie la présence d'AnyDesk et de TeamViewer et arrête les services correspondants. L'objectif est de priver les administrateurs ou l'équipe de sécurité de la possibilité d'intervenir à distance pendant que l'attaque progresse, une technique qui vise directement le temps de réponse de l'incident plutôt qu'un mécanisme technique de contournement de sécurité.

Étape 3 : génération et protection de la clé de chiffrement

WhiteLock génère une clé AES de 32 octets et un vecteur d'initialisation de 16 octets, puis récupère une clé publique RSA auprès du serveur externe pour chiffrer cette clé AES avec RSA-2048. La clé AES chiffrée est ensuite exfiltrée vers le serveur de l'attaquant. Cette architecture à deux niveaux, symétrique pour les fichiers et asymétrique pour la clé elle-même, rend la récupération impossible sans la clé privée RSA détenue par l'opérateur.

Étape 4 : sélection des cibles et chiffrement

Avant de chiffrer, le ransomware compile une liste d'exclusions : chemins système essentiels ($Recycle.Bin, \Windows, \ProgramData, \System Volume Information), fichiers déjà chiffrés ou liés au fonctionnement de base du système, et mots-clés associés aux principaux éditeurs de sécurité. Les fichiers ciblés sont ensuite chiffrés en AES-CBC et renommés avec l'extension .Fbin, qui sert à la fois d'alerte visuelle pour la victime et de marqueur pour éviter un second passage de chiffrement.

Étape 5 : pression psychologique et négociation

Une fois le chiffrement terminé, WhiteLock dépose la note c0ntact.Txt à la racine de chaque lecteur et modifie le fond d'écran pour signaler la compromission. La note détaille le vol de données annoncé, fixe un délai de paiement et fournit des instructions pour accéder à une page de négociation via Tor, où la victime doit saisir un identifiant unique pour engager le dialogue avec les opérateurs.

Indicateurs de compromission

ASEC précise que les indicateurs réseau détaillés (domaines, adresses C2) ne sont pas publiés dans l'analyse publique et restent réservés aux abonnés d'AhnLab TIP ; ils ne sont donc pas reproduits ici pour éviter toute valeur inventée.

MITRE ATT&CK

Aucune cartographie officielle n'a été publiée par ASEC. Le tableau ci-dessous est une lecture technique construite à partir du comportement décrit dans l'analyse, pas une attribution vendeur.

Remédiation : checklist opérationnelle

1. Surveiller par EDR les arrêts inattendus des services AnyDesk et TeamViewer, comportement précurseur documenté avant le chiffrement.
2. Détecter les modifications de masse de fichiers et l'apparition de l'extension .Fbin ou de fichiers c0ntact.Txt sur plusieurs répertoires en peu de temps.
3. Maintenir des sauvegardes hors ligne ou immuables des données critiques, la récupération par clé étant impossible sans la clé privée RSA de l'attaquant.
4. Puisque WhiteLock intervient en aval d'une compromission par voleur d'informations, prioriser la détection des stealers (accès identifiants, exfiltration de credentials) en amont de la chaîne.
5. Restreindre et surveiller les communications sortantes non essentielles depuis les postes et serveurs, en particulier vers des destinations inhabituelles.
6. Isoler immédiatement toute machine présentant un changement de fond d'écran suspect ou une note de rançon, avant que la propagation interne ne s'étende à d'autres hôtes.
7. Documenter et conserver les journaux EDR au moment de la détection pour appuyer une éventuelle investigation post-incident, y compris en l'absence d'attribution connue.

Sources

• Files Locked Behind a White Padlock: A Warning from WhiteLock Ransomware - ASEC
• White Lock Ransomware - Decryption, removal, and lost files recovery - PCrisk
• White Lock Ransomware - WatchGuard Technologies
• Win64.Ransom.WhiteLock - Zscaler ThreatLibrary