Publicité en cours de chargement...
Zenis : le rançongiciel chiffrant qui s’attaque aux sauvegardes
#RANSOMWAREAVANTTOUT
Zenis reste avant tout un « ransomware » qui s’affaire à chiffrer en AES des fichiers courants : documents bureautique, photos, vidéos, musique, fichiers d’archives, pages web, certificats numériques… en s’appuyant sur les extensions de fichiers suivantes :
.txt, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .odt, .jpeg, .png, .csv, .sql, .mdb, .sln, .php, .asp, .aspx, .html, .xml, .psd, .sql, .mp4, .7z, .rar, .m4a, .wma, .avi, .wmv, .csv, .d3dbsp, .zip, .sie, .sum, .ibank, .t13, .t12, .qdf, .gdb, .tax, .pkpass, .bc6, .bc7, .bkp, .qic, .bkf, .sidn, .sidd, .mddata, .itl, .itdb, .icxs, .hvpl, .hplg, .hkdb, .mdbackup, .syncdb, .gho, .cas, .svg, .map, .wmo, .itm, .sb, .fos, .mov, .vdf, .ztmp, .sis, .sid, .ncf, .menu, .layout, .dmp, .blob, .esm, .vcf, .vtf, .dazip, .fpk, .mlx, .kf, .iwd, .vpk, .tor, .psk, .rim, .w3x, .fsh, .ntl, .arch00, .lvl, .snx, .cfr, .ff, .vpp_pc, .lrf, .m2, .mcmeta, .vfs0, .mpqge, .kdb, .db0, .dba, .rofl, .hkx, .bar, .upk, .das, .iwi, .litemod, .asset, .forge, .ltx, .bsa, .apk, .re4, .sav, .lbf, .slm, .bik, .epk, .rgss3a, .pak, .big, wallet, .wotreplay, .xxx, .desc, .py, .m3u, .flv, .js, .css, .rb, .p7c, .pk7, .p7b, .p12, .pfx, .pem, .crt, .cer, .der, .x3f, .srw, .pef, .ptx, .r3d, .rw2, .rwl, .raw, .raf, .orf, .nrw, .mrwref, .mef, .erf, .kdc, .dcr, .cr2, .crw, .bay, .sr2, .srf, .arw, .3fr, .dng, .jpe, .jpg, .cdr, .indd, .ai, .eps, .pdf, .pdd, .dbf, .mdf, .wb2, .rtf, .wpd, .dxg, .xf, .dwg, .pst, .accdb, .mdb, .pptm, .pptx, .ppt, .xlk, .xlsb, .xlsm, .xlsx, .xls, .wps, .docm, .docx, .doc, .odb, .odc, .odm, .odp, .ods, .odt
Il peut donc s’en prendre à des données utilisateurs, mais également à des serveurs.
#YOURBACKUPSARESHREDDED
Une fois que Zenis a chiffré les divers fichiers cités précédemment auquel il a pu accéder, il s’en prend aux fichiers de sauvegarde, non pas en les chiffrant ni en les supprimant (ça serait trop facile), mais en les écrasant par trois passes de « réécriture » sur chaque fichier disposant d’une des extensions suivantes [2] :
Soit des fichiers de sauvegarde automatique créés par diverses applications, mais aussi des backups de postes (Norton Ghost v2i), des backups de Smartphones ou tablettes (Samsung Backup Recovery w01 ou Titanium Backup tibkp), des fichiers de backups Windows (qic), des fichiers de backups AIX (bff) accessibles depuis la machine infectée. Un simple partage samba accessible en écriture ou vulnérable pourrait suffire.
On nous martèle régulièrement que la seule « véritable parade », au delà des bonnes pratiques et des systèmes de protections divers et variés, basés sur l’analyse comportementale, l’émission d’alertes ou le blocage de ces applications malveillantes, reste avant tout LA SAUVEGARDE !
Nous entrons donc dans une nouvelle ère avec Zenis qui vient remettre en question cette formidable théorie.
La sauvegarde doit-elle aussi être protégée ?
Isolée dans un réseau dédié, hébergée sur des serveurs à jour des correctifs de sécurité, avec une gestion des droits affinée… Le respect des bonnes pratiques en somme.
Mais, l’exploitation de vulnérabilités inconnues des éditeurs (0 Day) reste une éventualité, combinée à cette « innovation perverse » de s’en prendre aux sauvegardes, si elle tend à se généraliser (les « cyber malfaisants » auraient tort de s’en priver, l’idée est trop bonne) ne peut pas nous garantir la possibilité de restaurer depuis un média connecté.
Ce qui nous démontre une nouvelle fois l’intérêt de disposer également de médias « offline » comme des bandes, pour sauvegarder nos données essentielles.
Le tout sans oublier d’effectuer des tests restauration bien sûr.
Pour résumer, nous aurons de moins en moins droit à l’erreur.
[1]
[2]
Avez-vous apprécié ce contenu ?
A lire également.

Le Data Act : une nouvelle ère pour la gouvernance des données de santé
30 sept. 2025 - 07:15,
Tribune
-Le 12 septembre 2025 a marqué une étape décisive dans la stratégie européenne de la donnée avec l’entrée en application du Data Act (Règlement UE 2023/2854). Ce texte, pilier du marché unique de la donnée, vise à encadrer l’accès, le partage et la portabilité des données générées par les produits ...
On trouve tout à la Samaritaine – y compris des caméras, mais pas encore un EBM
29 sept. 2025 - 10:43,
Tribune
-Alors OK, elle est hyperfacile, mais impossible de résister, d’autant que j’ai dû aller chercher quelques vieilles publicités de l’époque (ma préférée ici 1), quelle époque épique tout de même !
Refuser de donner son mot de passe lors d’un arrêt maladie serait seulement un problème de désobéissance ? Bullshit.
22 sept. 2025 - 22:16,
Tribune
-Vous l’avez certainement vu passer, cet article [1] d’acteurspublic.fr qui commente la décision d’un tribunal administratif et qui affirme que « Refuser de donner son mot de passe lors d’un arrêt maladie peut être assimilé à de la désobéissance ». Sauf que l’histoire est un tantinet plus complexe e...
Regonfler un pneu ou s’attaquer à la root cause : vision 27001 de la mise sous contrainte
15 sept. 2025 - 22:20,
Tribune
-Imaginez un peu la scène : vous êtes dans votre jardin en train de tailler vos rosiers, et par-dessus la clôture vous apercevez votre voisin que vous saluez chaleureusement. Vous en profitez pour le prévenir que le pneu arrière gauche de sa voiture, garée dans son allée et que vous voyez très bien d...