Les acteurs mena\u00e7ants derri\u00e8re le Ran\u00e7ongiciel Rhysida<\/strong> se livrer \u00e0 des attaques opportunistes ciblant des organisations couvrant divers secteurs industriels.<\/p>\n L’avis est une gracieuset\u00e9 de la Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis, du Federal Bureau of Investigation (FBI) et du Multi-State Information Sharing and Analysis Center (MS-ISAC).<\/p>\n “Observ\u00e9s comme un mod\u00e8le de ransomware-as-a-service (RaaS), les acteurs de Rhysida ont compromis des organisations dans les secteurs de l’\u00e9ducation, de la fabrication, des technologies de l’information et du gouvernement et toute ran\u00e7on pay\u00e9e est partag\u00e9e entre le groupe et ses filiales”, ont d\u00e9clar\u00e9 les agences. dit<\/a>.<\/p>\n \u00ab Les acteurs de Rhysida exploitent des services distants externes, tels que les r\u00e9seaux priv\u00e9s virtuels (VPN), la vuln\u00e9rabilit\u00e9 Zerologon (CVE-2020-1472) et les campagnes de phishing pour obtenir un acc\u00e8s initial et une persistance au sein d’un r\u00e9seau.<\/p>\n D\u00e9tect\u00e9 pour la premi\u00e8re fois en mai 2023, Rhysida utilise la tactique \u00e9prouv\u00e9e de la double extorsion, exigeant le paiement d’une ran\u00e7on pour d\u00e9crypter les donn\u00e9es des victimes et mena\u00e7ant de publier les donn\u00e9es exfiltr\u00e9es si la ran\u00e7on n’est pas pay\u00e9e.<\/p>\n On dit aussi de partager les chevauchements<\/a> avec une autre \u00e9quipe de ransomwares connue sous le nom de Vice Society (alias Storm-0832 ou Vanilla Tempest), en raison de mod\u00e8les de ciblage similaires et de l’utilisation de NTDSUtil ainsi que de PortStarter, qui a \u00e9t\u00e9 exclusivement employ\u00e9 par ce dernier.<\/p>\n Selon les statistiques compil\u00e9es par Malwarebytes, Rhysida a affirm\u00e9 cinq victimes<\/a> pour le mois d’octobre 2023, le pla\u00e7ant loin derri\u00e8re LockBit (64), NoEscape (40), PLAY (36), ALPHV\/BlackCat (29) et 8BASE (21).<\/p>\n Les agences ont d\u00e9crit le groupe comme se livrant \u00e0 des attaques opportunistes pour atteindre des cibles et profitant des techniques de vie hors du territoire (LotL) pour faciliter les mouvements lat\u00e9raux et \u00e9tablir un acc\u00e8s VPN.<\/p>\n Ce faisant, l\u2019id\u00e9e est d\u2019\u00e9chapper \u00e0 la d\u00e9tection en se fondant dans les syst\u00e8mes Windows et les activit\u00e9s r\u00e9seau l\u00e9gitimes. <\/p>\n Le pivot de Vice Society vers Rhysida a \u00e9t\u00e9 renforc\u00e9 \u00e0 la suite d’une nouvelle \u00e9tude publi\u00e9e par Sophos plus t\u00f4t la semaine derni\u00e8re, qui a d\u00e9clar\u00e9 avoir observ\u00e9 le m\u00eame acteur malveillant utilisant Vice Society jusqu’en juin 2023, date \u00e0 laquelle il est pass\u00e9 au d\u00e9ploiement de Rhysida.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 suit le cluster sous le nom de TAC5279.<\/p>\n \u00ab Notamment, selon le site de fuite de donn\u00e9es du groupe de ransomwares, Vice Society n’a signal\u00e9 aucune victime depuis juillet 2023, soit \u00e0 peu pr\u00e8s au moment o\u00f9 Rhysida a commenc\u00e9 \u00e0 signaler des victimes sur son site \u00bb, ont d\u00e9clar\u00e9 Colin Cowie et Morgan Demboski, chercheurs de Sophos. dit<\/a>.<\/p>\n Ce d\u00e9veloppement intervient alors que le gang de ransomwares BlackCat attaque des entreprises et des entit\u00e9s publiques \u00e0 l’aide de publicit\u00e9s Google associ\u00e9es \u00e0 des logiciels malveillants Nitrogen, selon eSentire.<\/p>\n “Cette filiale supprime les publicit\u00e9s Google faisant la promotion de logiciels populaires, tels que Advanced IP Scanner, Slack, WinSCP et Cisco AnyConnect, pour attirer les professionnels vers des sites Web contr\u00f4l\u00e9s par des attaquants”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 canadienne de cybers\u00e9curit\u00e9.<\/p>\n Les installateurs malveillants, qui sont \u00e9quip\u00e9s de Nitrogen, un malware \u00e0 acc\u00e8s initial capable de fournir des charges utiles de l’\u00e9tape suivante sur un environnement compromis, y compris des ransomwares.<\/p>\n “Les exemples connus de logiciels malveillants \u00e0 acc\u00e8s initial associ\u00e9s aux ransomwares qui exploitent les attaques bas\u00e9es sur le navigateur incluent GootLoader, SocGholish, BATLOADER et maintenant Nitrogen”, eSentire dit<\/a>. “Fait int\u00e9ressant, ALPHV a \u00e9t\u00e9 observ\u00e9 comme une fin de partie pour au moins deux de ces logiciels malveillants \u00e0 acc\u00e8s initial bas\u00e9s sur un navigateur\u00a0: GootLoader et Nitrogen.”<\/p>\n La nature en constante \u00e9volution du paysage des ransomwares est \u00e9galement mise en \u00e9vidence par le fait que 29 des 60 groupes de ransomwares actuellement actifs ont commenc\u00e9 leurs op\u00e9rations cette ann\u00e9e, selon WithSecure, en partie \u00e0 cause des fuites de code source de Babuk, Conti et LockBit au fil des ans. .<\/p>\n “Les fuites de donn\u00e9es ne sont pas la seule chose qui conduit les groupes plus \u00e2g\u00e9s \u00e0 polliniser les plus jeunes”, WithSecure dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “Les gangs de ransomwares ont du personnel comme une entreprise informatique. Et comme une entreprise informatique, les gens changent parfois d’emploi et apportent avec eux leurs comp\u00e9tences et leurs connaissances uniques. Contrairement aux entreprises informatiques l\u00e9gitimes, cependant, rien n’emp\u00eache un cybercriminel de prendre des ressources propri\u00e9taires ( (tels que du code ou des outils) provenant d’une op\u00e9ration de ransomware et de son utilisation lors d’une autre. Il n’y a pas d’honneur parmi les voleurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/La-CISA-et-le-FBI-emettent-un-avertissement-concernant-les.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n