{"id":1102047,"date":"2024-01-15T12:28:31","date_gmt":"2024-01-15T14:28:31","guid":{"rendered":"https:\/\/teknomers.com\/fr\/3-nouveaux-venus-du-groupe-ransomware-a-surveiller-en-2024\/"},"modified":"2024-01-15T12:28:36","modified_gmt":"2024-01-15T14:28:36","slug":"3-nouveaux-venus-du-groupe-ransomware-a-surveiller-en-2024","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/3-nouveaux-venus-du-groupe-ransomware-a-surveiller-en-2024\/","title":{"rendered":"3 nouveaux venus du groupe Ransomware \u00e0 surveiller en 2024"},"content":{"rendered":"


\n<\/p>\n

\n
<\/a><\/div>\n

L\u2019industrie des ransomwares a explos\u00e9 en 2023, avec une augmentation alarmante de 55,5 % du nombre de victimes dans le monde, atteignant le chiffre stup\u00e9fiant de 4\u00a0368 cas. <\/p>\n\n\n\n\n
\"Rapport<\/a><\/td>\n<\/tr>\n
Figure 1\u00a0: Victimes d\u2019une ann\u00e9e sur l\u2019autre par trimestre<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Les montagnes russes depuis une croissance explosive en 2021 jusqu\u2019\u00e0 une baisse momentan\u00e9e en 2022 n\u2019\u00e9taient qu\u2019un avant-go\u00fbt : 2023 est revenue avec la m\u00eame ferveur que 2021, propulsant les groupes existants et ouvrant la voie \u00e0 une vague de nouveaux arrivants formidables.<\/p>\n\n\n\n\n
\"Rapport<\/a><\/td>\n<\/tr>\n
Figure 2\u00a0: Nombre de victimes de ransomwares entre 2020 et 2023<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

LockBit 3.0 a conserv\u00e9 sa premi\u00e8re place avec 1 047 victimes gr\u00e2ce au Boeing<\/a> attaque, la Royal Mail Attack, et plus encore. Alphav<\/a> et Cl0p<\/a> ont obtenu beaucoup moins de succ\u00e8s, avec respectivement 445 et 384 victimes attribu\u00e9es en 2023. <\/p>\n\n\n\n\n
\"Rapport<\/a><\/td>\n<\/tr>\n
Figure 3\u00a0:\u00a0Les 3 principaux groupes de ransomwares actifs en 2023<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Ces 3 groupes ont largement contribu\u00e9 \u00e0 l\u2019essor des attaques de ransomwares en 2023, mais ils n\u2019en sont pas les seuls responsables. De nombreuses attaques provenaient de gangs de ransomwares \u00e9mergents tels que 8Base<\/a>Rhysida, 3h du matin, Malaslocker, BianLian<\/a>Jouer, Akira<\/a>et d’autres.<\/p>\n

Nouveaux arrivants dans l\u2019industrie des ransomwares<\/h2>\n

Chez Cyberint, l’\u00e9quipe de recherche est recherche constante des derniers groupes de ransomwares<\/a> et les analyser pour d\u00e9terminer leur impact potentiel. Ce blog se penchera sur 3 nouveaux acteurs du secteur, examinera leur impact en 2023 et approfondira leurs TTP. <\/p>\n

Pour en savoir plus sur les autres nouveaux acteurs, t\u00e9l\u00e9chargez le rapport 2023 sur les ransomwares ici.<\/a><\/h3>\n

Ran\u00e7ongiciel \u00e0 3 heures du matin<\/h3>\n

Une souche de ransomware r\u00e9cemment d\u00e9couverte nomm\u00e9e 3AM est apparue, mais son utilisation a \u00e9t\u00e9 limit\u00e9e jusqu’\u00e0 pr\u00e9sent. En 2023, ils n\u2019ont r\u00e9ussi \u00e0 toucher qu\u2019une vingtaine d\u2019organisations (principalement aux \u00c9tats-Unis). Cependant, ils gagnent en notori\u00e9t\u00e9 gr\u00e2ce \u00e0 un affili\u00e9 de ransomware qui a tent\u00e9 de d\u00e9ployer LockBit sur le r\u00e9seau d’une cible en passant \u00e0 3 heures du matin lorsque LockBit \u00e9tait bloqu\u00e9.<\/p>\n

De nouvelles familles de ransomwares apparaissent fr\u00e9quemment, et la plupart disparaissent tout aussi rapidement ou ne parviennent jamais \u00e0 gagner du terrain de mani\u00e8re significative. Cependant, le fait que 3AM ait \u00e9t\u00e9 utilis\u00e9 comme solution de repli par un affili\u00e9 de LockBit sugg\u00e8re que cela pourrait int\u00e9resser les attaquants et pourrait \u00eatre revu \u00e0 l’avenir.<\/p>\n

Il est int\u00e9ressant de noter que 3AM est cod\u00e9 dans Rust et semble \u00eatre une toute nouvelle famille de logiciels malveillants. Il suit une s\u00e9quence sp\u00e9cifique\u00a0: il tente d’arr\u00eater plusieurs services sur l’ordinateur compromis avant de lancer le processus de cryptage des fichiers. Une fois le cryptage termin\u00e9, il tente d’effacer les copies Volume Shadow (VSS). Les liens potentiels entre ses auteurs et des organisations de cybercriminalit\u00e9 connues restent flous.<\/p>\n\n\n\n\n
\"Rapport<\/a><\/td>\n<\/tr>\n
Figure 4\u00a0:\u00a0Fuite de donn\u00e9es \u00e0 3 heures du matin<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Les activit\u00e9s suspectes de l’acteur malveillant ont commenc\u00e9 avec l’utilisation de la commande gpresult pour extraire les param\u00e8tres de strat\u00e9gie appliqu\u00e9s sur l’ordinateur pour un utilisateur sp\u00e9cifique. Par la suite, ils ont ex\u00e9cut\u00e9 divers composants de Cobalt Strike et ont fait des efforts pour \u00e9lever les privil\u00e8ges sur l’ordinateur \u00e0 l’aide de PsExec.<\/p>\n

Suite \u00e0 cela, les attaquants ont effectu\u00e9 une reconnaissance via des commandes telles que whoami, netstat, quser et net share. Ils ont \u00e9galement tent\u00e9 d’identifier d’autres serveurs pour un mouvement lat\u00e9ral \u00e0 l’aide des commandes quser et net view. De plus, ils ont cr\u00e9\u00e9 un nouveau compte utilisateur pour maintenir la persistance et ont utilis\u00e9 l’outil Wput pour transf\u00e9rer les fichiers des victimes vers leur serveur FTP.<\/p>\n

L’utilisation du script Yugeon Web Clicks de 2004 peut para\u00eetre d\u00e9routante \u00e0 premi\u00e8re vue. Cela soul\u00e8ve la question de savoir pourquoi un groupe \u00e9mergent de ransomwares opterait pour une technologie aussi obsol\u00e8te. Cependant, plusieurs raisons peuvent expliquer ce choix, notamment\u00a0:<\/p>\n

    \n
  1. Obscurit\u00e9: <\/strong>Les scripts et technologies plus anciens peuvent ne pas \u00eatre aussi commun\u00e9ment reconnus par les outils de s\u00e9curit\u00e9 modernes, ce qui r\u00e9duit la probabilit\u00e9 de d\u00e9tection.<\/li>\n
  2. Simplicit\u00e9:<\/strong> Les scripts plus anciens peuvent fournir des fonctionnalit\u00e9s simples sans les complexit\u00e9s souvent associ\u00e9es \u00e0 leurs homologues modernes, facilitant ainsi le d\u00e9ploiement et la gestion.<\/li>\n
  3. Exc\u00e8s de confiance\u00a0:<\/strong> Le groupe peut avoir une grande confiance en ses capacit\u00e9s et ne pas voir la n\u00e9cessit\u00e9 d’investir dans une technologie plus avanc\u00e9e, en particulier pour son site Web.<\/li>\n<\/ol>\n

    Il est essentiel de noter que ce choix expose le groupe \u00e0 certains risques. L\u2019utilisation d\u2019une technologie obsol\u00e8te pr\u00e9sentant des vuln\u00e9rabilit\u00e9s connues peut rendre leurs op\u00e9rations vuln\u00e9rables aux attaques externes, aux contre-mesures ou au sabotage potentiel d\u2019autres acteurs malveillants.<\/p>\n

    Le choix du groupe de ransomware 3AM d’utiliser un script PHP obsol\u00e8te t\u00e9moigne de la nature impr\u00e9visible des cybercriminels. Malgr\u00e9 leur utilisation de souches avanc\u00e9es de ransomwares pour cibler les organisations, leur choix de technologies back-end peut \u00eatre influenc\u00e9 par une combinaison de consid\u00e9rations strat\u00e9giques, de commodit\u00e9 et d\u2019exc\u00e8s de confiance. Cela souligne l\u2019importance pour les organisations de rester vigilantes et d\u2019adopter une approche de s\u00e9curit\u00e9 globale, en reconnaissant que les menaces peuvent provenir de technologies de pointe ou obsol\u00e8tes.<\/p>\n

    TTP connus<\/h4>\n\n\n\n\n\n\n\n\n
    Outils <\/td>\n Tactique <\/td>\n<\/tr>\n
    D\u00e9veloppement des ressources <\/td>\n T1650 – Acqu\u00e9rir l’acc\u00e8s <\/td>\n<\/tr>\n
    Collection <\/td>\n T1560 – Archiver les donn\u00e9es collect\u00e9es <\/td>\n<\/tr>\n
    Impact <\/td>\n T1565.001 – Manipulation de donn\u00e9es stock\u00e9es <\/td>\n<\/tr>\n
    Collection <\/td>\n T1532 – Archiver les donn\u00e9es collect\u00e9es <\/td>\n<\/tr>\n
    Collection <\/td>\n T1005 – Donn\u00e9es du syst\u00e8me local <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Rhysida Ransomware<\/h3>\n

    Le groupe de ransomware Rhysida s’est fait conna\u00eetre en mai\/juin 2023 lorsqu’il a lanc\u00e9 un portail de discussion d’assistance aux victimes accessible via son site TOR (.onion). Ils se pr\u00e9sentent comme une \u00ab \u00e9quipe de cybers\u00e9curit\u00e9 \u00bb agissant dans le meilleur int\u00e9r\u00eat de leurs victimes, ciblant leurs syst\u00e8mes et mettant en \u00e9vidence les vuln\u00e9rabilit\u00e9s.<\/p>\n

    En juin, Rhysida a attir\u00e9 l’attention apr\u00e8s avoir divulgu\u00e9 publiquement des documents vol\u00e9s \u00e0 la Chilean Arm sur son site de fuite de donn\u00e9es. Le groupe a depuis gagn\u00e9 en notori\u00e9t\u00e9 gr\u00e2ce \u00e0 ses attaques contre des \u00e9tablissements de sant\u00e9, notamment Prospect Medical Holdings., ce qui a amen\u00e9 les agences gouvernementales et les soci\u00e9t\u00e9s de cybers\u00e9curit\u00e9 \u00e0 les suivre de pr\u00e8s. Ils ont cibl\u00e9 plusieurs entit\u00e9s de premier plan, notamment la British Library, o\u00f9 ils ont provoqu\u00e9 une panne technologique majeure et vendu des informations personnelles vol\u00e9es en ligne, et Insomniac Games, un d\u00e9veloppeur de jeux vid\u00e9o appartenant \u00e0 Sony. Ils ont d\u00e9montr\u00e9 une large port\u00e9e dans divers secteurs.<\/p>\n

    TTP connus<\/h4>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
    Outils<\/strong><\/td>\nTactique<\/strong><\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/strong><\/td>\nT1055.003 \u2013 D\u00e9tournement d\u2019ex\u00e9cution de threads<\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/strong><\/td>\nT1547.001 – Cl\u00e9s d’ex\u00e9cution du registre\/dossier de d\u00e9marrage<\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/strong><\/td>\nT1055 – Injection de proc\u00e9d\u00e9<\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/strong><\/td>\nT1548.002 – Contourner le contr\u00f4le des comptes d’utilisateurs<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1036 – Mascarade<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1027.005 – Retrait des indicateurs des outils<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1027 – Fichiers ou informations obscurcis<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1620 – Chargement de code r\u00e9fl\u00e9chissant<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1564.004 – Attributs du fichier NTFS<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1497-Virtualisation\/\u00c9vasion du bac \u00e0 sable<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/strong><\/td>\nT1564 \u2013 Masquer les artefacts<\/td>\n<\/tr>\n
    D\u00e9couverte<\/strong><\/td>\nT1083 – D\u00e9couverte de fichiers et de r\u00e9pertoires<\/td>\n<\/tr>\n
    D\u00e9couverte<\/strong><\/td>\nT1010 – D\u00e9couverte de la fen\u00eatre d’application<\/td>\n<\/tr>\n
    D\u00e9couverte<\/strong><\/td>\nT1082 – D\u00e9couverte des informations syst\u00e8me<\/td>\n<\/tr>\n
    D\u00e9couverte<\/strong><\/td>\nT1057 – D\u00e9couverte de processus<\/td>\n<\/tr>\n
    D\u00e9couverte<\/strong><\/td>\nT1518.001 – D\u00e9couverte de logiciels de s\u00e9curit\u00e9<\/td>\n<\/tr>\n
    Acc\u00e8s initial<\/strong><\/td>\nT1566-Phishing<\/td>\n<\/tr>\n
    Collection<\/strong><\/td>\nT1005 – Donn\u00e9es du syst\u00e8me local<\/td>\n<\/tr>\n
    Collection<\/strong><\/td>\nT1119 – Collecte automatis\u00e9e<\/td>\n<\/tr>\n
    D\u00e9veloppement des ressources<\/strong><\/td>\nT1587 – D\u00e9velopper les capacit\u00e9s<\/td>\n<\/tr>\n
    D\u00e9veloppement des ressources<\/strong><\/td>\nT1583-Acqu\u00e9rir une infrastructure<\/td>\n<\/tr>\n
    Ex\u00e9cution<\/strong><\/td>\nT1129 – Modules partag\u00e9s<\/td>\n<\/tr>\n
    Ex\u00e9cution<\/strong><\/td>\nT1059 – Interpr\u00e9teur de commandes et de scripts<\/td>\n<\/tr>\n
    Reconnaissance<\/strong><\/td>\nT1595- Balayage actif<\/td>\n<\/tr>\n
    Reconnaissance<\/strong><\/td>\nT1598-Phishing pour information<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Le groupe Akira<\/h3>\n

    Le groupe Akira<\/a>, a \u00e9t\u00e9 d\u00e9couvert en mars 2023 et a fait \u00e0 ce jour 81 victimes. Des recherches pr\u00e9liminaires sugg\u00e8rent un lien \u00e9troit entre le groupe et le c\u00e9l\u00e8bre groupe de ransomwares Conti. La fuite du code source de Conti a conduit de nombreux acteurs malveillants \u00e0 utiliser le code de Conti pour construire ou adapter le leur, ce qui rend difficile la d\u00e9termination des groupes ayant des liens avec Conti et lesquels utilisent simplement le code divulgu\u00e9. <\/p>\n

    Cependant, Akira fournit certains indices r\u00e9v\u00e9lateurs sugg\u00e9rant un lien avec Conti, allant de similitudes dans leur approche au m\u00e9pris des m\u00eames types de fichiers et r\u00e9pertoires, en passant par l’incorporation de fonctions comparables. De plus, Akira utilise l’algorithme ChaCha pour le cryptage des fichiers, mis en \u0153uvre d’une mani\u00e8re similaire au ransomware Conti. Enfin, les individus \u00e0 l’origine du ransomware Akira ont dirig\u00e9 le paiement complet de la ran\u00e7on vers des adresses associ\u00e9es au groupe Conti.<\/p>\n

    Akira propose un ransomware-as-a-service, affectant \u00e0 la fois les syst\u00e8mes Windows et Linux. Ils utilisent leur DLS (site de fuite de donn\u00e9es) officiel pour publier des informations sur leurs victimes et des mises \u00e0 jour concernant leurs activit\u00e9s. Les acteurs de la menace se concentrent principalement sur les \u00c9tats-Unis, bien qu\u2019ils ciblent \u00e9galement le Royaume-Uni, l\u2019Australie et d\u2019autres pays.<\/p>\n

    Ils exfiltrent et chiffrent les donn\u00e9es pour contraindre les victimes \u00e0 payer une double ran\u00e7on, \u00e0 la fois pour retrouver l’acc\u00e8s et pour restaurer leurs fichiers. Dans presque tous les cas d’intrusion, Akira a capitalis\u00e9 sur des informations d’identification compromises pour prendre pied dans l’environnement de la victime. Il est int\u00e9ressant de noter que la plupart des organisations cibl\u00e9es avaient n\u00e9glig\u00e9 de mettre en \u0153uvre l\u2019authentification multifacteur (MFA) pour leurs VPN. Bien que l\u2019origine exacte de ces informations d\u2019identification compromises reste incertaine, il est possible que les auteurs de la menace aient obtenu un acc\u00e8s ou des informations d\u2019identification \u00e0 partir du dark web.<\/p>\n

    TTP connus<\/h4>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
    Outils<\/td>\nTactique<\/td>\n<\/tr>\n
    Exfiltration<\/td>\nT1567 – Exfiltration via service Web<\/td>\n<\/tr>\n
    Acc\u00e8s initial<\/td>\nT1566.001 – Pi\u00e8ce jointe pour le spearphishing<\/td>\n<\/tr>\n
    Exfiltration<\/td>\nT1041 – Exfiltration sur canal C2<\/td>\n<\/tr>\n
    Exfiltration<\/td>\nT1537 – Transf\u00e9rer des donn\u00e9es vers un compte cloud<\/td>\n<\/tr>\n
    Collection<\/td>\nT1114.001 – Collecte de courriels locaux<\/td>\n<\/tr>\n
    Impact<\/td>\nT1486 – Donn\u00e9es chiffr\u00e9es pour impact<\/td>\n<\/tr>\n
    Acc\u00e8s initial<\/td>\nT1566.002 – Lien de spearphishing<\/td>\n<\/tr>\n
    Ex\u00e9cution<\/td>\nT1059.001-PowerShell<\/td>\n<\/tr>\n
    Ex\u00e9cution<\/td>\nT1569.002 – Ex\u00e9cution des services<\/td>\n<\/tr>\n
    D\u00e9couverte<\/td>\nT1016.001 – D\u00e9couverte de connexion Internet<\/td>\n<\/tr>\n
    Acc\u00e8s initial<\/td>\nT1078 – Comptes valides<\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/td>\nT1078 – Comptes valides<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/td>\nT1078 – Comptes valides<\/td>\n<\/tr>\n
    Persistance<\/td>\nT1078 – Comptes valides<\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/td>\nT1547.009 – Modification du raccourci<\/td>\n<\/tr>\n
    Persistance<\/td>\nT1547.009 – Modification du raccourci<\/td>\n<\/tr>\n
    Acc\u00e8s initial<\/td>\nT1190 \u2013 Exploiter une application publique<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/td>\nT1027.001 – Remplissage binaire<\/td>\n<\/tr>\n
    Exfiltration<\/td>\nT1029 – Virement programm\u00e9<\/td>\n<\/tr>\n
    Ex\u00e9cution<\/td>\nT1059.003 – Shell de commande Windows<\/td>\n<\/tr>\n
    Acc\u00e8s initial<\/td>\nT1195 – Compromission de la cha\u00eene d’approvisionnement<\/td>\n<\/tr>\n
    \u00c9vasion de la d\u00e9fense<\/td>\nT1036.005 – Correspondance avec un nom ou un lieu l\u00e9gitime<\/td>\n<\/tr>\n
    Augmentation des privil\u00e8ges<\/td>\nT1547.001 – Cl\u00e9s d’ex\u00e9cution du registre\/dossier de d\u00e9marrage<\/td>\n<\/tr>\n
    Persistance<\/td>\nT1547.001 – Cl\u00e9s d’ex\u00e9cution du registre\/dossier de d\u00e9marrage<\/td>\n<\/tr>\n
    Exfiltration<\/td>\nT1020 – Exfiltration automatis\u00e9e<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    L\u2019industrie des ransomwares est en plein essor et attire de nouveaux groupes audacieux qui cherchent \u00e0 se faire un nom en d\u00e9veloppant des services et des outils de ransomware de haute qualit\u00e9. En 2024, Cyberint pr\u00e9voit que plusieurs de ces nouveaux groupes am\u00e9lioreront leurs capacit\u00e9s et deviendront des acteurs dominants du secteur aux c\u00f4t\u00e9s de groupes v\u00e9t\u00e9rans comme LockBit 3.0, Cl0p et AlphV.<\/p>\n

    Lisez le rapport 2023 sur les ransomwares de Cyberint pour conna\u00eetre les secteurs et les pays les plus cibl\u00e9s, une r\u00e9partition des 3 principaux groupes de ransomwares, les familles de ransomwares \u00e0 noter, les nouveaux arrivants dans le secteur, les campagnes notables pour 2023 et les pr\u00e9visions pour 2024.<\/p>\n

    Lisez le rapport pour obtenir des informations d\u00e9taill\u00e9es et bien plus encore.<\/b><\/a><\/h3>\n

    <\/p>\n

    Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n