Les acteurs de la menace derri\u00e8re le sch\u00e9ma RansomHub Ransomware-as-a-Service (RAAS) ont \u00e9t\u00e9 observ\u00e9s en train de tirer parti des d\u00e9fauts de s\u00e9curit\u00e9 d\u00e9sormais r\u00e9gl\u00e9s dans Microsoft Active Directory et le protocole Netlogon pour d\u00e9g\u00e9n\u00e9rer les privil\u00e8ges et obtenir un acc\u00e8s non autoris\u00e9 au contr\u00f4leur de domaine d’un r\u00e9seau de victime dans le cadre des privil\u00e8ges et \u00e0 un acc\u00e8s non autoris\u00e9 au contr\u00f4leur de domaine d’un r\u00e9seau de victime dans le cadre des privil\u00e8ge leur strat\u00e9gie post-compromise.<\/p>\n
“RansomHub a cibl\u00e9 plus de 600 organisations dans le monde, couvrant des secteurs tels que les soins de sant\u00e9, les finances, le gouvernement et les infrastructures critiques, ce qui l’a \u00e9tabli comme le groupe de ransomware le plus actif en 2024”, analystes du groupe-IB dit<\/a> Dans un rapport exhaustif publi\u00e9 cette semaine.<\/p>\n Le groupe Ransomware a \u00e9merg\u00e9 pour la premi\u00e8re fois en f\u00e9vrier 2024, acqu\u00e9rant le code source associ\u00e9 au gang Raas Knight (anciennement cyclope) d\u00e9sormais disparu du Forum de cybercriminalit\u00e9 rampe pour acc\u00e9l\u00e9rer ses op\u00e9rations. Environ cinq mois plus tard, une version mise \u00e0 jour du casier a \u00e9t\u00e9 annonc\u00e9e sur le march\u00e9 illicite avec des capacit\u00e9s pour crypter \u00e0 distance les donn\u00e9es via le protocole SFTP.<\/p>\n Il est disponible dans plusieurs variantes qui sont capables de chiffrer des fichiers sur les serveurs Windows, VMware ESXi et SFTP. RansomHub a \u00e9galement \u00e9t\u00e9 observ\u00e9 en recrutant activement des affili\u00e9s aupr\u00e8s de groupes Lockbit et BlackCat dans le cadre d’un programme de partenariat, indiquant une tentative de capitaliser sur les actions d’application de la loi ciblant ses concurrents.<\/p>\n Dans l’incident analys\u00e9 par la Singapourien Cybersecurity Company, l’acteur de menace aurait tent\u00e9 sans succ\u00e8s d’exploiter un d\u00e9faut critique impactant les appareils Pan-OS de Palo Alto Networks (CVE-2024-3400) en utilisant une preuve de concept accessible en bourse (POC (POC-POC (POC accessible en bours ), avant finalement de violer le r\u00e9seau des victimes au moyen d’une attaque par force brute contre le service VPN.<\/p>\n “Cette tentative de force brute \u00e9tait bas\u00e9e sur un dictionnaire enrichi de plus de 5 000 noms d’utilisateur et mots de passe”, ont d\u00e9clar\u00e9 les chercheurs. “L’attaquant a finalement eu acc\u00e8s via un compte par d\u00e9faut fr\u00e9quemment utilis\u00e9 dans les solutions de sauvegarde de donn\u00e9es, et le p\u00e9rim\u00e8tre a finalement \u00e9t\u00e9 viol\u00e9.”<\/p>\n L’acc\u00e8s initial a ensuite \u00e9t\u00e9 maltrait\u00e9 pour effectuer l’attaque des ransomwares, le cryptage des donn\u00e9es et l’exfiltration se produisant dans les 24 heures suivant le compromis.<\/p>\n En particulier, cela a impliqu\u00e9 l’armement de deux d\u00e9fauts de s\u00e9curit\u00e9 connus dans Active Directory (CVE-2021-42278 AKA NOPAC) et le protocole Netlogon (CVE-2020-1472 AKA Z\u00e9rologon<\/a>) pour prendre le contr\u00f4le du contr\u00f4leur de domaine et effectuer un mouvement lat\u00e9ral \u00e0 travers le r\u00e9seau.<\/p>\n “L’exploitation des vuln\u00e9rabilit\u00e9s susmentionn\u00e9es a permis \u00e0 l’attaquant d’obtenir un acc\u00e8s privil\u00e9gi\u00e9 complet au contr\u00f4leur de domaine, qui est le centre nerveux d’une infrastructure Windows Microsoft”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Apr\u00e8s l’ach\u00e8vement des op\u00e9rations d’exfiltration, l’attaquant a pr\u00e9par\u00e9 l’environnement pour la phase finale de l’attaque. L’attaquant a fonctionn\u00e9 pour rendre toutes les donn\u00e9es de l’entreprise, enregistr\u00e9es sur les divers NAS, compl\u00e8tement illisibles et inaccessibles, ainsi que impermissibles pour restaurer, avec, avec, avec, avec, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une restauration, avec une nouvelle restauration avec le but de forcer la victime \u00e0 payer la ran\u00e7on pour r\u00e9cup\u00e9rer ses donn\u00e9es. “<\/p>\n Un autre aspect notable de l’attaque est l’utilisation de Pchunter pour arr\u00eater et contourner les solutions de s\u00e9curit\u00e9 des points finaux, ainsi que Filezilla pour l’exfiltration des donn\u00e9es.<\/p>\n “Les origines du groupe RansomHub, de ses op\u00e9rations offensives et de ses caract\u00e9ristiques de chevauchement avec d’autres groupes confirment l’existence d’un \u00e9cosyst\u00e8me de cybercriminalit\u00e9 vif”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Cet environnement prosp\u00e8re sur le partage, la r\u00e9utilisation et le changement de marque des outils et des codes source, alimentant un march\u00e9 souterrain robuste o\u00f9 des victimes de haut niveau, des groupes inf\u00e2mes et des sommes importantes jouent des r\u00f4les centraux.”<\/p>\n Le d\u00e9veloppement intervient alors que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9taill\u00e9 le fonctionnement interne d’un “formidable op\u00e9rateur RAAS” connu sous le nom de Lynx, en mettant en lumi\u00e8re leur flux de travail d’affiliation, leur arsenal de ransomware de plate-forme multiplateforme pour les environnements Windows, Linux et ESXi et des modes de chiffrement personnalisables.<\/p>\n Une analyse des versions Windows et Linux du ransomware montre qu’il ressemble \u00e9troitement aux ransomwares incontournables, indiquant que les acteurs de la menace ont probablement acquis le code source de ce dernier.<\/p>\n “Les affili\u00e9s sont incit\u00e9s \u00e0 une part de 80% du produit de la ran\u00e7on, refl\u00e9tant une strat\u00e9gie comp\u00e9titive et ax\u00e9e sur le recrutement”, il dit<\/a>. “Lynx a r\u00e9cemment ajout\u00e9 plusieurs modes de cryptage:\u00ab rapide \u00bb,\u00ab m\u00e9dium \u00bb,\u00ab lent \u00bbet\u00ab entier \u00bb, donnant aux affili\u00e9s la libert\u00e9 d’ajuster le compromis entre la vitesse et la profondeur du cryptage des fichiers.\u00bb<\/p>\n “Les postes de recrutement du groupe sur les forums souterrains mettent l’accent sur un processus de v\u00e9rification rigoureux pour les Pentesters et les \u00e9quipes d’intrusion qualifi\u00e9es, mettant en \u00e9vidence l’accent mis par Lynx sur la s\u00e9curit\u00e9 op\u00e9rationnelle et le contr\u00f4le de la qualit\u00e9. Ils offrent \u00e9galement des` `centres d’appels ” pour harceler les victimes et des solutions de stockage avanc\u00e9es pour les affili\u00e9s qui r\u00e9alisent constamment les b\u00e9n\u00e9fices de la profit r\u00e9sultats.”<\/p>\n Au cours des derni\u00e8res semaines, des attaques motiv\u00e9es financi\u00e8res ont \u00e9galement \u00e9t\u00e9 observ\u00e9es \u00e0 l’aide du malware de botnet Phorpiex (AKA Trik) propag\u00e9e via des e-mails de phishing pour livrer le ransomware de verrouillage.<\/p>\n “Contrairement aux incidents de ransomware de verrouillage pass\u00e9s, les acteurs de la menace se sont appuy\u00e9s sur Phorpiex pour livrer et ex\u00e9cuter des ransomwares de verrouillage” not\u00e9<\/a> dans une analyse. “Cette technique est unique car le d\u00e9ploiement des ransomwares se compose g\u00e9n\u00e9ralement d’op\u00e9rateurs humains menant l’attaque.”<\/p>\n Un autre vecteur d’infection initial significatif concerne l’exploitation d’appareils VPN non corrig\u00e9es (par exemple, CVE-2021-20038) pour acc\u00e9der aux appareils et h\u00f4tes du r\u00e9seau interne et \u00e0 d\u00e9ployer finalement les ransomwares ABYSS Locker.<\/p>\n Les attaques sont \u00e9galement caract\u00e9ris\u00e9es par l’utilisation d’outils de tunneling pour maintenir la persistance, ainsi que la mise \u00e0 profit d’apporter vos propres techniques de conducteur vuln\u00e9rable (BYOVD) pour d\u00e9sactiver les contr\u00f4les de protection des points de terminaison.<\/p>\n “Apr\u00e8s avoir acc\u00e9d\u00e9 \u00e0 l’environnement et effectu\u00e9 une reconnaissance, ces outils de tunneling sont d\u00e9ploy\u00e9s strat\u00e9giquement sur des appareils r\u00e9seau critiques, y compris les h\u00f4tes ESXi, les h\u00f4tes Windows, les appareils VPN et les appareils de stockage joint (NAS)” dit<\/a>.<\/p>\n “En ciblant ces appareils, les attaquants garantissent des canaux de communication robustes et fiables pour maintenir l’acc\u00e8s et orchestrer leurs activit\u00e9s malveillantes \u00e0 travers le r\u00e9seau compromis.”<\/p>\n Le paysage des ransomwares – dirig\u00e9e par les acteurs de la menace nouvelle et ancienne<\/a> – continue de rester dans un \u00e9tat de flux, avec des attaques pivotant du cryptage traditionnel au vol de donn\u00e9es et \u00e0 l’extorsion, m\u00eame si les victimes refusent de plus en plus de payer, entra\u00eenant une baisse des paiements en 2024.<\/p>\n “Des groupes comme RansomHub et Akira incitent d\u00e9sormais les donn\u00e9es vol\u00e9es avec de grandes r\u00e9compenses, ce qui rend ces tactiques assez lucratives”, entreprise de cybers\u00e9curit\u00e9 Huntress dit<\/a>.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/RansomHub-devient-le-premier-groupe-de-ransomware-de-2024-frappant.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n