Une nouvelle analyse a r\u00e9v\u00e9l\u00e9 des liens entre les affili\u00e9s de RansomHub et d’autres groupes de ransomwares comme Medusa, Bianlian et Play.<\/p>\n
La connexion d\u00e9coule de l’utilisation d’un outil personnalis\u00e9 con\u00e7u pour d\u00e9sactiver la d\u00e9tection et la r\u00e9ponse des points de terminaison (EDR) sur des h\u00f4tes compromis, selon ESET. L’outil de mise \u00e0 mort EDR, surnomm\u00e9 Edrkillshifter, a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois utilis\u00e9 par les acteurs de RansomHub en ao\u00fbt 2024.<\/p>\n
Edrkillshifter atteint ses objectifs au moyen d’une tactique connue appel\u00e9e Bring Your Own Vulnerable Driver (BYOVD) qui implique d’utiliser un conducteur l\u00e9gitime mais vuln\u00e9rable pour mettre fin aux solutions de s\u00e9curit\u00e9 prot\u00e9geant les param\u00e8tres.<\/p>\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-reutilisent-Edrkillshifter-de-RansomHub-dans-les-attaques-de.png\")
<\/a><\/center><\/div>\nL’id\u00e9e avec l’utilisation de ces outils est d’assurer l’ex\u00e9cution fluide du cryptor ransomware sans qu’il soit signal\u00e9 par des solutions de s\u00e9curit\u00e9.<\/p>\n
“Au cours d’une intrusion, l’objectif de l’affili\u00e9 est d’obtenir des privil\u00e8ges administratifs administratifs”, les chercheurs de l’ESet Jakub Sou\u010dek et Jan Holman dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n “Les op\u00e9rateurs de ransomwares ont tendance \u00e0 ne pas faire de mises \u00e0 jour majeures de leurs encrypteurs trop souvent en raison du risque d’introduire un d\u00e9faut qui pourrait causer des probl\u00e8mes, endommageant finalement leur r\u00e9putation.<\/p>\n Ce qui est notable ici, c’est qu’un outil sur mesure d\u00e9velopp\u00e9 par les op\u00e9rateurs de RansomHub et offert \u00e0 ses affili\u00e9s – quelque chose d’un ph\u00e9nom\u00e8ne rare en soi – est utilis\u00e9 dans d’autres attaques de ransomware associ\u00e9es \u00e0 la M\u00e9duse, au Bianlian et au jeu.<\/p>\n Cet aspect prend une importance particuli\u00e8re \u00e0 la lumi\u00e8re du fait que le jeu et le bianlian op\u00e8rent sous le mod\u00e8le RAAS ferm\u00e9, dans lequel les op\u00e9rateurs ne cherchent pas activement \u00e0 embaucher de nouveaux affili\u00e9s et que leurs partenariats sont bas\u00e9s sur une confiance mutuelle \u00e0 long terme.<\/p>\n “Les membres de confiance de Play et de Bianlian collaborent avec des concurrents, m\u00eame des nouveaux \u00e9merg\u00e9s comme RansomHub, puis r\u00e9orientent l’outillage qu’ils re\u00e7oivent de ces rivaux dans leurs propres attaques”, a th\u00e9oris\u00e9 Eset. “Cela est particuli\u00e8rement int\u00e9ressant, car ces gangs ferm\u00e9s utilisent g\u00e9n\u00e9ralement un ensemble d’outils de base assez coh\u00e9rents pendant leurs intrusions.”<\/p>\n On soup\u00e7onne que toutes ces attaques de ransomwares ont \u00e9t\u00e9 men\u00e9es par le m\u00eame acteur de menace, surnomm\u00e9 Quadswitcher, qui est probablement li\u00e9 au jeu le plus proche en raison des similitudes de Tradecraft g\u00e9n\u00e9ralement associ\u00e9es aux intrusions de jeu.<\/p>\n Edrkillshifter a \u00e9galement \u00e9t\u00e9 observ\u00e9 utilis\u00e9 par un autre affili\u00e9 de ransomware individuel connu sous le nom de CosmicBeetle dans le cadre de trois diff\u00e9rentes attaques RansomHub et Fake Lockbit.<\/p>\n<\/a><\/div>\n