Cette semaine, CTI se penche sur les principaux acteurs et les nouvelles tactiques des auteurs de ransomware (s'ouvre dans un nouvel onglet) à partir de 2024. CTI se penche ensuite sur un nouveau rapport apportant des éclaircissements sur les mots de passe volés. Enfin, le CTI examine les rapports relatifs à deux incidents récents au cours desquels des cybercriminels ont exploité certaines fonctionnalités d'Office 365 pour accéder aux systèmes des organisations ciblées dans le but d'y déployer un rançongiciel.
Trustwave met en avant les principaux acteurs et les tactiques utilisées dans le domaine des ransomwares
Le dernier rapport de Trustwave, intitulé « » (s'ouvre dans un nouvel onglet) , passe en revue certains des principaux acteurs et des nouvelles tactiques utilisées par les auteurs de ransomware à partir de 2024.
Selon Trustwave, les motivations financières ont continué d'occuper le devant de la scène dans le paysage global des ransomwares l'année dernière. Trustwave présente également les tactiques, techniques et procédures (TTP) communes aux groupes de ransomware en 2024 et apporte un éclairage sur l'écosystème des ransomwares en 2025 .
Les 5 principaux programmes d'affiliation liés aux ransomwares sur 2024
Trustwave a identifié ce qu'elle appelle les « cinq grands » programmes d'affiliation de 2024 en analysant l'activité des sites de fuites de données :
- RansomHub (s'ouvre dans un nouvel onglet) s'est imposé comme un affilié de premier plan dans le domaine des ransomwares en 2024. Cela s'explique principalement par le modèle favorable aux affiliés mis en place par le groupe, qui propose une répartition des paiements selon la formule 90-10 , à l'avantage des affiliés. Ce groupe n'a connu aucune interruption notable et s'est distingué grâce à son logiciel malveillant sur mesure conçu pour contourner les solutions EDR. RansomHub devrait rester l'une des principales menaces cette année.
- El Dorado (s'ouvre dans un nouvel onglet) a vu le jour sous le nom d' mars 2024 , avant de se rebaptiser BlackLock plus tard dans l'année. Le groupe a rapidement gagné en popularité grâce à ses capacités multiplateformes et continue de représenter une menace jusqu'en 2025.
- Lynx a fait son apparition en juillet 2024 et constituait un autre groupe de ransomware à succès. Les détails précis et les techniques, tactiques et procédures (TTP) ayant conduit au déploiement du rançongiciel restent encore flous, mais on sait que les auteurs s'efforcent systématiquement de supprimer les clichés d'ombre des sauvegardes.
- Le groupe FOG a fait son apparition en mai, mais n'a annoncé l'existence de son site dédié aux fuites de données qu'à la mi-juin. Les affiliés de FOG ont utilisé des scripts personnalisés, des techniques de « credential stuffing » et d'autres méthodes de persistance.
- BASHE a d'abord été lancé sous le nom de « APT73 » avant de changer de nom en octobre. Le groupe a rapidement gagné en popularité grâce à son modèle de « site-as-a-service » dédié aux fuites de données, qui le distinguait des modèles traditionnels de « ransomware-as-a-service » (RaaS) proposés par (s'ouvre dans un nouvel onglet).
TTP qui se chevauchent
Trustwave a répertorié les techniques observées chez 2024 auteurs de ransomware afin de mieux comprendre leurs méthodes d'action. Ils ont créé une carte thermique qui met en évidence certaines des techniques les plus fréquemment observées.
Le graphique, disponible à l'adresse dans leur rapport intitulé « » (s'ouvre dans un nouvel onglet), met en évidence certaines des principales techniques qui se recoupent, telles que l'exploitation d'applications accessibles au public, les tâches planifiées, le spear phishing, les logiciels malveillants, etc.
Perspectives concernant le ransomware 2025
Les ransomwares continueront d'occuper une place prépondérante en 2025, compte tenu de leur efficacité en 2024.
L'écosystème des ransomwares se caractérise « de plus en plus par la décentralisation des opérations, une tendance favorisée par les perturbations subies par les grands groupes ». Selon Trustwave, cela a contribué à façonner le contexte actuel, dans lequel des groupes de plus petite taille peuvent émerger et connaître le succès assez rapidement.
Le modèle de RansomHub, favorable aux affiliés, lui permettra de conserver une place de premier plan en 2025, à condition qu'il n'y ait pas de perturbations majeures.
Trustwave prévoit une poursuite de la prolifération des ransomwares développés en Go, ainsi que la présence de groupes décentralisés, de tactiques d'extorsion combinées et l'émergence de nouveaux programmes d'affiliation.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les auteurs de ransomware parviennent plus facilement à s'adapter aux mesures prises par les forces de l'ordre, ce qui les rend plus résistants – et plus dangereux.
De nouveaux groupes de ransomware devraient continuer à apparaître, et les groupes existants pourraient se scinder en différentes marques de ransomware en 2025. Cependant, comme le rappelle Trustwave, ces groupes peuvent disparaître aussi vite qu’ils apparaissent, ce qui rend « difficile de déterminer lesquels d’entre eux deviendront des menaces à long terme ».
Specops publie un rapport sur les mots de passe compromis
Specops a récemment publié « » (s'ouvre dans un nouvel onglet) , son rapport sur les mots de passe compromis, qui présente des analyses issues de mots de passe volés dans 2024 cas.
Selon ce rapport, plus d'un milliard d'identifiants ont été volés par des logiciels malveillants au cours d'une période de 12 mois, dont 230 millions répondaient aux critères de complexité standard.
Specops détaille certaines des tendances observées, notamment les mots de passe les plus volés, les termes de base les plus courants, les longueurs de mot de passe les plus courantes et les logiciels malveillants les plus utilisés pour le vol d'identifiants.
Tendances et schémas caractéristiques des mots de passe faibles
Specops a intégré des statistiques provenant d'autres sources afin de mettre en évidence certaines de ces conclusions. Par exemple, une enquête menée par LastPass a révélé précédemment que 91 % des utilisateurs sont conscients des risques liés à la réutilisation des mots de passe d'un compte à l'autre, mais que 59 % d'entre eux le font malgré tout. Cela rend certaines de leurs conclusions encore plus alarmantes.
Specops a analysé les 1 089 342 532 mots de passe volés qu'ils ont récupérés. Ils ont tout d'abord analysé les mots de passe faibles et les termes de base les plus courants. Ils ont constaté que les cinq mots de passe les plus volés étaient les suivants :
- 123456
- Admin
- 12345678
- mot de passe
- Mot de passe
Le mot de passe « “123456” » a donné 3,7 millions de correspondances exactes. Les termes de base les plus courants étaient « admin », « guest », « qwerty », « welcome » et « password ».
Selon Specops, la longueur la plus courante est de huit caractères, ce qui représente 189 millions des mots de passe volés analysés. Ils ont également examiné les mots de passe répondant aux critères de complexité, ce qui signifie qu'ils doivent comporter au moins huit caractères, une majuscule, un chiffre et un caractère spécial. Au total, 230 millions de mots de passe volés répondaient à ces critères.
Comment les pirates informatiques utilisent des logiciels malveillants pour voler des mots de passe
Les identifiants volés sont manifestement très recherchés, compte tenu du nombre de ceux qui ont été dérobés rien que dans le 2024 . Cette forte demande est directement liée à la multiplication des logiciels malveillants de type « infostealer », conçus pour collecter des données, notamment des identifiants.
Specops a constaté que le logiciel malveillant de vol d'informations « RedLine » d' (s'ouvre dans un nouvel onglet) est très répandu, puisqu'il est à l'origine de près de la moitié des mots de passe volés qu'ils ont analysés. Le logiciel malveillant « Raccoon Stealer » de (s'ouvre dans un nouvel onglet) ainsi que le logiciel malveillant « Vidar » ont également représenté respectivement 11,7 % et 17 % des mots de passe volés.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le constat général du rapport Specops n'a rien de nouveau : les cybercriminels ciblent systématiquement aussi bien les mots de passe faibles que les mots de passe forts.
Ce rapport offre un aperçu détaillé du phénomène du vol d'identifiants, tout en présentant les tendances et des recommandations susceptibles d'aider les professionnels de la sécurité à comprendre comment se protéger.
Il est important de garder à l'esprit que le simple fait de respecter les critères de complexité des mots de passe ne suffit pas, car près d'un quart des mots de passe volés répondaient à ces critères.
Les cybercriminels ont recours au « email bombing » et au « vishing » via Teams
Sophos a signalé deux incidents : (s'ouvre dans un nouvel onglet) , dans lesquels des cybercriminels ont exploité Office 365 pour accéder aux systèmes des organisations victimes dans le but d'y déployer un rançongiciel.
Ces incidents étaient liés à deux acteurs malveillants distincts, qui exploitaient et géraient chacun leurs propres instances du service Microsoft Office 365 afin de mener à bien leurs attaques.
Parmi les tactiques utilisées lors de ces incidents, on peut citer le « bombardement » d'e-mails, l'envoi de messages via Teams, les appels vocaux et vidéo via Teams, ainsi que l'utilisation d'outils de contrôle à distance de Microsoft.
STAC5143 et STAC5777
Sophos identifie ces deux acteurs malveillants sous les numéros STAC5143 et STAC5777.
- STAC5143 : Certains des logiciels malveillants utilisés par ce groupe de menaces sont similaires à ceux utilisés par un groupe répertorié sous le numéro FIN7. Cependant, certains éléments de la chaîne d'attaque permettent de distinguer ces groupes les uns des autres. Sophos a constaté une activité de ce groupe en novembre, lorsqu'une organisation a signalé avoir reçu un volume important de messages de spam, dont plus de 3 000 en l'espace de 45 minutes. Peu de temps après avoir reçu ces messages, ces personnes ont reçu un appel vidéo Teams provenant d'un compte intitulé « Help Desk Manager ». Une fois l'appel établi, la victime a reçu pour instruction d'autoriser une session de contrôle à distance de son écran via Teams, ce qui a permis à l'attaquant d'y déposer des fichiers et d'exécuter un logiciel malveillant écrit en Python. On a observé que l'attaque «
STAC5143 » exploitait la fonctionnalité de contrôle à distance intégrée à Teams, un fichier JAR pour automatiser l'exploitation, ainsi que des portes dérobées basées sur Python téléchargées à partir d'un lien SharePoint distant. - STAC5777 : À l'instar du groupe de menaces précédent, le groupe STAC5777 a ciblé des organisations au moyen d'un bombardement d'e-mails et d'un message Microsoft Teams. Le message Teams envoyé par ce groupe demandera à organiser un appel avec la victime afin de l'aider à résoudre le problème.
On a observé que le groupe STAC5777 utilisait Microsoft Quick Assist, effectuait des modifications directes de la configuration du clavier, déployait des logiciels malveillants, utilisait un programme de mise à jour Microsoft légitime et recourait à d'autres techniques et outils précédemment associés à un groupe connu sous le nom d' Storm-1811. (s'ouvre dans un nouvel onglet)
Dans chaque cas, l'attaquant a incité la victime à installer Microsoft Quick Assist depuis le site Web officiel de Microsoft, au cours d'un appel Teams. Cette information a ensuite été utilisée pour établir une session à distance, permettant ainsi à l'attaquant de prendre le contrôle de l'appareil de la victime. Une fois que l'attaquant a pris le contrôle du système, il a téléchargé une charge utile malveillante, mis en place un mécanisme de persistance et établi une connexion avec le serveur C2 .
À l'aide des identifiants obtenus, l'acteur a recherché des hôtes sur afin de faciliter le déplacement latéral (s'ouvre dans un nouvel onglet). Dans un cas précis, l'acteur a même tenté d'exécuter le ransomware Black Basta (s'ouvre dans un nouvel onglet) , mais a finalement été bloqué.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Ce rapport met en évidence la popularité croissante de Microsoft Teams en tant qu’outil d’ingénierie sociale de type « » (s’ouvre dans un nouvel onglet) pour les acteurs malveillants.
Au cours des derniers mois, de nombreux incidents se sont produits, au cours desquels des cybercriminels se sont fait passer pour des techniciens du support informatique afin d'obtenir un premier accès. Comme le souligne Sophos, les utilisateurs finaux doivent être attentifs à la manière dont ils interagissent habituellement avec les équipes d'assistance informatique et rester vigilants face à toute anomalie.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
