Tour d'horizon CTI : DragonForce, Qilin, Water Saci

Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur DragonForce, un groupe de ransomware-as-a-service (RaaS) de type « » qui s'est révélé extrêmement adaptable et dangereux. Nous nous penchons également sur l'évolution de Qilin, devenu l'une des menaces mondiales les plus prolifiques en matière de ransomware. Enfin, nous passons en revue une campagne en cours intitulée « Water Saci », qui cible les utilisateurs de WhatsApp.

DragonForce étend son influence

Le dernier rapport « Ransomware Spotlight » de Trend Micro, intitulé « », se penche sur DragonForce : un groupe RaaS repéré pour la première fois en 2023 et désormais considéré comme l'un des acteurs les plus agressifs de cet écosystème. Le groupe a évolué rapidement, passant d'attaques basées sur des « builders » divulgués à un modèle entièrement axé sur les affiliés.

Dénommé « Water Tambanakua », DragonForce utilise des techniques d'évasion avancées telles que « bring your own vulnerable driver » (BYOVD) et prend en charge les attaques multiplateformes sur Windows, Linux, ESXi et NAS. Il exploite des charges utiles multivariantes, en réutilisant des générateurs LockBit et Conti qui ont fait l'objet de fuites, plutôt que de s'appuyer sur une seule famille de ransomware. Les affiliés perçoivent jusqu'à 80 % des rançons perçues, ainsi que des outils permettant de gérer et de personnaliser les attaques.

En 2025, DragonForce s'est réorienté pour devenir un cartel de ransomware, encourageant ses affiliés à développer leurs propres marques tout en utilisant des ressources communes. Dans l'affaire « juin 2025 », ce groupe a été mis en cause dans des violations de données très médiatisées touchant des enseignes de vente au détail britanniques . En août, elle a lancé un service d'analyse de données permettant de créer des supports d'extorsion sur mesure, tels que des scripts d'appel et des rapports pseudo-juridiques, ciblant les organisations dont le chiffre d'affaires annuel s'élève à au moins 15 millions de dollars.

Principales tendances et objectifs

Trend Micro a constaté que DragonForce a eu un impact plus important aux États-Unis que dans tout autre pays. Les secteurs les plus visés sont notamment l' l'industrie manufacturière, le bâtiment et les technologies de l'information. Les victimes vont des petites entreprises aux grandes sociétés, ce qui témoigne de l'approche opportuniste de ce groupe.

Chronologie de DragonForce

• 2023 : Premières attaques utilisant le générateur LockBit 3,0 qui a fait l'objet d'une fuite
• Mi-2024 : lancement du programme d'affiliation « » ; diffusion d'un ransomware propre au groupe, suivie d'une variante pour Linux
• Juin 2025 : « » impliqué dans des attaques contre des commerces au Royaume-Uni
• Mars 2025 : Passage à un modèle de cartel
• Août 2025 : Lancement d'un service d'analyse de données destiné aux affiliés

Chaîne d'infection et détails techniques

DragonForce exploite des vulnérabilités connues (par exemple, Ivanti Connect Secure, Log4Shell) pour obtenir un accès initial, souvent via Scattered Spider en tant que courtier d'accès initial. Ce ransomware est capable de chiffrer les disques durs, les supports amovibles et les lecteurs réseau ; il intègre une liste de chaînes de caractères et d'extensions qu'il exclura lors du chiffrement.

Il utilise également des comptes administrateur compromis pour assurer sa persistance, l'usurpation de jetons pour l'escalade de privilèges, ainsi que des outils tels que PsExec, WMI et SimpleHelp RMM pour se déplacer latéralement.

[Gardez une longueur d'avance sur les menaces émergentes : découvrez comment les nouveaux tableaux de bord de Tanium Guardian dédiés aux PME et à la gestion à distance (RMM) offrent une visibilité en temps réel sur les risques et proposent des mesures correctives]

DragonForce est connu, entre autres, pour désactiver les outils et services de sécurité afin de contourner les mesures de défense, et pour déployer des outils de récupération d'identifiants tels que Mimikatz et LaZagne.

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

Le fait que ce groupe soit passé de l'utilisation de versions de développement divulguées à la création de son propre rançongiciel et à la mise en place d'une structure de type cartel témoigne d'une tendance à la professionnalisation au sein de l'écosystème des rançongiciels, ce qui complique l'attribution de la responsabilité et la lutte contre ces activités.

DragonForce parvient sans doute à maintenir son succès et son importance grâce à ses généreuses rémunérations versées à ses affiliés et à son utilisation de techniques telles que le BYOVD, que l'on observe généralement dans des campagnes APT plus sophistiquées.

Qilin s'impose comme l'une des principales menaces mondiales en matière de ransomware

Cisco Talos publie des informations sur la transformation du groupe de ransomware Qilin en l'une des menaces de ransomware les plus prolifiques au monde, faisant état de plus de 40 victimes par mois au cours du second semestre de 2025. Ce groupe opère selon un modèle « RaaS » et recourt à la double extorsion, en combinant le chiffrement de fichiers et la divulgation publique de données.

Qilin, anciennement connu sous le nom d'Agenda et actif depuis juillet 2022, cible un large éventail de pays tout en se concentrant principalement sur les États-Unis, le Canada et le Royaume-Uni, avec une présence notable également en France et en Allemagne. Qilin cible également plusieurs secteurs, notamment l'industrie manufacturière, suivie des services professionnels et scientifiques, puis du commerce de gros.

En octobre, Qilin, DragonForce et LockBit ont annoncé la conclusion d'une alliance stratégique. Selon ReliaQuest, cette collaboration permettra aux groupes de partager leurs techniques, leurs ressources et leurs infrastructures, renforçant ainsi les capacités de chacun d'entre eux.

Explication des tactiques, techniques et procédures (TTP) de Qilin

• Accès initial : Cisco Talos a estimé, avec un degré de confiance modéré, que les attaquants avaient probablement exploité des identifiants divulgués pour obtenir un accès VPN et avaient peut-être utilisé des modifications apportées à la stratégie de groupe Active Directory pour activer le protocole RDP.
  [Ne laissez pas des identifiants compromis devenir une porte ouverte : découvrez comment renforcer la sécurité d’Active Directory et bloquer les attaquants avant qu’ils ne se déplacent latéralement]
  Dans un cas précis, Cisco Talos a identifié plusieurs tentatives d’authentification NTLM visant le VPN, à peine deux semaines après que des identifiants ont été divulgués sur le dark web. L'authentification multifactorielle (MFA) n'a pas été configurée sur le VPN.
• Reconnaissance et découverte : Le groupe a été observé en train d’exécuter les commandes suivantes : nltest.exe et net.exe afin de recenser les contrôleurs de domaine.
  Cisco Talos a également constaté que l’acteur évaluait les niveaux de privilèges de divers utilisateurs en exploitant la commande whoami , ainsi que tasklist et netscan pour la découverte des processus et du réseau.
• Accès aux identifiants et exfiltration : Dans les incidents analysés par Cisco Talos, un dossier protégé par mot de passe contenait des outils pouvant servir au vol d'identifiants. Cisco Talos n'a pas pu analyser tous les fichiers de ce dossier, mais estime que cela « laisse supposer l'utilisation de Mimikatz, de plusieurs utilitaires de récupération de mots de passe publiés par NirSoft et de fichiers de scripts personnalisés ».
  Le registre a été modifié en activant les options suivantes : WDigest UseLogonCredential, ce qui a permis le stockage des identifiants en clair dans la mémoire. Les données ont ensuite été regroupées dans un seul fichier texte, puis exfiltrées vers un serveur SMTP contrôlé par le pirate.
• Traces d’exfiltration : Les attaquants ont compressé les données volées à l’aide de WinRAR et, lors de l’inspection manuelle, ont utilisé des outils open source tels que mspaint.exe, notepad.exe et iexplore.exe pour examiner les fichiers et rechercher des informations importantes.
  Plus récemment, le groupe a utilisé un outil open source appelé Cyberduck pour effectuer des transferts de fichiers vers des serveurs cloud, souvent vers Backblaze, en utilisant des paramètres de téléchargement en plusieurs parties afin de faciliter l’exfiltration à grande échelle et de dissimuler ses activités au sein du trafic légitime.
• Élévation des privilèges et déplacement latéral : Des identifiants volés ont permis d'accéder à plusieurs adresses IP et partages réseau. Les pirates ont modifié les paramètres du pare-feu et du protocole RDP, ajouté des comptes au groupe d'administrateurs locaux et créé des partages réseau accordant un contrôle total. Parmi les outils RMM recensés, on trouve AnyDesk, ScreenConnect et QuickAssist.

[Les pirates n'ont pas besoin de logiciels malveillants lorsqu'ils peuvent tromper votre service d'assistance : découvrez comment contrer l'ingénierie sociale avant qu'elle ne vous ouvre la porte à vos données]

• Contournement des mesures de sécurité : L'auteur a utilisé un script PowerShell obfusqué pour désactiver l'AMSI et la validation des certificats TLS, et activer le mode administrateur restreint. L'acteur a également tenté de désactiver l'EDR à l'aide d'outils tels que « dark-kill » et « HRSword ».
• Conséquences et entraves à la restauration : Cisco Talos a constaté que des outils d'accès à distance, tels que le chargeur Cobalt Strike et SystemBC, avaient été déployés avant l'exécution du rançongiciel.
• Ransomware Qilin : Cisco Talos a également détecté la variante Qilin.B, qui se distingue par sa stratégie de double chiffrement et son ciblage avancé de la virtualisation. Cette variante prend en charge le déploiement de deux programmes de chiffrement :
  1. encryptor_1.exe, qui se propage via PsExec sur plusieurs hôtes 2. encryptor_2.exe, qui s'exécute à partir d'un seul système pour chiffrer de nombreux partages réseau

Cette variante utilise également des commandes PowerShell pour répertorier les noms d'hôtes Active Directory et installer des modules RSAT ; elle cible de manière intensive les environnements ESXi en modifiant les mots de passe root et en désactivant les protections des clusters ; enfin, elle modifie les paramètres des liens symboliques via fsutil afin d'élargir l'accès aux fichiers.

L'acteur va ensuite commencer à se déplacer latéralement, apporter des modifications au service « Volume Shadow Copy », supprimer tous les clichés instantanés et placer la note de rançon dans chaque dossier chiffré. Chaque note de rançon comporte une URL Tor destinée aux négociations ainsi qu'un identifiant unique de la victime intégré à l'extension du fichier, ce qui permet d'accéder à un portail dédié contenant les instructions de paiement.

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

Le recours par Qilin à des dispositifs de chiffrement doubles, à l'exfiltration via le cloud et à des outils d'accès à distance tels qu'AnyDesk et ScreenConnect témoigne d'une architecture d'attaque aboutie et modulaire. De plus, leur capacité à s'adapter à différents environnements, tels que Windows, ESXi et le cloud, témoigne d'une connaissance approfondie des infrastructures d'entreprise.

Cela dit, il n'est pas surprenant de voir Qilin s'imposer comme un groupe RaaS aussi actif et prospère. Leur capacité à recenser plus de 40 victimes par mois est impressionnante et en fait une opération d'envergure mondiale et bien structurée.

Le « Water Saci » se propage via WhatsApp

Trend Micro a récemment publié une étude intitulée « » concernant une campagne de logiciels malveillants en cours, baptisée « Water Saci », qui cible les sessions WhatsApp Web par le biais d'une chaîne d'infection à propagation autonome. Ce logiciel malveillant utilise des chargeurs basés sur des scripts (VBS + PowerShell) pour s'exécuter sans fichier, détourne les sessions de navigateur et automatise l'envoi de messages WhatsApp afin de diffuser base64-encoded fichiers ZIP malveillants, dont les noms sont aléatoires, à tous les contacts et groupes. Il se caractérise par une persistance avancée et un contrôle des commandes en temps réel par e-mail, partageant ainsi certaines tactiques avec le cheval de Troie bancaire « Coyote ».

Détails de la chaîne d'attaque

L'enquête menée par Trend Micro a révélé que Water Saci utilise une chaîne d'infection très structurée, déclenchée via WhatsApp Web. La campagne commence par le téléchargement de fichiers suspects, puis évolue vers un détournement complet de la session et une propagation automatisée.

Les étapes clés sont les suivantes :

• Première étape : L'attaque commence lorsqu'une victime télécharge et décompresse une archive ZIP nommée « Orcamento-2025*.zip ». À l'intérieur se trouve un téléchargeur VBS obfusqué (Orcamento.vbs) qui envoie une commande PowerShell pour exécuter tadeu.ps1 directement en mémoire à l'aide de New-Object Net.WebClient, ce qui permet une exécution sans fichier et, si l'adresse C2 est inaccessible, le système se rabat sur des valeurs par défaut codées en dur.
• Configuration trompeuse : Le script PowerShell affiche une bannière se présentant comme « WhatsApp Automation v6,0 », puis établit une communication avec son infrastructure de commande et de contrôle (C2) afin de récupérer des listes de cibles, des modèles de messages et des configurations de synchronisation. Il crée un espace de travail temporaire, télécharge la bibliothèque d'automatisation WA-JS depuis GitHub et enregistre une charge utile malveillante en vue d'une utilisation ultérieure.
• Détournement de navigateur : Le logiciel malveillant vérifie la version de Chrome installée, télécharge le ChromeDriver adapté et installe le module PowerShell de Selenium pour automatiser les tâches du navigateur. Il met fin aux processus Chrome, efface les anciennes sessions et copie le profil Chrome de la victime (cookies et jetons) afin de contourner l'authentification WhatsApp sans avoir à scanner de code QR. Chrome est relancé avec des paramètres d'automatisation conçus pour échapper à la détection, et WA-JS est injecté pour permettre un contrôle total de WhatsApp.
• Propagation et exfiltration : Une fois la session détournée active, le logiciel malveillant récupère tous les contacts WhatsApp et les exfiltre vers le C2. Il diffuse ensuite des fichiers ZIP malveillants en utilisant le codage base64 , des noms de fichiers aléatoires et des messages personnalisés, tandis que les attaquants conservent un contrôle en temps réel leur permettant de suspendre, de reprendre et de surveiller la campagne sur l'ensemble des machines infectées.

Porte dérobée SORVEPOTEL

L'archive ZIP téléchargée contient les fichiers suivants : Orcamento.vbs, également connu sous le nom de porte dérobée « SORVEPOTEL ». Ce composant utilise des techniques avancées de protection contre l'analyse, notamment des vérifications linguistiques visant à limiter son exécution aux systèmes portugais, la détection des débogueurs et un mutex basé sur WMI afin de garantir l'exécution en instance unique. Si des outils d'analyse sont détectés, le logiciel malveillant déclenche une routine d'autodestruction.

La persistance est assurée par des mécanismes à plusieurs niveaux, notamment des modifications du registre et des tâches planifiées utilisant un fichier de copie déportée nommé « » (WinManagers.vbs) , situé dans le répertoire C:\ProgramData\WindowsManager\.

Trend Micro estime que la fonctionnalité la plus sophistiquée de SORVEPOTEL réside dans son architecture C2 à double canal :

• Extraction via e-mail : Le logiciel malveillant utilise des connexions IMAP vers des comptes de messagerie terra.com.br codés en dur afin d'obtenir C2 URL de serveurs et des données de configuration. Ces e-mails contiennent plusieurs types d'URL (points de terminaison de données, serveurs de sauvegarde et transmission de charges utiles PowerShell). Les pirates ont ensuite mis en place l'authentification multifactorielle (MFA) pour ces comptes, ce qui a entraîné des retards opérationnels mais a renforcé la sécurité de leur infrastructure.
• Interrogation HTTP pour le contrôle en direct : Une fois les URL récupérées, le logiciel malveillant passe à une interrogation HTTP intensive pour l'exécution des commandes en temps réel. Ce mécanisme permet aux pirates de suspendre, de reprendre et de coordonner des opérations de type botnet sur l'ensemble des machines infectées, garantissant ainsi un contrôle dynamique et une grande adaptabilité tout au long des campagnes.

Les commandes prises en charge comprennent notamment la collecte d'informations système, l'exécution de PowerShell, la capture d'écran, le recensement des processus, les opérations sur les fichiers et le contrôle de l'alimentation du système (redémarrage/arrêt).

L'évolution de Water Saci et ses liens éventuels avec Coyote

L'analyse de Trend Micro révèle que Water Saci présente d'importantes similitudes techniques et opérationnelles avec le cheval de Troie bancaire Coyote, ce qui laisse penser que ces deux campagnes pourraient provenir du même écosystème cybercriminel brésilien.

Parmi les recoupements principaux, on peut citer :

• Utilisation du détournement de session WhatsApp Web à des fins d'auto-propagation
• Automatisation du navigateur via ChromeDriver et Selenium, associée à l'injection WA-JS
• Techniques avancées de lutte contre l'analyse, telles que les contrôles de langue portugaise et la détection des débogueurs
• Une présence persistante grâce à des modifications du registre, des tâches planifiées et des scripts déposés

Ces recoupements mettent en évidence une tendance plus générale : les auteurs de menaces délaissent les charges utiles compilées et peu discrètes au profit d'attaques furtives, basées sur des scripts, qui exploitent des profils de navigateur et des plateformes de messagerie légitimes.

Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium

Le recours à WhatsApp Web comme vecteur d'infection met en évidence une évolution significative des tactiques d'ingénierie sociale utilisées par . Les cybercriminels exploitent désormais des plateformes de communication de confiance pour contourner les systèmes de défense traditionnels basés sur les e-mails et tirer parti de la familiarité des utilisateurs avec ces outils.

Le recours, dans le cadre de cette campagne, à l'exécution sans fichier et aux capacités de contrôle en temps réel rend également sa détection et son endiguement plus difficiles. Il convient de surveiller cette menace de près, notamment compte tenu de son évolution et de ses dernières capacités.

Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.

Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.