Cette semaine, l'équipe CTI de Tanium se penche sur une nouvelle attaque qui combine le hameçonnage d'identifiants et la diffusion de logiciels malveillants. Par la suite, cet article fait le point sur Hunters International, une opération de ransomware-as-a-service (RaaS) désormais inactive, (s'ouvre dans un nouvel onglet) , qui a changé de nom pour se consacrer exclusivement à l'extorsion de données. Enfin, l'équipe présente une synthèse des dernières données relatives aux ransomwares pour le premier trimestre de l'année 2025.
Une nouvelle attaque combine le hameçonnage d'identifiants et les logiciels malveillants
Cofense a récemment identifié (s'ouvre dans un nouvel onglet) une attaque combinant le hameçonnage d'identifiants et la diffusion de logiciels malveillants.
Dans le cadre de cette attaque, l'e-mail utilise la suppression de fichiers comme appât. Ce message provient du site de partage de fichiers « files[.]fm » et d'une adresse e-mail valide. Si la victime clique sur le lien figurant dans l'e-mail, elle sera redirigée vers une URL légitime de « files[.]fm ». À partir de là, la victime a la possibilité de télécharger un fichier PDF.
Si la victime décide d'ouvrir le fichier, elle déclenchera une attaque de hameçonnage et un logiciel malveillant. Le fichier semblera contenir un contenu inoffensif et invitera la victime à prévisualiser ou à télécharger un autre fichier. Une attaque se déclenchera, que l'utilisateur choisisse de prévisualiser ou de télécharger l'élément.
Comment fonctionne le phishing visant à dérober des identifiants et à diffuser des logiciels malveillants ?
- Si la victime clique sur l'option « Aperçu », elle sera redirigée vers la page de connexion classique de Microsoft 365 , qui a été falsifiée. Cette page a pour but de voler vos identifiants.
- Si la victime clique sur « Télécharger », un fichier exécutable sera téléchargé sur l'appareil. Cofense a constaté que le fichier téléchargé porte un nom destiné à induire la victime en erreur en lui faisant croire qu'il s'agit d'un programme d'installation de OneDrive. Cette attaque entraîne l'installation du RAT ConnectWise.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne tente d'exploiter des éléments que de nombreux employés ont appris à repérer, car l'option permettant de prévisualiser le fichier est elle aussi malveillante.
Le rapport de Cofense met en évidence une combinaison de techniques ainsi que les dangers liés aux services de partage de fichiers en ligne, et rappelle l'importance de respecter les consignes de votre organisation en matière de partage de fichiers.
Hunters International se tourne désormais vers l'extorsion de données
Le groupe de « ransomware-as-a-service » aujourd'hui dissous, connu sous le nom de Hunters International, se réorganise afin de se consacrer exclusivement à l'extorsion de données.
Des chercheurs de Group-IB ont révélé (s'ouvre dans un nouvel onglet) que le groupe est resté actif depuis l'annonce de sa dissolution à la fin de l'année dernière, se concentrant désormais sur sa nouvelle opération dédiée exclusivement au chantage, baptisée « World Leaks ».
Qui est Hunters International ?
Le groupe Hunters International, spécialisé dans les services de « RaaS » (Ransomware-as-a-Service), a été identifié pour la première fois en octobre 2023 et s'est historiquement livré à des attaques de double chantage.
Ce groupe présente des similitudes avec le groupe de ransomware Hive, ce qui conduit certains chercheurs à penser que Hunters International est une nouvelle appellation de Hive, bien que l'opérateur affirme avoir simplement acheté le code source à Hive.
Hunters International cible plusieurs pays, mais c'est en Amérique du Nord que l'on trouve la plus forte concentration de victimes. Ses principaux secteurs cibles sont notamment l'immobilier, la santé et les services aux entreprises.
Le rôle important du panel d'affiliés
Group-IB constate que l'administrateur est très axé sur les aspects commerciaux, comme en témoigne le panneau des affiliés de l'opération. Les affiliés de Hunters International peuvent personnaliser le ransomware à l'aide d'une interface Web et en modifier certains éléments via des paramètres de ligne de commande.
Le panneau des affiliés comporte également des rubriques que l'on retrouve dans d'autres plateformes, telles que les actualités, les paiements, les entreprises et les mentions légales. Lorsqu'un affilié se connecte au panneau d'administration, il peut enregistrer la cible de son choix et définir le montant de la rançon.
La rubrique « Actualités » du forum a permis à Group-IB d'obtenir de nombreuses informations sur cette opération. Cette section comprenait des informations détaillées sur les services proposés, les mises à jour opérationnelles, les corrections de bogues, etc.
Une fois la cible identifiée, l'auteur de l'attaque peut télécharger le ransomware proprement dit, avec lequel les outils fournis par Group-IB sont compatibles. La dernière variante de ce rançongiciel ne laisse pas de note de rançon et n'ajoute pas d'extension aux fichiers.
L'affilié bénéficie également d'un accès à « Storage Software », un outil développé par Hunters International et compatible avec plusieurs systèmes d'exploitation et architectures. Il a été conçu pour automatiser l'exfiltration des données et permettre à l'acteur de partager des informations et de les divulguer sans avoir à les télécharger nulle part, celles-ci restant stockées sur le serveur de Hunter International.
La cessation d'activité et le changement de marque de Hunter International
Dans « novembre 2024 », le groupe a publié une note dans la rubrique « Actualités » du panneau, annonçant son intention de mettre fin au projet, celui-ci étant devenu risqué et non rentable. Group-IB a constaté que le groupe était toujours actif malgré cette note, et a découvert qu'il avait lancé un nouveau projet au début de l'année 2025 , baptisé « World Leaks ».
World Leaks ne mène pas d'attaques de double chantage, mais se concentre exclusivement sur les attaques de chantage pur et simple. Selon Group-IB, cette opération prétend fournir à ses affiliés un outil d'exfiltration totalement indétectable et similaire à l'outil « Storage Software ».
Peu après l'annonce de World Leaks, les opérateurs ont suspendu le projet après avoir identifié des problèmes au niveau de l'infrastructure. D'après les informations fournies par le panel d'affiliés, Group-IB estime que World Leaks reprendra ses activités, bien qu'aucune divulgation ne figure pour l'instant sur ce site dédié aux fuites de données.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Hunters International n'est pas le premier groupe à abandonner le chiffrement pour se consacrer exclusivement à l'extorsion de données. Cependant, la liste est courte. Il ne semble pas que cela suffise pour envisager un abandon général du chiffrement, d’autant plus que celui-ci exerce une pression supplémentaire sur les victimes et peut être plus susceptible de déboucher sur le paiement d’une rançon.
Il sera intéressant de voir combien de groupes emboîteront le pas en passant des ransomwares à l'extorsion pure et simple, et combien continueront à investir dans le développement de leurs méthodes de chiffrement.
Group-IB a également publié des informations techniques (s'ouvre dans un nouvel onglet) concernant le ransomware Hunters International et la manière dont il cible différents systèmes d'exploitation.
Les ransomwares restent une menace majeure
Le dernier rapport « Rapid7’s » de (s'ouvre dans un nouvel onglet) analyse les données relatives aux ransomwares pour le premier trimestre de l'année 2025, soulignant la nécessité pour les entreprises de continuer à se protéger de manière proactive contre ces menaces.
Ce rapport aborde plusieurs tendances notables, notamment le réinvestissement des rançons, les offres repackagées, la restructuration des groupes, et bien d'autres encore.
Principales conclusions du rapport sur le ransomware « Key Rapid7 »
Selon les données de Rapid7, 80 groupes de ransomware actifs étaient recensés au cours du premier trimestre de 2025, dont 16 étaient nouveaux au début de l'année.
Le groupe qui s'est nettement démarqué était le Cl0p. Parmi les secteurs les plus visés au cours de ce trimestre figuraient l'industrie manufacturière, les services aux entreprises et le secteur de la santé, tandis que les pays les plus visés étaient les États-Unis, le Canada et le Royaume-Uni.
Réinvestissement des sommes versées en rançon
Rapid7 a rassemblé des informations issues d' s provenant des fuites de discussions sur Black Basta (s'ouvre dans un nouvel onglet) datant du mois de février, et en a conclu que les groupes spécialisés dans les ransomwares réinvestissent les rançons perçues pour acheter des vulnérabilités « zero-day ».
En parcourant les historiques de discussion, les chercheurs ont découvert qu'une faille « zero-day » d'Ivanti Connect Secure 2023 avait été proposée au groupe au prix de 200 000 dollars. Bien qu’il n’y ait aucune confirmation indiquant que ce groupe ait effectivement procédé à cet achat, et que celui-ci ne corresponde pas aux CVE d’Ivanti Connect Secure publiés peu après, cela met néanmoins en évidence le fait que certains acteurs pourraient acheter des exploits « zero-day » de type « » (s’ouvre dans un nouvel onglet) grâce à l’argent tiré des rançons.
Cela a été confirmé lorsque Rapid7 a découvert des preuves indiquant que Black Basta avait acheté un exploit destiné au pare-feu Juniper.
Reconditionnement des ransomwares
Les groupes d'auteurs de ransomware réutilisent également d'anciennes variantes. A notable example in 2025 so far is the alleged resurgence of Babuk (opens in a new tab), which was discovered to be merely code taken from RansomHub, FunkSec, and LockBit.
Restructuration des groupes d'auteurs de ransomware
Comme nous le constatons chaque trimestre, les groupes d'auteurs de rançongiciels continuent de se restructurer : certains disparaissent progressivement, de nouveaux groupes apparaissent et les affiliés passent d'un groupe à l'autre.
Dans ce contexte, de nombreux groupes auteurs de ransomware procèdent également à un changement d'identité.
Les groupes de ransomware à surveiller en 2025
Rapid7 recommande de suivre de près les groupes suivants, sur la base de ses données du premier trimestre de 2025 :
- RansomHub
- Cl0p
- Anubis
- Lynx
- Qilin
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Le document Rapid7 résume bien le paysage actuel des menaces liées aux ransomwares, en affirmant : « C'est le statu quo, et les affaires marchent très bien. » Les ransomwares continuent de se multiplier à un rythme soutenu, tandis que de nouveaux acteurs ne cessent de faire leur apparition sur le marché. Tout porte à croire que cette menace est là pour durer.
Il est intéressant de noter que Rapid7 souligne que de nombreux groupes adoptent la mentalité « si ça marche, ne changez rien » plutôt que de s'adapter en permanence et d'introduire de nouvelles menaces. Le rapport met également en avant les mesures clés (s'ouvre dans un nouvel onglet) que les organisations peuvent prendre pour garantir leur sécurité.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos récentes synthèses sur les cybermenaces publiées par : (s'ouvre dans un nouvel onglet),et .
