Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur Shanya, un nouveau « packer-as-a-service » (PaaS) qui se répand rapidement parmi les groupes d'auteurs de rançongiciels. L'équipe se penche ensuite sur GrayBravo, un acteur malveillant sophistiqué qui cible activement des secteurs tels que la logistique et l'hôtellerie par le biais d'attaques de type « », de hameçonnage, de publicités malveillantes et de fausses mises à jour logicielles. Pour finir, nous concluons par un aperçu des Storm-0249’s dernières stratégies visant à exploiter les outils de détection et de réponse aux incidents (EDR).
La plateforme PaaS Shanya se répand parmi les groupes d'auteurs de ransomware
Sophos publie des informations sur Shanya, un nouvel outil PaaS qui semble être en train de remplacer d'anciens services tels que HeartCrypt au sein de l'écosystème cybercriminel.
Les services de « packer » sont des outils qui chiffrent ou masquent les logiciels malveillants afin d'échapper à la détection. Les cybercriminels utilisent désormais Shanya pour dissimuler un ransomware derrière une couche d'obfuscation de type « », ce qui lui permet de contourner les défenses anti-malware.
Promotions clandestines
Vers la fin de l'année 2024, Sophos a découvert, sur des forums clandestins, des références à une offre baptisée « VX Crypt ». L'offre a été attribuée à « Shanya », bien que l'identifiant de l'auteur n'ait aucun rapport avec celle-ci. Cependant, le pseudonyme Telegram de l'auteur comprenait le mot « shanya ».
L'article affirme que cette offre comprenait des fonctionnalités permettant de contourner l'AMSI, d'assurer une protection en temps réel et de procéder à un « sideloading ». Les caractéristiques de ce packer correspondent à celles d’un autre packer observé par Sophos, ce qui les amène à penser qu’il s’agit du même PaaS.
Dans les premiers échantillons, Sophos a identifié des noms de fichiers exécutables et de DLL qui utilisaient la chaîne « shanya » ou une variante de celle-ci. Ils ont également constaté des cas où un « EDR killer » et le logiciel malveillant CastleRAT utilisaient tous deux des fichiers malveillants créés par le service Shanya.
Shanya a été observée aux quatre coins du monde tout au long de l'année 2025.
Les exécutables compressés
Sophos a analysé un échantillon constituant une variante d’un « EDR killer », qui contenait une grande quantité de code inutile, mais dont il a finalement été établi qu’il « créait un décrypteur et un chargeur dans une zone de mémoire, qui décryptaient ensuite la charge utile ».
- Pour commencer, Shanya crée un tableau contenant les principales informations relatives à l'exécution.
- Le pointeur vers ce tableau est masqué dans le bloc d'environnement du processus (PEB), au niveau du champ GdiHandleBuffer.
- À partir de là, chaque étape du logiciel malveillant peut simplement récupérer le PEB pour retrouver le pointeur vers la table de configuration, ce qui réduit son empreinte mémoire.
- Shanya est également capable de résoudre de manière dynamique les fonctions requises de l'API Windows et d'effectuer des contrôles anti-analyse.
Exemples d'utilisation notables
Selon Sophos, ce logiciel malveillant de type « EDR killer » protégé par Shanya a été utilisé dans le cadre d'opérations de « sideloading » de DLL.
Sophos souligne également que le « EDR killer » déploie deux pilotes de noyau, dont l'un est légitime mais vulnérable, et l'autre malveillant et non signé.
Le rapport contient une longue liste de services et de processus concernés, disponible à l'adresse suivante : . Si l'un de ces éléments est détecté sur l'appareil, celui-ci est mis hors service.
Sophos décrit également une campagne réelle qui a utilisé Shanya, en ciblant spécifiquement les hôtels. Cette campagne provient du site septembre 2025 et s'agissait d'une campagne ClickFix qui s'appuyait sur Booking.com.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Shanya PaaS formalise le processus menant de l'EDR-killer au ransomware grâce à son mécanisme de neutralisation des défenses. En substance, cela revient à transformer des techniques de contournement sophistiquées en un service par abonnement destiné aux acteurs souhaitant améliorer la fiabilité de leurs attaques.
Comme le souligne Sophos, ce phénomène n'est pas près de disparaître et ne fera que continuer à évoluer.
GrayBravo étend sa présence
Selon le rapport « » publié par Recorded Future, GrayBravo (anciennement TAG-150) fonctionne vraisemblablement selon un modèle de « malware-as-a-service » (malware en tant que service) et déploie CastleLoader sur plusieurs clusters ciblant les secteurs de la logistique et de l'hôtellerie par le biais du phishing, de la publicité malveillante et de fausses mises à jour logicielles.
L'infrastructure et les outils du groupe font preuve d'une grande adaptabilité et intègrent des fonctionnalités avancées telles que le vol d'identifiants, l'accès à distance et des systèmes de commande et de contrôle à plusieurs niveaux (C2).
Qui est GrayBravo ?
GrayBravo (anciennement TAG-150) est un acteur malveillant sophistiqué actif depuis au moins mars 2025. Cet acteur est connu pour ses capacités de développement rapide et ses familles de logiciels malveillants sur mesure, parmi lesquelles figurent CastleLoader, CastleBot et CastleRAT.
Recorded Future estime que ce groupe exploite un écosystème de « malware-as-a-service » (MaaS), s'appuyant sur une infrastructure à plusieurs niveaux et des techniques avancées de dissimulation, et comportant quatre pôles d'activité distincts.
GrayBravo exploite une infrastructure complexe à plusieurs niveaux pour soutenir son écosystème de logiciels malveillants. Les serveurs de niveau 1 servent de nœuds de commande et de contrôle destinés aux victimes pour leurs familles de logiciels malveillants, tandis que les niveaux supplémentaires offrent des fonctionnalités à plusieurs niveaux.
Les variantes de CastleRAT
Le rapport de Recorded Future contient des informations détaillées sur le logiciel malveillant CastleRAT, qui existe à la fois en version C et en version Python. Quelle que soit la variante, elle permet l'exécution de commandes à distance, le téléchargement et l'exécution de fichiers, ainsi que la mise en place d'un shell interactif à distance. La variante C offre quelques fonctionnalités supplémentaires.
En ce qui concerne l'infrastructure, Recorded Future a identifié d'importants chevauchements opérationnels entre plusieurs nœuds partageant la clé RC4 « NanuchkaUpyachka ». Ils ont également mis en évidence un degré d'interconnexion qui pourrait indiquer l'existence d'un cadre de déploiement commun à CastleRAT et CastleLoader.
Pôles d'activité
Recorded Future a identifié quatre groupes d'activités liés au déploiement de CastleLoader :
- Groupe 1 : Le premier groupe d'activité, identifié par Recorded Future sous le nom de TAG-160, cible activement le secteur de la logistique. Ce groupe a été observé en train d'utiliser la technique « ClickFix » pour déployer CastleLoader et exploiter des vulnérabilités, tout en tirant parti de plateformes légitimes de mise en relation entre expéditeurs et transporteurs, notamment DAT Freight & Analytics et Loadlink Technologies.
- Cluster 2 : le Cluster 2 (TAG-161) est connu pour se faire passer pour Booking.com. Ce groupe utilise également la technique ClickFix pour déployer CastleLoader et Matanbuchus.
- Groupe 3 : Ce groupe usurpe également l'identité de Booking.com, exploite les techniques ClickFix et utilise les pages Steam pour diffuser à la fois CastleRAT et CastleLoader. À ce stade, Recorded Future n'a identifié aucun chevauchement technique entre le deuxième et le troisième groupe.
- Groupe 4 : Ce dernier groupe utilise des publicités malveillantes et de faux programmes d'installation de logiciels pour diffuser CastleLoader et NetSupport RAT. Il s'appuie sur de faux dépôts GitHub pour diffuser des charges utiles CastleLoader, qui se présentent généralement sous la forme de programmes d'installation MSI signés électroniquement.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
GrayBravo illustre parfaitement l'industrialisation de la cybercriminalité, dans le cadre de laquelle certains acteurs fournissent des logiciels malveillants modulaires et une infrastructure à leurs affiliés.
Le rôle de CastleLoader en tant que mécanisme de diffusion flexible s'inscrit dans la tendance générale qui voit les logiciels malveillants à usage unique céder la place à des chargeurs en plusieurs étapes permettant l'exécution de ransomwares, de programmes de vol d'informations et de RAT.
L'utilisation par le groupe de systèmes C2 à plusieurs niveaux et redondants lui permet de poursuivre ses activités si un domaine ou une adresse IP est détecté et bloqué.
Storm-0249 exploite les processus EDR pour dissimuler ses activités malveillantes
Selon ReliaQuest, le courtier d'accès initial Storm-0249 est passé de campagnes de hameçonnage à grande échelle à l'exploitation des outils EDR. Ce groupe utilise des techniques telles que le chargement latéral de DLL et l'exploitation abusive de processus de confiance pour s'assurer une persistance furtive.
Cette évolution permet aux affiliés des auteurs de ransomware de contourner les défenses traditionnelles et de conserver un accès à long terme, tout en dissimulant leurs activités malveillantes au sein d'opérations de sécurité légitimes.
Storm-0249’s nouvelles tactiques
Storm-0249’s attaques récentes ont été lancées via ClickFix. Il utilise également diverses techniques, notamment l'usurpation de domaine Microsoft et le piping Curl-to-PowerShell, ainsi que le sideloading de DLL, pour cibler les agents SentinelOne.
Une fois que Storm-0249 aura obtenu l'accès, le groupe utilisera l' r curl.exe (un outil faisant l'objet d'une grande confiance parmi les équipes informatiques). Le script malveillant est hébergé sur une URL qui imite un domaine Microsoft afin de faire croire aux utilisateurs qu’il provient d’une source légitime.
Curl télécharge des scripts malveillants à partir de faux domaines Microsoft, puis les transfère dans la mémoire de PowerShell afin de contourner la détection basée sur les signatures. Comme le souligne ReliaQuest, « comme elles s'exécutent entièrement en mémoire, les détections traditionnelles basées sur des signatures ne détectent absolument pas cette activité ».
Retourner les logiciels de sécurité contre eux-mêmes
Selon ReliaQuest, Storm-0249 a démontré sa capacité à injecter son code malveillant en manipulant un exécutable légitime de SentinelOne.
Dans le cadre de cette attaque, l'utilisateur doit être amené à exécuter un package MSI malveillant qu'il télécharge depuis le faux site de Microsoft. Le paquet téléchargé nécessite des privilèges système, ce qui permet à l'auteur de la menace de disposer de ce dont il a besoin pour exécuter le véritable code malveillant.
Le package MSI contient une DLL qui se fait passer pour un composant EDR de SentinelOne et qui l'installe dans le dossier AppData de l'utilisateur. Grâce au chargement parallèle de DLL, c'est la DLL malveillante qui est chargée au lancement de SentinelOne, à la place de la DLL légitime.
Canaux de communication dissimulés
In addition to updating some of their tactics, the group has also changed its C2 communication approach.
Auparavant, le logiciel malveillant établissait des communications directes C2 , ce qui générait du trafic sortant et était facile à détecter. À l'heure actuelle, ce groupe exploite de manière abusive certains composants fiables du logiciel SentinelOne pour établir sa communication « C2 », ce que ReliaQuest souligne comme étant préoccupant, car cela se produit au sein d'un logiciel figurant sur la liste blanche.
Reconnaissance sous couverture
ReliaQuest a également constaté que l'acteur menait des activités de reconnaissance à l'aide d'utilitaires Windows légitimes qu'il est « pratiquement impossible de bloquer sans perturber les opérations informatiques ».
Une fois que l'exécutable SentinelAgentWorker.exe d' a été compromis, l'acteur a pu exécuter les commandes reg.exe et d'autres commandes afin d'obtenir des identifiants système. ReliaQuest souligne que cela pourrait s'inscrire dans le cadre d'une préparation face aux affiliés de groupes de ransomware.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Comme le montre cet exemple, les pirates exploitent de plus en plus les outils de sécurité de confiance pour échapper à la détection.
L'utilisation abusive de processus EDR légitimes met en évidence à quel point la confiance accordée aux logiciels peut devenir un risque et comment les attaques de type « chaîne d'approvisionnement » ( ) font preuve d'une créativité croissante. Voici un nouvel exemple illustrant la nécessité de recourir à l'analyse comportementale plutôt qu'aux défenses basées sur les signatures.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
