🔍 Contexte

Source : Google Threat Intelligence Group (GTIG), publiĂ© le 15 mai 2026 sur le blog officiel Google Cloud. L’article prĂ©sente une analyse dĂ©taillĂ©e d’une campagne d’extorsion active attribuĂ©e Ă  UNC6671, un acteur opĂ©rant sous la marque BlackFile.

🎯 Acteur et ciblage

UNC6671 est actif depuis dĂ©but 2026 et a ciblĂ© des dizaines d’organisations en AmĂ©rique du Nord, Australie et Royaume-Uni. Le GTIG le distingue formellement de ShinyHunters (UNC6240), bien qu’UNC6671 ait usurpĂ© la marque ShinyHunters dans au moins un cas pour renforcer la crĂ©dibilitĂ© de ses menaces.

⚙ Techniques d’attaque

Le cycle d’attaque repose sur :

  • Voice phishing (vishing) comme vecteur d’accĂšs initial
  • Techniques Adversary-in-the-Middle (AiTM) pour contourner le pĂ©rimĂštre de sĂ©curitĂ© et le MFA
  • Compromission SSO (Single Sign-On), ciblant principalement Microsoft 365 et Okta
  • Exfiltration programmatique de donnĂ©es sensibles via des scripts Python et PowerShell
  • Extorsion post-exfiltration avec un Data Leak Site (DLS) dĂ©diĂ© Ă  la marque BlackFile

🔗 Liens avec d’autres acteurs

Bien qu’UNC6671 ait co-optĂ© la marque ShinyHunters, le GTIG Ă©value les opĂ©rations comme indĂ©pendantes, sur la base de canaux TOX distincts, de patterns d’enregistrement de domaines uniques et du DLS BlackFile propre au groupe.

📄 Nature de l’article

Il s’agit d’une analyse de menace publiĂ©e par le GTIG, dont le but principal est de documenter le cycle opĂ©rationnel d’UNC6671 et de fournir aux dĂ©fenseurs des Ă©lĂ©ments de dĂ©tection et de mitigation contre les menaces centrĂ©es sur l’identitĂ©.

🧠 TTPs et IOCs dĂ©tectĂ©s

Acteurs de menace

TTP

  • T1566.004 — Phishing: Spearphishing Voice (Initial Access)
  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1621 — Multi-Factor Authentication Request Generation (Credential Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1530 — Data from Cloud Storage (Collection)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1657 — Financial Theft (Impact)

🟡 Indice de vĂ©rification factuelle : 50/100 (moyenne)

  • ✅ cloud.google.com — source reconnue (liste interne) (20pts)
  • ✅ 1517 chars — texte partiel (10pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC Ă  vĂ©rifier (0pts)
  • ✅ 9 TTPs MITRE identifiĂ©es (15pts)
  • ⬜ date RSS ou approximĂ©e (0pts)
  • ✅ acteur(s) identifiĂ©(s) : UNC6671, ShinyHunters (5pts)
  • ⬜ pas de CVE Ă  vĂ©rifier (0pts)

🔗 Source originale : https://cloud.google.com/blog/topics/threat-intelligence/blackfile-vishing-extortion-operation

🖮 Archive : https://web.archive.org/web/20260518064857/https://cloud.google.com/blog/topics/threat-intelligence/blackfile-vishing-extortion-operation