📅 Source : Securelist (Kaspersky), publié le 30 juillet 2026. Analyse technique approfondie du ransomware GenieLocker, attribué au groupe Toy Ghouls (alias Bearlyfy, Labubu, Laboo.boo), actif depuis mars 2026 contre des organisations situées en Fédération de Russie.

🎯 Contexte et attribution Toy Ghouls est un groupe à motivation financière qui s’appuyait auparavant sur des ransomwares tiers (RedAlert, LockBit, Babuk). GenieLocker constitue leur premier outil de chiffrement développé en interne, réduisant leur dépendance aux logiciels tiers. Les secteurs principalement touchés sont : industrie manufacturière, construction, services financiers, commerce de détail et technologie.

🔓 Chaîne d’attaque documentée (mars 2026)

  • Accès initial : connexion OpenVPN depuis le réseau d’un partenaire externe via des identifiants volés mais valides (exploitation de la relation de confiance)
  • Découverte et collecte de credentials : déploiement d’OpenSSH, socks5.exe, SoftPerfect Network Scanner, Mimikatz ; accès aux bases KeePassXC pour extraction de mots de passe
  • Mouvement latéral : RDP (Windows), SSH (Linux), déploiement massif via PsExec et PAExec ; tunnel SSH inversé vers le C2
  • Impact : chiffrement des machines Windows (PE) et des serveurs Linux/ESXi (ELF), arrêt préalable des VMs actives

🪟 Variante Windows (PE)

  • Écrit en C, compilé avec MSVC/C++, utilise la bibliothèque libsodium
  • Argument secret (hex, max 4096 octets) hashé en SHA-256 comparé à une valeur codée en dur — protection anti-sandbox et anti-réutilisation
  • Anti-debugging : IsDebuggerPresent, CheckRemoteDebuggerPresent, thread watchdog toutes les 500ms, vérification d’intégrité CRC32 de la section .text
  • Chiffrement : XChaCha20-Poly1305 (contenu fichier et métadonnées), clé de fichier chiffrée avec Curve25519-XSalsa20-Poly1305 (clé publique maître codée en dur)
  • Extension ajoutée : .03ffc1c4a3da0f02 ; fichiers auxiliaires .lock et .journal créés
  • Pas de note de rançon déposée sur le système — les contacts sont transmis manuellement
  • Listes d’exclusion : dossiers système, extensions système, noms d’hôtes (liste vide dans l’échantillon analysé)
  • Terminaison de processus (SQL, Oracle, Office, VMware, etc.) et arrêt de services (VSS, Exchange, Sophos, Veeam, etc.)

🐧 Variante Linux/ESXi (ELF)

  • Plus simple : pas d’argument secret, pas d’anti-debugging, pas de listes d’exclusion
  • Supporte le double-fork (daemonisation via -d)
  • Modifie /etc/vmware/welcome (Message of the Day ESXi)
  • Répertoire cible par défaut : /vmfs/volumes (ESXi)
  • Schéma cryptographique identique à la version Windows
  • Interface CLI inspirée du style LockBit

🚫 Absence de double extorsion : aucune exfiltration de données détectée, pas de site de fuite.

🔍 Détections Kaspersky : Trojan-Ransom.Win64.Agent.genie, HEUR:TrojanRansom.Win64.Generic, Trojan-Ransom.Linux.Agent.genie

📄 Cet article est une publication de recherche technique (malware description) produite par les équipes GReAT de Kaspersky, visant à documenter les capacités techniques de GenieLocker et fournir des IoCs exploitables à la communauté CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Toy Ghouls (cybercriminal) —

TTP

  • T1078 — Valid Accounts (Initial Access)
  • T1133 — External Remote Services (Initial Access)
  • T1563.002 — Remote Service Session Hijacking: RDP Hijacking (Lateral Movement)
  • T1021.001 — Remote Services: Remote Desktop Protocol (Lateral Movement)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1569.002 — System Services: Service Execution (Execution)
  • T1570 — Lateral Tool Transfer (Lateral Movement)
  • T1003.001 — OS Credential Dumping: LSASS Memory (Credential Access)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1046 — Network Service Discovery (Discovery)
  • T1572 — Protocol Tunneling (Command and Control)
  • T1490 — Inhibit System Recovery (Impact)
  • T1489 — Service Stop (Impact)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
  • T1543.003 — Create or Modify System Process: Windows Service (Persistence)

IOC

Malware / Outils

  • GenieLocker (ransomware)
  • Mimikatz (tool)
  • SoftPerfect Network Scanner (tool)
  • PsExec (tool)
  • PAExec (tool)
  • OpenSSH (tool)
  • RedAlert (ransomware)
  • LockBit (ransomware)
  • Babuk (ransomware)

🟢 Indice de vérification factuelle : 88/100 (haute)

  • ✅ securelist.com — source reconnue (liste interne) (20pts)
  • ✅ 21428 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 37 IOCs dont des hashes (15pts)
  • ✅ 1/1 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Toy Ghouls (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 89.125.66.101 (ip) → VT (7/91 détections)

🔗 Source originale : https://securelist.com/genielocker-ransomware-for-windows-linux-and-esxi/120843/