Nouveau variant ransomware Settra : analyse de deux incidents observés depuis juillet 2026

📅 Source : Huntress Blog — publié le 17 septembre 2026 (https://www.huntress.com/blog/new-settra-ransomware-variant)

🔍 Contexte Settra est un variant ransomware apparu pour la première fois en juin 2026. Selon les rapports publics disponibles, les attaquants exploitent des VPN ou des identifiants compromis pour l’accès initial. Huntress a investigué deux incidents impliquant ce ransomware depuis juillet 2026.

⚙️ Méthodes opérationnelles observées Dans les deux intrusions analysées, un schéma opérationnel très similaire a été relevé :

• Les exécutables ransomware étaient nommés d’après le domaine de l’organisation victime
• Déploiement d’outils RMM (Remote Monitoring and Management) pour la persistance
• Chiffrement des fichiers des victimes
• Dépôt de notes de rançon nommées RESTORE_FILES.txt
• Effacement des journaux d’événements Windows
• Désactivation des options de récupération Windows

🛠️ Éléments notables L’un des deux incidents présente des indicateurs de technique BYOVD (Bring Your Own Vulnerable Driver). Par ailleurs, une faute de frappe commise par les attaquants lors de l’attaque les a empêchés d’effacer le journal d’événements Windows Defender.

📌 Type d’article Il s’agit d’une analyse technique et rapport d’incident publié par Huntress, visant à documenter le comportement opérationnel du ransomware Settra à partir de cas réels investigués.

🧠 TTPs et IOCs détectés

TTP

• T1078 — Valid Accounts (Initial Access)
• T1133 — External Remote Services (Initial Access)
• T1219 — Remote Access Software (Command and Control)
• T1486 — Data Encrypted for Impact (Impact)
• T1070.001 — Indicator Removal: Clear Windows Event Logs (Defense Evasion)
• T1490 — Inhibit System Recovery (Impact)
• T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)

IOC

• Fichiers : RESTORE_FILES.txt

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 21 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Settra (ransomware)

🟡 Indice de vérification factuelle : 46/100 (moyenne)

• ✅ huntress.com — source reconnue (liste interne) (20pts)
• ✅ 956 chars — extrait court (5pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 8 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.huntress.com/blog/new-settra-ransomware-variant