Affiliés

Selon l’article de analyst1, en septembre 2025, un opérateur de ransomware se présentant comme « Devman » a partagé un lien vers une nouvelle plateforme de Ransomware-as-a-Service (RaaS) quelques jours avant son lancement public. L’auteur décrit que « Devman » avait travaillé en solo pendant des mois sur du code DragonForce modifié, avant de formaliser une marque et de recruter des affiliés pour opérer en modèle RaaS. 🧩 Le timing est présenté comme inhabituel: quelques semaines auparavant, « Devman » affirmait quitter son équipe ransomware pour des raisons personnelles. Au lieu de se retirer, il a construit davantage d’infrastructure, lancé un programme d’affiliation et s’est positionné comme opérateur RaaS. 🔄 ...

Source: ISMG (article de Mathew J. Schwartz, 16 octobre 2025). Contexte: L’article examine pourquoi l’opération de ransomware-as-a-service Qilin est la plus active pour le deuxième trimestre consécutif, en détaillant son usage d’hébergements bulletproof, sa stratégie d’affiliation et ses principales cibles et tendances. • Qilin s’appuie étroitement sur un réseau de fournisseurs d’hébergement liés à Saint-Pétersbourg (Russie) et Hong Kong, offrant une politique « zero KYC » qui permet d’héberger du contenu illicite hors de portée des forces de l’ordre, selon Resecurity. Le groupe exploite aussi plusieurs services de partage de fichiers situés dans des juridictions complexes pour la mise à disposition et l’exfiltration de données. ...

🚨 Découverte d’une infrastructure liée au ransomware Fog En décembre 2024, les chercheurs du DFIR Report ont découvert un répertoire public exposé sur Internet, hébergeant des fichiers et scripts malveillants probablement utilisés par un affilié du groupe de ransomware Fog. 🔍 Techniques utilisées par l’attaquant L’analyse du contenu a révélé l’emploi d’une large gamme d’outils offensifs permettant de : Obtenir un accès initial via des identifiants VPN SonicWall compromis ; Voler des identifiants Windows avec DonPAPI ; Exploiter Active Directory avec Certipy, Zer0dump ou encore noPac ; Maintenir un accès persistant via AnyDesk, configuré automatiquement par script PowerShell ; Contrôler les machines via Sliver C2 et se déplacer latéralement avec Proxychains ou Powercat. 🌍 Victimes ciblées Les cibles identifiées appartenaient à des secteurs variés tels que : ...