Double Extorsion

Selon ASEC (AhnLab), le groupe « Underground » conduit des attaques ransomware continues à l’échelle mondiale, avec une reprise d’activité confirmée par l’ouverture d’un Dedicated Leak Site (DLS) en mai 2024. • Contexte et cibles. Identifié initialement en juillet 2023, Underground pratique la double extorsion (chiffrement + vol de données avec divulgation publique en cas de non‑paiement). Des victimes sont listées aux EAU, États‑Unis, France, Espagne, Australie, Allemagne, Slovaquie, Taïwan, Singapour, Canada et Corée du Sud, couvrant des secteurs variés (construction, design intérieur, manufacturing, IT), avec des revenus de 20 M$ à 650 M$. Le groupe ne discrimine pas par pays, secteur ou taille, et ses attaques augmentent globalement. ...

Selon canadianrecycler.ca (Toronto, Ontario), une attaque survenue le 6 août au soir a visé des entreprises utilisant le logiciel d’accès à distance SimpleHelp, touchant environ 300 recycleurs automobiles en Amérique du Nord, dont au moins quatre au Canada. • Type d’attaque: ransomware. Les victimes ont été verrouillées hors de leurs bases de données et ont reçu des notes de rançon exigeant un paiement pour restaurer l’accès. Parmi les entreprises nommées, Plazek Auto Recycling (près de Hamilton, Ontario) a découvert au matin des ordinateurs verrouillés et 30 copies identiques d’une note de rançon imprimées. L’entreprise n’a pas payé, s’appuyant sur des sauvegardes mises en place après un incident similaire en 2019, ce qui lui a permis de nettoyer le malware et de récupérer toutes ses données sauf quelques heures d’enregistrements. D’autres entreprises canadiennes citées incluent Millers Auto Recycling (Fort Erie, Ontario) et Marks Parts (Ottawa), qui ont également pu restaurer l’accès aux données. ...

Selon SuspectFile (SuspectFile.com), cette interview présente Securotrop, un groupe de ransomware apparu début 2025 qui opère comme affilié RaaS sur l’écosystème Qilin, avec une image séparée et une approche sélective centrée sur l’exploitation des données exfiltrées. • Positionnement et cible: Securotrop se veut distinct par une focalisation sur l’analyse des documents exfiltrés (états financiers, P&L, listes d’actifs, clients, documents opérationnels). Le groupe affirme éviter les secteurs santé et gouvernement pour viser des cibles commerciales et maintient un blog .onion indépendant listant actuellement 10 victimes au format texte. L’objectif est de bâtir une réputation de constance dans la tenue des promesses de publication/leak. 🔎 ...

Selon TRM Labs, Embargo est un acteur ransomware sophistiqué apparu en avril 2024 qui aurait récolté environ 34,2 M$ en paiements. Le groupe cible principalement les organisations de santé aux États-Unis, ainsi que les services aux entreprises et la manufacture, et pratique la double extorsion. Sur le plan technique, Embargo opère en RaaS (ransomware-as-a-service) avec un malware en Rust doté de capacités avancées d’évasion. Les vecteurs d’accès initiaux incluent l’exploitation de vulnérabilités non corrigées et des attaques de social engineering. Le groupe utilise un outil en deux parties pour désactiver les solutions de sécurité avant l’encryption des fichiers. ...

L’article analyse le ransomware Secp0, apparu début 2025, qui a initialement été mal compris comme un groupe d’extorsion de divulgation de vulnérabilités, mais qui fonctionne en réalité comme un ransomware traditionnel à double extorsion, chiffrant les données tout en menaçant de les divulguer publiquement. Secp0 a été identifié pour la première fois en février 2025 et a revendiqué sa première victime en mars 2025, une entreprise IT américaine, en compromettant des données et en chiffrant des serveurs. En mai 2025, Secp0 a retardé ses publications, citant une file d’attente de sociétés et testant une solution logicielle, probablement la plateforme d’extorsion World Leaks. ...

Cet article, publié par Bleepingcomputer, rapporte une attaque de ransomware menée par le groupe DragonForce. Les attaquants ont ciblé un fournisseur de services gérés (MSP) en utilisant la plateforme SimpleHelp pour accéder aux systèmes des clients et y déployer des encryptors. Les chercheurs de Sophos, appelés pour enquêter, ont découvert que les attaquants ont exploité une chaîne de vulnérabilités de SimpleHelp, identifiées comme CVE-2024-57727, CVE-2024-57728, et CVE-2024-57726. Ces failles ont permis aux cybercriminels de réaliser des actions de reconnaissance sur les systèmes des clients, collectant des informations sensibles telles que les noms de dispositifs, les configurations, les utilisateurs et les connexions réseau. ...

DCSO a rapporté un incident de sécurité impliquant un de ses clients, victime d’une campagne de ransomware orchestrée par le groupe SafePay. SafePay utilise une stratégie de double extorsion, combinant le vol de données et leur chiffrement pour faire pression sur les victimes. Ce groupe n’hésite pas à contacter directement les victimes, y compris par appels téléphoniques, pour accroître la pression et forcer le paiement. Bien que le ransomware SafePay présente des similitudes avec d’autres souches de ransomware, DCSO estime que cela résulte d’une inspiration plutôt que d’une origine commune. SafePay cible principalement des entreprises situées en Allemagne et aux États-Unis. ...

Le 23 avril 2025, une nouvelle menace a été identifiée par Talos, un acteur de menace financièrement motivé appelé ‘ToyMaker’. ToyMaker exploite des systèmes vulnérables exposés à Internet pour déployer son backdoor personnalisé, ‘LAGTOY’. Ce logiciel malveillant peut être utilisé pour créer des coquilles inversées et exécuter des commandes sur les points d’extrémité infectés. Une fois le système compromis, ToyMaker peut transférer l’accès à un autre acteur de menace, en particulier ‘Cactus’, un gang de double extorsion. Cactus utilise ses propres tactiques, techniques et procédures (TTPs) pour mener des actions malveillantes sur le réseau de la victime. ...

Cisco Talos a découvert une attaque sophistiquée sur des infrastructures critiques orchestrée par ToyMaker et Cactus. Les attaquants ont utilisé le backdoor LAGTOY pour mener un schéma de double extorsion. L’attaque a été qualifiée de ‘relentless’, suggérant une campagne soutenue et agressive. Les détails spécifiques de l’infrastructure ciblée et les conséquences de l’attaque ne sont pas mentionnés dans l’extrait. En 2023, les chercheurs de Cisco Talos ont mis au jour une compromission à grande échelle d’une entreprise d’infrastructure critique. L’un des acteurs identifiés dans l’enquête est un courtier d’accès initial surnommé ToyMaker. ...

PE32 est une nouvelle variante de ransomware récemment détectée, dont les capacités sont relativement basiques, mais qui présente un mode de communication inédit : l’utilisation de Telegram. Cette méthode, plus commune dans les logiciels de vol de données (stealers), est ici appliquée pour contrôler le ransomware à distance et transmettre les informations d’infection. ⚙️ Fonctionnement Une fois exécuté, PE32 : Attend une commande de l’opérateur pour déterminer l’étendue du chiffrement (soit seulement le dossier courant, soit l’ensemble du système). Cible des répertoires visibles comme le Bureau de l’utilisateur. Ajoute l’extension .pe32s aux fichiers chiffrés. Génère une note de rançon dans un dossier spécifique C:\PE32-KEY, au lieu de l’afficher directement sur le Bureau. Le comportement du malware est bruyant, ce qui signifie qu’il ne cherche pas à rester discret. Il chiffre des fichiers parfois non critiques, ce qui peut causer des alertes systèmes ou des utilitaires de réparation spontanés. ...