RaaS

🗾 Contexte Source : The Asahi Shimbun, publié le 6 octobre 2026. Article de presse relatant l’arrestation et l’extradition d’un membre du groupe ransomware Qilin par les autorités japonaises à la demande de l’Allemagne. 👤 Suspect et faits reprochés Les enquêteurs japonais ont détenu en mai 2026 à Osaka un ressortissant russe de 28 ans, identifié comme membre central du groupe Qilin. Il a été remis aux autorités allemandes le 2 octobre 2026 dans le cadre de la loi japonaise sur l’extradition, après une décision de la Tokyo High Court. ...

🔍 Contexte Le Cofense Phishing Defense Center (PDC) a publié le 23 septembre 2026 une analyse portant sur une nouvelle opération Ransomware-as-a-Service (RaaS) orchestrée par le groupe cybercriminel Global Group. 🎯 Acteur de la menace Global Group est un groupe à motivation financière qui opère une plateforme RaaS. Il s’agit d’un rebranding des familles ransomware historiques Black Lock et Mamona, dont il hérite : L’infrastructure backend établie Les artefacts de code réutilisés Une capacité d’extorsion immédiatement scalable 🏢 Cibles Le groupe cible des entreprises de grande envergure et à haute valeur dans différents secteurs industriels, avec un impact potentiel sur l’économie numérique mondiale. ...

🔍 Contexte Publié le 1er septembre 2026 par Sophos sur leur blog officiel, cet article présente les conclusions des chercheurs de la Counter Threat Unit™ (CTU) concernant le groupe de menace GOLD SHERWOOD et son opération ransomware-as-a-service (RaaS) The Gentlemen. L’analyse repose sur 15 intrusions distinctes investiguées par la CTU. 🎯 Acteur et modèle opératoire GOLD SHERWOOD exploite le schéma RaaS The Gentlemen depuis mi-2025, sur un modèle de double extorsion : vol de données avant chiffrement. Les premières victimes ont été publiées sur un site de fuite dédié en septembre 2025, mois durant lequel une annonce de recrutement d’affiliés proposant un partage de rançon 90/10 est apparue sur le forum underground RAMP. ...

📰 Source : The Record Media | Date : 2 septembre 2026 | Contexte : Publication d’un rapport de la société russe de cybersécurité F6 sur un nouveau groupe ransomware pro-ukrainien. 🎯 Acteur de la menace Le groupe VantaCore est identifié comme un probable rebranding du groupe Thor, une opération pro-ukrainienne ayant mené au moins 12 attaques en 2025. VantaCore opère selon un modèle Ransomware-as-a-Service (RaaS), fournissant malware et infrastructure à des affiliés. Le groupe cible exclusivement des organisations russes et aurait au moins 7 victimes connues, détectées dès août 2026, bien que le site de fuite ait été créé début juin 2026. ...

📰 Source : BleepingComputer — Date : 27 août 2026 L’ATF (Bureau of Alcohol, Tobacco, Firearms and Explosives), agence fédérale américaine chargée de l’application des lois sur les armes à feu et les explosifs, a confirmé la compromission d’un de ses systèmes suite à une revendication publiée par le groupe Qilin sur son portail de fuite dark web. 🎯 Nature de l’incident Qilin a ajouté l’ATF à sa liste de victimes sur son site de fuite, sans préciser si des données avaient été exfiltrées ni si une rançon avait été demandée. L’ATF a publié un communiqué de presse le même jour qualifiant l’événement d’« incident majeur », précisant que le système compromis est isolé du réseau principal de l’agence (enterprise network), du système eForms et de tout autre système ATF. ...

🔍 Contexte Publié le 27 août 2026 par la Ransom-ISAC Research Team (avec contributions de Rakesh Krishnan, Ellis Stannard, Eric Taylor, Nick Smart et Yashraj Solanki), cet article constitue une analyse technique approfondie de CRPx0, une opération ransomware-as-a-service (RaaS) active depuis juin 2026. 🎯 Vecteur d’infection et killchain CRPx0 utilise la technique ClickFix : des pages HTML weaponisées imitant des mises à jour Windows/macOS ou des vérifications Google reCAPTCHA copient silencieusement une commande malveillante dans le presse-papiers avant que la victime ne voie les instructions. La victime est ensuite incitée à exécuter cette commande via Win+R (Windows) ou Terminal (macOS). ...

🎯 Contexte Le 18 août 2026, la CISA, le FBI et le Department of Health and Human Services (HHS) ont publié une mise à jour substantielle de l’advisory conjoint AA25-071A (#StopRansomware: Medusa Ransomware), initialement publié le 12 mars 2025. Cette analyse est produite par SafeBreach le 19 août 2026. 🦠 Présentation de Medusa Medusa est une opération ransomware-as-a-service (RaaS) active depuis juin 2021, ayant impacté plus de 500 organisations d’infrastructure critique dans les secteurs médical, éducatif, juridique, assurance, technologie et manufacturing. Le groupe utilise un modèle de double (voire triple) extorsion et recrute des Initial Access Brokers (IABs) via des forums cybercriminels, rémunérés entre 100 $ et 1 million USD. ...

🔍 Contexte Publié le 18 août 2026 par Justin Timothy (Principal Consultant, GRIT) sur le blog de GuidePoint Security, cet article présente les conclusions de l’équipe GRIT suite à plusieurs interventions en réponse à incidents impliquant une entité inconnue se présentant sous le nom “Ransom Busters LTD”. 🎭 Modus Operandi de Ransom Busters Des victimes d’attaques ransomware non encore rendues publiques ont reçu des emails non sollicités de “Ransom Busters LTD”, adressés aux adresses email de domaine de l’entreprise, demandant à contacter le CEO ou la direction IT. Le message type affirmait : ...

🛡️ Contexte Le 10 août 2026, la CISA publie l’advisory AA26-222A concernant Gunra, un ransomware-as-a-service (RaaS) actif depuis 2025 et passé en mode RaaS en 2026. 🎯 Cibles Les affiliés Gunra ciblent principalement : Les gouvernements Les infrastructures critiques D’autres organisations non précisées ⚙️ Mode opératoire Gunra repose sur un modèle de double extorsion : Chiffrement des données des victimes Exfiltration des données avec menace de publication sur un site de fuite dédié (DLS) en cas de non-paiement de la rançon 📋 Objectif de l’advisory L’advisory fournit des détails techniques sur l’activité de Gunra, ainsi que des orientations de détection et de mitigation adaptées aux organisations à risque. ...

🧭 Contexte Article publié le 13 août 2026 par Tammy Harper, chercheuse senior en threat intelligence chez Flare.io, sur LinkedIn. L’article présente une analyse préliminaire d’une nouvelle opération ransomware-as-a-service (RaaS) nommée Panzer, dont les revendications n’ont pas encore été vérifiées indépendamment et ne sont liées à aucune attaque confirmée. 🎯 Description de l’opération Panzer recrute des affiliés via un forum cybercriminel russophone. Le modèle économique proposé est un partage de revenus 80/20 (80% pour l’affilié, 20% pour les opérateurs). La plateforme est présentée comme entièrement automatisée. ...