Ransomware

Un incident de sécurité impliquant plusieurs entités du groupe Mineralogy et Queensland Nickel a été annoncé sur le site de la société minière australienne Mineralogy. L’incident s’est produit le 23 juin 2025, lorsqu’une attaque par ransomware a entraîné un accès non autorisé aux serveurs de ces entreprises. Les entités affectées comprennent notamment Queensland Nickel Group, Waratah Coal Pty Ltd, Central Queensland Coal, Gladstone Pacific Nickel Limited, ainsi que d’autres sociétés affiliées telles que Palmer Coolum Resort et Blue Star Line. Cette attaque a potentiellement compromis des informations personnelles détenues par ces entités. ...

L’article de SecurityAffairs rapporte que le groupe cybercriminel Scattered Spider cible les hyperviseurs VMware ESXi dans les secteurs du commerce de détail, de l’aviation et du transport en Amérique du Nord. Ils utilisent principalement l’ingénierie sociale à travers des appels téléphoniques trompeurs aux services d’assistance informatique pour obtenir des accès, plutôt que d’exploiter des failles logicielles. Leur approche repose sur la tactique de living-off-the-land, exploitant les vulnérabilités humaines pour accéder aux systèmes. Une fois l’accès obtenu, ils abusent de Active Directory pour atteindre VMware vSphere, exfiltrer des données et déployer des ransomwares, tout en contournant les outils de détection des menaces. ...

L’article relate une action menée par les forces de l’ordre pour démanteler les sites web du groupe de ransomware BlackSuit. Ce groupe a été impliqué dans l’extorsion de centaines d’organisations à travers le monde ces dernières années. Le Département de la Justice des États-Unis a confirmé la saisie des domaines de BlackSuit, soulignant que cette action a été autorisée par un tribunal. Les sites .onion de BlackSuit sur le dark web ont été remplacés par des bannières de saisie, indiquant que le groupe a été ciblé par l’agence fédérale U.S. Homeland Security Investigations. ...

L’article, publié par Mandiant, analyse les risques critiques liés à l’intégration de VMware vSphere avec Active Directory, en particulier face aux attaques par ransomware. VMware vSphere est largement utilisé pour la virtualisation des infrastructures privées, mais l’intégration directe avec Microsoft Active Directory (AD), bien qu’elle simplifie la gestion, étend la surface d’attaque de l’AD au niveau de l’hyperviseur. Cette configuration peut transformer un compromis d’identifiants AD en une menace majeure pour l’infrastructure virtualisée. ...

Selon BleepingComputer, les forces de l’ordre ont saisi les sites de fuite sur le dark web du groupe de ransomware BlackSuit, qui a compromis les réseaux de centaines d’organisations dans le monde. Cette action a été confirmée par le U.S. Department of Justice et fait partie d’une opération internationale appelée Operation Checkmate. Les sites .onion de BlackSuit ont été remplacés par des bannières de saisie indiquant l’implication de l’agence U.S. Homeland Security Investigations, en collaboration avec plusieurs autres agences internationales, dont le U.S. Secret Service, la police nationale néerlandaise, et Europol. ...

L’article publié le 24 juillet 2025 met en lumière l’apparition d’un nouveau groupe de Ransomware-as-a-Service (RaaS) nommé Chaos. Ce groupe a émergé dès février 2025 et se distingue par la promotion active de son logiciel de ransomware multi-plateforme sur le forum cybercriminel russe Ransom Anon Market Place (RAMP). Le logiciel de ransomware de Chaos est compatible avec Windows, ESXi, Linux et les systèmes NAS, et se caractérise par des fonctionnalités telles que des clés de chiffrement individuelles pour chaque fichier, des vitesses de chiffrement rapides, et une capacité de balayage des ressources réseau. L’accent est mis sur une encryption rapide et des mesures de sécurité robustes. ...

L’article de Microsoft Security met en lumière l’exploitation active de vulnérabilités critiques dans les serveurs SharePoint sur site, identifiées comme CVE-2025-49706 et CVE-2025-49704, par des acteurs malveillants. Ces vulnérabilités permettent des attaques de spoofing et d’exécution de code à distance, affectant uniquement les serveurs SharePoint sur site et non SharePoint Online. Microsoft a publié des mises à jour de sécurité pour protéger contre ces vulnérabilités, mais avertit que des groupes d’acteurs étatiques chinois, notamment Linen Typhoon et Violet Typhoon, ainsi qu’un acteur nommé Storm-2603, exploitent activement ces failles pour déployer des ransomwares tels que Warlock. ...

Cet article de Google Cloud Threat Intelligence détaille l’attaque sophistiquée menée par le groupe de menace UNC3944, qui cible les environnements VMware vSphere dans les secteurs du commerce de détail, des compagnies aériennes et de l’assurance. L’attaque se déroule en cinq phases : Ingénierie sociale pour compromettre les opérations du help desk et obtenir les identifiants Active Directory. Prise de contrôle du plan de contrôle vCenter via la manipulation du chargeur de démarrage GRUB et le déploiement de Teleport C2. Vol d’identifiants hors ligne par manipulation de disques VM et exfiltration de NTDS.dit. Sabotage de l’infrastructure de sauvegarde par manipulation de groupes AD. Déploiement de ransomware au niveau ESXi utilisant vim-cmd et des binaires personnalisés. Les mesures d’atténuation techniques recommandées incluent : ...

L’article publié sur le blog de Google Cloud traite des risques de sécurité critiques dans les environnements VMware vSphere intégrés avec Microsoft Active Directory. L’analyse met en lumière comment des pratiques de configuration courantes peuvent créer des chemins d’attaque pour des ransomwares et compromettre l’infrastructure. Elle souligne que l’agent Likewise, utilisé pour l’intégration AD, manque de support MFA et de méthodes d’authentification modernes, transformant ainsi un compromis de crédentiel en scénario de prise de contrôle de l’hyperviseur. ...

L’article publié par Coveware met en lumière une évolution significative dans les opérations de ransomware, qui passent de simples attaques opportunistes à des campagnes de social engineering hautement ciblées. Trois groupes majeurs, Scattered Spider, Silent Ransom, et Shiny Hunters, illustrent cette tendance en se concentrant sur des secteurs spécifiques et en utilisant des attaques sophistiquées basées sur l’identité. Les paiements moyens de rançon ont doublé au deuxième trimestre 2025, atteignant plus de 1,1 million de dollars, bien que le taux global de paiement reste faible à 26%. La disparition des modèles traditionnels de RaaS a conduit à une victimologie plus ciblée, avec un risque accru pour les grandes entreprises, les acteurs malveillants investissant davantage de ressources dans un nombre réduit de cibles de haute valeur. ...