Vue d’ensemble
DragonForce est une opération majeure de rançongiciel en tant que service, observée pour la première fois en août 2023. Elle a lancé un programme d’affiliation formel avec 80 % de partage des revenus, puis s’est rebaptisée « cartel de rançongiciels » en 2025, gagnant en notoriété avec des attaques très médiatisées contre des distributeurs britanniques : Marks & Spencer, Co-op et Harrods.
- Premier suivi: 2023-12-13
- Citée dans nos rapports: Bahreïn · France · Synthèse du Golfe · Arabie saoudite · Turquie · Émirats
Ce que disent les sources publiques
Alias: DragonForce Malaysia (hacktivist predecessor, link unconfirmed)
- Né comme collectif hacktiviste propalestinien, dit basé en Malaisie, avant de passer au rançongiciel. Les preuves solides du lien sont limitées : nous n’associons donc aucun pays d’origine.
- Dirige un cartel d’affiliés avec 80 % des revenus. Ses chiffreurs sont partis du builder LockBit 3.0 divulgué, puis d’une base Conti v3 personnalisée. Elle a été liée en 2025 à des attaques contre des distributeurs britanniques, aux côtés du collectif Scattered Spider.
Infosecurity Magazine · Acronis
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique308
Royaume-Uni47
Allemagne32
Canada21
Italie19
Australie18
France13
Hong Kong11
Brésil10
Inde9
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Apache | Log4j | CVE-2021-44228 | Applications | cisa.gov, secureworks.com, blog.talosintelligence.com, trendmicro.com |
| Windows | SmartScreen | CVE-2024-21412 | Microsoft | ransom-isac.com, trendmicro.com |
| Pulse Secure / Ivanti | Ivanti Connect Secure | CVE-2024-21893 | Équipements de bordure | trendmicro.com |
| Pulse Secure / Ivanti | Ivanti Connect Secure | CVE-2024-21887 | Équipements de bordure | cisa.gov, trendmicro.com |
| Pulse Secure / Ivanti | Ivanti Connect Secure | CVE-2023-46805 | Équipements de bordure | trendmicro.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-21762 | Équipements de bordure | ccb.belgium.be, checkpoint.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-55591 | Équipements de bordure | esentire.com, forescout.com, s-rminform.com, checkpoint.com, ccb.belgium.be, checkpoint.com |
| SonicWall | SonicOS SSL-VPN | CVE-2024-40766 | Équipements de bordure | arcticwolf.com, arcticwolf.com, ccb.belgium.be |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57727 | Outils d’administration à distance | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57728 | Outils d’administration à distance | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| Citrix | NetScaler ADC & Gateway | CVE-2025-5777 | Virtualisation | huntress.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Exécution | Évasion des défenses | Découverte | Impact |
|---|---|---|---|
| User Execution | Indicator Removal: File Deletion | File and Directory Discovery | Data Encrypted for Impact |
| Impair Defenses: Disable or Modify Tools |
Détail des techniques
Exécution (TA0002)
- T1204.002 · User Execution: Exécute un fichier malveillant sur le système de la victime.
Évasion des défenses (TA0005)
- T1070.004 · Indicator Removal: File Deletion: Le rançongiciel s’auto-supprime après l’exécution.
- T1562.001 · Impair Defenses: Disable or Modify Tools: Désactive Windows Defender (s’il est actif).
Découverte (TA0007)
- T1083 · File and Directory Discovery: Le rançongiciel énumère les répertoires pour chiffrer les fichiers.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Le rançongiciel utilise le chiffrement des données pour extorquer la victime.
Outils
- Mimikatz
- Advanced IP Scanner
- PingCastle
- SoftPerfect NetScan
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| DragonForce | Blog | DLS | xjhmtitnrdrgzw4vmsghirdoo2fk35a3tzj4enlmah4pvehdspydsiyd[.]onion | Oui |
| — | DLS | dragongoztkdfmnd7jkchznd3fvkpdmeh4vhbt6p3usrlsoy5dw2bhyd[.]onion | Non |
| DragonForce | Leaks | Files | dragonforxxbp3awc7mzs5dkswrua3znqyx5roefmi4smjrsdi22xwqd[.]onion | Non |
| DragonForce | Migration completed | Chat | 3pktcrcbmssvrnwe5skburdwe2h3v6ibdnn5kbjqihsg6eu6s6b7ryqd[.]onion | Oui |
| DragonForce | Migration completed | DLS | z3wqggtxft7id3ibr7srivv5gjof5fwg76slewnzwwakjuf3nlhukdid[.]onion | Oui |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11