Vue d’ensemble
Le groupe de rançon Everest collecte et analyse des informations sur ses victimes. Il se spécialise dans les données personnelles de clients, les informations financières, les bases de données, les données de cartes bancaires, etc. Il divulgue les données de la victime sur le dark web et a annoncé que toute victime qui ne le contacterait pas subirait une fuite de données, et que ses fichiers ne seraient pas supprimés pour un usage ultérieur.
- Premier suivi: 2021-09-09
- Citée dans nos rapports: France · Synthèse du Golfe · Koweït · Qatar · Émirats
Ce que disent les sources publiques
- Groupe russophone actif depuis au moins décembre 2020. Les chercheurs décrivent un modèle triple : double extorsion, courtage d’accès initial et programme de recrutement d’initiés en entreprise (depuis fin 2023). Un recoupement technique avec BlackByte est rapporté.
Daily Security Review · BankInfoSecurity
Géographie : origine et cibles
Origine estimée: Russie. Groupe russophone ; son chiffreur évite les systèmes aux paramètres régionaux de la CEI. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
États-Unis d'Amérique116
Italie14
Émirats Arabes Unis12
Allemagne12
Royaume-Uni12
Japon10
Espagne10
Canada7
Inde6
Suisse6
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Furtivité (TA0005)
- T1027 · Obfuscated Files or Information: Binaire protégé par ConfuserEx : obfuscation par renommage, chiffrement des constantes, confusion des entiers et module .cctor modifié.
- T1027.007 · Obfuscated Files or Information: Dynamic API Resolution: Tous les appels d’API natives hors corlib sont résolus à l’exécution via LoadLibrary / GetProcAddress plutôt que par des imports statiques.
- T1078.003 · Valid Accounts: Local Accounts: Usurpation implicite de l’utilisateur courant pour les connexions net use \\<unc> vers les partages réseau découverts, sans transmission explicite d’identifiants.
- T1112 · Modify Registry: Plusieurs écritures dans le registre HKCU/HKLM : LongPathsEnabled, LocalAccountTokenFilterPolicy, EnableLinkedConnections (accès aux partages), WallPaper (note de rançon), AppName\PublicKey (stockage de la clé de chiffrement).
- T1140 · Deobfuscate/Decode Files or Information: Déchiffrement à l’exécution des UserStrings via <Module>.m, par décompression GZip suivie d’un décodage Base64.
- T1480 · Execution Guardrails: Un mutex global <GUID> impose une exécution à instance unique ; un géorepérage par culture/LCID empêche l’exécution sur les systèmes aux paramètres régionaux de la CEI.
- T1564 · Hide Artifacts: La DACL du processus est réglée sur « refuser à tout le monde » via KZsyzkgZlDQw.UB, empêchant les autres processus d’inspecter ou de terminer celui du rançongiciel.
- T1622 · Debugger Evasion: Heuristique « tueur de gourmands en mémoire » : les processus consommant plus de 250 Mo sont terminés, ce qui vise les bacs à sable et les débogueurs actifs.
Découverte (TA0007)
- T1018 · Remote System Discovery: Analyse de la table ARP via arp -a ; envoi de paquets Wake-On-LAN pilotés par ARP aux hôtes découverts pour les allumer avant le chiffrement.
- T1135 · Network Share Discovery: Énumération des partages réseau via net view, NetDfsEnum, WNetEnumResource*, la classe WMI Win32_Share et Win32_NetworkConnection.
- T1518.001 · Software Discovery: Security Software Discovery: Une liste d’arrêt anti-analyse est comparée à ProcessName et MainWindowTitle pour identifier et terminer les outils de sécurité et d’analyse.
- T1614.001 · System Location Discovery: System Language Discovery: Un contrôle de culture/LCID sert de géorepérage d’exclusion ; l’exécution est abandonnée si les paramètres régionaux correspondent à des langues de la région CEI.
Déplacement latéral (TA0008)
- T1021.002 · Remote Services: SMB/Windows Admin Shares: net.exe use \\<unc> est exécuté sur les partages SMB découverts pour accéder aux systèmes de fichiers distants et les chiffrer.
Commande et contrôle (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: WebClient.DownloadData est référencé dans Helpers.DownloadUrl : présent dans le code mais inaccessible à l’exécution (chemin de code inerte).
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Chiffrement AES-128-CBC PKCS#7 / NoPadding (gros fichiers) de tous les fichiers éligibles sur les disques locaux, les volumes montés sans lettre et les partages du réseau local.
- T1489 · Service Stop: ServiceController.Stop est appelé sur une centaine de services (antivirus, sauvegarde, MSSQL, Exchange, MBAM, Veeam, Acronis, etc.), combiné à sc config <svc> start=disabled pour empêcher leur redémarrage.
- T1490 · Inhibit System Recovery: Suppression des VSS via PowerShell ou vssadmin, SRRemoveRestorePoint, suppression des fichiers de sauvegarde (del /s /q), vidage de la corbeille (rd /s /q), et Restart Manager pour forcer l’arrêt des applications verrouillant les fichiers cibles.
Outils
- ProcDump
- SoftPerfect NetScan
- Cobalt Strike
- Metasploit
- Meterpreter
- AnyDesk
- Atera
- Splashtop
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| — | Files | aihvh6j6fbkfjyc6jqbsh2ed4s3rym2v2pu6kd3z3exdso2xc2qwcuqd[.]onion | Non |
| Everest | DLS | everestndkvzcibcje2cqxhre2hmmybl3rn2gwzwsblz7gx6uryn5rad[.]onion | Oui |
| Everest File Server | Files | 4p2hmbuy36oau64fcvwz2yvdw7eptlkionm46p2m2cs6dmhone5mxiyd[.]onion | Oui |
| — | DLS | ransomocmou6mnbquqz44ewosbkjk3o5qjsl3orawojexfook2j7esad[.]onion | Oui |
| — | Files | bifpwatchoxp7tsb2kpes37b23ogjrb2kj4wgr7yncf4hhgsfahu7jad[.]onion | Non |
| — | Files | 2vqamwfdpis5rkjtpkutigykp56n6hkxfurm6qukdxp6uz5uff5kkaid[.]onion | Non |
| — | DLS | ransomoefralti2zh5nrv7iqybp3d5b4a2eeecz5yjosp7ggbepj7iyd[.]onion | Non |
| — | Files | gxp6yt3wdj7yky27j37jfrrbkuy24n2zo5uxyuoy23uf76d6m2gnfpid[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11