Vue d’ensemble
Ce n’est pas un groupe de rançongiciels.
- Premier suivi: 2024-05-26
- Citée dans nos rapports: Synthèse du Golfe · Arabie saoudite · Émirats
Ce que disent les sources publiques
Alias: Handala Hack Team · Void Manticore · Homeland Justice · Karma
- Check Point a rattaché le persona Handala à Void Manticore en mai 2024, et Palo Alto Networks et d’autres le décrivent comme la façade d’une unité destructrice liée au ministère iranien du Renseignement et de la Sécurité (MOIS).
- Le 11 mars 2026, il a revendiqué une attaque par wiper contre Stryker, qui a détourné Microsoft Intune pour effacer les appareils gérés de l’entreprise. Les analystes y voient des représailles aux frappes commencées fin février.
Krebs on Security · Cloud Security Alliance
Géographie : origine et cibles
Origine estimée: Iran. Des évaluations publiques rattachent ce persona au ministère iranien du Renseignement et de la Sécurité (MOIS). L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
Israël70
États-Unis d'Amérique9
Iran4
Palestine2
Royaume-Uni2
Arabie Saoudite1
Émirats Arabes Unis1
Équateur1
Canada1
Italie1
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: VOID MANTICORE a utilisé des comptes valides pour se connecter à l’infrastructure VPN, ainsi que des identifiants valides compromis pour accéder à l’infrastructure de gestion et aux systèmes de contrôle d’entreprise ; elle a aussi validé et testé l’authentification avec des identifiants compromis avant ses actions malveillantes.
- T1078.002 · Valid Accounts: Domain Accounts: VOID MANTICORE a utilisé des identifiants d’administrateur de domaine précédemment compromis pour maintenir un accès persistant.
- T1078.004 · Valid Accounts: Cloud Accounts: VOID MANTICORE a tiré parti de comptes cloud privilégiés pour accéder à des consoles d’administration cloud, dont Microsoft Intune, et a aussi compromis des comptes existants dans l’environnement Microsoft Entra ID.
- T1133 · External Remote Services: VOID MANTICORE a exploité une infrastructure VPN exposée sur Internet pour obtenir un accès initial aux environnements des victimes.
- T1190 · Exploit Public-Facing Application: VOID MANTICORE a exploité des vulnérabilités de services exposés dans les environnements des victimes, dont la CVE-2019-0604 de SharePoint.
- T1199 · Trusted Relationship: VOID MANTICORE a ciblé des fournisseurs informatiques et de services pour obtenir des identifiants, en s’appuyant largement sur des comptes VPN compromis pour l’accès initial.
- T1566 · Phishing: VOID MANTICORE a envoyé aux victimes des courriels de menaces et utilisé l’hameçonnage comme vecteur d’accès initial.
Exécution (TA0002)
- T1047 · Windows Management Instrumentation: VOID MANTICORE a utilisé WMIC pour se connecter à l’hôte de la victime et créer un processus : `process call create “cmd.exe /c copy \\?\\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\system32\config\system c:\users\public”`.
- T1059.001 · Command and Scripting Interpreter: PowerShell: VOID MANTICORE a utilisé PowerShell pour exécuter des logiciels malveillants dans les environnements des victimes.
- T1059.006 · Command and Scripting Interpreter: Python: VOID MANTICORE a utilisé des scripts Python pour exécuter ses charges utiles malveillantes.
- T1072 · Software Deployment Tools: VOID MANTICORE a tiré parti de fonctions légitimes de plateformes d’administration cloud, dont la gestion des appareils mobiles (MDM) et les solutions de supervision et d’administration à distance (RMM), et a aussi lancé des commandes natives d’effacement à distance avec un compte privilégié dans Microsoft Intune.
- T1204.002 · User Execution: Malicious File: VOID MANTICORE a livré des charges utiles malveillantes déclenchées par l’exécution de l’utilisateur, notamment par interaction avec un fichier déguisé, et a utilisé des leurres d’applications piégées pour amener les cibles à exécuter des logiciels malveillants permettant une surveillance persistante.
- T1651 · Cloud Administration Command: VOID MANTICORE a détourné les commandes natives d’effacement à distance ou de réinitialisation d’usine pour effacer des appareils gérés dans la plateforme d’administration cloud d’une organisation, touchant ordinateurs portables, serveurs et appareils mobiles.
Persistance (TA0003)
- T1078 · Valid Accounts: VOID MANTICORE a utilisé des comptes valides pour se connecter à l’infrastructure VPN, ainsi que des identifiants valides compromis pour accéder à l’infrastructure de gestion et aux systèmes de contrôle d’entreprise ; elle a aussi validé et testé l’authentification avec des identifiants compromis avant ses actions malveillantes.
- T1078.002 · Valid Accounts: Domain Accounts: VOID MANTICORE a utilisé des identifiants d’administrateur de domaine précédemment compromis pour maintenir un accès persistant.
- T1078.004 · Valid Accounts: Cloud Accounts: VOID MANTICORE a tiré parti de comptes cloud privilégiés pour accéder à des consoles d’administration cloud, dont Microsoft Intune, et a aussi compromis des comptes existants dans l’environnement Microsoft Entra ID.
- T1098 · Account Manipulation: VOID MANTICORE a tiré parti de l’accès à des systèmes de contrôle administratifs pour obtenir des effets perturbateurs, ce qui correspond à un abus de comptes administratifs ou à une élévation de privilèges au sein d’un accès existant.
- T1133 · External Remote Services: VOID MANTICORE a exploité une infrastructure VPN exposée sur Internet pour obtenir un accès initial aux environnements des victimes.
- T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: VOID MANTICORE a créé des entrées dans le registre Windows pour lancer automatiquement les charges utiles de seconde étape et assurer la persistance.
Élévation de privilèges (TA0004)
- T1078 · Valid Accounts: VOID MANTICORE a utilisé des comptes valides pour se connecter à l’infrastructure VPN, ainsi que des identifiants valides compromis pour accéder à l’infrastructure de gestion et aux systèmes de contrôle d’entreprise ; elle a aussi validé et testé l’authentification avec des identifiants compromis avant ses actions malveillantes.
- T1078.002 · Valid Accounts: Domain Accounts: VOID MANTICORE a utilisé des identifiants d’administrateur de domaine précédemment compromis pour maintenir un accès persistant.
- T1078.004 · Valid Accounts: Cloud Accounts: VOID MANTICORE a tiré parti de comptes cloud privilégiés pour accéder à des consoles d’administration cloud, dont Microsoft Intune, et a aussi compromis des comptes existants dans l’environnement Microsoft Entra ID.
- T1098 · Account Manipulation: VOID MANTICORE a tiré parti de l’accès à des systèmes de contrôle administratifs pour obtenir des effets perturbateurs, ce qui correspond à un abus de comptes administratifs ou à une élévation de privilèges au sein d’un accès existant.
- T1484.001 · Domain or Tenant Policy Modification: Group Policy Modification: VOID MANTICORE a utilisé des scripts d’ouverture de session par stratégie de groupe pour distribuer les charges utiles malveillantes aux appareils des victimes par l’exécution d’un fichier batch.
- T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: VOID MANTICORE a créé des entrées dans le registre Windows pour lancer automatiquement les charges utiles de seconde étape et assurer la persistance.
Furtivité (TA0005)
- T1027.015 · Obfuscated Files or Information: Compression: VOID MANTICORE a compressé ses charges utiles dans des fichiers zip.
- T1036.004 · Masquerading: Masquerade Task or Service: VOID MANTICORE s’est fait passer pour des programmes et services couramment utilisés sur les hôtes Windows.
- T1036.005 · Masquerading: Match Legitimate Resource Name or Location: VOID MANTICORE a déguisé des charges utiles malveillantes en applications légitimes, en utilisant des noms associés à des applications courantes dont Pictory, KeePass, WhatsApp et Telegram.
- T1078 · Valid Accounts: VOID MANTICORE a utilisé des comptes valides pour se connecter à l’infrastructure VPN, ainsi que des identifiants valides compromis pour accéder à l’infrastructure de gestion et aux systèmes de contrôle d’entreprise ; elle a aussi validé et testé l’authentification avec des identifiants compromis avant ses actions malveillantes.
- T1078.002 · Valid Accounts: Domain Accounts: VOID MANTICORE a utilisé des identifiants d’administrateur de domaine précédemment compromis pour maintenir un accès persistant.
- T1078.004 · Valid Accounts: Cloud Accounts: VOID MANTICORE a tiré parti de comptes cloud privilégiés pour accéder à des consoles d’administration cloud, dont Microsoft Intune, et a aussi compromis des comptes existants dans l’environnement Microsoft Entra ID.
- T1564.003 · Hide Artifacts: Hidden Window: VOID MANTICORE a utilisé des scripts PowerShell qui s’exécutent sans avertir l’utilisateur, notamment avec `-nop -w hidden- ep bypass -enc`.
- T1679 · Selective Exclusion: VOID MANTICORE a évité d’interagir avec certains répertoires afin de réduire le risque de détection.
- T1684.001 · Social Engineering: Impersonation: VOID MANTICORE a usurpé l’identité de personnes connues de la victime et celle d’un support technique associé à des services de messagerie sociale.
Accès aux identifiants (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: VOID MANTICORE a extrait des identifiants LSASS avec `comsvcs.dll` via `rundll32.exe`.
- T1110 · Brute Force: VOID MANTICORE a mené des tentatives de force brute contre l’infrastructure VPN d’organisations.
- T1110.001 · Brute Force: Password Guessing: VOID MANTICORE a procédé à des devinettes de mots de passe pour obtenir un accès initial.
- T1110.004 · Brute Force: Credential Stuffing: VOID MANTICORE a utilisé des attaques par bourrage d’identifiants (credential stuffing) pour obtenir un accès initial aux environnements des victimes.
- T1552.002 · Unsecured Credentials: Credentials in Registry: VOID MANTICORE a exporté des identifiants à partir de ruches du registre, y compris celles stockées dans HKLM.
Découverte (TA0007)
- T1082 · System Information Discovery: VOID MANTICORE a collecté des informations système et les a renvoyées vers son serveur de commande et contrôle.
- T1087.002 · Account Discovery: Domain Account: VOID MANTICORE a utilisé ADRecon pour énumérer l’environnement Active Directory.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: VOID MANTICORE a utilisé RDP pour se déplacer latéralement dans l’environnement de la victime.
- T1072 · Software Deployment Tools: VOID MANTICORE a tiré parti de fonctions légitimes de plateformes d’administration cloud, dont la gestion des appareils mobiles (MDM) et les solutions de supervision et d’administration à distance (RMM), et a aussi lancé des commandes natives d’effacement à distance avec un compte privilégié dans Microsoft Intune.
Collecte (TA0009)
- T1005 · Data from Local System: VOID MANTICORE a collecté des données et fichiers en cache dans l’environnement de la victime.
- T1074 · Data Staged: VOID MANTICORE a préparé des fichiers compressés à des emplacements précis avant de les exfiltrer par le canal de commande et contrôle.
- T1113 · Screen Capture: VOID MANTICORE a capturé le contenu de l’écran pendant une session Zoom active.
- T1114.002 · Email Collection: Remote Email Collection: VOID MANTICORE a collecté le contenu de courriels sur les serveurs des victimes.
- T1119 · Automated Collection: VOID MANTICORE a mené une exfiltration de données à grande échelle lors de l’opération Stryker, compatible avec une collecte automatisée ou scriptée contre des systèmes d’entreprise.
- T1123 · Audio Capture: VOID MANTICORE a capté de l’audio pendant une session Zoom.
- T1125 · Video Capture: VOID MANTICORE a collecté de la vidéo depuis des appareils de victimes compromis.
- T1213.002 · Data from Information Repositories: Sharepoint: VOID MANTICORE a accédé aux serveurs SharePoint exposés de la victime et en a exfiltré des données.
- T1560.001 · Archive Collected Data: Archive via Utility: VOID MANTICORE a stocké les données collectées dans un fichier compressé protégé par mot de passe avant l’exfiltration.
Exfiltration (TA0010)
- T1041 · Exfiltration Over C2 Channel: Le logiciel malveillant de VOID MANTICORE a exfiltré les données collectées via des canaux de commande et contrôle de bots Telegram, avec des communications chiffrées.
Commande et contrôle (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: VOID MANTICORE a utilisé HTTPS pour communiquer avec ses domaines de commande et contrôle.
- T1102 · Web Service: VOID MANTICORE a utilisé l’API Telegram pour la commande et le contrôle.
- T1105 · Ingress Tool Transfer: VOID MANTICORE a déployé des charges utiles supplémentaires depuis des serveurs de commande et contrôle dédiés, téléchargé des outils et logiciels légitimes depuis des services publics, et utilisé VeraCrypt, un utilitaire légitime de chiffrement de disque téléchargé directement depuis son site.
- T1219.002 · Remote Access Tools: Remote Desktop Software: VOID MANTICORE a installé NetBird sur des appareils de victimes pour créer un réseau maillé facilitant le contrôle de plusieurs appareils à la fois.
- T1572 · Protocol Tunneling: VOID MANTICORE a utilisé des outils de tunnellisation pour faciliter des attaques destructrices sur des appareils compromis.
Impact (TA0040)
- T1485 · Data Destruction: VOID MANTICORE a mené des attaques d’effacement de données sur des systèmes compromis et supprimé manuellement des fichiers sur des hôtes compromis, en sélectionnant tous les fichiers puis en les supprimant.
- T1486 · Data Encrypted for Impact: VOID MANTICORE a utilisé des utilitaires légitimes de chiffrement de disque pour augmenter les chances de chiffrer les disques système et réduire les possibilités de récupération.
- T1490 · Inhibit System Recovery: VOID MANTICORE a supprimé des machines virtuelles directement depuis la plateforme de virtualisation.
- T1561.001 · Disk Wipe: Disk Content Wipe: VOID MANTICORE a utilisé un utilitaire d’effacement de disque pour faciliter des actions destructrices sur des serveurs de victimes, ainsi que des commandes légitimes d’effacement de disque à distance.
- T1561.002 · Disk Wipe: Disk Structure Wipe: VOID MANTICORE a déployé des wipers sur mesure qui écrasent des fichiers système et le secteur d’amorçage principal (MBR) des hôtes pour corrompre ou détruire des fichiers.
- T1657 · Financial Theft: VOID MANTICORE a exfiltré des données et publié les informations volées sur des sites de fuite à des fins d’extorsion financière et politique, et a aussi vendu des données volées à des acheteurs potentiels contre des cryptomonnaies.
Développement de ressources (TA0042)
- T1583.001 · Acquire Infrastructure: Domains: VOID MANTICORE a enregistré des domaines pour la messagerie, créé des domaines et sous-domaines typosquattés pour éviter la détection ou éveiller les soupçons, acheté des domaines via des plateformes de cryptomonnaies dont LiteCoin et Ramzinex, et enregistré puis fait tourner des domaines pour soutenir son infrastructure de diffusion publique, en remplaçant les domaines perturbés par de nouveaux enregistrements.
- T1583.003 · Acquire Infrastructure: Virtual Private Server: VOID MANTICORE a utilisé des solutions VPS pour la commande et le contrôle.
- T1583.004 · Acquire Infrastructure: Server: VOID MANTICORE a exploité des serveurs d’arrière-plan situés en Iran.
- T1583.006 · Acquire Infrastructure: Web Services: VOID MANTICORE a obtenu l’accès à des services VPN commerciaux pour mener ses activités malveillantes, tiré parti des services Internet Starlink, et utilisé des bots et canaux Telegram contrôlés par les opérateurs comme infrastructure de commande et contrôle.
- T1585.001 · Establish Accounts: Social Media Accounts: VOID MANTICORE a créé des comptes Telegram, utilisé des personas en ligne comme Handala Hack, Karma et Homeland Justice sur les réseaux sociaux, dont Telegram, et créé et entretenu des comptes sur Twitter/X et Telegram pour amplifier ses revendications opérationnelles et ses divulgations de données volées.
- T1585.002 · Establish Accounts: Email Accounts: VOID MANTICORE a créé des comptes de messagerie pour envoyer des messages de menace aux victimes, dont « Handala_Team[@]outlook[.]com ».
- T1587.001 · Develop Capabilities: Malware: VOID MANTICORE a utilisé des logiciels malveillants et des wipers sur mesure, dont BiBi Wiper.
- T1588.001 · Obtain Capabilities: Malware: VOID MANTICORE a développé ou obtenu des applications piégées servant à la surveillance persistante de personnes ciblées.
- T1588.002 · Obtain Capabilities: Tool: VOID MANTICORE a obtenu et utilisé des services VPN commerciaux, des logiciels open source et des outils de sécurité offensive publics pour faciliter ses activités malveillantes.
Reconnaissance (TA0043)
- T1589 · Gather Victim Identity Information: VOID MANTICORE a rassemblé des informations sur ses victimes visées pour soutenir des efforts d’ingénierie sociale avec des thèmes d’attaque sur mesure.
- T1595.002 · Active Scanning: Vulnerability Scanning: VOID MANTICORE a analysé les environnements des victimes pour évaluer leur sensibilité à l’exploitation de vulnérabilités.
Affaiblissement des défenses (TA0112)
- T1484.001 · Domain or Tenant Policy Modification: Group Policy Modification: VOID MANTICORE a utilisé des scripts d’ouverture de session par stratégie de groupe pour distribuer les charges utiles malveillantes aux appareils des victimes par l’exécution d’un fichier batch.
- T1686.003 · Disable or Modify System Firewall: Windows Host Firewall: VOID MANTICORE a désactivé les protections de Windows Defender pour permettre des activités ultérieures sur l’hôte compromis.
Outils
Aucun élément recensé dans les sources examinées.
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Error Response Page | DLS | handala-team[.]to | Non |
| This Website Has Been Seized | DLS | handala-hack[.]to | Oui |
| Security Verification | DLS | handala-hack[.]tw | Oui |
| — | DLS | vmjfieomxhnfjba57sd6jjws2ogvowjgxhhfglsikqvvrnrajbmpxqqd[.]onion | Non |
| HeadlineLogic News Portal | DLS | handala[.]to | Oui |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11