Vue d’ensemble
INC Ransom est une opération de rançongiciel en tant que service très active depuis juillet 2023, qui cible systématiquement les secteurs de la santé, de l’administration, de l’éducation et de l’industrie en Amérique du Nord et en Europe ; elle a publié plus de 200 victimes rien qu’en 2025, sans épargner aucun secteur.
- Premier suivi: 2023-08-09
- Alias: Inc Ransom
- Citée dans nos rapports: Bahreïn · France · Synthèse du Golfe · Maghreb · Arabie saoudite · Turquie · Émirats
Ce que disent les sources publiques
- INC Ransom est apparu en août 2023. Son code source aurait été proposé à la vente en 2024 pour 300 000 dollars, et l’opération Lynx qui a suivi en partage de larges pans, jusqu’à des données d’enregistrement des sites de fuite. Des commentaires en cyrillique dans les outils évoquent une origine russophone possible, non prouvée.
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique538
Canada50
Allemagne42
Royaume-Uni39
Australie26
Brésil15
Italie12
France12
Espagne11
Autriche10
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Citrix | NetScaler ADC & Gateway | CVE-2023-4966 | Virtualisation | doublepulsar.com, bleepingcomputer.com, therecord.media, secureworks.com, microsoft.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Accès initial | Exécution | Persistance | Élévation de privilèges | Furtivité | Découverte | Déplacement latéral | Collecte | Exfiltration | Commande et contrôle | Impact | Développement de ressources | Affaiblissement des défenses |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Valid Accounts | Windows Management Instrumentation | Valid Accounts | Valid Accounts | Masquerading: Match Legitimate Resource Name or Location | Network Service Discovery | Remote Services: Remote Desktop Protocol | Data Staged | Transfer Data to Cloud Account | Application Layer Protocol | Data Encrypted for Impact | Obtain Capabilities: Tool | Disable or Modify Tools |
| Exploit Public-Facing Application | Command and Scripting Interpreter: Windows Command Shell | Indicator Removal: File Deletion | System Network Connections Discovery | Lateral Tool Transfer | Archive Collected Data: Archive via Utility | Ingress Tool Transfer | Financial Theft | |||||
| Phishing | System Services: Service Execution | Valid Accounts | Permission Groups Discovery: Domain Groups | Remote Access Tools | ||||||||
| Account Discovery: Domain Account | ||||||||||||
| Network Share Discovery |
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: INC Ransom a utilisé des comptes valides compromis pour accéder aux environnements des victimes.
- T1190 · Exploit Public-Facing Application: INC Ransom a exploité des vulnérabilités connues, dont la CVE-2023-3519 de Citrix NetScaler, pour l’accès initial.
- T1566 · Phishing: INC Ransom a utilisé l’hameçonnage pour obtenir un accès initial.
Exécution (TA0002)
- T1047 · Windows Management Instrumentation: INC Ransom a utilisé WMIC pour déployer le rançongiciel.
- T1059.003 · Command and Scripting Interpreter: Windows Command Shell: INC Ransom a utilisé `cmd.exe` pour lancer des charges utiles malveillantes.
- T1569.002 · System Services: Service Execution: INC Ransom a exécuté un fichier de chiffrement via `Service Control Manager/7045;winupd,%SystemRoot%\winupd.exe,user mode service,demand start,LocalSystem`.
Persistance (TA0003)
- T1078 · Valid Accounts: INC Ransom a utilisé des comptes valides compromis pour accéder aux environnements des victimes.
Élévation de privilèges (TA0004)
- T1078 · Valid Accounts: INC Ransom a utilisé des comptes valides compromis pour accéder aux environnements des victimes.
Furtivité (TA0005)
- T1036.005 · Masquerading: Match Legitimate Resource Name or Location: INC Ransom a nommé un exécutable PsExec « winupd » pour imiter un fichier légitime de mise à jour Windows.
- T1070.004 · Indicator Removal: File Deletion: INC Ransom a désinstallé des outils des postes compromis après usage.
- T1078 · Valid Accounts: INC Ransom a utilisé des comptes valides compromis pour accéder aux environnements des victimes.
Découverte (TA0007)
- T1046 · Network Service Discovery: INC Ransom a utilisé NETSCAN.EXE pour la reconnaissance interne.
- T1049 · System Network Connections Discovery: INC Ransom a utilisé RDP pour tester des connexions réseau.
- T1069.002 · Permission Groups Discovery: Domain Groups: INC Ransom a énuméré les groupes de domaine sur les hôtes ciblés.
- T1087.002 · Account Discovery: Domain Account: INC Ransom a recherché des comptes d’administrateur de domaine dans les environnements compromis.
- T1135 · Network Share Discovery: INC Ransom a utilisé Internet Explorer pour afficher des dossiers sur d’autres systèmes.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: INC Ransom a utilisé RDP pour se déplacer latéralement.
- T1570 · Lateral Tool Transfer: INC Ransom a enchaîné rapidement des commandes de copie pour installer un exécutable de chiffrement sur plusieurs postes de l’infrastructure compromise.
Collecte (TA0009)
- T1074 · Data Staged: INC Ransom a regroupé des données sur des hôtes compromis avant l’exfiltration.
- T1560.001 · Archive Collected Data: Archive via Utility: INC Ransom a utilisé 7-Zip et WinRAR pour archiver les données collectées avant l’exfiltration.
Exfiltration (TA0010)
- T1537 · Transfer Data to Cloud Account: INC Ransom a utilisé Megasync pour exfiltrer des données vers le cloud.
Commande et contrôle (TA0011)
- T1071 · Application Layer Protocol: INC Ransom a utilisé des comptes valides via RDP pour se connecter aux systèmes ciblés.
- T1105 · Ingress Tool Transfer: INC Ransom a téléchargé des outils sur des serveurs compromis, dont Advanced IP Scanner.
- T1219 · Remote Access Tools: INC Ransom a utilisé AnyDesk et PuTTY sur des systèmes compromis.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: INC Ransom a utilisé le rançongiciel INC pour chiffrer les données de la victime.
- T1657 · Financial Theft: INC Ransom a volé et chiffré les données des victimes pour extorquer un paiement en échange de leur confidentialité ou de leur déchiffrement.
Développement de ressources (TA0042)
- T1588.002 · Obtain Capabilities: Tool: INC Ransom a acquis et utilisé plusieurs outils, dont MegaSync, AnyDesk, esentutl et PsExec.
Affaiblissement des défenses (TA0112)
- T1685 · Disable or Modify Tools: INC Ransom peut utiliser SystemSettingsAdminFlows.exe, un utilitaire natif de Windows, pour désactiver Windows Defender.
Outils
Vol d’identifiants
- Mimikatz
Découverte
- AdFind
- Advanced IP Scanner
- SoftPerfect NetScan
Exfiltration
- 7-Zip
- BackBlaze
- MEGA
- RClone
- Restic
- WinRAR
- s5cmd
Outils natifs détournés
- Finger
- PsExec
Réseau et tunnels
- Bitvise SSH Client
Outils d’administration à distance
- AnyDesk
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Disclosures | DLS | incblog6qu4y4mm4zvw5nrmue6qbwtgjsxpw6b7ixzssu36tsajldoad[.]onion | Oui |
| — | DLS | incbackrlasjesgpfu5brktfjknbqoahe2hhmqfhasc5fb56mtukn4yd[.]onion | Non |
| INC Ransom | DLS | incapt[.]blog | Non |
| Error Response Page | DLS | incapt[.]su | Non |
| Error Response Page | DLS | incbackend[.]top | Non |
| — | DLS | incbacg6bfwtrlzwdbqc55gsfl763s3twdtwhp27dzuik6s6rwdcityd[.]onion | Oui |
| INC Ransom | DLS | incblog7vmuq7rktic73r4ha4j757m3ptym37tyvifzp2roedyyzzxid[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11