Vue d’ensemble
Lynx est une opération de rançongiciel en tant que service apparue à la mi-2024 comme rebranding d’INC Ransomware (dont le code source a été vendu 300 000 dollars sur le forum RAMP). Elle revendique environ 300 victimes dans l’industrie, les services aux entreprises, la technologie et le transport, avec un partage des profits de 80/20 pour les affiliés.
Ce que disent les sources publiques
- Lynx est apparu en 2024 et partage environ 70 % de ses fonctions et 50 % de son code avec INC Ransom, ce qui en fait un rebranding ou un fork de cette opération.
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique219
Royaume-Uni29
Canada22
Allemagne17
Australie16
France9
Italie9
Singapour8
Espagne7
Japon7
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Accès initial | Exécution | Évasion des défenses | Accès aux identifiants | Découverte | Déplacement latéral | Exfiltration | Commande et contrôle | Impact |
|---|---|---|---|---|---|---|---|---|
| Valid Accounts | Command and Scripting Interpreter: PowerShell | Masquerading | OS Credential Dumping: LSASS Memory | Query Registry | Remote Services: Remote Desktop Protocol | Exfiltration Over Web Service: Exfiltration to Cloud Storage | Application Layer Protocol: Web Protocols | Data Encrypted for Impact |
| Phishing: Spearphishing Attachment | Disable or Modify Tools | System Information Discovery | Inhibit System Recovery |
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Identifiants compromis achetés à des courtiers d’accès initial, utilisés pour s’authentifier via RDP et VPN.
- T1566.001 · Phishing: Spearphishing Attachment: Lynx utilise des courriels d’hameçonnage avec pièces jointes malveillantes pour livrer les chargeurs d’accès initial.
Exécution (TA0002)
- T1059.001 · Command and Scripting Interpreter: PowerShell: PowerShell est utilisé pour l’exécution de la charge utile et les activités de post-exploitation.
Évasion des défenses (TA0005)
- T1036 · Masquerading: Le binaire du rançongiciel Lynx est renommé pour se fondre dans l’activité normale du système de fichiers et se fait passer pour des utilitaires légitimes.
- T1562.001 · Disable or Modify Tools: Les outils de sécurité sont désactivés avant le déploiement du rançongiciel.
Accès aux identifiants (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: L’extraction d’identifiants depuis LSASS sert à faciliter le déplacement latéral.
Découverte (TA0007)
- T1012 · Query Registry: Le registre est interrogé pour identifier les logiciels de sécurité installés et la configuration du système avant le chiffrement.
- T1082 · System Information Discovery: Lynx interroge les informations du processeur et du système pour évaluer l’environnement cible et détecter des conditions de bac à sable ou d’analyse.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: RDP est utilisé pour le déplacement latéral avec des identifiants récoltés.
Exfiltration (TA0010)
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: Les données sont exfiltrées pour la double extorsion via le site de fuite de Lynx avant le chiffrement.
Commande et contrôle (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: Communication de commande et contrôle en HTTPS ; Tor est utilisé pour les portails de négociation avec les victimes.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Lynx utilise un chiffrement AES-128 en mode CTR pour les fichiers et RSA-2048 pour protéger les clés. Des similarités de code indiquent qu’il pourrait s’agir d’un rebranding ou d’un fork d’INC Ransomware. Apparu mi-2024, il cible très agressivement les PME et les entreprises de taille intermédiaire dans plusieurs secteurs. Il ajoute l’extension « .lynx ».
- T1490 · Inhibit System Recovery: Les clichés instantanés sont supprimés et les options de récupération désactivées pour empêcher la restauration par la victime.
Outils
- SoftPerfect NetScan
- Restic
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Lynx | Chat | lynxchatly4zludmhmi75jrwhycnoqvkxb4prohxmyzf4euf5gjxroad[.]onion | Oui |
| Lynx | DLS | lynxblog[.]net | Non |
| Lynx | DLS | lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd[.]onion | Non |
| Lynx | DLS | lynxblogmx3rbiwg3rpj4nds25hjsnrwkpxt5gaznetfikz4gz2csyad[.]onion | Oui |
| Lynx | DLS | lynxblogijy4jfoblgix2klxmkbgee4leoeuge7qt4fpfkj4zbi2sjyd[.]onion | Oui |
| Lynx | DLS | lynxblogtwatfsrwj3oatpejwxk5bngqcd5f7s26iskagfu7ouaomjad[.]onion | Oui |
| Lynx | DLS | lynxblogxstgzsarfyk2pvhdv45igghb4zmthnzmsipzeoduruz3xwqd[.]onion | Oui |
| Lynx | DLS | lynxblogxutufossaeawlij3j3uikaloll5ko6grzhkwdclrjngrfoid[.]onion | Non |
| Lynx | DLS | lynxblogco7r37jt7p5wrmfxzqze7ghxw6rihzkqc455qluacwotciyd[.]onion | Oui |
| Lynx | DLS | lynxblogoxllth4b46cfwlop5pfj4s7dyv37yuy7qn2ftan6gd72hsad[.]onion | Oui |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11