Vue d’ensemble
NightSpire est un groupe de rançongiciels apparu en mars 2025, qui a rapidement revendiqué plus de 250 victimes dans le commerce, l’industrie, la santé, la finance et l’éducation aux États-Unis, en France, en Inde, à Taïwan et au Japon, avec une double extorsion agressive et des délais de rançon pouvant descendre à deux jours.
Ce que disent les sources publiques
- Aucune attribution gouvernementale n’a été publiée, ni arrestation ni acte d’accusation. Certains indices d’infrastructure évoquent un nœud d’opérateurs lié à l’Inde, avec une possible implication de sinophones ; nous le traitons comme une piste, pas comme un constat. Le groupe est probablement un rebranding de l’opération Rbfs.
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique96
Inde13
Turquie12
France12
Taïwan11
Espagne11
Hong Kong9
Italie9
Égypte9
Brésil8
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Fortinet | FortiOS & FortiProxy | CVE-2024-55591 | Équipements de bordure | esentire.com, forescout.com, s-rminform.com, checkpoint.com, ccb.belgium.be, checkpoint.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Identifiants RDP compromis utilisés pour l’accès initial.
- T1110 · Brute Force: Force brute sur les identifiants de connexion à distance (RDP) et attaques par fatigue de l’authentification multifacteur.
- T1190 · Exploit Public-Facing Application: Exploitation de la CVE-2024-55591, un contournement d’authentification de FortiOS/FortiProxy : des attaquants non authentifiés obtiennent les privilèges de super-administrateur via des requêtes POST forgées vers /api/v2/cmdb/.
- T1566 · Phishing: Pièces jointes malveillantes et téléchargements furtifs (drive-by).
Exécution (TA0002)
- T1059 · Command and Scripting Interpreter: Scripts PowerShell, fichiers batch, PsExec, WMI ; fenêtre d’exécution de commandes conhost.exe.
- T1072 · Software Deployment Tools: Détournement d’outils légitimes (WinSCP, MEGACmd, 7-Zip, PsExec) tout au long de la chaîne d’attaque.
Persistance (TA0003)
- T1053 · Scheduled Task/Job: Persistance via le Planificateur de tâches Windows ; création et modification de services.
- T1136 · Create Account: Création de comptes administrateurs après exploitation sur des équipements FortiGate.
- T1547 · Boot or Logon Autostart Execution: Mécanismes de persistance au redémarrage.
- T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: Persistance via HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run et RunOnce.
Élévation de privilèges (TA0004)
- T1068 · Exploitation for Privilege Escalation: Accès super-administrateur à FortiOS par exploitation de la CVE-2024-55591.
Évasion des défenses (TA0005)
- T1027 · Obfuscated Files or Information: Techniques d’obfuscation pour échapper à l’analyse.
- T1036 · Masquerading: Processus renommés et utilisation d’outils légitimes (WinSCP, MEGACmd, 7-Zip, PsExec) qui se fondent dans les opérations normales.
- T1070 · Indicator Removal: Suppression des indicateurs forensiques des systèmes compromis.
- T1218 · System Binary Proxy Execution: Exécution via des binaires système légitimes (LOLBins) pour échapper à la détection.
Accès aux identifiants (TA0006)
- T1003 · OS Credential Dumping: Extraction d’identifiants via Mimikatz.
- T1003.001 · OS Credential Dumping: LSASS Memory: Extraction de la mémoire LSASS pour récolter des identifiants.
- T1552 · Unsecured Credentials: Récolte des identifiants stockés dans l’environnement.
Découverte (TA0007)
- T1046 · Network Service Discovery: Analyse réseau pour cartographier l’infrastructure interne avec Advanced IP Scanner.
- T1057 · Process Discovery: Énumération des processus sur les systèmes compromis.
- T1082 · System Information Discovery: Collecte de détails système auprès des hôtes compromis.
- T1083 · File and Directory Discovery: Indexation et énumération de fichiers avec Everything.exe.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: Déplacement latéral via RDP dans le réseau compromis.
- T1021.002 · Remote Services: SMB/Windows Admin Shares: Déplacement latéral via PsExec sur SMB.
- T1047 · Windows Management Instrumentation: Exécution et déplacement latéral via WMI.
Collecte (TA0009)
- T1119 · Automated Collection: Collecte automatisée de données sensibles sur les systèmes compromis.
- T1560 · Archive Collected Data: Compression des données collectées avec 7-Zip (7z2408-x64.exe) avant l’exfiltration.
- T1560.001 · Archive Collected Data: Archive via Utility: Archivage des données volées avec 7-Zip avant l’exfiltration.
Exfiltration (TA0010)
- T1041 · Exfiltration Over C2 Channel: Exfiltration de données via le canal de commande et contrôle.
- T1048 · Exfiltration Over Alternative Protocol: Exfiltration de données via WinSCP (v6.3.7) et Rclone sur des canaux chiffrés.
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: MEGACmd a servi à téléverser les données volées vers le stockage cloud MEGA. L’exfiltration de 1,5 To a été documentée chez une seule victime du secteur de la santé.
Commande et contrôle (TA0011)
- T1071 · Application Layer Protocol: Protocoles web standard et communications via Tor. Communications multicanales : ProtonMail, OnionMail, Gmail, Telegram, qTox.
- T1573 · Encrypted Channel: Protocoles non C2 à chiffrement asymétrique pour échapper aux IDS.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Chiffrement hybride AES-256 (contenu des fichiers) + RSA-2048 (protection de la clé) ; ajoute l’extension « .nspire » ; traite les fichiers par blocs de 1 Mo. Modèle de double extorsion : vol de données + chiffrement.
Développement de ressources (TA0042)
- T1587 · Develop Capabilities: Développement d’un rançongiciel sur mesure en Go à l’architecture modulaire.
Outils
- Everything.exe
- MEGA
- WinSCP
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| NightSpire | DLS | a2lyiiaq4n74tlgz4fk3ft4akolapfrzk772dk24iq32cznjsmzpanqd[.]onion | Non |
| NightSpire | DLS | nspireyzmvapgiwgtuoznlafqvlyz7ey6himtgn5bdvdcowfyto3yryd[.]onion | Non |
| Verify human - NightSpire | DLS | nspire7lugml7ybqyjaaxtsgrs4qn3fcon3lrjbih6wamttvdm5ke4qd[.]onion | Oui |
| RaaS Service Started | DLS | nspirep7orjq73k2x2fwh2mxgh74vm2now6cdbnnxjk2f5wn34bmdxad[.]onion | Oui |
| Database | NightSpire | DLS | nspirebcv4sy3yydtaercuut34hwc4fsxqqv4b4ye4xmo6qp3vxhulqd[.]onion | Non |
| Database | NightSpire | DLS | nspiremkiq44zcxjbgvab4mdedyh2pzj5kzbmvftcugq3mczx3dqogid[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11