Vue d’ensemble
Payload est un groupe de rançongiciels apparu début 2026, qui utilise du code source dérivé de Babuk pour cibler Windows et ESXi par des attaques de double extorsion multiplateformes contre les secteurs de la santé, de l’énergie, de l’immobilier et de l’agriculture ; il a revendiqué 12 victimes dans sept pays quelques heures après le lancement de son site de fuite.
- Premier suivi: 2026-02-17
- Citée dans nos rapports: Bahreïn · France · Synthèse du Golfe · Maghreb · Qatar · Turquie · Émirats
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
Suisse7
Allemagne6
États-Unis d'Amérique5
Singapour4
Philippines4
Malaisie3
Égypte3
Italie2
République Dominicaine2
Canada2
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Exécution | Furtivité | Découverte | Impact | Affaiblissement des défenses |
|---|---|---|---|---|
| Native API | Obfuscated Files or Information | Process Discovery | Data Encrypted for Impact | Disable or Modify Tools |
| File Deletion | System Information Discovery | Service Stop | ||
| Execution Guardrails | File and Directory Discovery | Inhibit System Recovery |
Détail des techniques
Furtivité (TA0005)
- T1027 · Obfuscated Files or Information: Chaînes chiffrées en RC4, clé de la note encodée en double base64.
- T1070.004 · File Deletion: Auto-suppression par renommage NTFS ADS (flux :payload).
- T1480 · Execution Guardrails: Mutex nommé « MakeAmericaGreatAgain ».
Découverte (TA0007)
- T1082 · System Information Discovery: CPUID pour AVX2/SSE2, GetLogicalProcessorInformation.
- T1083 · File and Directory Discovery: Parcours récursif via NtQueryDirectoryFile.
Impact (TA0040)
- T1489 · Service Stop: 44 services arrêtés via le SCM (sauvegarde, antivirus, bases de données).
Outils
Aucun élément recensé dans les sources examinées.
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Loading http://payloadrz5yw227brtbvdqpnlhq3rdcdekdnn3rgucbcdeawq2v6vuyd.onion/ | DLS | payloadrz5yw227brtbvdqpnlhq3rdcdekdnn3rgucbcdeawq2v6vuyd[.]onion | Non |
| Payload Rescue | Login | Chat | payloadynyvabjacbun4uwhmxc7yvdzorycslzmnleguxjn7glahsvqd[.]onion | Oui |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11