RansomHub

Vue d’ensemble

Le groupe est apparu à la mi-février 2024 et a déjà listé plusieurs organisations comme victimes présumées de ses attaques, issues d’une extorsion par chiffrement et fuites de données. L’annonce de la vente du nouveau rançongiciel en tant que service (RaaS) RansomHub a été publiée sur l’un des forums d’origine russe utilisés par la cybercriminalité pour promouvoir des services malveillants, RAMP4U (ou RAMP). Un utilisateur au pseudonyme et à la persona « koley » a annoncé le programme d’affiliation le 2 février 2024. L’annonce précisait que le blanchiment des rançons payées relève de l’affilié : toute la communication et l’envoi du déchiffreur à la victime se font par chat. La répartition serait de 90 % pour l’affilié et 10 % pour le développeur, ici la persona Koley. Selon la publication, la charge utile est écrite en Golang, utilise un algorithme asymétrique basé sur x25519 ainsi que les algorithmes de chiffrement AES256, ChaCha20 et xChaCha20, et se distingue par sa rapidité. Le chiffrement est obfusqué avec AST. La charge utile prendrait en charge la propagation réseau et le chiffrement des données en mode sécurisé et en mode local. Selon Koley, le rançongiciel est conçu pour fonctionner sur Windows, Linux et ESXi, ainsi que sur d’autres architectures comme ARM et MIPS. Comme l’indiquait le panneau et comme l’avait déjà souligné l’équipe de renseignement, Koley a déclaré que le panneau utilise un domaine .onion, permettant à l’affilié d’organiser et de gérer les cibles et les salons de discussion, de consulter les journaux d’accès, de répondre automatiquement hors ligne et de créer des pages de blog privées.

• Premier suivi: 2024-02-10
• Citée dans nos rapports: Oman · Arabie saoudite

Ce que disent les sources publiques

• Observé pour la première fois en février 2024 et largement jugé comme une dérivation du rançongiciel Knight (ex-Cyclops), dont le code source avait été proposé à la vente. Il a recruté des affiliés sur le forum russophone RAMP et interdit les attaques contre les pays de la CEI, Cuba, la Corée du Nord et la Chine.

Trend Micro · Paubox

Géographie : origine et cibles

Vulnérabilités exploitées

Techniques ATT&CK

Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.

Détail des techniques

Outils

Infrastructure des sites de fuite

Sources et réserves

Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.

Relevé du: 2026-10-11