Vue d’ensemble
Sarcoma est un groupe de rançongiciels apparu en octobre 2024, qui s’est immédiatement hissé parmi les trois groupes les plus actifs au monde et a dépassé 116 victimes documentées à la mi-2025. Il cible des entreprises de taille intermédiaire de l’industrie, du commerce, de la santé, du droit et des services aux entreprises, avec environ 50 % de victimes aux États-Unis.
Ce que disent les sources publiques
- Apparu en octobre 2024, il a revendiqué 36 victimes dès le premier mois. Sa charge utile évite les systèmes de la CEI, ce qui suggère des opérateurs russophones ou basés dans la région, et certains chercheurs y voient des échos de Maze et d’Egregor. Aucun lien étatique n’est établi.
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique32
Italie15
Canada13
Allemagne12
Australie8
Brésil7
Royaume-Uni6
Espagne4
Suisse3
Afrique du Sud3
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Accès initial | Persistance | Évasion des défenses | Accès aux identifiants | Découverte | Déplacement latéral | Collecte | Exfiltration | Commande et contrôle | Impact |
|---|---|---|---|---|---|---|---|---|---|
| Valid Accounts | Scheduled Task/Job | Obfuscated Files or Information | OS Credential Dumping | Remote System Discovery | Remote Services | Archive Collected Data | Exfiltration Over Web Service | Remote Access Tools | Data Encrypted for Impact |
| Exploit Public-Facing Application | Scheduled Task/Job: Cron | Modify Registry | File and Directory Discovery | Service Stop | |||||
| Trusted Relationship | Impair Defenses | System Location Discovery | Inhibit System Recovery | ||||||
| Phishing | Impair Defenses: Disable or Modify Tools | System Location Discovery: System Language Discovery | |||||||
| Phishing: Spearphishing Attachment |
Détail des techniques
Outils
- Advanced IP Scanner
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Sarcoma Group | DLS | sarcomawmawlhov7o5mdhz4eszxxlkyaoiyiy2b5iwxnds2dmb4jakad[.]onion | Oui |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11