Groupe Stormous : CVE, techniques et outils

Vue d’ensemble

Stormous est un groupe de rançongiciels et hacktiviste arabophone et prorusse, actif depuis au moins 2022, connu pour des attaques à motivation politique dans plus de 15 pays. Il a collaboré avec GhostSec sur la plateforme RaaS GhostLocker 2.0 et hérité des opérations RaaS de GhostSec à la mi-2024. Le 1er juillet 2026, le groupe a annoncé la fin de ses opérations et services.

Premier suivi: 2022-03-22
Citée dans nos rapports: Maghreb · Émirats

Ce que disent les sources publiques

Se décrit comme un groupe arabophone et prorusse, avec des notes de rançon en arabe, actif depuis au moins 2022. La communauté de la sécurité est sceptique face à cette auto-description : nous n’associons donc aucun pays d’origine.

LevelBlue SpiderLabs

Géographie : origine et cibles

Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.

États-Unis d'Amérique14
Espagne11
Émirats Arabes Unis10
France10
Royaume-Uni7
Brésil7
Italie6
Allemagne6
Indonésie6
Vietnam5

Vulnérabilités exploitées

Aucun élément recensé dans les sources examinées.

Techniques ATT&CK

Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.

Accès initial	Exécution	Persistance	Élévation de privilèges	Évasion des défenses	Accès aux identifiants	Découverte	Déplacement latéral	Collecte	Exfiltration	Commande et contrôle	Impact	Développement de ressources	Reconnaissance
Valid Accounts	Command and Scripting Interpreter	Scheduled Task/Job	Abuse Elevation Control Mechanism: Bypass UAC	Obfuscated Files or Information	OS Credential Dumping	Network Service Discovery	Remote Services: Remote Desktop Protocol	Data from Local System	Exfiltration Over C2 Channel	Application Layer Protocol: Web Protocols	Data Encrypted for Impact	Obtain Capabilities: Tool	Active Scanning
Exploit Public-Facing Application	Command and Scripting Interpreter: Visual Basic	Account Manipulation		Obfuscated Files or Information: Software Packing		File and Directory Discovery	Remote Services: SMB/Windows Admin Shares	Archive Collected Data	Exfiltration Over Web Service: Exfiltration to Cloud Storage		Inhibit System Recovery
Trusted Relationship	User Execution: Malicious File	Server Software Component: Web Shell		Obfuscated Files or Information: Fileless Storage
Phishing		Create or Modify System Process: Windows Service		Obfuscated Files or Information: Encrypted/Encoded File
Phishing: Spearphishing Attachment		Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder		Indicator Removal
				Impair Defenses: Disable or Modify Tools

Détail des techniques

Outils

Aucun élément recensé dans les sources examinées.

Infrastructure des sites de fuite

Titre	Type	Adresse (neutralisée)	En ligne à la date du relevé
Database Shop	DLS	`3slz4povugieoi3tw7sblxoowxhbzxeju427cffsst5fo2tizepwatid[.]onion`	Non
Stormous.Leak	DLS	`pdcizqzjitsgfcgqeyhuee5u6uki6zy5slzioinlhx6xjnsw25irdgqd[.]onion`	Non
StormouS.X BLOG \| Official blog	DLS	`stmxylixiz4atpmkspvhkym4xccjvpcv3v67uh3dze7xwwhtnz4faxid[.]onion`	Non
Stormous _ official Site	DLS	`h3reihqb2y7woqdary2g3bmk3apgtxuyhx4j2ftovbhe3l5svev7bdyd[.]onion`	Non

Sources et réserves

Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.

Relevé du: 2026-10-11