Vue d’ensemble
Tengu est une opération RaaS observée pour la première fois en octobre 2025, qui suit un modèle de double extorsion et utilise des binaires natifs détournés (LOLBins) pour fondre l’activité malveillante dans le trafic d’administration normal ; elle cible surtout les biens de consommation, l’immobilier, l’automobile, la santé et l’informatique.
- Premier suivi: 2025-10-23
- Alias: Shisa
- Citée dans nos rapports: Synthèse du Golfe · Maghreb · Arabie saoudite · Turquie · Émirats
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
Inde5
États-Unis d'Amérique4
Maroc4
Italie3
Mexique3
Indonésie3
Royaume-Uni2
Émirats Arabes Unis2
France2
Colombie2
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Accès initial | Exécution | Persistance | Évasion des défenses | Déplacement latéral | Exfiltration | Impact |
|---|---|---|---|---|---|---|
| Valid Accounts | Command and Scripting Interpreter: PowerShell | Scheduled Task/Job: Scheduled Task | Indicator Removal | Remote Services: Remote Desktop Protocol | Exfiltration Over C2 Channel | Data Encrypted for Impact |
| Command and Scripting Interpreter: Windows Command Shell | System Binary Proxy Execution | Inhibit System Recovery |
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Abus de comptes valides (obtenus via des infostealers ou des courtiers d’accès initial).
Exécution (TA0002)
- T1059.001 · Command and Scripting Interpreter: PowerShell: Usage intensif de PowerShell pour l’exécution de commandes et de scripts.
- T1059.003 · Command and Scripting Interpreter: Windows Command Shell: Utilisation de CMD pour l’exécution de commandes.
Persistance (TA0003)
- T1053.005 · Scheduled Task/Job: Scheduled Task: Création de tâches planifiées s’exécutant avec les privilèges SYSTEM pour garantir une réinfection.
Évasion des défenses (TA0005)
- T1070 · Indicator Removal: Nettoyage des journaux d’événements.
- T1218 · System Binary Proxy Execution: Utilisation de rundll32.exe pour l’exécution par procuration.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: Déplacement latéral via RDP après compromission d’identifiants administrateur.
Exfiltration (TA0010)
- T1041 · Exfiltration Over C2 Channel: Exfiltration de données via des canaux de commande et contrôle avant le lancement de la routine de chiffrement.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Chiffrement de fichiers.
- T1490 · Inhibit System Recovery: Suppression des clichés instantanés pour empêcher la récupération locale.
Outils
Aucun élément recensé dans les sources examinées.
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Shisa Ransomware Blog | DLS | longcc4fqrfcqt5lzceutylaxir6h66fp6df3oin6mvwvz6pfdbxc6qd[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11