Le Silent Ransom Group : une cybercriminalité ciblée sur des secteurs stratégiques
Le Silent Ransom Group (SRG) a récemment modifié son approche d’extorsion, passant d’une méthode généraliste à une stratégie plus ciblée, visant des secteurs clés. Ce groupe, considéré comme l’héritier direct de l’ancien groupe Conti, et particulièrement de sa seconde équipe, connue sous le nom de « Luna Moth », concentre ses activités sur des domaines à forte valeur ajoutée. Cela inclut la propriété intellectuelle, les communications privilégiées et d’autres documents confidentiels, où la sensibilité des données est particulièrement élevée. Cette stratégie permet au SRG de transformer rapidement une vulnérabilité en une transaction financière.
L’accès initial aux systèmes des victimes est souvent obtenu grâce à des campagnes de hameçonnage, incitant les cibles à contacter un faux numéro de support technique, un processus connu sous le nom de vishing ou callback phishing. Cette interaction mène à l’installation d’outils légitimes de gestion à distance, tels qu’AnyDesk ou Zoho Assist, qui servent de point d’entrée pour l’attaque. Le groupe utilise également des noms de domaine enregistrés auprès de GoDaddy pour contourner les filtres de messagerie.
L’infrastructure du SRG est conçue pour asr une résilience dynamique. Le groupe exploite un botnet constitué d’appareils domestiques et mobiles dans 18 pays, et utilise la technique du DNS Fast Flux pour masquer ses serveurs de commande et de contrôle, garantissant ainsi la disponibilité de ses opérations même en cas de détection.
Le modèle d’extorsion du SRG repose sur l’exfiltration chirurgicale des données, utilisant des outils comme WinSCP et Rclone pour extraire des informations. Contrairement à d’autres groupes de ransomwares, le SRG privilégie la menace de fuite ou de vente des données volées plutôt que le chiffrement comme principal levier de pression. Cela rend l’attaque moins visible pour les employés des victimes, favorisant ainsi le paiement de la rançon par un désir de discrétion.
Les négociations avec le SRG montrent que le groupe contactent d’abord ses victimes par téléphone avant de poursuivre par e-mail. Bien qu’il puisse sembler patient, le SRG n’hésite pas à menacer ses cibles de contacter leurs clients, partenaires ou régulateurs. Une liste des fichiers volés est fournie, permettant à la victime de demander des échantillons pour prouver l’extraction. Le groupe ne semble pas enclin à réduire ses exigences financières et attend souvent des offres de la part de ses victimes.
Cette évolution des pratiques de cybercriminalité souligne l’importance pour les entreprises de renforcer la sécurité de leurs données et de sensibiliser leurs employés aux risques de phishing et d’autres formes d’attaques.
Source : Le MagIT
