Les groupes de rançongiciels élargissent leurs tactiques avec une vulnérabilité Citrix, le BYOVD et l’accès à la chaîne d’approvisionnement

Des chercheurs en cybersécurité suivent un éventail croissant de techniques utilisées par les opérateurs de rançongiciels, notamment l’exploitation d’une récente faille Citrix, l’utilisation abusive d’outils légitimes d’administration à distance et des partenariats fondés sur la compromission de la chaîne d’approvisionnement.

Selon Arctic Wolf, des affiliés liés à l’opération de rançongiciel Anubis ont exploité Citrix Bleed 2, référencée sous le numéro CVE-2025-5777, pour obtenir un accès initial aux réseaux des victimes. Le groupe a également été observé utilisant des identifiants VPN valides, dont la source exacte demeure incertaine. Les analystes ont indiqué que ces identifiants pourraient avoir été obtenus lors d’intrusions antérieures, par bourrage d’identifiants, via des journaux de voleurs d’informations ou auprès de courtiers en accès.

Une fois à l’intérieur, les attaquants se seraient appuyés sur des logiciels d’administration courants tels que ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC et Total Software Deployment afin de maintenir leur accès et de se fondre dans l’activité informatique normale. Les enquêteurs ont également observé l’utilisation de RDP, SMB, PsExec et d’outils de transfert cloud pour se déplacer latéralement et exfiltrer des données avant le déploiement du rançongiciel. Dans certains cas, les défenseurs ont constaté des tentatives visant à désactiver les outils de sécurité, effacer les journaux et entraver la réponse aux incidents.

D’autres groupes de RaaS utilisent des méthodes similaires

Kaspersky a décrit séparément une activité liée au groupe de rançongiciel The Gentlemen, qui a utilisé des identifiants volés ou faibles ainsi que des vulnérabilités connues pour s’introduire chez ses cibles. Les chercheurs ont indiqué que le groupe avait déployé une porte dérobée basée sur Go, capable de recueillir des informations sur le système, de les envoyer à un serveur externe et soit d’exécuter des commandes, soit d’établir un proxy SOCKS pour faciliter de nouveaux déplacements sur le réseau.

Expel a également signalé que The Gentlemen avait exploité une faille zero-day dans un pilote tiers, ktapi.sys, dans le cadre d’une stratégie d’utilisation de pilotes vulnérables appartenant à la victime, ou BYOVD. Cette approche peut donner aux attaquants un accès au niveau du noyau et leur permettre de désactiver des produits de sécurité protégés de plusieurs fournisseurs.

L’accès à la chaîne d’approvisionnement s’intègre au modèle des rançongiciels

Un autre développement concerne le partenariat entre VECT et TeamPCP, qui, selon Sophos, visait à transformer les compromissions de la chaîne d’approvisionnement en occasions de déployer des rançongiciels. La collaboration semble destinée à monétiser les infections liées aux attaques de la chaîne d’approvisionnement visant Trivy et LiteLLM. Des informations publiées précédemment ont également associé TeamPCP à la marque CipherForce, avant que le groupe ne change de nom en 2026.

• Citrix Bleed 2 est utilisé pour obtenir un accès initial
• Les outils légitimes d’accès à distance aident les attaquants à rester discrets
• Le BYOVD demeure un moyen rapide d’affaiblir les défenses des terminaux
• Les compromissions de la chaîne d’approvisionnement alimentent de plus en plus les opérations de rançongiciel

Les chercheurs affirment que le thème commun à ces campagnes est la persistance : les acteurs malveillants combinent des accès valides, des outils de confiance et plusieurs vecteurs d’intrusion afin de réduire les risques de détection et d’accroître la pression exercée sur les victimes.