Rançongiciel déguisé : comment Black Shrantac détourne les réseaux industriels avec des outils du quotidien

Dans l’univers obscur de la cybercriminalité, un nouvel adversaire a émergé avec un arsenal étrangement familier : vos propres outils réseau. Black Shrantac, un groupe de rançongiciel en pleine évolution, réécrit les règles de l’extorsion numérique en lançant des attaques furtives qui se fondent parfaitement dans les opérations informatiques quotidiennes. Leur arme de prédilection ? Les mêmes logiciels et utilitaires d’administration qui assurent le bon fonctionnement des entreprises.

Contrairement aux groupes de rançongiciel traditionnels qui s’appuient sur des malwares sur mesure, les opérations de Black Shrantac sont presque invisibles. Selon une récente analyse de Marlink, leurs attaques commencent par l’exploitation de failles graves - comme la tristement célèbre CVE-2024-3400 - dans des équipements réseau obsolètes. Une fois à l’intérieur, ils déposent des mises à jour logicielles trojanisées dans des portails de confiance, piégeant les administrateurs pour qu’ils installent les outils d’accès à distance du groupe.

Leur mode opératoire est un véritable manuel de la tromperie : Black Shrantac désactive systématiquement les défenses de sécurité - utilisant PowerShell pour arrêter Microsoft Defender et des désinstalleurs officiels pour supprimer les protections des terminaux - le tout sous de nouveaux comptes de domaine créés pour l’occasion. En utilisant des outils commerciaux comme SimpleHelp et Net Monitor, leur trafic de commande et contrôle ressemble à une activité d’administration de routine, échappant ainsi à la vigilance de la plupart des équipes de sécurité.

La marque de fabrique du groupe est la « double extorsion ». D’abord, ils exfiltrent discrètement des données sensibles, puis déploient un rançongiciel pour chiffrer les systèmes. Les victimes font face à un choix cruel : payer pour restaurer l’accès et empêcher la divulgation de leurs secrets sur le dark web, ou risquer une exposition publique et des conséquences réglementaires. Black Shrantac fait monter la pression en divulguant des échantillons de données volées sur un site Tor dédié, incitant les organisations à céder.

Leurs méthodes sont sophistiquées mais pragmatiques. La reconnaissance s’effectue avec des scanners réseau portables et légitimes ; les déplacements latéraux s’appuient sur Remote Desktop Protocol, PSExec, et même des outils basés sur VNC - tous ayant des usages professionnels plausibles. Le chiffrement est exécuté avec plusieurs binaires en parallèle, augmentant les chances de succès même si certaines défenses tiennent bon.

L’utilisation par le groupe de messageries chiffrées et peer-to-peer pour les négociations de rançon rend toute intervention des forces de l’ordre quasiment impossible. Les conclusions de Marlink soulignent que même le paiement de la rançon n’offre aucune garantie de confidentialité : les données volées peuvent tout de même refaire surface, aggravant les dégâts.

L’ascension de Black Shrantac sonne comme un signal d’alarme pour les défenseurs. Leur approche disciplinée et méthodique - fondée sur des tactiques de « vivre sur la terre » - signifie que les outils de sécurité traditionnels ne suffisent plus. Les organisations doivent redoubler d’efforts sur les fondamentaux : corriger les vulnérabilités, appliquer une hygiène rigoureuse des identités, surveiller toute activité d’administration non autorisée et garantir la robustesse des sauvegardes. Dans cette nouvelle ère de cybercriminalité, la vigilance et les bases restent la meilleure défense contre des attaquants qui se cachent à la vue de tous.

WIKICROOK

• Living off the Land (LOTL) : Le « Living Off the Land » (LOTL) est une méthode de piratage où les attaquants utilisent des outils système légitimes pour dissimuler des activités malveillantes et échapper à la détection par les dispositifs de sécurité.
• Double extorsion : La double extorsion est une tactique de rançongiciel où les attaquants chiffrent les fichiers et volent également des données, menaçant de les divulguer si la rançon n’est pas payée.
• CVE (Common Vulnerabilities and Exposures) : Un CVE est un identifiant public unique pour une vulnérabilité de sécurité spécifique, permettant un suivi et une discussion cohérents dans l’industrie de la cybersécurité.
• Commande : Une commande est une instruction envoyée à un appareil ou à un logiciel, souvent par un serveur C2, lui ordonnant d’effectuer des actions spécifiques, parfois à des fins malveillantes.
• Mécanisme de persistance : Un mécanisme de persistance est une méthode utilisée par les malwares pour rester actifs sur un système, survivant aux redémarrages et aux tentatives de suppression par les utilisateurs ou les outils de sécurité.