Holiday Hackers : Dans les coulisses du blitz de reconnaissance à 240 exploits qui alimente la prochaine vague de ransomwares

Pendant les vacances de Noël, un cybercriminel solitaire a scanné le globe avec des centaines d’exploits - faisant le plein de vulnérabilités pour de futures attaques par ransomware.

Alors que la plupart du monde déballait des cadeaux et savourait les restes de dinde, quelqu’un d’autre déballait Internet. Entre le 25 et le 28 décembre, un seul acteur malveillant a lancé une campagne de reconnaissance à l’échelle industrielle, sondant systématiquement les points faibles numériques. Cette opération, consignant méticuleusement chaque exploit réussi sur plus de 240 vulnérabilités, n’était pas un acte aléatoire de vandalisme informatique - c’était une opération calculée d’approvisionnement pour la pègre du ransomware.

Comment fonctionne le racket de reconnaissance

Ce n’était pas une attaque de ransomware ordinaire. Avant que des fichiers ne soient chiffrés ou que des rançons ne soient exigées, l’économie du ransomware repose sur une classe obscure d’opérateurs appelés Initial Access Brokers (IAB). Leur mission ? Rechercher et cataloguer systématiquement les systèmes vulnérables, puis vendre ce savoir au plus offrant - souvent des groupes de ransomware avides d’un raccourci pour contourner les défenses des entreprises.

Pendant Noël, l’opérateur observé a utilisé deux adresses IP de CTG Server Limited - un fournisseur d’infrastructure déjà tristement célèbre pour héberger des opérations douteuses. Avec des requêtes toutes les 1 à 5 secondes, l’attaquant a soumis chaque cible à une batterie de 11 types d’exploits différents par scan, confirmant les succès via des dizaines de milliers de domaines de rappel liés à la plateforme Interactsh de ProjectDiscovery. L’attaque était si méthodique que les chercheurs ont pu identifier les outils : des scanners Nuclei open source, déployés à grande échelle pour l’exploitation massive.

La campagne s’est déroulée en deux vagues : une première offensive le jour de Noël utilisant les deux IPs, suivie d’une seconde poussée, plus ciblée, 12 heures plus tard, ajoutant même 13 nouveaux exploits oubliés lors du premier passage. Les empreintes numériques - signatures JA4 et identifiants de machines - désignent un seul opérateur hautement organisé, et non une équipe de hackers dispersée.

Pourquoi les fêtes sont le moment idéal pour les hackers

Les cybercriminels avisés savent que les équipes informatiques sont au minimum pendant les fêtes. Les alertes de sécurité peuvent passer inaperçues, les journaux sont analysés avec retard, et la réponse aux incidents est lente. Cette fenêtre de quatre jours a offert à l’attaquant une quasi-liberté pour mettre à jour son “inventaire” de systèmes vulnérables, avec l’espoir que ces nouvelles pistes alimenteront l’écosystème du ransomware pendant des mois - voire des années.

La réputation de CTG Server Limited pour son laxisme en matière de contrôle des abus en fait un aimant à activités illicites, et l’ampleur de cette opération montre à quel point la chaîne d’approvisionnement du ransomware s’est professionnalisée. Les données de vulnérabilité récoltées circulent probablement déjà sur les places de marché criminelles - peut-être même entre les mains d’acteurs étatiques visant des infrastructures critiques.

Et maintenant ?

Pour les défenseurs, le message est clair : examinez les journaux de serveurs et de DNS à la recherche des IPs identifiées et des requêtes suspectes vers des domaines OAST pendant la période des fêtes. Toute correspondance suggère qu’un attaquant sait déjà comment s’introduire. L’économie du ransomware prospérant sur ce type de reconnaissance, chaque alerte manquée pourrait devenir la brèche à plusieurs millions de demain.

WIKICROOK

Initial Access Broker (IAB) : Un Initial Access Broker est un cybercriminel qui s’introduit dans des systèmes et revend cet accès à d’autres, permettant ainsi de futures cyberattaques.
Exploit : Un exploit est une technique ou un logiciel qui exploite une vulnérabilité d’un système pour obtenir un accès, un contrôle ou des informations non autorisés.
OAST (Out : OAST détecte les vulnérabilités des applications web en observant comment les systèmes réagissent et communiquent via des canaux hors du trafic web habituel, comme le DNS ou l’email.
Nuclei : Nuclei est un outil open source d’analyse automatisée de vulnérabilités, utilisant des modèles pour détecter les failles dans les applications web, les API et l’infrastructure réseau.
Empreinte JA4 : L’empreinte JA4 est une méthode permettant d’identifier de façon unique des logiciels ou des appareils en analysant leurs schémas de trafic réseau, facilitant la détection de menaces et la reconnaissance d’appareils.