À l’ANSSI, des indicateurs de compromission pour les ransonmwares de FIN 12

Les indicateurs de compromission sont arrivés en 2020, après l’attaque de Bouygues Construction par le rançongiciel Maze.

Il s’agit pour rappel d’informations – « qualifiées ou non par l’ANSSI » – et partagées publiquement à des fins de prévention afin que tout le monde puisse vérifier s’il n’est pas infecté (notamment via les journaux).

• Rançongiciel Maze : l’ANSSI assure d’une « collaboration efficace » avec Bouygues Construction
• Cybersécurité : l’année 2020 vue par l’ANSSI, avec deux fois plus d’« incidents »

Il y en a eu cinq en 2020, six en 2021, mais seulement un en 2022. Le premier de 2023 vient de tomber, avec « les marqueurs techniques […] associés au mode opératoire cybercriminel FIN12 ». Ils sont téléchargeables par ici.

L’ANSSI rappelle que, en mars 2023, elle a signalé au centre hospitalier universitaire de Brest la compromission de l’un de ses serveurs : « La réactivité de l’établissement de santé a permis d’isoler rapidement le système d’information (SI) d’Internet et d’entraver la progression du mode opératoire des attaquants (MOA) empêchant l’exfiltration des données et le chiffrement du SI ».

« Les opérateurs du MOA FIN12 seraient ainsi responsables d’un nombre conséquent d’attaques par rançongiciel sur le territoire français. Entre 2020 et 2023, ils auraient utilisé les rançongiciels Ryuk et Conti, avant de prendre part aux programmes de Ransomware-as-a-Service (RaaS) des rançongiciels Hive, BlackCat et Nokoyawa. Ils auraient également utilisé les rançongiciels Play et Royal », ajoute l‘Agence.

Source