HTGanzo - stock.adobe.com

Actualites

Derrière la cyberattaque qui paralyse l'immobilier en Roumanie, ByteToBreach

La cyberattaque contre l'ANCPI de Roumanie met en lumière l'activité de ByteToBreach, un acteur utilisant le rançongiciel ByteToCrypt et exploitant des vulnérabilités critiques.

Valéry Rieß-Marchive
par
Publié le: 30 juil. 2026

L’Agence nationale du cadastre et de la publicité immobilière (ANCPI) de Roumanie a subi une cyberattaque à l'impact désastreux sur le registre foncier, lequel joue un rôle central dans la dématérialisation des procédures d’urbanisme et des transactions immobilières. L’incident, débuté le 14 juillet, a provoqué l’arrêt national de tous les enregistrements officiels.

L’acteur malveillant, revendiqué comme ByteToBreach, a invoqué des motivations financières. Bien que l’ANCPI ait initialement affirmé que les bases de données principales n’étaient pas compromises, l’assaillant a ensuite affirmé avoir dérobé d’énormes quantités de données et de code source. Selon Kela, spécialiste du renseignement sur les menaces, « une partie de l’ensemble de données exfiltrée, partagée au format JSON, fournit ce qui semble être un environnement actif interne détaillé de l’ANCPI, permettant à un acteur externe de cartographier des systèmes de grande valeur, d’analyser les politiques de sécurité internes et de calculer les chemins vers le contrôle au niveau du domaine sans interagir avec le réseau de la victime ».

Kela estime également que l’acteur ByteToBreach pourrait être Zakaria Mahdjoub, une personne basée à Oran, en Algérie, une évaluation étayée par des preuves techniques.

ByteToCrypt : anatomie d'un rançongiciel personnalisé

Le rançongiciel utilisé par ByteToBreach est baptisé ByteToCrypt. Il s'agit d'un logiciel de chiffrement personnalisé, déployé sur des systèmes Linux. L'analyse technique menée par TLP Black fait apparaître ByteToCrypt comme un outil relativement générique. Le chiffrement utilise une combinaison AES-256-CBC pour le contenu des fichiers et RSA-4096 pour le chiffrement des clés AES. 

Malgré sa nature personnalisée, l'implémentation de ByteToCrypt est décrite comme « fragile et sujette à erreur » par TLP Black. Le code présente plusieurs vulnérabilités techniques, telles que la troncature des chemins vers des tampons fixes, la perte de métadonnées, ou le signalement d'un succès après un travail partiel ou échoué.

En matière de comportement anti-forensique, le binaire exécute neuf commandes fixes via `system()`. Ces commandes visent à désactiver les démons de journalisation, à effacer les logs locaux et à tronquer les enregistrements de connexion, permettant à l'attaquant de masquer ses traces sur le système.

Profil de l'acteur : TTPs et infrastructure de ByteToBreach

L'activité de ByteToBreach s'étend au-delà de l'incident roumain. WhiteHatNG a précédemment documenté l'acteur, le décrivant comme utilisant un rançongiciel « auto-construit » ciblant les environnements contrôlés par un domaine.

Les Tactiques, Techniques et Procédures (TTPs) de ByteToBreach montrent une approche opérationnelle diversifiée. L'acteur utilise des VPS et des outils variés pour son infrastructure de commande et contrôle (C2). Il exploite également des vulnérabilités RCE pour l'intrusion initiale dans les systèmes d'information.

Selon WhiteHatNG, l'acteur est motivé par des objectifs financiers, mais aussi par la « publicité et l'ego », cherchant à maintenir l'impact perçu de ses opérations. Il a été observé dans d'autres régions d'Europe, et ses communications, bien que non fiables, confirment une orientation financière.

Pour approfondir sur Menaces, Ransomwares, DDoS