Silent Ransom Group, le petit gang de cyber-extorsion très spécialisé

L'accès initial : le rôle pivot du « callback phishing »

L'accès initial est souvent obtenu via une campagne de hameçonnage incitant la victime à contacter un faux numéro de support informatique (vishing ou callback phishing). Cette interaction aboutit à l'installation d'un outil légitime d'administration à distance (tel qu'AnyDesk, Zoho Assist ou Atera), qui sert de point d'ancrage pour l'attaque. Le groupe utilise également des noms de domaine enregistrés chez GoDaddy pour l'hameçonnage et les courriels de confirmation, assurant ainsi un contournement efficace des filtres de messagerie.

L'infrastructure du groupe est conçue pour une résilience dynamique. Pour maintenir sa présence, le groupe exploite un botnet(composé d'appareils domestiques et mobiles dans 18 pays) et utilise le DNS Fast Flux pour masquer les serveurs de commande et de contrôle (C2). Cette architecture permet une rotation rapide des adresses IP et garantit la disponibilité du C2, même en cas de détection.

Le modèle d'extorsion : exfiltration chirurgicale et pression financière

Le cœur de l'opération réside dans l'exfiltration chirurgicale des données. Des outils tels que WinSCP et Rclone sont utilisés pour extraire les informations. Mais le modèle de pression du groupe repose sur la menace de fuite ou de vente des données acquises, plutôt que sur le chiffrement comme principal levier de paiement.

L'absence de chiffrement rend l'attaque peu visible des employés des victimes, de quoi encourager au paiement de la rançon demandé lorsqu'il est principalement motivé par un désir de discrétion.

Pour gérer l'accès aux données volées, le groupe utilise un mécanisme de jetons dirigeant les utilisateurs vers des dossiers spécifiques via des URLs générées dynamiquement, souvent hébergées sur le clearnet.

Étude de cas

SRG ne semble pas nécessairement extraire des volumes de données considérables. Mais cela n'empêche pas le groupe d'avoir parfois des prétentions élevées.

Les négociations suggèrent que le groupe prend contact par téléphone avec ses victimes avant d'engager les échanges par e-mail. S'il semble faire globalement preuve de patience, le groupe n'en menace pas moins ses victimes de contacter leurs clients, partenaires, et employés, ainsi que les régulateurs sectoriels compétents.

Une liste des fichiers volés est fournie. La victime peut demander à s'en faire envoyer 10, sélectionnés dans la liste, à titre de preuve de l'extraction.

Silent Ransom Group n'apparaît en outre pas enclin à revoir spontanément ses exigences à la baisse : son approche semble plutôt consister à attendre des offres de la part de ses victimes. Enfin, les négociateurs du groupe semblent avoir, à leur disposition, des réponses prêtes à l'emploi, qu'ils copient-collent dans les échanges, suivant leur avancée. Une structuration du dialogue qui rappelle fortement... Conti.