Ouverture · Rançongiciels
Huit marques de rançongiciels sans antécédents ont toutes publié des victimes le même jour, dont l'une nommait T-Systems
Le lundi a généré 208 éléments horodatés dans nos flux — 52 pour cent de l'ensemble de la fenêtre — alors que huit acteurs affichant une base de référence nulle pour la période précédente publiaient simultanément leurs premières victimes, parallèlement à une activité élevée de Qilin.
Voici la preuve, et c'est toute l'histoire. Le 5 octobre, nos flux ont enregistré 208 éléments horodatés, soit 52 pour cent du total de la fenêtre et 9,5 fois les 22 éléments recensés la veille. Huit acteurs distincts spécialisés dans les rançongiciels — Safepay avec 26 éléments, Lamashtu 18, Emperador 15, N0n 11, Byod 7, Interlock 6, Doommageddon 4, Kairos 3 — chacun affichant une médiane nulle pour la période précédente, ont choisi ce même jour calendaire pour exister publiquement. Qilin, déjà actif, a publié 16 éléments contre une médiane antérieure de 3,5. Play a également progressé. Personne n'avait coordonné un embargo presse, et pourtant.
Le lot unique le plus important était celui de Safepay, confirmé par recoupement avec quatre sources et réparti sur neuf pays : une entreprise néerlandaise spécialisée dans les technologies avicoles, un groupe kényan, un fabricant slovaque, un distributeur chilien de climatisation, des entités italiennes, suisses, tchèques, allemandes et américaines, ainsi que t-systems.com — la filiale informatique de Deutsche Telekom, dont le siège est en Allemagne, opérant dans 26 pays et employant plus de 26 000 personnes. Un seul opérateur ne couvre pas neuf pays en une journée. Un réseau d'affiliés, si. Lamashtu a ciblé le Mexique, l'Espagne, l'Allemagne ; Emperador le Pérou, Panama, les Caraïbes ; N0n a fait l'impasse sur tout récit et a simplement publié trois comptes à rebours — secteur de la santé, services financiers, services gérés informatiques, avec publication des données prévue les 6 et 7 octobre.
Le raisonnement est le suivant : vous n'observez pas huit gangs. Vous observez un système de distribution unique doté de huit enseignes, avec une date de lancement. Trois jours avant celle-ci, un ressortissant russe de 28 ans, réputé avoir construit les systèmes centraux de Qilin, a été remis par le Japon à l'Allemagne — le genre d'événement qui concentre l'esprit d'un affilié sur la nécessité d'être payé avant que l'infrastructure ne soit démantelée. Et tandis que tout cela était publié, le NVD n'avait émis aucun élément depuis le 4 octobre à 14h06. La journée la plus chargée en rançongiciels de la fenêtre s'est déroulée sans aucun contexte de vulnérabilité faisant autorité. La marée est montée ; la photographie a été prise le dimanche.
Pourquoi c'est importantSi votre triage de notification aux victimes et de renseignement suppose un flux régulier et progressif de publications sur des sites de fuite, le lundi vient de livrer l'équivalent d'un trimestre en une seule journée — et votre flux CVE dormait pendant ce temps.