Les gangs de ransomware n’inventent rien, ils recyclent. Selon l’éditeur de cybersécurité Arctic Wolf, les affiliés du groupe Anubis enchaînent désormais trois classiques du cambriolage numérique : la faille Citrix Bleed 2, la technique du pilote vulnérable embarqué (BYOVD) et les identifiants dérobés dans la chaîne d’approvisionnement. Rien de révolutionnaire, mais une mécanique redoutablement efficace.
Points clés
- Les affiliés du groupe Anubis exploitent la faille Citrix Bleed 2 pour l’accès initial.
- Ils détournent des outils légitimes : RMM, VPN, RDP, PsExec et utilitaires de transfert cloud.
- La technique BYOVD installe un pilote vulnérable signé pour désactiver les protections de sécurité.
- Le vol d’identifiants via la chaîne d’approvisionnement complète la panoplie d’attaque.
Une porte d’entrée signée Citrix
Citrix Bleed 2 rejoint la longue liste des vulnérabilités qui offrent aux attaquants un accès initial sur un plateau. Une fois le pied dans la place, les affiliés d’Anubis n’ont plus qu’à dérouler leur boîte à outils, largement empruntée à l’administration système légitime.
Vivre de la panoplie de l’administrateur
L’inventaire dressé par Arctic Wolf sonne comme un manuel d’exploitation réseau détourné : outils de gestion et de supervision à distance (RMM), connexions VPN, sessions RDP, l’increvable PsExec pour l’exécution latérale, et des utilitaires de transfert vers le cloud pour exfiltrer les données avant de tout chiffrer.
L’idée est simple et retorse. En s’appuyant sur des logiciels d’administration parfaitement légitimes, les attaquants se fondent dans le trafic normal et compliquent la tâche des équipes de défense. Pourquoi ramener sa propre artillerie quand la maison en fournit déjà ?
BYOVD : le pilote qui trahit
La technique du Bring Your Own Vulnerable Driver complète le tableau. Le principe : installer un pilote signé mais vulnérable pour désactiver les protections de sécurité depuis le noyau, là où les antivirus n’ont plus voix au chapitre. Un cheval de Troie muni d’un certificat en règle, en somme.
Le vol d’identifiants dans la chaîne d’approvisionnement boucle le trio gagnant. Plutôt que de forcer la porte, autant récupérer les clés chez un prestataire mal protégé. La leçon reste immuable : correctifs à jour, authentification multifacteur partout et surveillance des outils d’administration légitimes. Les rançongiciels ne cassent pas la serrure, ils entrent par celle qu’on a oublié de verrouiller.
