Interlock et Rhysida : L’IA dans l’écosystème des ransomwares

graph TB %% Définitions des classes classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef evasion fill:#bbf,stroke:#333,stroke-width:2px classDef execution fill:#dfd,stroke:#333,stroke-width:2px classDef persistence fill:#fdd,stroke:#333,stroke-width:2px classDef command_control fill:#ffd,stroke:#333,stroke-width:2px classDef discovery fill:#dff,stroke:#333,stroke-width:2px classDef lateral_movement fill:#dcd,stroke:#333,stroke-width:2px classDef impact fill:#f99,stroke:#333,stroke-width:2px classDef tool_malware fill:#eee,stroke:#333,stroke-width:1px %% Phase d’accès initial action_drive_by[« <b>Action</b> – <b idea=’T1189 Compromission par navigation (Drive-by Compromise)'</b><br/>Les victimes sont attirées via des sites web frauduleux,<br/>des publicités malveillantes ou des redirections<br/>provenant de moteurs de recherche. »] class action_drive_by initial_access action_content_injection[« <b>Action</b> – <b idea=’T1204 Injection de contenu'</b><br/>Utilisation de systèmes de distribution de trafic (TDS)<br/>comme TAG-124 ou ClickFix afin de rediriger les utilisateurs. »] class action_content_injection initial_access action_subvert_trust[« <b>Action</b> – <b idea=’T1553 Contournement des contrôles de confiance : Signature de code'</b><br/>Utilisation de certificats frauduleux tels que ceux de<br/>Foshan Yongqiheng Trading Co., Ltd. »] class action_subvert_trust evasion %% Phase d’exécution et de transfert action_user_exec[« <b>Action</b> – <b idea=’T1204 Exécution par l’utilisateur'</b><br/>Exécution d’installateurs trojanisés<br/>(par exemple Microsoft Teams, Chrome ou Edge). »] class action_user_exec execution malware_initial_payload[« <b>Logiciel malveillant</b> – <b idea=’Payloads’>JunkFiction, NodeSnake ou Endico</b><br/>Téléchargeurs de première étape exécutés<br/>après interaction de l’utilisateur. »] class malware_initial_payload tool_malware action_ingress_transfer[« <b>Action</b> – <b idea=’T1105 Transfert d’outils entrant'</b><br/>Récupération d’un malware de seconde étape depuis<br/>des serveurs distants de commande et contrôle. »] class action_ingress_transfer execution malware_second_stage[« <b>Logiciel malveillant</b> – <b idea=’Backdoors’>Supper ou InterlockRAT</b><br/>Backdoors de seconde étape récupérées<br/>pour permettre l’accès distant. »] class malware_second_stage tool_malware %% Phase de persistance action_persistence_linux[« <b>Action</b> – <b idea=’T1543.003 Scripts d’initialisation au démarrage ou à la connexion : Service Systemd'</b><br/>Les variantes Linux de NodeSnake créent<br/>de nouveaux services systemd. »] class action_persistence_linux persistence action_persistence_windows[« <b>Action</b> – <b idea=’T1547 Modification de configuration Shell Unix’>Persistance Windows</b><br/>Utilisation de modifications de configuration du shell<br/>pour conserver un accès durable. »] class action_persistence_windows persistence %% Phase Command and Control action_c2[« <b>Action</b> – <b idea=’T1219 Logiciel d’accès distant'</b><br/>Création de shells inversés et de<br/>tunnels SOCKS5 pour des communications furtives. »] class action_c2 command_control %% Phase de découverte action_discovery_domain[« <b>Action</b> – <b idea=’T1087.002 Découverte de comptes : Compte de domaine'</b><br/>Énumération des comptes de domaine à l’aide<br/>de commandes telles que net user /domain. »] class action_discovery_domain discovery action_discovery_groups[« <b>Action</b> – <b idea=’T1069.002 Découverte des groupes d’autorisations : Groupes de domaine'</b><br/>Énumération des groupes via<br/>net group domain admins /domain. »] class action_discovery_groups discovery %% Mouvement latéral et impact action_lateral_move[« <b>Action</b> – <b idea=’T1210 Exploitation des services distants'</b><br/>Déplacement dans l’environnement via des sessions RDP<br/>initiées par des shells inversés. »] class action_lateral_move lateral_movement action_selective_exclusion[« <b>Action</b> – <b idea=’Defense Evasion’>Exclusion sélective</b><br/>Déploiement de stratégies WDAC personnalisées afin de bloquer<br/>Microsoft Defender ou Sophos EDR. »] class action_selective_exclusion evasion action_impact_encryption[« <b>Action</b> – <b idea=’T1486 Chiffrement des données pour impact'</b><br/>Déploiement final des ransomwares Interlock ou Rhysida<br/>pour chiffrer les fichiers des victimes. »] class action_impact_encryption impact %% Connexions action_drive_by –>|facilite| action_content_injection action_content_injection –>|mène_à| action_user_exec action_user_exec –>|utilise| malware_initial_payload malware_initial_payload –>|nécessite| action_subvert_trust malware_initial_payload –>|déclenche| action_ingress_transfer action_ingress_transfer –>|télécharge| malware_second_stage malware_second_stage –>|établit| action_persistence_linux malware_second_stage –>|établit| action_persistence_windows malware_second_stage –>|active| action_c2 action_c2 –>|effectue| action_discovery_domain action_c2 –>|effectue| action_discovery_groups action_discovery_domain –>|informe| action_lateral_move action_discovery_groups –>|informe| action_lateral_move action_lateral_move –>|mène_à| action_selective_exclusion action_selective_exclusion –>|précède| action_impact_encryption

Flux d’Attaque