Un acteur qui a émergé dans cette tendance des attaques opérées par des humains est un groupe actif et hautement adaptatif, qui dépose fréquemment Wadhrama en guise de charge utile. PARINACOTA touche trois à quatre organisations chaque semaine et semble disposer de ressources considérables : au cours des 18 mois pendant lesquels nous l'avons surveillé, nous avons observé le groupe modifier ses tactiques en fonction de ses besoins et utiliser des machines compromises à diverses fins, notamment le minage de cryptomonnaies, l'envoi de courriels indésirables ou le relais d'autres attaques. Les objectifs et les charges utiles du groupe ont évolué au fil du temps, influencés par le type d'infrastructure compromise, mais ces derniers mois, il a principalement déployé le rançongiciel Wadhrama. Le groupe emploie le plus souvent une méthode de type « smash-and-grab », par laquelle il tente d'infiltrer une machine d'un réseau et de procéder à la demande de rançon qui s'ensuit en moins d'une heure. Il existe des campagnes atypiques au cours desquelles il tente une reconnaissance et un déplacement latéral, généralement lorsqu'il aboutit sur une machine et un réseau lui permettant de se déplacer rapidement et facilement dans l'environnement. Les attaques de PARINACOTA consistent généralement à forcer par force brute l'accès à des serveurs dont le protocole RDP (Remote Desktop Protocol) est exposé à Internet, dans le but de se déplacer latéralement au sein d'un réseau ou de mener de nouvelles activités de force brute contre des cibles extérieures au réseau. Cela permet au groupe d'étendre l'infrastructure compromise sous son contrôle. Le groupe cible fréquemment les comptes d'administrateur local intégrés ou une liste de noms de comptes courants. Dans d'autres cas, le groupe cible des comptes Active Directory (AD) qu'il a compromis ou dont il a une connaissance préalable, tels que des comptes de service de fournisseurs connus. Le groupe a adopté la technique de force brute RDP que l'ancien rançongiciel appelé Samas (également connu sous le nom de SamSam) a tristement utilisée. D'autres familles de logiciels malveillants telles que GandCrab, MegaCortext, LockerGoga, Hermes et RobbinHood ont également eu recours à cette méthode dans des attaques de rançongiciel ciblées. PARINACOTA a toutefois également été observé en train de s'adapter à toute voie de moindre résistance qu'il peut exploiter. Par exemple, il découvre parfois des systèmes non corrigés et exploite des vulnérabilités divulguées pour obtenir un accès initial ou élever ses privilèges.
Également connu sous le nom de
Wine Tempest, Wadhrama.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).