Infrastructure d'attaque du groupe cybercriminel TA505

L'activité du groupe cybercriminel TA505 remonterait à au moins 2014. Jusqu'en 2017, son activité semblait se concentrer sur la distribution de chevaux de Troie bancaires (Dridex, TrickBot) et de rançongiciels (Locky). L'année 2018 a marquée un tournant dans ses méthodes d'attaques, TA505 distribuant de plus en plus de portes dérobées et cherchant désormais à déployer le rançongiciel Clop chez des entités à même de payer des rançons de montants élevés (Big game hunting). De septembre 2019 à septembre 2020, le groupe cybercriminel TA505 a mené des campagnes de distribution de l'outil d'administration à distance SDBbot, apparemment spécifique à lui. SDBbot est habituellement le précurseur du déploiement du rançongiciel Clop. TA505 est également connu pour utiliser TinyMet/Metasploit et CobaltStrike après avoir obtenu un accès grâce à SDBbot.

#CYBER #THREATS #TA505 #RANSOMWARE #

📎 (PDF) https://www.cert.ssi.gouv.fr/uploads/CERTFR-2021-CTI-002.pdf