Publicité en cours de chargement...
Ryuk le retour : après UHS et Sopra Steria, le secteur de la santé en ligne de mire
Une alerte a également été émise par les équipes sécurité de Microsoft. En France, les adhérents au marché Microsoft à la CAIH ont pu la recevoir vendredi dernier.
Beaucoup de publications récentes reviennent sur les outils et méthodes employés par les attaquants pour s’infiltrer dans le SI et déployer le rançongiciel Ryuk. Je vous propose donc un petit tour d’horizon.
1. Vecteur d’attaque
Dans un excellent rapport publié par FireEye[4], il est possible de constater, que le point d’entrée, reste, comme très souvent, un courriel ! La plateforme de mailing SendGrid a été utilisée pour les premières campagnes et des liens vers des documents Google Docs semblent être fréquemment utilisés. Des liens, sur lesquels les victimes seraient invitées à cliquer, contenus dans ces documents pointeraient vers des binaires, qui étaient au départ hébergés sur des machines compromises. Les attaquants s’appuieraient dorénavant sur des services de partage de fichiers tels que Google Drive, Basecamp, Slack, Trello, Yougile et JetBrains pour héberger leurs logiciels malveillants.
Dans ce rapport très riche, on retrouve notamment un important listing de sujets de courriels utilisés dans les différentes campagnes [5].
2. Portes d’entrées et persistance
Dans ces campagnes, plusieurs loaders sont utilisés pour compromettre les machines des victimes, tels que BazarLoader (baptisé KegTap par FireEye), SingleMalt, WineKey, et se maintenir dans les systèmes des victimes avec des outils tels que BazarBackdoor (également appelé Team9Backdoor ou Beerbot chez FireEye) Emotet, TrickBot et AnchorDNS.
3. Post-exploitation
Une fois ancrés sur les machines compromises, les attaquants utilisent différents frameworks d’exploitation tels que Cobalt Strike, Metasploit, PowerTrick ou encore PowerShell EMPIRE. L’idée étant de partir à la découverte du SI auquel est connectée la machine compromise pour faire un maximum de dégâts.
4. L’Active Directory : une cible de choix
L’annuaire Active Directory est bien évidemment une cible de choix pour les attaquants. Dans leur quête d’informations, ils utilisent notamment BloodHound, AdFind ou encore Mimikatz dans le but de récupérer des identifiants et mot de passe de connexion, élever leurs privilèges au niveau administrateur de domaine et pouvoir déployer en masse sur le SI, le rançongiciel Ryuk ou son petit fère Conti.
5. Déplacement latéraux
Pour se déplacer sur les différents machines du SI, les attaquants utilisent des protocoles connus tels que RDP, WMI ou encore SMB : un grand classique !
6. ZeroLogon : une aubaine pour tout casser à vitesse grand V !
La vulnérabilité CVE-2020-1472 dite ZeroLogon est un pur bonheur pour les attaquants. Affectant le protocole d’authentification Active Directory, NetLogon, elle permet facilement à un attaquant de prendre le contrôle total d’un contrôleur de domaine et par conséquent d’un domaine Active Directory.
Elle a notamment été utilisée dans l’attaque contre les hôpitaux d’UHS pour compromettre l’ensemble du SI et déployer le rançongiciel Ryuk en cinq heures et deux minutes. Je vous recommande le rapport de The DFIR Report [6] sur cet incident.
Pour rappel, Microsoft a publié un correctif pour cette vulnérabilité en août, et des POCs publiques d’exploitation ont été publiés en septembre [7], donc, si vous n’avez pas encore patché vos contrôleurs : ALERTE GÉNÉRALE !!!
De nombreux indicateurs de compromission ont été publiés dans ces différents rapports, j’ai essayé de compiler les IOCs réseau en deux listes, les noms de domaines utilisés [8] et les adresses IP [9] des serveurs de commande et de contrôle.
[1] https://edition.cnn.com/2020/09/29/health/uhs-cyberattack-ops-down/index.html
[2] https://www.soprasteria.com/newsroom/press-releases/details/cyberattack-information-update
[3] https://us-cert.cisa.gov/ncas/alerts/aa20-302a
[5] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_mail_subject.txt
[6] https://thedfirreport.com/2020/10/18/ryuk-in-5-hours/
[7] /article/3897/zerologon-est-il-vraiment-urgent-de-patcher-ses-controleurs-ad.html
[8] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_fqdn.txt
[9] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_ip.txt
Avez-vous apprécié ce contenu ?
A lire également.

CareLib : une innovation co-construite au service du soin à l’EHPAD Les Charmilles
23 juin 2025 - 10:49,
Actualité
- Maellie Vezien, DSIHEn EHPAD, un résident chute en moyenne 1,7 fois par an, contre 0,65 à domicile. Un chiffre qui en dit long sur l’urgence de pouvoir détecter rapidement ces incidents et offrir un moyen simple et fiable d’appeler un soignant, peu importe l’endroit où se trouve le résident.

IA et santé : cap sur une cybersécurité consolidée et proactive
18 juin 2025 - 10:57,
Communiqué
- Trend MicroLe secteur de la santé, porté par la vague de l’IA, veut gagner en flexibilité, innover dans la prise en charge des patients et maîtriser les coûts. Des promesses qui ne se concrétiseront que dans un cadre de sécurité robuste. En effet, l’IA se révèle à double tranchant. Elle renforce les lignes de ...

Appel à propositions de l’Europe pour la cybersécurité des PME et des organismes publics
16 juin 2025 - 22:18,
Actualité
- Damien Dubois, DSIHLe 12 juin, la Commission européenne a annoncé un investissement de 145,5 millions d’euros pour soutenir la cybersécurité des PME, administrations et établissements de santé.

Et c’est l’heure de notre quiz annuel
16 juin 2025 - 22:10,
Tribune
-Ça y est, c’est bientôt l’été avec tout qui chauffe, le soleil qui revient, le maillot de bain de l’année dernière dans lequel vous ne rentrez plus – hiver oblige. Il est largement temps de se changer les idées avec un petit quiz aux questions subtilement nuancées, une exclusivité DSIH souvent imité...