Publicité en cours de chargement...
Ryuk le retour : après UHS et Sopra Steria, le secteur de la santé en ligne de mire
Une alerte a également été émise par les équipes sécurité de Microsoft. En France, les adhérents au marché Microsoft à la CAIH ont pu la recevoir vendredi dernier.
Beaucoup de publications récentes reviennent sur les outils et méthodes employés par les attaquants pour s’infiltrer dans le SI et déployer le rançongiciel Ryuk. Je vous propose donc un petit tour d’horizon.
1. Vecteur d’attaque
Dans un excellent rapport publié par FireEye[4], il est possible de constater, que le point d’entrée, reste, comme très souvent, un courriel ! La plateforme de mailing SendGrid a été utilisée pour les premières campagnes et des liens vers des documents Google Docs semblent être fréquemment utilisés. Des liens, sur lesquels les victimes seraient invitées à cliquer, contenus dans ces documents pointeraient vers des binaires, qui étaient au départ hébergés sur des machines compromises. Les attaquants s’appuieraient dorénavant sur des services de partage de fichiers tels que Google Drive, Basecamp, Slack, Trello, Yougile et JetBrains pour héberger leurs logiciels malveillants.
Dans ce rapport très riche, on retrouve notamment un important listing de sujets de courriels utilisés dans les différentes campagnes [5].
2. Portes d’entrées et persistance
Dans ces campagnes, plusieurs loaders sont utilisés pour compromettre les machines des victimes, tels que BazarLoader (baptisé KegTap par FireEye), SingleMalt, WineKey, et se maintenir dans les systèmes des victimes avec des outils tels que BazarBackdoor (également appelé Team9Backdoor ou Beerbot chez FireEye) Emotet, TrickBot et AnchorDNS.
3. Post-exploitation
Une fois ancrés sur les machines compromises, les attaquants utilisent différents frameworks d’exploitation tels que Cobalt Strike, Metasploit, PowerTrick ou encore PowerShell EMPIRE. L’idée étant de partir à la découverte du SI auquel est connectée la machine compromise pour faire un maximum de dégâts.
4. L’Active Directory : une cible de choix
L’annuaire Active Directory est bien évidemment une cible de choix pour les attaquants. Dans leur quête d’informations, ils utilisent notamment BloodHound, AdFind ou encore Mimikatz dans le but de récupérer des identifiants et mot de passe de connexion, élever leurs privilèges au niveau administrateur de domaine et pouvoir déployer en masse sur le SI, le rançongiciel Ryuk ou son petit fère Conti.
5. Déplacement latéraux
Pour se déplacer sur les différents machines du SI, les attaquants utilisent des protocoles connus tels que RDP, WMI ou encore SMB : un grand classique !
6. ZeroLogon : une aubaine pour tout casser à vitesse grand V !
La vulnérabilité CVE-2020-1472 dite ZeroLogon est un pur bonheur pour les attaquants. Affectant le protocole d’authentification Active Directory, NetLogon, elle permet facilement à un attaquant de prendre le contrôle total d’un contrôleur de domaine et par conséquent d’un domaine Active Directory.
Elle a notamment été utilisée dans l’attaque contre les hôpitaux d’UHS pour compromettre l’ensemble du SI et déployer le rançongiciel Ryuk en cinq heures et deux minutes. Je vous recommande le rapport de The DFIR Report [6] sur cet incident.
Pour rappel, Microsoft a publié un correctif pour cette vulnérabilité en août, et des POCs publiques d’exploitation ont été publiés en septembre [7], donc, si vous n’avez pas encore patché vos contrôleurs : ALERTE GÉNÉRALE !!!
De nombreux indicateurs de compromission ont été publiés dans ces différents rapports, j’ai essayé de compiler les IOCs réseau en deux listes, les noms de domaines utilisés [8] et les adresses IP [9] des serveurs de commande et de contrôle.
[1] https://edition.cnn.com/2020/09/29/health/uhs-cyberattack-ops-down/index.html
[2] https://www.soprasteria.com/newsroom/press-releases/details/cyberattack-information-update
[3] https://us-cert.cisa.gov/ncas/alerts/aa20-302a
[5] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_mail_subject.txt
[6] https://thedfirreport.com/2020/10/18/ryuk-in-5-hours/
[7] /article/3897/zerologon-est-il-vraiment-urgent-de-patcher-ses-controleurs-ad.html
[8] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_fqdn.txt
[9] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_ip.txt
Avez-vous apprécié ce contenu ?
A lire également.

Des lignes directrices sur la portée des obligations applicables aux modèles d'IA à usage général (1)
29 juil. 2025 - 11:09,
Actualité
-Le règlement (UE) 2024/1689 (AI Act), entré en vigueur le 1er août 2024, vise à encadrer le développement et l’utilisation de l’intelligence artificielle dans l’Union européenne, en conciliant innovation technologique et protection des droits fondamentaux.

Dernier billet philosohico-cyber avant la plage
21 juil. 2025 - 10:00,
Tribune
-À l’approche des congés d’été, l’heure est à la réflexion — et pas seulement sur la température de l’eau ou le bon dosage de crème solaire. Entre arnaques bancaires de plus en plus sophistiquées, dérives technologiques, illusions cyber-industrielles et lacunes dans la gouvernance publique, ce billet...

Données de santé et intelligence artificielle : la France lance sa stratégie nationale pour accélérer l’innovation en santé
07 juil. 2025 - 23:57,
Actualité
- DSIHLe ministre chargé de la Santé et de l’Accès aux soins, Yannick Neuder, a réuni ce 1er juillet un Comité stratégique exceptionnel pour présenter les premières étapes de la stratégie nationale sur l’intelligence artificielle (IA) et l’utilisation secondaire des données de santé. Objectif : structurer...

Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS
01 juil. 2025 - 00:00,
Actualité
- DSIHLa 13ᵉ édition du congrès APSSIS, qui s’est tenue en juin 2025, a une nouvelle fois confirmé sa place centrale dans l’écosystème de la cybersécurité en santé. Au fil de trois jours de conférences, de débats et de rencontres, RSSI, DPO, DSI, juristes et institutionnels ont croisé leurs expertises pou...