INC Ransom : la santé et l'éducation en ligne de mire

Qui ils sont

INC Ransom est une opération d'extorsion apparue en juillet 2023, selon SentinelOne. Huntress a repéré ses premières victimes affichées sur le site de fuites les 8 et 9 août 2023 et publié, le 11 août 2023, l'analyse d'une intrusion complète. Le groupe fonctionne en rançongiciel en tant que service : BleepingComputer, relayant Microsoft, décrit des affiliés qui ciblent des organisations publiques et privées depuis juillet 2023.

Le discours du groupe est particulier : il se présente comme un service qui « sauve la réputation » de la victime en lui expliquant ses failles, d'après SentinelOne. Le modèle reste celui de la double extorsion, chiffrement et vol de données, avec des fichiers portant l'extension .inc et des notes nommées inc-readme.txt et inc-readme.html, selon Huntress.

L'affilié le plus documenté est Vanilla Tempest, suivi par Microsoft : anciennement Vice Society, actif depuis juin 2021 et coutumier de l'éducation et de la santé, il a adopté INC comme charge utile après BlackCat et Rhysida, d'après le compte rendu de BleepingComputer du 18 septembre 2024. Le même article rapporte qu'en mai 2024, un acteur nommé « salfetka » a mis en vente le code source des chiffreurs Windows et Linux/ESXi pour 300 000 dollars américains.

Comment ils entrent

Dans l'intrusion analysée par Huntress en août 2023, des identifiants valides compromis ont servi à se connecter par RDP ; sept jours séparaient l'accès initial du chiffrement. SentinelOne ajoute l'hameçonnage ciblé et l'exploitation de services vulnérables, en particulier CVE-2023-3519 sur Citrix NetScaler. Dans le cas Vanilla Tempest, l'accès a été relayé : Microsoft décrit une infection Gootloader opérée par Storm-0494, puis la porte dérobée Supper, AnyDesk et MEGA, un mouvement latéral par RDP et un déploiement final par WMI, selon BleepingComputer.

L'outillage est banal et c'est ce qui le rend efficace : Advanced IP Scanner, PuTTY, lsassy pour les identifiants, 7-Zip pour l'archivage, MEGAsync pour l'exfiltration, PsExec pour lancer le chiffreur, et les binaires Windows natifs net.exe, nltest.exe et wmic.exe, selon Huntress. SentinelOne y ajoute NETSCAN, ESENTUTL et AnyDesk.

Ce qu'ils ont fait

• Août 2023 : premières victimes. Huntress identifie un hôtel autrichien comme première victime publique et décrit une intrusion de sept jours menée entièrement avec des outils légitimes.
• Mars 2024 : NHS Dumfries and Galloway. The Record rapporte le 29 mars 2024 qu'INC Ransom a revendiqué l'attaque contre ce conseil de santé écossais, qui dessert environ 150 000 personnes, et publié des échantillons de données cliniques en menaçant d'en diffuser davantage.
• Septembre 2024 : la santé américaine. Microsoft observe Vanilla Tempest déployer INC pour la première fois contre le secteur de la santé aux États-Unis, selon BleepingComputer, à partir d'un accès Gootloader fourni par Storm-0494.

Ce qui les arrête

1. Pas de RDP exposé, MFA sur tout accès distant. L'intrusion documentée par Huntress commence par un identifiant valide sur RDP ; un accès distant derrière VPN avec MFA, ou mieux un bastion, retire cette porte. ISO 27001:2022, 8.5 et 8.20 ; SOC 2, CC6.1.
2. Correctifs des passerelles. CVE-2023-3519 sur Citrix NetScaler figure parmi les vecteurs cités par SentinelOne. Un délai de correction mesuré pour les équipements de bordure fait partie du programme, pas de la bonne volonté. ISO 27001:2022, 8.8 ; SOC 2, CC7.1.
3. Contrôle applicatif et surveillance des outils d'administration. AnyDesk, MEGAsync, Advanced IP Scanner et PsExec sont légitimes ; ils n'ont pas leur place sur un serveur de production sans approbation. Bloquer ou alerter sur leur apparition. ISO 27001:2022, 8.19 ; SOC 2, CC7.2.
4. Protection de LSASS et des comptes à privilèges. lsassy et les extractions d'identifiants échouent face à Credential Guard, à la protection LSA et à des comptes d'administration séparés par niveau. ISO 27001:2022, 8.2 et 8.5.
5. Détection de l'exfiltration. Une archive 7-Zip qui part vers MEGA est visible pour qui surveille le trafic sortant ; le filtrage DNS et proxy des services de partage non approuvés arrête l'exfiltration avant la note de rançon. ISO 27001:2022, 8.12 et 8.16.
6. Sauvegardes isolées et plan de continuité pour les services essentiels. Pour un hôpital ou un établissement scolaire, la question n'est pas de payer, c'est de soigner et d'enseigner sans les systèmes pendant des semaines. ISO 27001:2022, 8.13 et 5.30 ; SOC 2, A1.2.