DragonForce : le cartel qui loue son infrastructure

Qui ils sont

DragonForce est apparu en août 2023 sous la forme d'un rançongiciel en tant que service classique, selon Sophos. SentinelOne précise que le groupe s'est d'abord présenté comme une opération hacktiviste pro-palestinienne avant de basculer vers l'extorsion, et que ses premières charges utiles reposaient entièrement sur le générateur fuité de LockBit 3.0 (LockBit Black), remplacées ensuite par une variante maison issue du code de Conti v3.

Le tournant date du 19 mars 2025 : dans un message sur un forum clandestin, DragonForce s'est rebaptisé « cartel » et a annoncé un modèle distribué où chaque affilié peut créer sa propre marque, d'après Sophos. Le cartel fournit les panneaux d'administration et de négociation, les outils de chiffrement, le stockage des fichiers volés et un site de fuites sur Tor ; l'affilié apporte l'accès et garde la plus grande part. Group-IB avait déjà documenté, le 26 juin 2024, le lancement public du programme d'affiliation avec la promesse de 80 % des revenus, puis une exigence ajoutée le 4 juillet 2024 : viser des cibles dont le revenu dépasse cinq millions de dollars américains.

Le résultat est une structure où le nom sur la note de rançon ne dit plus qui a attaqué. Le cartel loue l'infrastructure ; des équipes très différentes l'utilisent.

Comment ils entrent

SentinelOne décrit trois portes d'entrée : l'hameçonnage par courriel, l'exploitation de vulnérabilités connues (Log4Shell CVE-2021-44228, Ivanti CVE-2023-46805 et CVE-2024-21887) et les identifiants volés ou fuités, avec un ciblage intensif de RDP par bourrage d'identifiants et des faiblesses des VPN. Group-IB relève, dans une intrusion analysée, des connexions suspectes depuis trois adresses IP différentes avec des comptes de domaine valides.

Les attaques contre le commerce britannique de 2025 ont mis en lumière une quatrième voie : le NCSC signale les spéculations sur le recours à l'ingénierie sociale auprès des centres d'assistance informatique pour obtenir des réinitialisations d'identifiants. Aucune vulnérabilité logicielle n'est nécessaire quand un agent de soutien réinitialise le mot de passe d'un administrateur sur simple appel.

Ce qu'ils ont fait

• Juin 2024 : ouverture du programme d'affiliation. Group-IB date du 26 juin 2024 l'annonce publique du programme et recense, entre août 2023 et août 2024, 82 victimes sur le site de fuites, la fabrication, l'immobilier et le transport en tête, et les États-Unis pour 43 d'entre elles.
• Mars 2025 : le cartel. Sophos relève le message du 19 mars 2025 et compte 136 victimes sur le site de fuites au 24 mars 2025.
• Avril et mai 2025 : Marks & Spencer, Co-op et Harrods. SentinelOne documente une série d'attaques coordonnées contre des détaillants britanniques attribuées à DragonForce. Le NCSC a publié le 4 mai 2025 des recommandations pour l'ensemble du secteur, sans nommer les victimes ni confirmer un lien entre les incidents.

Ce qui les arrête

1. Authentification multifacteur partout, sans exception pour les administrateurs. Le NCSC demande un déploiement complet de la vérification en deux étapes. ISO 27001:2022, 5.17 et 8.5 ; SOC 2, CC6.1.
2. Procédure de réinitialisation au centre d'assistance. Vérifier l'identité de l'appelant par un canal indépendant avant tout changement de mot de passe ou de facteur MFA, surtout pour les comptes à privilèges, comme le recommande le NCSC. ISO 27001:2022, 5.16 et 5.18.
3. Revue des comptes à privilèges. Le NCSC demande une attention particulière aux comptes Domain Admin, Enterprise Admin et Cloud Admin. Un compte de service ou un ancien fournisseur avec ces droits est la cible idéale d'un affilié. ISO 27001:2022, 8.2 ; SOC 2, CC6.3.
4. Détection des connexions atypiques. Alerter sur les connexions depuis des VPN en plages résidentielles et sur les « risky logins » d'Entra ID Protection, selon le NCSC. SOC 2, CC7.2 ; ISO 27001:2022, 8.16.
5. Correctifs des passerelles exposées. Les CVE Ivanti et Log4Shell citées par SentinelOne ont toutes des correctifs ; un cycle de correction rapide des équipements de bordure ferme cette porte. ISO 27001:2022, 8.8 ; SOC 2, CC7.1.
6. Sauvegardes hors ligne et exercice de restauration. Un cartel qui met son chiffreur et son site de fuites à disposition de marques multiples laisse peu de prise à la négociation ; la restauration doit être testée, pas supposée. ISO 27001:2022, 8.13 ; SOC 2, A1.2.