Opération ENDGAME : démantèlement de botnets

Entre le 27 et le 29 mai 2024, une opération coordonnée par plusieurs autorités judiciaires a abouti au démantèlement d’infrastructures associées à des codes malveillants majeurs.

Cette initiative, nommée ENDGAME, s’inscrit dans la continuité d’une précédente action contre le botnet Qakbot menée en août 2023. Les autorités allemandes, néerlandaises, danoises, françaises, britanniques et américaines ont collaboré à cette opération.

L’ANSSI a apporté son soutien en identifiant et en notifiant les victimes potentielles des maliciels concernés.

Maliciels ciblés et vecteurs d’infection

Les codes malveillants identifiés (BumbleBee, IcedID, Pikabot, SmokeLoader et SystemBC) servent de porte d’entrée pour déployer d’autres outils offensifs ou rançongiciels.

• BumbleBee : chargeur malveillant actif depuis mars 2022, utilisé pour obtenir un premier accès et déployer des outils comme Cobalt Strike ou des rançongiciels (Conti, Quantum, MountLocker, Diavol, Akira).
• IcedID : cheval de Troie bancaire devenu un outil d’accès persistant, déployant des rançongiciels (BlackBasta, Nokoyawa, Dagon Locker).
• Pikabot : maliciel récent utilisé pour infiltrer les systèmes et déployer des outils offensifs ou rançongiciels (BlackBasta).
• SmokeLoader : chargeur modulaire vendu comme service, servant à déployer des infostealers, portes dérobées ou rançongiciels (8Base, Phobos).
• SystemBC : outil d’accès à distance transformé en proxy SOCKS, utilisé pour déployer des rançongiciels (Ryuk, Egregor, BlackBasta, Rhysida, AlphV, Phobos).

Ces maliciels sont principalement distribués via des campagnes d’hameçonnage, des publicités malveillantes ou des documents infectés.