Opération ENDGAME : démantèlement de codes cybercriminels

Dans le cadre de l’opération ENDGAME, lancée en mai 2024, de nouvelles actions de démantèlement ont été menées contre les infrastructures associées à des codes cybercriminels depuis la semaine du 3 novembre 2025. Ces opérations ont impliqué les autorités allemandes, danoises, françaises, néerlandaises, américaines, australiennes et britanniques.

Codes malveillants ciblés

Les codes concernés, VenomRAT, Rhadamanthys et Elysium, permettent d’exfiltrer des données et de déployer d’autres outils malveillants, notamment des rançongiciels. L’ANSSI a apporté son soutien pour identifier et notifier les victimes, tout en partageant des recommandations de sécurité.

Caractéristiques des codes

• VenomRAT : programme malveillant d’accès à distance (Remote Access Tool) vendu en tant que Malware-as-a-Service (MaaS), permettant un accès persistant au système compromis. Il se distingue par sa fonctionnalité de loader, capable de télécharger et exécuter des charges malveillantes supplémentaires depuis un serveur C2. Principalement diffusé via des campagnes d’hameçonnage ou des sites Internet malveillants imitant des ressources légitimes.
• Rhadamanthys : infostealer doté de capacités étendues de reconnaissance et de vol d’informations (cookies, identifiants, portefeuilles de cryptomonnaies). Modulaire et régulièrement mis à jour, il est massivement vendu en tant que MaaS sur les forums cybercriminels. Principalement diffusé via des campagnes d’hameçonnage exploitant la confiance des utilisateurs dans des ressources d’apparence légitime.

Recommandations de l’ANSSI

L’autorité recommande de procéder à des investigations complémentaires sur les systèmes d’information dont une machine a été infectée, afin de rechercher des traces de latéralisation ou d’autres outils malveillants. Une fiche réflexe est disponible pour aider à la qualification des incidents.

Source : CERT-FR — Analyse de la menace (CTI)