Opération ENDGAME : démantèlement de codes cybercriminels

Dans le cadre de l'opération ENDGAME, des actions de démantèlement ont été menées contre des infrastructures liées à des codes cybercriminels depuis début novembre 2025. Ces opérations ont impliqué plusieurs autorités internationales, dont des pays européens et américains.

L'ANSSI apporte son soutien aux victimes en identifiant les compromissions et en partageant des recommandations de sécurité. Les codes malveillants ciblés (VenomRAT, Rhadamanthys et Elysium) permettent l'exfiltration de données et le déploiement d'outils offensifs ou de rançongiciels.

VenomRAT

VenomRAT est un programme malveillant d'accès à distance (Remote Access Tool) vendu en tant que Malware-as-a-Service. Il offre un accès persistant à un système compromis et permet le téléchargement de charges malveillantes supplémentaires via un serveur C2. Principalement diffusé par hameçonnage ou sites malveillants imitant des ressources légitimes, il a été associé à des campagnes utilisant ScrubCrypt en 2024.

Rhadamanthys

Rhadamanthys est un infostealer apparu fin 2022, capable de voler des informations système, des identifiants ou des portefeuilles de cryptomonnaies. Activement maintenu, il est régulièrement mis à jour pour améliorer sa furtivité. Diffusé via des campagnes d'hameçonnage ou des faux CAPTCHA, il a également été distribué par des programmes tiers comme SmokeLoader et Amadey Loader.

Recommandations de l'ANSSI

L'ANSSI propose une méthodologie en trois étapes pour qualifier et traiter les compromissions :

• Qualifier l’infection : identifier le système concerné, confirmer sa compromission et évaluer la gravité de l'incident en fonction du périmètre et de l'impact potentiel.
• Recherche de compromission : analyser les flux inhabituels, les connexions internes suspectes et les indicateurs de compromission (IOC) pour détecter d'éventuelles latéralisations.
• Remédiation : préserver les traces, isoler la machine compromise, réinitialiser les comptes concernés et remplacer le système si nécessaire.

Ce que cela implique

• Organisations victimes de codes malveillants : identifier et qualifier les compromissions
• Responsables sécurité : rechercher des traces de latéralisation ou d'outils malveillants