Daily Trust

Profil de la menace : Panzer

Panzer est un groupe de ransomware-as-a-service (RaaS) pratiquant la double extorsion : vol de données puis chiffrement, avec menace de publication sur son site de fuites. Ses outils ciblent Windows, Linux, VMware ESXi et FreeBSD. Le groupe recrute des affiliés via un programme structuré (80 % des gains reversés à l'affilié) et revendiquait déjà au moins 16 victimes dans plus de 11 pays un mois après son apparition, principalement dans la technologie et l'industrie.

Indicateurs comportementaux observés

• Suppression des clichés instantanés (vssadmin delete shadows, wmic shadowcopy delete)
• Sabotage de la récupération au démarrage (bcdedit /set recoveryenabled no)
• Usage détourné d'outils de prise en main à distance (RMM) non autorisés
• Archivage et exfiltration massive via rclone, 7-Zip ou WinRAR avant chiffrement
• Mouvement latéral via PsExec et connexions RDP/SMB internes suite à une session VPN suspecte
• Tentatives de désactivation des solutions EDR/antivirus

Techniques MITRE ATT&CK associées

• T1003 — Vol d'identifiants système (Credential Access)
• T1110 — Attaque par force brute (Credential Access)
• T1046 — Découverte de services réseau (Discovery)
• T1685 — Désactivation ou modification d'outils de sécurité (Defense Evasion)
• T1078 — Comptes valides compromis (Persistence)
• T1021 — Déplacement via services distants (Lateral Movement)
• T1005 — Collecte de données locales (Collection)
• T1048 — Exfiltration via protocole alternatif (Exfiltration)
• T1486 — Chiffrement de données à des fins de sabotage (Impact)
• T1657 — Extorsion financière (Impact)

Recommandations de mitigation

• Authentification forte (MFA) sur tous les accès distants, VPN et comptes privilégiés
• Surveillance et alerte sur la suppression de clichés instantanés et la modification des paramètres de démarrage
• EDR avec protection anti-sabotage déployé sur tous les postes, y compris les hyperviseurs ESXi
• Sauvegardes immuables et hors ligne, avec tests de restauration réguliers
• Segmentation réseau : isolement des contrôleurs de domaine, des sauvegardes et de la couche de virtualisation

Sources (recherche publique en sécurité, pas le site de fuites du groupe) : GBHackers, CyberXtron

Votre organisation pourrait être la prochaine ciblée.

Un scan gratuit montre concrètement où vous êtes exposé.