« What is RansomHub? Looks like a Knight ransomware reboot » translates to « Qu’est-ce que RansomHub ? On dirait un redémarrage du ransomware Knight » in French.

RansomHub, une nouvelle opération de cybercriminalité assez récente qui a revendiqué être à l’origine du vol de données de la maison de ventes aux enchères Christie’s et d’autres, est « très probablement » une sorte de rebranding du gang de ransomwares Knight, selon les chasseurs de menaces. Apparu en février, RansomHub a été extrêmement actif : il s’est vanté d’avoir volé, puis ironiquement mis aux enchères les données clients de Christie’s, ainsi que des informations internes volées auprès du fournisseur de services de télécommunications à large bande américain Frontier Communications – et même Change Healthcare après qu’un affilié ALPHV se soit déjà emparé de 22 millions de dollars en extorquant avec succès le conglomérat médical avec des ransomwares. Au cours des trois derniers mois, RansomHub a été le quatrième groupe de ransomware le plus prolifique en termes de nombre d’attaques revendiquées, selon Symantec du moins. Pour mémoire, LockBit est resté en tête du classement de Symantec, avec 489 infections de ransomware revendiquées, suivi par Play (101), Qilin (92) et RansomHub (61). Qilin, soit dit en passant, est soupçonné d’être derrière les cyber-attaques contre les hôpitaux britanniques cette semaine ; sa page d’accueil sur le dark web est hors ligne depuis le jour dernier ou deux et se rétablit. Symantec a enquêté sur certaines des récentes attaques de RansomHub, et son équipe de renseignement signale que les criminels ont souvent réussi à accéder aux victimes en exploitant la vulnérabilité d’élévation de privilèges ZeroLogon (CVE-2020-1472) dans le protocole de réseau de logon à distance de Microsoft.