Groupe RA
RA Group, également connu sous le nom de RA World, est apparu pour la première fois en avril 2023, utilisant une variante personnalisée du ransomware Babuk.
L'origine du groupe RA
Le groupe RA est apparu au début des années 2020 et s'est fait connaître en ciblant de grandes entreprises et des entités gouvernementales.
Le mode opératoire du groupe consiste à exploiter les vulnérabilités de la sécurité des réseaux pour déployer des ransomwares, qui chiffrent les données de la victime et exigent une rançon, généralement en crypto-monnaie, pour obtenir les clés de déchiffrement.
Les opérations de RA Group se caractérisent par une double tactique d'extorsion : ils ne se contentent pas de crypter les fichiers de la victime, mais menacent également de rendre publiques les données sensibles volées si leurs demandes de rançon ne sont pas satisfaites. Cette tactique augmente considérablement la pression exercée sur les victimes pour qu'elles se plient à leurs exigences.
Au fil du temps, RA Group, devenu RA World, a affiné ses techniques, ce qui en fait l'un des groupes de ransomwares les plus redoutés par la communauté de la cybersécurité.
Pays ciblés par le groupe RA
La plupart des cibles du groupe RA se trouvaient aux États-Unis, et un plus petit nombre d'attaques ont eu lieu dans des pays tels que l'Allemagne, l'Inde et Taïwan.
Source : Trend Micro
Industries ciblées par le groupe RA
Le groupe cible principalement les entreprises des secteurs de la santé et de la finance.
Source : Trend Micro
Victimes du groupe RA
À ce jour, plus de 86 personnes ont été victimes des opérations malveillantes du groupe RA.
Source : ransomware.live
Méthode d'attaque du groupe RA
RA Group s'introduit dans le réseau de la victime en exploitant les vulnérabilités des logiciels non corrigés, les protocoles de bureau à distance (RDP) exposés, ou par le biais de courriels à l'adresse phishing .
Le groupe RA escalade les privilèges au sein du réseau pour obtenir des niveaux d'accès plus élevés.
RA World obtient et utilise des informations d'identification pour accéder à différentes parties du réseau.
En se déplaçant sur le réseau, RA World identifie les systèmes critiques qui sont essentiels au fonctionnement de l'organisation.
Une fois l'accès obtenu, RA World utilise des informations d'identification compromises et des outils de réseau interne pour naviguer latéralement sur le réseau.
Le ransomware Babuk personnalisé est déployé sur le réseau et cible les fichiers essentiels.
Les informations sensibles telles que les dossiers financiers, les informations personnelles identifiables (PII) et la propriété intellectuelle sont exfiltrées du réseau.
Le ransomware crypte les fichiers essentiels, les rendant inaccessibles aux utilisateurs légitimes.
RA Group s'introduit dans le réseau de la victime en exploitant les vulnérabilités des logiciels non corrigés, les protocoles de bureau à distance (RDP) exposés, ou par le biais de courriels à l'adresse phishing .
Le groupe RA escalade les privilèges au sein du réseau pour obtenir des niveaux d'accès plus élevés.
RA World obtient et utilise des informations d'identification pour accéder à différentes parties du réseau.
En se déplaçant sur le réseau, RA World identifie les systèmes critiques qui sont essentiels au fonctionnement de l'organisation.
Une fois l'accès obtenu, RA World utilise des informations d'identification compromises et des outils de réseau interne pour naviguer latéralement sur le réseau.
Le ransomware Babuk personnalisé est déployé sur le réseau et cible les fichiers essentiels.
Les informations sensibles telles que les dossiers financiers, les informations personnelles identifiables (PII) et la propriété intellectuelle sont exfiltrées du réseau.
Le ransomware crypte les fichiers essentiels, les rendant inaccessibles aux utilisateurs légitimes.
TTP utilisées par le groupe RA
Comment détecter le groupe RA avec Vectra AI
Foire aux questions
Qu'est-ce que RA Group/RA World ?
RA Group, également connu sous le nom de RA World, est une organisation cybercriminelle connue pour ses attaques sophistiquées par ransomware. Elle cible généralement les grandes entreprises et les entités gouvernementales.
Comment le groupe RA accède-t-il aux réseaux ?
Le groupe RA exploite des vulnérabilités telles que des logiciels non corrigés, des protocoles de bureau à distance (RDP) exposés et des escroqueries de type phishing pour obtenir un accès initial aux réseaux de ses cibles.
Quel type de ransomware RA Group utilise-t-il ?
RA Group est connu pour utiliser des ransomwares développés sur mesure, y compris des variantes comme Babuk, qui cryptent les fichiers sur les systèmes infectés et demandent une rançon pour obtenir les clés de décryptage.
Quelle est la rançon typique demandée par RA Group ?
Le montant de la rançon peut varier considérablement en fonction de la cible et de la valeur perçue des données cryptées, allant souvent de dizaines à des centaines de milliers de dollars, payables en crypto-monnaies.
Comment le groupe RA intensifie-t-il son attaque une fois qu'il a pénétré dans un réseau ?
Après avoir obtenu l'accès initial, le groupe RA utilise généralement des informations d'identification compromises et des outils internes pour escalader les privilèges et se déplacer latéralement sur le réseau afin d'identifier et de compromettre les systèmes critiques.
Quelles sont les tactiques de double extorsion utilisées par le groupe RA ?
RA Group ne se contente pas de crypter les données de la victime, mais vole également des informations sensibles. Ils menacent de rendre publiques ces données volées si leurs demandes de rançon ne sont pas satisfaites.
Comment les organisations peuvent-elles se protéger contre les attaques du groupe RA ?
Les organisations doivent régulièrement mettre à jour et patcher les systèmes, organiser des formations de sensibilisation sur phishing , sécuriser l'accès RDP et utiliser l'authentification multifactorielle. La mise en œuvre d'une plateforme de détection des menaces basée sur l'IA, telle que Vectra AI , peut également aider à détecter et à répondre rapidement aux activités suspectes.
Que doit faire une organisation si elle est victime d'une attaque du groupe RA ?
Les organisations concernées doivent isoler les systèmes infectés, mettre en place des plans d'intervention et de reprise après sinistre et signaler l'incident aux autorités policières. Il est également conseillé de faire appel à des experts en cybersécurité pour une analyse médico-légale et une éventuelle récupération des données.
Les données cryptées par RA Group peuvent-elles être récupérées sans payer la rançon ?
La récupération des données sans paiement de la rançon dépend de la variante de ransomware utilisée et de la disponibilité des outils de décryptage. Les sauvegardes sont souvent le moyen le plus fiable de restaurer les données cryptées.
Quelles sont les tendances observées dans les activités du groupe RA ?
Le groupe RA s'en prend de plus en plus aux organisations disposant de données de grande valeur et d'infrastructures critiques, en programmant souvent ses attaques de manière à les perturber au maximum. Ses méthodes continuent d'évoluer, intégrant des techniques plus sophistiquées pour échapper à la détection et augmenter son taux de réussite.