Selon les dernières observations de ThreatLabz, les cybercriminels liés à l’ancien groupe de ransomware BlackBasta poursuivent leurs activités sous de nouvelles formes, malgré la dissolution officielle du groupe en février 2025 après la fuite de ses communications internes.
Tribune – Dès le début de l’année 2026, les chercheurs ont identifié une vague d’attaques attribuées à un groupe encore peu connu, “Payouts King”. Ce dernier serait étroitement lié à des courtiers en accès initial (initial access brokers) précédemment impliqués dans les opérations de BlackBasta. Ces acteurs, spécialisés dans l’infiltration initiale des systèmes, continuent aujourd’hui de mener des attaques en réutilisant des modes opératoires éprouvés.
« Nous observons une continuité claire dans les techniques utilisées, notamment le recours au spam bombing, à l’ingénierie sociale via Microsoft Teams ou encore à l’outil Quick Assist pour établir un accès à distance », explique un expert ThreatLabz. « Ces méthodes témoignent d’une professionnalisation durable de ces réseaux, au-delà de la disparition des groupes historiques. »
- Le ransomware Payouts King, apparu en avril 2025, se distingue par une approche hybride combinant exfiltration massive de données et chiffrement sélectif des fichiers.
- Il intègre également des mécanismes avancés pour échapper aux solutions de détection traditionnelles, notamment les sandbox, les antivirus et les outils EDR (Endpoint Detection & Response).
- Cette évolution confirme une tendance de fond : la fragmentation des groupes de ransomware ne met pas fin aux menaces, mais favorise leur recomposition en entités plus discrètes et tout aussi efficaces.
Face à cette dynamique, ThreatLabz recommande aux organisations de renforcer leur posture de sécurité en adoptant une approche de défense en profondeur.
Cela passe notamment par :
- La formation des utilisateurs aux techniques d’ingénierie sociale,
- La généralisation de l’authentification multifacteur (MFA),
- La surveillance accrue des outils d’accès à distance
- Et le développement de capacités de threat hunting pour anticiper les nouvelles tactiques des attaquants.
