<\/a>Vue d\u2019ensemble des menaces de Muddled Libra<\/h2>\nComme le montrent les pr\u00e9c\u00e9dentes publications de Unit\u00a042 sur Muddled Libra<\/a>, ce groupe ma\u00eetrise parfaitement diverses techniques d\u2019ing\u00e9nierie sociale (notamment le smishing et le vishing) pour obtenir un acc\u00e8s initial aux organisations cibl\u00e9es. Ces activit\u00e9s peuvent inclure le ciblage de centres d\u2019appels exploit\u00e9s par les victimes elles-m\u00eames, mais aussi de ceux externalis\u00e9s aupr\u00e8s de prestataires tiers (comme des BPO ou MSP), \u00e9largissant ainsi le champ d\u2019action potentiel du groupe.<\/p>\nLes attaquants de Muddled Libra sont devenus experts dans l\u2019exploitation de la psychologie humaine, en se faisant passer pour des employ\u00e9s afin de tenter de r\u00e9initialiser des mots de passe et des m\u00e9canismes d\u2019authentification multifacteur (MFA). La figure 1 ci-dessous illustre plus en d\u00e9tail la composition de Muddled Libra en termes de profil d\u00e9mographique, de techniques m\u00e9tier, de ciblage des victimes et d\u2019actions men\u00e9es pour atteindre leurs objectifs.<\/p>\n![\"Quatre]()
Figure 1. Profil de menace de Muddled Libra.<\/figcaption><\/figure>\nBien que ses techniques m\u00e9tier aient \u00e9volu\u00e9 au fil du temps, Muddled Libra continue de minimiser l\u2019utilisation de malwares tout au long de la cha\u00eene d\u2019attaque. Dans la mesure du possible, les attaquants pr\u00e9f\u00e8rent utiliser les ressources propres de la victime contre elle.<\/p>\n
<\/a>Chronologie de la victimologie\u00a0: un impact \u00e0 plus grande port\u00e9e<\/h2>\nEn 2025, nous avons observ\u00e9 des intrusions dans les secteurs publics, du retail, de l\u2019assurance et de l\u2019aviation, comme le montre la figure\u00a02 ci-dessous. Ce groupe a montr\u00e9 une tendance \u00e0 cibler plusieurs organisations au sein d\u2019un m\u00eame secteur sur une p\u00e9riode relativement courte. Cependant, les attaquants ne suivent pas strictement ce sch\u00e9ma et ont simultan\u00e9ment vis\u00e9 des organisations \u00e9voluant dans des secteurs diff\u00e9rents.<\/p>\n![\"Chronologie]()
Figure 2. Chronologie du ciblage sectoriel par Muddled Libra en 2025.<\/figcaption><\/figure>\n<\/a>La strat\u00e9gie de Muddled Libra\u00a0: \u00eatre plus rapide<\/h2>\nJusqu\u2019\u00e0 pr\u00e9sent en 2025, les cas observ\u00e9s montrent un passage du smishing et de l\u2019hame\u00e7onnage vers des interactions humaines plus directes, ainsi qu\u2019une adoption du mod\u00e8le ransomware-as-a-service (RaaS), ce qui a consid\u00e9rablement r\u00e9duit la dur\u00e9e de pr\u00e9sence de cet acteur dans les environnements compromis. Le temps moyen entre l\u2019acc\u00e8s initial et le confinement \u00e9tait de 1\u00a0jour, 8\u00a0heures et 43\u00a0minutes.<\/p>\n
Depuis au moins avril 2025, le groupe collabore avec le programme DragonForce RaaS, exploit\u00e9 par le groupe que nous suivons sous le nom de Slippery Scorpius, pour extorquer ses victimes. Dans un cas, nous avons observ\u00e9 des attaquants exfiltrer plus de 100\u00a0Go de donn\u00e9es sur une p\u00e9riode de deux\u00a0jours, avec un chiffrement via le d\u00e9ploiement du ransomware DragonForce.<\/p>\n
La figure 3 ci-dessous illustre comment le groupe a pu passer d\u2019un acc\u00e8s initial via l\u2019ing\u00e9nierie sociale d\u2019un employ\u00e9 du helpdesk, \u00e0 une escalade des privil\u00e8ges, puis aux droits d\u2019administrateur de domaine en l\u2019espace de 40\u00a0minutes environ, comme nous l\u2019avons d\u00e9j\u00e0 indiqu\u00e9 dans notre Rapport mondial de r\u00e9ponse \u00e0 incident\u00a02025<\/a>.<\/p>\n![\"Diagramme]()
Figure 3. Vitesse de l\u2019intrusion de Muddled Libra \u00e0 partir de l\u2019acc\u00e8s initial \u00e0 l\u2019administrateur du domaine.<\/figcaption><\/figure>\n<\/a>L\u2019\u00e9volution de Muddled Libra\u00a0: plus d\u2019impact<\/h2>\nLa figure\u00a04 illustre les \u00e9volutions observ\u00e9es dans les techniques m\u00e9tier de Muddled\u00a0Libra, qui renforcent l\u2019impact du groupe.<\/p>\n![\"Organigramme]()
Figure\u00a04. \u00c9volution des techniques m\u00e9tier de Muddled\u00a0Libra.<\/figcaption><\/figure>\n<\/a>Acc\u00e8s initial<\/h3>\n(T1566.004<\/a>)<\/p>\nTransition vers l\u2019hame\u00e7onnage vocal (dit \u00ab\u00a0vishing\u00a0\u00bb) comme principale technique d\u2019ing\u00e9nierie sociale, visant \u00e0 manipuler le personnel du helpdesk pour r\u00e9initialiser les identifiants et l\u2019authentification multifacteur (MFA) des employ\u00e9s usurp\u00e9s par les attaquants. Plus de 70\u00a0% des num\u00e9ros utilis\u00e9s par ce groupe en 2025 exploitaient Google Voice comme service VoIP.<\/p>\n
Par exemple, Muddled Libra appelle g\u00e9n\u00e9ralement le helpdesk d\u2019une organisation en se faisant passer pour un utilisateur ayant perdu l\u2019acc\u00e8s \u00e0 son dispositif\u00a0MFA. En exploitant la tendance naturelle des agents du helpdesk \u00e0 vouloir aider, les cybercriminels les manipulent pour contourner les contr\u00f4les d\u2019authentification de l\u2019organisation et r\u00e9initialiser \u00e0 la fois les identifiants et la m\u00e9thode MFA de l\u2019utilisateur final. Un autre exemple consiste \u00e0 appeler directement une victime en se faisant passer pour le helpdesk de son organisation. Dans ce cas, les cybercriminels manipulent la victime pour qu\u2019elle lance ou t\u00e9l\u00e9charge un logiciel de gestion \u00e0 distance, puis poursuivent l\u2019attaque depuis le poste de travail de la victime.<\/p>\n
<\/a>Persistance et lat\u00e9ralisation<\/h3>\nLes attaquants utilisent divers outils de gestion et de surveillance \u00e0 distance (RMM) qui leur permettent de r\u00e9int\u00e9grer le syst\u00e8me en cas de d\u00e9tection. Leur ciblage porte fr\u00e9quemment sur les outils de gestion des syst\u00e8mes existants, ainsi que sur les plateformes de d\u00e9tection et r\u00e9ponse des points de terminaison (EDR), sans oublier les hyperviseurs et les outils de gestion cloud.<\/p>\n
<\/a>Acc\u00e8s aux identifiants<\/h3>\n(T1003.003<\/a>, T1555.005<\/a>)<\/p>\nExtraction d\u2019identifiants depuis des coffres-forts \u00e0 mots de passe, y compris le fichier NTDS.dit, pour acc\u00e9der aux magasins de mots de passe d\u2019entreprise et compromettre l\u2019Active\u00a0Directory.<\/p>\n
<\/a>Collecte<\/h3>\n(T1114.002<\/a>, T1213.002<\/a>)<\/p>\nAcc\u00e8s aux environnements Microsoft\u00a0365 et SharePoint des victimes pour mener des op\u00e9rations de reconnaissance interne.<\/p>\n
<\/a>Exfiltration<\/h3>\n(T1567.002<\/a>)<\/p>\nTransfert des donn\u00e9es vol\u00e9es vers des services de stockage cloud, parfois directement depuis les environnements des victimes.<\/p>\n
<\/a>Le t\u00e9moignage de deux victimes\u00a0: politiques d\u2019acc\u00e8s conditionnel<\/h2>\nLes organisations utilisant Microsoft Entra ID pour la gestion des identit\u00e9s et des acc\u00e8s dans le cloud (IAM) peuvent consid\u00e9rablement perturber les intrusions de Muddled Libra en mettant en \u0153uvre correctement les politiques d\u2019acc\u00e8s conditionnel (CAP).<\/p>\n
Dans le cadre des activit\u00e9s malveillantes de Muddled\u00a0Libra, nous avons constat\u00e9 une nette diff\u00e9rence dans la capacit\u00e9 des organisations \u00e0 ralentir les attaquants apr\u00e8s intrusion et \u00e0 faciliter des actions de confinement plus efficaces lorsque les politiques d\u2019acc\u00e8s conditionnel (CAP) sont en place, limitant ainsi leur impact global. Dans les cas o\u00f9 les victimes n\u2019avaient pas mis en place de politiques d\u2019acc\u00e8s conditionnel ou si celles-ci \u00e9taient mal configur\u00e9es, Muddled Libra a pu acc\u00e9l\u00e9rer son rythme op\u00e9rationnel pour d\u00e9ployer des ransomwares (le plus r\u00e9cent \u00e9tant DragonForce) et extorquer des paiements.<\/p>\n
Voici quelques exemples sp\u00e9cifiques de politiques d\u2019acc\u00e8s conditionnel qui ont permis de ralentir Muddled Libra\u00a0:<\/p>\n
\n- Une politique d\u2019acc\u00e8s conditionnel emp\u00eachant les appareils non manag\u00e9s d\u2019acc\u00e9der aux ressources sensibles<\/li>\n
- Une politique d\u2019acc\u00e8s conditionnel qui impose aux employ\u00e9s d\u2019\u00eatre sur site pour configurer l\u2019authentification multifacteur (MFA)<\/li>\n
- Une politique d\u2019acc\u00e8s conditionnel qui bloque les authentificateurs selon leur localisation g\u00e9ographique (par exemple, par pays)<\/li>\n
- Une politique d\u2019acc\u00e8s conditionnel exigeant une authentification multifacteur (MFA) pour acc\u00e9der \u00e0 l\u2019infrastructure de bureau virtuel (VDI) et\/ou aux r\u00e9seaux priv\u00e9s virtuels (VPN)<\/li>\n<\/ul>\n
<\/a>Perspectives<\/h2>\nSur la base des observations r\u00e9centes et historiques de Muddled\u00a0Libra, nous estimons avec une grande confiance que ce groupe continuera de s\u2019appuyer sur ses points forts en termes d\u2019ing\u00e9nierie sociale. Le groupe continuera \u00e9galement \u00e0 exploiter des identit\u00e9s trop permissives au sein des organisations cibl\u00e9es pour atteindre ses objectifs.<\/p>\n
De plus, le groupe devrait poursuivre sa strat\u00e9gie ax\u00e9e en priorit\u00e9 sur le cloud<\/a>. Cela signifie que son succ\u00e8s ant\u00e9rieur dans l\u2019exploitation des acc\u00e8s aux plateformes cloud renforcera cette tendance \u00e0 l\u2019avenir, d\u2019autant plus que de nombreuses organisations manquent de visibilit\u00e9 et de contr\u00f4les ad\u00e9quats pour surveiller et prot\u00e9ger ces environnements.<\/p>\nPar ailleurs, compte tenu du succ\u00e8s de Muddled Libra dans ses partenariats avec divers programmes de ransomware-as-a-service (RaaS), il est peu probable que le groupe s\u2019en \u00e9carte. Ces programmes RaaS comprennent\u00a0:<\/p>\n
\n- Akira (Howling Scorpius)<\/li>\n
- ALPHV (Ambitious Scorpius)<\/li>\n
- DragonForce (Slippery Scorpius)<\/li>\n
- Play (Fiddling Scorpius)<\/li>\n
- Qilin (Spikey Scorpius)<\/li>\n
- RansomHub (Spoiled Scorpius)<\/li>\n<\/ul>\n
Les membres de ce groupe continueront probablement \u00e0 extorquer leurs victimes et \u00e0 mon\u00e9tiser leurs op\u00e9rations d\u2019intrusion, car cela leur offre un processus efficace pour mener de telles attaques et en tirer profit.<\/p>\n
Enfin, nous pr\u00e9voyons que le partage d\u2019informations entre secteurs public et priv\u00e9 concernant Muddled Libra continuera de fournir aux organisations des signaux pr\u00e9coces d\u2019activit\u00e9s d\u2019intrusion. Cela contribuera \u00e0 perturber les op\u00e9rations du groupe. Les op\u00e9rations internationales des forces de l\u2019ordre, comme les r\u00e9centes arrestations<\/a> de quatre personnes li\u00e9es aux cyberattaques visant trois d\u00e9taillants britanniques, devraient, esp\u00e9rons-le, jouer un r\u00f4le dissuasif. Cela devrait \u00e9galement rappeler aux syndicats de la cybercriminalit\u00e9 que leurs actes ont des cons\u00e9quences. Au fond, la cybers\u00e9curit\u00e9 est un sport d\u2019\u00e9quipe, et nous devons agir collectivement pour prendre une longueur d\u2019avance proactive face \u00e0 cet adversaire en constante \u00e9volution.<\/p>\n<\/a>Recommandations<\/h2>\nNous avons dress\u00e9 une liste de mesures de pr\u00e9vention, de d\u00e9tection et de confinement que les organisations devraient s\u00e9rieusement envisager de mettre en place pour faire face \u00e0 la menace \u00e9volutive repr\u00e9sent\u00e9e par Muddled\u00a0Libra. La figure 5 ci-dessous offre une vue d\u2019ensemble de ces recommandations, suivie de mesures plus d\u00e9taill\u00e9es pr\u00e9sent\u00e9es par la suite.<\/p>\n![\"Infographie]()
Figure\u00a05. Des contr\u00f4les efficaces pour se d\u00e9fendre contre Muddled\u00a0Libra.<\/figcaption><\/figure>\nPr\u00e9vention\u00a0:<\/strong><\/p>\n\n- Proposez une formation de sensibilisation des utilisateurs ax\u00e9e sur le renseignement, en particulier pour le personnel du helpdesk, afin qu\u2019ils puissent identifier les tentatives potentielles d\u2019ing\u00e9nierie sociale (vishing).<\/li>\n
- Mettez en place des proc\u00e9dures rigoureuses pour la r\u00e9initialisation des identifiants de compte et de l\u2019authentification multifacteur (MFA), incluant une forme de v\u00e9rification, comme une identification vid\u00e9o ou une validation par un superviseur.<\/li>\n
- Mettez en \u0153uvre une authentification multifacteur (hors SMS) et des politiques d\u2019acc\u00e8s conditionnel, en particulier sur tous les portails d\u2019acc\u00e8s \u00e0 distance.<\/li>\n
- Appliquez strictement le principe du moindre privil\u00e8ge.<\/li>\n
- Bloquez le trafic r\u00e9seau par App-ID vers les sites de partage de fichiers et ceux offrant l\u2019acc\u00e8s \u00e0 des outils RMM non approuv\u00e9s.<\/li>\n<\/ul>\n
D\u00e9tection\u00a0:<\/strong><\/p>\n\n- Identifiez les modifications apport\u00e9es \u00e0 l\u2019infrastructure IAM de l\u2019entreprise, comme les nouveaux appareils inscrits et connect\u00e9s.<\/li>\n
- D\u00e9veloppez des capacit\u00e9s solides de journalisation et de surveillance dans les environnements cloud.<\/li>\n
- Mettez en place une journalisation et une d\u00e9tection des activit\u00e9s suspectes au sein des centres d\u2019appels.<\/li>\n<\/ul>\n
Confinement\u00a0:<\/strong><\/p>\n\n- Segmentez et limitez l\u2019acc\u00e8s aux ressources virtuelles, notamment aux machines virtuelles (VM), aux h\u00f4tes ESXi et aux serveurs vCenter.<\/li>\n
- Mettez en place des canaux de communication hors bande au cas o\u00f9 un adversaire r\u00e9ussirait \u00e0 compromettre les moyens traditionnels (Slack et Teams, par exemple).<\/li>\n
- \u00c9laborez un plan complet de r\u00e9ponse \u00e0 incident et envisagez s\u00e9rieusement de souscrire un contrat de service actif avec un prestataire tiers pour de l\u2019assistance en cas d\u2019incident.<\/li>\n<\/ul>\n
<\/a>Conclusion<\/h2>\nLa nouvelle \u00e8re de Muddled Libra est arriv\u00e9e, et les activit\u00e9s de ce groupe continuent de se multiplier.<\/p>\n
Les clients de Palo\u00a0Alto\u00a0Networks b\u00e9n\u00e9ficient d\u2019une meilleure protection contre les menaces d\u00e9crites dans ce blog gr\u00e2ce \u00e0 une architecture de s\u00e9curit\u00e9 moderne reposant sur Cortex XSIAM<\/a> combin\u00e9 \u00e0 Cortex XDR<\/a>. En effet, le filtrage avanc\u00e9 d\u2019URL<\/a> et les services Cloud-Delivered Security Services<\/a> de DNS Security<\/a> peuvent contribuer \u00e0 la protection contre les infrastructures de commande et contr\u00f4le (C2), tandis que la technologie App-ID<\/a> peut limiter les services d\u2019anonymisation autoris\u00e9s \u00e0 se connecter au r\u00e9seau.<\/p>\nSi vous pensez que votre entreprise a pu \u00eatre compromise ou si vous faites face \u00e0 une urgence, contactez l\u2019\u00e9quipe Unit\u00a042 de r\u00e9ponse \u00e0 incident<\/a> ou composez l\u2019un des num\u00e9ros suivants\u00a0:<\/p>\n\n- Am\u00e9rique du Nord\u00a0: Gratuit\u00a0: +1 (866) 486-4842 (866.4.UNIT42)<\/li>\n
- Royaume-Uni\u00a0: +44\u00a020\u00a03743\u00a03660<\/li>\n
- Europe et Moyen-Orient\u00a0: +31.20.299.3130<\/li>\n
- Asie\u00a0: +65.6983.8730<\/li>\n
- Japon\u00a0: +81\u00a050\u00a01790\u00a00200<\/li>\n
- Australie\u00a0: +61.2.4062.7950<\/li>\n
- Inde\u00a0: 00080005045107<\/li>\n<\/ul>\n
Palo\u00a0Alto\u00a0Networks a partag\u00e9 ces conclusions avec les autres membres de la Cyber\u00a0Threat\u00a0Alliance (CTA). Les membres de la CTA s\u2019appuient sur ces renseignements pour d\u00e9ployer rapidement des mesures de protection aupr\u00e8s de leurs clients et perturber de mani\u00e8re coordonn\u00e9e les activit\u00e9s des cybercriminels. Cliquez ici pour en savoir plus sur la Cyber Threat Alliance<\/a>.<\/p>\n<\/a>R\u00e9f\u00e9rences compl\u00e9mentaires<\/h2>\n\n- Briefing s\u00e9curit\u00e9\u00a0: Projection sur Muddled Libra<\/a>\u00a0\u2013 Unit 42, Palo Alto Networks<\/li>\n
- \u00c9valuation du groupe de menaces\u00a0: Muddled Libra<\/a>\u00a0\u2013 Unit 42, Palo\u00a0Alto\u00a0Networks<\/li>\n
- Rapport global 2025 sur la r\u00e9ponse \u00e0 incident<\/a>\u00a0\u2013 Unit\u00a042, Palo Alto Networks<\/li>\n
- Discussion concernant Muddled Libra avec Stephanie Regan, Unit 42 Senior Consultant<\/a> \u2013 Threat Vector Podcast, Unit 42 on CyberWire Daily<\/li>\n
- Exposer les tactiques m\u00e9ticuleuses de Muddled Libra avec Kristopher Russo, Unit 42 Senior Researcher<\/a> \u2013 Threat Vector Podcast, Unit 42 on CyberWire Daily<\/li>\n
- L\u2019\u00e9volution de Muddled Libra dans le cloud<\/a> \u2013 Unit 42, Palo Alto Networks<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"
Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.<\/p>\n","protected":false},"author":23,"featured_media":141660,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8823,8787,8769],"tags":[9260,9261,9263,9264,9265,9266,9267,9268,9187],"product_categories":[8956,8973,8989,8955,9053,9064,9083,9151],"coauthors":[1025],"class_list":["post-145193","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-threat-actor-groups-fr","category-malware-fr","category-top-cyberthreats-fr","tag-0ktapus-fr","tag-alphv-fr","tag-blackcat-ransomware-fr","tag-mitre-fr","tag-muddled-libra-fr","tag-phishing-fr","tag-scatter-swine-fr","tag-scattered-spider-fr","tag-social-engineering-fr","product_categories-advanced-dns-security-fr","product_categories-advanced-url-filtering-fr","product_categories-app-id-fr","product_categories-cloud-delivered-security-services-fr","product_categories-cortex-xdr-fr","product_categories-cortex-xsiam-fr","product_categories-next-generation-firewall-fr","product_categories-unit-42-incident-response-fr"],"yoast_head":"\n
\u00c9valuation des menaces de Muddled Libra<\/title>\n<meta name=\"description\" content=\"Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"\u00c9valuation des menaces de Muddled Libra\u00a0: un groupe plus puissant, plus rapide, plus redoutable\" \/>\n<meta property=\"og:description\" content=\"Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/\" \/>\n<meta property=\"og:site_name\" content=\"Unit 42\" \/>\n<meta property=\"article:published_time\" content=\"2025-07-25T16:07:49+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2025-08-14T13:40:51+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1920\" \/>\n\t<meta property=\"og:image:height\" content=\"900\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Unit 42\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"\u00c9valuation des menaces de Muddled Libra","description":"Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/","og_locale":"fr_FR","og_type":"article","og_title":"\u00c9valuation des menaces de Muddled Libra\u00a0: un groupe plus puissant, plus rapide, plus redoutable","og_description":"Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.","og_url":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/","og_site_name":"Unit 42","article_published_time":"2025-07-25T16:07:49+00:00","article_modified_time":"2025-08-14T13:40:51+00:00","og_image":[{"width":1920,"height":900,"url":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","type":"image\/png"}],"author":"Unit 42","twitter_card":"summary_large_image","schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#article","isPartOf":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/"},"author":{"name":"Unit 42","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/a891f81d18648a1e0bab742238d31a63"},"headline":"\u00c9valuation des menaces de Muddled Libra\u00a0: un groupe plus puissant, plus rapide, plus redoutable","datePublished":"2025-07-25T16:07:49+00:00","dateModified":"2025-08-14T13:40:51+00:00","mainEntityOfPage":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/"},"wordCount":2459,"commentCount":0,"image":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#primaryimage"},"thumbnailUrl":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","keywords":["0ktapus","ALPHV","BlackCat ransomware","MITRE","Muddled Libra","phishing","Scatter Swine","Scattered Spider","social engineering"],"articleSection":["Groupes cybercriminels","Malware","Menaces de grande envergure"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/","url":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/","name":"\u00c9valuation des menaces de Muddled Libra","isPartOf":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#primaryimage"},"image":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#primaryimage"},"thumbnailUrl":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","datePublished":"2025-07-25T16:07:49+00:00","dateModified":"2025-08-14T13:40:51+00:00","author":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/a891f81d18648a1e0bab742238d31a63"},"description":"Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.","breadcrumb":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/"]}]},{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#primaryimage","url":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","contentUrl":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","width":1920,"height":900,"caption":"Pictorial representation of Muddled Libra (Scattered Spider). Illustration of a zodiac symbol Libra represented by scales, set against a cosmic purple background with stars."},{"@type":"BreadcrumbList","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/muddled-libra\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/unit42.paloaltonetworks.com\/"},{"@type":"ListItem","position":2,"name":"\u00c9valuation des menaces de Muddled Libra\u00a0: un groupe plus puissant, plus rapide, plus redoutable"}]},{"@type":"WebSite","@id":"https:\/\/unit42.paloaltonetworks.com\/#website","url":"https:\/\/unit42.paloaltonetworks.com\/","name":"Unit 42","description":"Palo Alto Networks","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/unit42.paloaltonetworks.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/a891f81d18648a1e0bab742238d31a63","name":"Unit 42","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/image\/5b5a1c33b73a577ebaf42f25081b0ebd","url":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/09\/Insights_headshot-placeholder-300x300.jpg","contentUrl":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/09\/Insights_headshot-placeholder-300x300.jpg","caption":"Unit 42"},"url":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/author\/unit42\/"}]}},"_links":{"self":[{"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts\/145193","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/users\/23"}],"replies":[{"embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/comments?post=145193"}],"version-history":[{"count":6,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts\/145193\/revisions"}],"predecessor-version":[{"id":149071,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/posts\/145193\/revisions\/149071"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/media\/141660"}],"wp:attachment":[{"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/media?parent=145193"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/categories?post=145193"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/tags?post=145193"},{"taxonomy":"product_categories","embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/product_categories?post=145193"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/origin-unit42.paloaltonetworks.com\/fr\/wp-json\/wp\/v2\/coauthors?post=145193"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Les attaquants de Muddled Libra sont devenus experts dans l\u2019exploitation de la psychologie humaine, en se faisant passer pour des employ\u00e9s afin de tenter de r\u00e9initialiser des mots de passe et des m\u00e9canismes d\u2019authentification multifacteur (MFA). La figure 1 ci-dessous illustre plus en d\u00e9tail la composition de Muddled Libra en termes de profil d\u00e9mographique, de techniques m\u00e9tier, de ciblage des victimes et d\u2019actions men\u00e9es pour atteindre leurs objectifs.<\/p>\n Bien que ses techniques m\u00e9tier aient \u00e9volu\u00e9 au fil du temps, Muddled Libra continue de minimiser l\u2019utilisation de malwares tout au long de la cha\u00eene d\u2019attaque. Dans la mesure du possible, les attaquants pr\u00e9f\u00e8rent utiliser les ressources propres de la victime contre elle.<\/p>\n En 2025, nous avons observ\u00e9 des intrusions dans les secteurs publics, du retail, de l\u2019assurance et de l\u2019aviation, comme le montre la figure\u00a02 ci-dessous. Ce groupe a montr\u00e9 une tendance \u00e0 cibler plusieurs organisations au sein d\u2019un m\u00eame secteur sur une p\u00e9riode relativement courte. Cependant, les attaquants ne suivent pas strictement ce sch\u00e9ma et ont simultan\u00e9ment vis\u00e9 des organisations \u00e9voluant dans des secteurs diff\u00e9rents.<\/p>\n Jusqu\u2019\u00e0 pr\u00e9sent en 2025, les cas observ\u00e9s montrent un passage du smishing et de l\u2019hame\u00e7onnage vers des interactions humaines plus directes, ainsi qu\u2019une adoption du mod\u00e8le ransomware-as-a-service (RaaS), ce qui a consid\u00e9rablement r\u00e9duit la dur\u00e9e de pr\u00e9sence de cet acteur dans les environnements compromis. Le temps moyen entre l\u2019acc\u00e8s initial et le confinement \u00e9tait de 1\u00a0jour, 8\u00a0heures et 43\u00a0minutes.<\/p>\n Depuis au moins avril 2025, le groupe collabore avec le programme DragonForce RaaS, exploit\u00e9 par le groupe que nous suivons sous le nom de Slippery Scorpius, pour extorquer ses victimes. Dans un cas, nous avons observ\u00e9 des attaquants exfiltrer plus de 100\u00a0Go de donn\u00e9es sur une p\u00e9riode de deux\u00a0jours, avec un chiffrement via le d\u00e9ploiement du ransomware DragonForce.<\/p>\n La figure 3 ci-dessous illustre comment le groupe a pu passer d\u2019un acc\u00e8s initial via l\u2019ing\u00e9nierie sociale d\u2019un employ\u00e9 du helpdesk, \u00e0 une escalade des privil\u00e8ges, puis aux droits d\u2019administrateur de domaine en l\u2019espace de 40\u00a0minutes environ, comme nous l\u2019avons d\u00e9j\u00e0 indiqu\u00e9 dans notre Rapport mondial de r\u00e9ponse \u00e0 incident\u00a02025<\/a>.<\/p>\n La figure\u00a04 illustre les \u00e9volutions observ\u00e9es dans les techniques m\u00e9tier de Muddled\u00a0Libra, qui renforcent l\u2019impact du groupe.<\/p>\n (T1566.004<\/a>)<\/p>\n Transition vers l\u2019hame\u00e7onnage vocal (dit \u00ab\u00a0vishing\u00a0\u00bb) comme principale technique d\u2019ing\u00e9nierie sociale, visant \u00e0 manipuler le personnel du helpdesk pour r\u00e9initialiser les identifiants et l\u2019authentification multifacteur (MFA) des employ\u00e9s usurp\u00e9s par les attaquants. Plus de 70\u00a0% des num\u00e9ros utilis\u00e9s par ce groupe en 2025 exploitaient Google Voice comme service VoIP.<\/p>\n Par exemple, Muddled Libra appelle g\u00e9n\u00e9ralement le helpdesk d\u2019une organisation en se faisant passer pour un utilisateur ayant perdu l\u2019acc\u00e8s \u00e0 son dispositif\u00a0MFA. En exploitant la tendance naturelle des agents du helpdesk \u00e0 vouloir aider, les cybercriminels les manipulent pour contourner les contr\u00f4les d\u2019authentification de l\u2019organisation et r\u00e9initialiser \u00e0 la fois les identifiants et la m\u00e9thode MFA de l\u2019utilisateur final. Un autre exemple consiste \u00e0 appeler directement une victime en se faisant passer pour le helpdesk de son organisation. Dans ce cas, les cybercriminels manipulent la victime pour qu\u2019elle lance ou t\u00e9l\u00e9charge un logiciel de gestion \u00e0 distance, puis poursuivent l\u2019attaque depuis le poste de travail de la victime.<\/p>\n Les attaquants utilisent divers outils de gestion et de surveillance \u00e0 distance (RMM) qui leur permettent de r\u00e9int\u00e9grer le syst\u00e8me en cas de d\u00e9tection. Leur ciblage porte fr\u00e9quemment sur les outils de gestion des syst\u00e8mes existants, ainsi que sur les plateformes de d\u00e9tection et r\u00e9ponse des points de terminaison (EDR), sans oublier les hyperviseurs et les outils de gestion cloud.<\/p>\n (T1003.003<\/a>, T1555.005<\/a>)<\/p>\n Extraction d\u2019identifiants depuis des coffres-forts \u00e0 mots de passe, y compris le fichier NTDS.dit, pour acc\u00e9der aux magasins de mots de passe d\u2019entreprise et compromettre l\u2019Active\u00a0Directory.<\/p>\n (T1114.002<\/a>, T1213.002<\/a>)<\/p>\n Acc\u00e8s aux environnements Microsoft\u00a0365 et SharePoint des victimes pour mener des op\u00e9rations de reconnaissance interne.<\/p>\n (T1567.002<\/a>)<\/p>\n Transfert des donn\u00e9es vol\u00e9es vers des services de stockage cloud, parfois directement depuis les environnements des victimes.<\/p>\n Les organisations utilisant Microsoft Entra ID pour la gestion des identit\u00e9s et des acc\u00e8s dans le cloud (IAM) peuvent consid\u00e9rablement perturber les intrusions de Muddled Libra en mettant en \u0153uvre correctement les politiques d\u2019acc\u00e8s conditionnel (CAP).<\/p>\n Dans le cadre des activit\u00e9s malveillantes de Muddled\u00a0Libra, nous avons constat\u00e9 une nette diff\u00e9rence dans la capacit\u00e9 des organisations \u00e0 ralentir les attaquants apr\u00e8s intrusion et \u00e0 faciliter des actions de confinement plus efficaces lorsque les politiques d\u2019acc\u00e8s conditionnel (CAP) sont en place, limitant ainsi leur impact global. Dans les cas o\u00f9 les victimes n\u2019avaient pas mis en place de politiques d\u2019acc\u00e8s conditionnel ou si celles-ci \u00e9taient mal configur\u00e9es, Muddled Libra a pu acc\u00e9l\u00e9rer son rythme op\u00e9rationnel pour d\u00e9ployer des ransomwares (le plus r\u00e9cent \u00e9tant DragonForce) et extorquer des paiements.<\/p>\n Voici quelques exemples sp\u00e9cifiques de politiques d\u2019acc\u00e8s conditionnel qui ont permis de ralentir Muddled Libra\u00a0:<\/p>\n Sur la base des observations r\u00e9centes et historiques de Muddled\u00a0Libra, nous estimons avec une grande confiance que ce groupe continuera de s\u2019appuyer sur ses points forts en termes d\u2019ing\u00e9nierie sociale. Le groupe continuera \u00e9galement \u00e0 exploiter des identit\u00e9s trop permissives au sein des organisations cibl\u00e9es pour atteindre ses objectifs.<\/p>\n De plus, le groupe devrait poursuivre sa strat\u00e9gie ax\u00e9e en priorit\u00e9 sur le cloud<\/a>. Cela signifie que son succ\u00e8s ant\u00e9rieur dans l\u2019exploitation des acc\u00e8s aux plateformes cloud renforcera cette tendance \u00e0 l\u2019avenir, d\u2019autant plus que de nombreuses organisations manquent de visibilit\u00e9 et de contr\u00f4les ad\u00e9quats pour surveiller et prot\u00e9ger ces environnements.<\/p>\n Par ailleurs, compte tenu du succ\u00e8s de Muddled Libra dans ses partenariats avec divers programmes de ransomware-as-a-service (RaaS), il est peu probable que le groupe s\u2019en \u00e9carte. Ces programmes RaaS comprennent\u00a0:<\/p>\n Les membres de ce groupe continueront probablement \u00e0 extorquer leurs victimes et \u00e0 mon\u00e9tiser leurs op\u00e9rations d\u2019intrusion, car cela leur offre un processus efficace pour mener de telles attaques et en tirer profit.<\/p>\n Enfin, nous pr\u00e9voyons que le partage d\u2019informations entre secteurs public et priv\u00e9 concernant Muddled Libra continuera de fournir aux organisations des signaux pr\u00e9coces d\u2019activit\u00e9s d\u2019intrusion. Cela contribuera \u00e0 perturber les op\u00e9rations du groupe. Les op\u00e9rations internationales des forces de l\u2019ordre, comme les r\u00e9centes arrestations<\/a> de quatre personnes li\u00e9es aux cyberattaques visant trois d\u00e9taillants britanniques, devraient, esp\u00e9rons-le, jouer un r\u00f4le dissuasif. Cela devrait \u00e9galement rappeler aux syndicats de la cybercriminalit\u00e9 que leurs actes ont des cons\u00e9quences. Au fond, la cybers\u00e9curit\u00e9 est un sport d\u2019\u00e9quipe, et nous devons agir collectivement pour prendre une longueur d\u2019avance proactive face \u00e0 cet adversaire en constante \u00e9volution.<\/p>\n Nous avons dress\u00e9 une liste de mesures de pr\u00e9vention, de d\u00e9tection et de confinement que les organisations devraient s\u00e9rieusement envisager de mettre en place pour faire face \u00e0 la menace \u00e9volutive repr\u00e9sent\u00e9e par Muddled\u00a0Libra. La figure 5 ci-dessous offre une vue d\u2019ensemble de ces recommandations, suivie de mesures plus d\u00e9taill\u00e9es pr\u00e9sent\u00e9es par la suite.<\/p>\n Pr\u00e9vention\u00a0:<\/strong><\/p>\n D\u00e9tection\u00a0:<\/strong><\/p>\n Confinement\u00a0:<\/strong><\/p>\n La nouvelle \u00e8re de Muddled Libra est arriv\u00e9e, et les activit\u00e9s de ce groupe continuent de se multiplier.<\/p>\n Les clients de Palo\u00a0Alto\u00a0Networks b\u00e9n\u00e9ficient d\u2019une meilleure protection contre les menaces d\u00e9crites dans ce blog gr\u00e2ce \u00e0 une architecture de s\u00e9curit\u00e9 moderne reposant sur Cortex XSIAM<\/a> combin\u00e9 \u00e0 Cortex XDR<\/a>. En effet, le filtrage avanc\u00e9 d\u2019URL<\/a> et les services Cloud-Delivered Security Services<\/a> de DNS Security<\/a> peuvent contribuer \u00e0 la protection contre les infrastructures de commande et contr\u00f4le (C2), tandis que la technologie App-ID<\/a> peut limiter les services d\u2019anonymisation autoris\u00e9s \u00e0 se connecter au r\u00e9seau.<\/p>\n Si vous pensez que votre entreprise a pu \u00eatre compromise ou si vous faites face \u00e0 une urgence, contactez l\u2019\u00e9quipe Unit\u00a042 de r\u00e9ponse \u00e0 incident<\/a> ou composez l\u2019un des num\u00e9ros suivants\u00a0:<\/p>\n Palo\u00a0Alto\u00a0Networks a partag\u00e9 ces conclusions avec les autres membres de la Cyber\u00a0Threat\u00a0Alliance (CTA). Les membres de la CTA s\u2019appuient sur ces renseignements pour d\u00e9ployer rapidement des mesures de protection aupr\u00e8s de leurs clients et perturber de mani\u00e8re coordonn\u00e9e les activit\u00e9s des cybercriminels. Cliquez ici pour en savoir plus sur la Cyber Threat Alliance<\/a>.<\/p>\n Muddled Libra est en pleine \u00e9volution. Obtenez les derni\u00e8res analyses et recommandations de d\u00e9fense bas\u00e9es sur les r\u00e9ponses aux incidents trait\u00e9es par Unit 42.<\/p>\n","protected":false},"author":23,"featured_media":141660,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8823,8787,8769],"tags":[9260,9261,9263,9264,9265,9266,9267,9268,9187],"product_categories":[8956,8973,8989,8955,9053,9064,9083,9151],"coauthors":[1025],"class_list":["post-145193","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-threat-actor-groups-fr","category-malware-fr","category-top-cyberthreats-fr","tag-0ktapus-fr","tag-alphv-fr","tag-blackcat-ransomware-fr","tag-mitre-fr","tag-muddled-libra-fr","tag-phishing-fr","tag-scatter-swine-fr","tag-scattered-spider-fr","tag-social-engineering-fr","product_categories-advanced-dns-security-fr","product_categories-advanced-url-filtering-fr","product_categories-app-id-fr","product_categories-cloud-delivered-security-services-fr","product_categories-cortex-xdr-fr","product_categories-cortex-xsiam-fr","product_categories-next-generation-firewall-fr","product_categories-unit-42-incident-response-fr"],"yoast_head":"\n![\"Quatre](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/Fr-Muddled-Libra-Intrusion-Speed-2-786x346.png\")
<\/a>Chronologie de la victimologie\u00a0: un impact \u00e0 plus grande port\u00e9e<\/h2>\n
![\"Chronologie](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/FR-Muddled-Libra-Intrusion-Speed-1-786x431.png\")
<\/a>La strat\u00e9gie de Muddled Libra\u00a0: \u00eatre plus rapide<\/h2>\n
![\"Diagramme](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/2476_Diagrams-4-786x385.png\")
<\/a>L\u2019\u00e9volution de Muddled Libra\u00a0: plus d\u2019impact<\/h2>\n
![\"Organigramme](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/FR-Muddled-Libra-_-New-Tactics-303x440.png\")
<\/a>Acc\u00e8s initial<\/h3>\n
<\/a>Persistance et lat\u00e9ralisation<\/h3>\n
<\/a>Acc\u00e8s aux identifiants<\/h3>\n
<\/a>Collecte<\/h3>\n
<\/a>Exfiltration<\/h3>\n
<\/a>Le t\u00e9moignage de deux victimes\u00a0: politiques d\u2019acc\u00e8s conditionnel<\/h2>\n
\n
<\/a>Perspectives<\/h2>\n
\n
<\/a>Recommandations<\/h2>\n
![\"Infographie](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/French_1709_Muddled-Libra-Update-2025-1-513x440.png\")
\n
\n
\n
<\/a>Conclusion<\/h2>\n
\n
<\/a>R\u00e9f\u00e9rences compl\u00e9mentaires<\/h2>\n
\n