Rook
Alias: Rook ransomware
Date de révision du profil source: 2026-06-21
Ajout au registre de la source: 2021-12-07 · Instantané de la source: 2026-09-15
Les métadonnées de la source ne sont pas vérifiées de manière indépendante. La date d’enregistrement n’est pas nécessairement celle de la première attaque. Les résumés de source sont traduits automatiquement si nécessaire ; le flux peut contenir des évaluations anciennes.
État de la recherche: Dossier documenté existant
Ce dossier distingue les informations de source propres à l’acteur de l’analyse défensive générale. Les recommandations et questions d’enquête ne constituent pas des faits supplémentaires sur l’acteur. Les limites des preuves publiques restent explicites.
Traduction générée localement ; la révision linguistique reste à effectuer.
Synthèse pour la direction
Rook était un groupe de ransomware qui est devenu visible à la fin de 2021 et a été lié au chevauchement de code avec Babuk. Le profil est particulièrement utile pour les leçons sur le code de ransomware réutilisé et l'impact d'entreprise.
Rook montre comment le code ransomware fuit ou réutilisé peut rapidement rendre de nouveaux groupes opérationnels. La défense devrait se concentrer sur l'accès, le mouvement latéral, diodestal de données, l'impact de la copie d'ombre et la récupération.
Les cinq dernières victimes revendiquées connues
Chargement des revendications enregistrées…
Il s’agit de revendications publiques attribuées au groupe, et non d’intrusions confirmées de manière indépendante. Les dates indiquent la publication ou la découverte, pas nécessairement l’attaque.
Résumé de la gestion
Rook est pertinent comme exemple d'un groupe qui a bénéficié de la réutilisation de l'écosystème ransomware. Analyses publiques ont lié Rook à des similitudes avec le code Babuk. Cela rend le nom particulièrement utile comme leçon: quand le code fuit, les nouveaux opérateurs peuvent rapidement construire des casiers sans développer une plate-forme adulte eux-mêmes.
Pour les défenseurs, cela signifie que la détection ne peut pas compter sur des noms de marque. Un nouveau nom peut utiliser un ancien code, des techniques anciennes ou des étapes d'impact familières.
Groupement et développement
Rook apparut comme opération ransomware dans une période de code Babuk et d'autres blocs de construction ransomware. Le groupe était moins dominant que les grandes plateformes RaaS, mais techniquement pertinent par la réutilisation et l'opération rapide.
La vie et la visibilité de ces groupes peuvent être courtes. Cependant, les leçons restent à jour: les constructeurs qui fuient, les connaissances d'affiliation et le chiffrement réutilisé peuvent revenir à d'autres noms.
Exploitation et chaîne d'attaque
Les incidents semblables à Rook devraient être étudiés comme des ransomwares d'entreprise classiques : accès initial, exploration interne, accès aux titres de compétence, mouvement latéral, diode de données et chiffrement.
Recherche d'exécution à distance, PowerShell, WMI, comportement similaire à PsExec, création de service, désactivation des outils de sécurité et tentatives de perturber les copies d'ombre ou sauvegardes.
La réutilisation du code signifie que le casier est moins important que l'intrusion. Le même chiffrement peut être utilisé via différentes voies d'accès. Par conséquent, vise Hunts à la veille du chiffrement.
IOC et artefacts connus
Rook artefacts peuvent être constitués de notes de rançon, de fichiers chiffrés, de fonctions de code semblables à Babuk et de lignes de commande pour la préparation des impacts.
Indicateurs de comportement stables : suppression de copie d'ombre, arrêt du service de sécurité, déploiement en masse, partage de fichiers traversant et cryptage soudain sur plusieurs hôtes.
Caractéristiques des victimes et enseignements tirés
Rook est principalement une leçon d'écosystème: des groupes plus petits peuvent encore causer des dommages aux entreprises si l'accès et les privilèges sont déjà disponibles.
Une organisation ne se arme pas seulement contre Rook, mais contre le modèle dans lequel le code ransomware peut être réutilisé par de nouveaux opérateurs.
Comment vous armer
Protégez les comptes d'accès et de gestion à distance. Le casier est la phase finale; les dommages se produisent parce qu'un acteur obtient suffisamment de permission pour se déplacer largement.
Surveillez la suppression de copie d'ombre, les manipulations de sauvegarde et les arrêts de service massifs. Ce sont des signaux forts pour approcher l'impact.
Utiliser la gestion des outils de liste d'autorisation et d'exécution à distance. Identifier quels outils de gestion sont normaux et quels écarts doivent être examinés immédiatement.
Identité, noms et attribution
Une évaluation fiable de Rook commence par une identification précise. Le dossier local mentionne les noms ou alias suivants : Rook ransomware. Un alias facilite la recherche, mais ne prouve pas l’existence d’opérateurs communs. Des noms proches, des logos réutilisés et des textes d’extorsion similaires ne suffisent pas. Conservez l’orthographe originale et distinguez l’auteur de la publication, la famille de logiciel malveillant et l’opérateur présumé de l’intrusion. Ces rôles peuvent appartenir à des personnes différentes. Un incident ne doit pas être attribué sur la seule ressemblance d’un nom de fichier. Toute relation supposée nécessite une source propre, traçable et datée.
Chronologie et interprétation des dates
La date d’enregistrement disponible pour Rook est 2021-12-07 ; l’instantané des métadonnées date du 2026-09-15. Ces dates décrivent le registre, pas le début démontré des activités criminelles. Le groupe peut avoir été actif auparavant et une publication peut concerner un ancien incident. Distinguez intrusion présumée, accès aux données, découverte par la victime, publication par l’extorqueur et observation par le service de surveillance. La date de révision du profil a encore une autre signification. Ne convertissez pas implicitement ces repères entre eux. Si les sources divergent, conservez les deux observations et leur provenance jusqu’à ce que des preuves supplémentaires permettent une chronologie plus précise.
Victimes revendiquées et choix des cibles
Le panneau consacré aux victimes de Rook affiche jusqu’à cinq organisations distinctes issues de l’historique enregistré. Il s’agit d’un extrait, pas d’un recensement exhaustif des incidents. Les listes publiques peuvent omettre des victimes, reprendre d’anciennes informations ou exagérer l’accès obtenu. Plusieurs organisations d’un même pays ou secteur ne prouvent donc pas une campagne ciblée. Comparez surtout les dépendances avec celles de votre organisation : fournisseurs communs, accès distants, services exposés et flux sensibles. Une revendication concernant un fournisseur justifie une vérification auprès des interlocuteurs habituels, sans démontrer que ses clients sont touchés. Séparez les déclarations confirmées des affirmations des extorqueurs.
Indicateurs de compromission (IOC)
Les indicateurs sont des observations historiques, pas la preuve d’une infection actuelle. Vérifiez la source, l’ancienneté et le contexte avant toute détection ou tout blocage ; les outils d’administration légitimes peuvent générer des faux positifs.
| Type | Valeur | Source | Contexte |
|---|---|---|---|
| behavior | code reuse / Babuk lineage context | public Rook ransomware reporting | Utiliser comme indicateur de l'écosystème. |
| behavior | shadow copy deletion and mass encryption preparation | ransomware tradecraft | Pour une phase d'impact similaire à Rook. |
Sources
- SentinelOne / public reporting on Rook and Babuk code overlap
- MITRE ATT&CK — Valid Accounts (defensive context)
- MITRE ATT&CK — External Remote Services (defensive context)
- MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
- MITRE ATT&CK — Inhibit System Recovery (defensive context)
- Ransomware.live — Rook
Éléments probants et limites
L’attribution reflète l’évaluation de la source, pas une identité vérifiée. Une inscription sur un site de fuite ne prouve à elle seule ni chiffrement, ni vol de données, ni vulnérabilité précise, ni relation d’affiliation. Les informations manquantes restent explicitement signalées.