Une attaque attribuée au groupe PAYLOAD montre qu’une entreprise peut être paralysée sans exécutable de ransomware sur ses postes Windows. Les intrus ont détourné les stratégies de groupe d’Active Directory afin de distribuer leurs modifications à l’ensemble du domaine.
Kaspersky a étudié l’incident en avril 2026 chez un industriel du Moyen-Orient. L’accès initial aurait été obtenu au moyen d’un compte VPN compromis. Après avoir acquis des privilèges équivalents à ceux d’un administrateur du domaine, les attaquants ont créé deux objets GPO malveillants.
Active Directory transformé en outil de disruption
La GPO principale, nommée PAYLOAD et liée à la racine du domaine, distribuait la note de rançon, modifiait le fond d’écran et l’écran de verrouillage, imposait une bannière de connexion et désactivait le compte administrateur local. Une seconde stratégie, « win Firewall Off », coupait le pare-feu Windows.
Les changements prenaient effet au redémarrage des machines. Aucun processus malveillant actif ni binaire de chiffrement Windows n’a été retrouvé : l’impact provenait d’outils légitimes et hautement privilégiés.
Une extorsion sans chiffrement
Les attaquants ont également exfiltré des données ensuite publiées sur le dark web. Un composant visant les serveurs VMware ESXi aurait été identifié, mais la perturbation des postes Windows reposait sur les GPO.
Cette stratégie réduit la dépendance à un programme facilement détectable. Elle exploite la confiance accordée à Active Directory et aux actions d’administration, dont la propagation à grande échelle est précisément la fonction normale.
Comment détecter l’abus des GPO
- surveiller toute création ou modification de GPO, notamment à la racine du domaine ;
- centraliser les journaux des contrôleurs de domaine ;
- alerter sur les changements visant pare-feu, comptes locaux et écrans de connexion ;
- contrôler les fichiers et permissions de SYSVOL ;
- limiter strictement les comptes autorisés à créer ou lier des stratégies ;
- imposer une authentification multifacteur résistante au phishing sur les VPN.
La protection des identités devient prioritaire
Une fois le contrôle du domaine obtenu, les protections installées sur les terminaux ne suffisent plus. Les organisations doivent protéger les comptes privilégiés, utiliser des postes d’administration dédiés et séparer les niveaux d’administration.
L’incident PAYLOAD rappelle enfin que la définition du ransomware évolue. Le chiffrement n’est plus indispensable lorsque les attaquants peuvent voler les données et utiliser l’infrastructure d’administration de la victime pour interrompre ses opérations.
