Accueil
Glossaire
Mallox
Sommaire
5 min
H2 title on one or more lines.
Partager
Mis à jour le
22.06.2026

Qu'est-ce que le Rançongiciel Mallox ?

Mallox (également connu sous les noms TargetCompany, Fargo et Tohnichi) est un rançongiciel et une opération de Ransomware-as-a-Service (RaaS) ciblant les systèmes Microsoft Windows, actif depuis mi-2021. Il est surtout connu pour une méthode d'accès initial distinctive : plutôt que de s'appuyer principalement sur le phishing, les opérateurs de Mallox traquent les serveurs Microsoft SQL (MS-SQL) non sécurisés et exposés sur internet, et s'y introduisent par des attaques par force brute et par dictionnaire contre des identifiants de base de données faibles. Une fois à l'intérieur, ils déploient la charge utile Mallox, qui chiffre les fichiers (en ajoutant généralement l'extension .mallox) et suit le modèle de double extorsion : les données sont volées avant le chiffrement et leur publication sur un site de fuite Tor est menacée, à moins qu'une rançon ne soit payée. En opérant comme un RaaS avec des affiliés recrutés, Mallox a revendiqué des victimes dans de nombreux pays et secteurs, et reste une menace active en constante évolution.

Ce qu'il faut retenir

  • Mallox s'introduit via MS-SQL. Son vecteur d'attaque privilégié est le piratage par force brute des serveurs Microsoft SQL exposés sur Internet, et non le phishing.
  • Il utilise la double extorsion. Les données sont dérobées avant d'être chiffrées, avec la menace d'une publication sur un site de fuite accessible via Tor.
  • Il fonctionne sous forme de RaaS. Mallox recrute des affiliés sur des forums clandestins, ce qui explique la diversité des tactiques employées.
  • De multiples alias, une seule famille. TargetCompany, Fargo et Tohnichi désignent la même souche, qui évolue régulièrement depuis 2021.
  • La meilleure défense reste une hygiène informatique de base. Sécuriser et mettre à jour les serveurs MS-SQL exposés sur Internet, tout en imposant des identifiants robustes, permet de fermer la porte principale à Mallox.

Alias et origines

Mallox est suivi sous plusieurs noms, TargetCompany, Fargo et Tohnichi, reflétant les différentes dénominations des chercheurs et les labels de campagnes variés au fil du temps. Observé pour la première fois vers juin 2021, il a connu une montée en activité notable entre septembre et décembre 2022, qui s'est poursuivie en 2023, quand une analyse a signalé une augmentation d'environ 174 % des attaques Mallox par rapport au second semestre 2022.

Décrit par les chercheurs comme un groupe relativement restreint et fermé à ses débuts, Mallox a régulièrement affiché sa volonté de croître, en recrutant des affiliés sur des forums et marchés clandestins tels que Nulled et RAMP, ce qui est cohérent avec son modèle RaaS. Comme de nombreuses opérations liées à la sphère russophone, Mallox vérifie la langue du système lors de l'exécution et évite de s'activer dans certains environnements de la Communauté des États indépendants (CEI).

Comment Mallox attaque : tactiques, techniques et procédures

Accès initial : les serveurs MS-SQL non sécurisés

La caractéristique principale de Mallox est sa focalisation sur les serveurs de bases de données. Les opérateurs scannent les instances MS-SQL exposées sur internet et lancent des attaques par dictionnaire ou par force brute contre des identifiants faibles, notamment le puissant compte "sa" (administrateur SQL). Ces attaques peuvent être incessantes : lors d'une observation directe, un serveur exposé a subi de l'ordre de centaines de tentatives de force brute par minute. Si MS-SQL reste sa marque de fabrique, certains affiliés ont également utilisé des e-mails de phishing délivrant des frameworks comme Cobalt Strike et Sliver comme points d'entrée alternatifs.

Exécution et post-compromission

Après avoir compromis la base de données, les attaquants abusent des fonctionnalités légitimes de MS-SQL pour exécuter des commandes système, en activant des capacités telles que xp_cmdshell et OLE Automation, et en créant des assemblies pour exécuter du code. Ils utilisent généralement la ligne de commande et PowerShell pour télécharger la charge utile Mallox depuis un serveur distant, parfois encapsulée dans un chargeur (loader) comme PureCrypter pour échapper à la détection. Des scripts batch terminent les processus et services (bases de données, sauvegardes, outils de sécurité) susceptibles d'interférer avec le chiffrement.

Chiffrement et impact

Avant de chiffrer, Mallox désactive la récupération : il supprime les clichés instantanés (volume shadow copies), configure le système pour ignorer les échecs de démarrage et arrête les services qui bloqueraient les fichiers cibles. Il chiffre ensuite les fichiers à l'aide d'algorithmes tels que ChaCha20 (et, dans certaines variantes, en combinaison avec AES-128), en ajoutant une extension telle que .mallox, .FARGO3, .xollam ou .bitenc. Une note de rançon est déposée dans chaque répertoire avec les instructions de contact et de paiement via Tor, et dans de nombreux échantillons le malware se supprime ensuite de lui-même.

Double extorsion

Mallox exfiltre les données avant de les chiffrer et maintient des sites de fuite sur Tor où il publie les données volées des organisations qui n'ont pas payé. Le groupe a également mis sous pression les organisations ciblées en menaçant de contacter leurs partenaires et, pour les victimes européennes, en invoquant les conséquences potentielles du Règlement général sur la protection des données (RGPD) en cas de violation de données.

Qui Mallox cible-t-il ?

Mallox est largement opportuniste : son point d'entrée étant tout serveur MS-SQL exposé et mal sécurisé, ses victimes sont davantage définies par cette exposition que par leur secteur d'activité. Cela dit, les rapports documentent des victimes dans la fabrication, les services professionnels et juridiques, le commerce de gros, le commerce de détail et d'autres secteurs, dans de nombreux pays dont l'Allemagne, les États-Unis, le Japon, la Grèce et l'Inde. Conformément à ses origines probables, il semble éviter les pays de la CEI.

Un regard de l'intérieur : le honeypot MS-SQL de Sekoia

Une grande partie de ce que l'on sait sur Mallox provient de la télémétrie des éditeurs. L'équipe Threat Detection & Research (TDR) de Sekoia a capturé la chaîne d'attaque directement. Dans le cadre de sa routine de déploiement de honeypots dans le monde entier pour observer les exploitations réelles, l'équipe TDR a mis en place un honeypot MS-SQL et a observé une intrusion Mallox se dérouler en temps réel. Le serveur a fait l'objet d'une attaque par force brute sur le compte "sa" à raison d'environ 320 tentatives par minute et a été compromis en moins d'une heure.

Les attaquants ont ensuite activé des fonctionnalités MS-SQL telles que clr et OLE Automation, créé une assembly shell et utilisé xp_cmdshell pour exécuter des commandes, déployant Mallox via le chargeur PureCrypter (un outil .NET de Malware-as-a-Service vendu par un acteur de la menace connu sous le nom de PureCoder). En analysant les échantillons, Sekoia a identifié deux affiliés distincts aux modus operandi différents : l'un axé sur l'exploitation d'actifs vulnérables, l'autre sur des compromissions plus larges et à plus grande échelle. L'investigation a mis au jour des pseudonymes d'affiliés tels que Maestro, Vampire et Hiervos, ainsi qu'une infrastructure d'hébergement suspecte. Sekoia a publié l'analyse technique complète, les opportunités de détection et les indicateurs de compromission (IoC) issus de cette enquête.

Comment se défendre contre Mallox

  1. Sécuriser et patcher les serveurs MS-SQL. Éviter d'exposer les serveurs de bases de données inutilement sur internet, les maintenir patchés et les placer derrière des contrôles réseau appropriés. Cela ferme la porte principale de Mallox.
  2. Appliquer des identifiants robustes et le MFA. Utiliser des mots de passe forts et uniques (surtout pour le compte "sa"), désactiver ou renommer les comptes par défaut, et ajouter l'authentification multifacteur (MFA) quand c'est possible pour contrer les attaques par force brute.
  3. Surveiller l'activité MS-SQL. Intégrer les journaux MS-SQL dans le SOC et surveiller les échecs de connexion répétés suivis d'un succès, les connexions depuis des IP publiques et les modifications de configuration telles que l'activation de xp_cmdshell, clr ou OLE Automation.
  4. Déployer un EDR/XDR et la détection comportementale. Détecter les comportements post-compromission, notamment les téléchargements PowerShell, la suppression de clichés instantanés, la résiliation massive de services et l'activité de chiffrement, plutôt que de s'appuyer sur des signatures statiques.
  5. Maintenir des sauvegardes hors ligne et testées. Conserver des sauvegardes immuables ou hors ligne et s'exercer à la restauration, car Mallox supprime activement les clichés instantanés pour empêcher une récupération facile.
  6. Surveiller l'exfiltration de données. Puisque Mallox utilise la double extorsion, surveiller les transferts sortants inhabituels susceptibles de précéder le chiffrement.

Éclairage expert : une menace évitable qui récompense les fondamentaux

La leçon à retenir sur Mallox est simple : ce n'est pas un adversaire d'élite armé de zero-days. C'est une opération persistante et opportuniste qui prospère presque exclusivement sur une chose : des serveurs MS-SQL exposés avec des mots de passe faibles. Sa longévité en dit moins sur la sophistication du groupe que sur le nombre d'organisations qui laissent des serveurs de bases de données accessibles depuis internet avec des identifiants devinables. Cela rend Mallox inhabituellement évitable : fermez cette porte, et vous déjouez sa campagne principale. La détection doit tout de même s'appuyer là où l'attaque se produit réellement, au niveau de la base de données et des comportements post-compromission, pas uniquement à la passerelle e-mail.

Parce que l'équipe TDR de Sekoia a observé une intrusion Mallox en direct sur son propre honeypot MS-SQL, les règles de détection intégrées dans la plateforme SOC Sekoia ciblent exactement les comportements que ce groupe affiche : patterns de force brute contre le compte "sa", modifications suspectes de la configuration MS-SQL (xp_cmdshell, clr, OLE Automation), téléchargements de charges utiles PowerShell, suppression de clichés instantanés et résiliation massive de services avant chiffrement. Cette recherche de première main alimente Sekoia Intelligence, de sorte que les indicateurs liés à Mallox et ses affiliés peuvent être corrélés sur la télémétrie et faire l'objet de recherches rétrospectives via les intégrations de la plateforme, y compris les journaux MS-SQL non collectés nativement dans les journaux d'événements Windows mais essentiels pour détecter cette attaque. Associée à la réponse automatisée aux incidents, une session de base de données compromise par force brute peut être confinée avant que le chiffrement ne commence. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia est bien adapté aux organisations régulées que Mallox cible explicitement avec des menaces RGPD.