Le groupe a créé un GPO malveillant nommé PAYLOAD, désactivant le compte administrateur local sur chaque poste Windows.

REX Cyber · Veille du 2026-09-21. Faits attribués à securelist.com.

Le groupe a créé un GPO malveillant nommé PAYLOAD, désactivant le compte administrateur local sur chaque poste Windows.

Ce qui s’est passé

Les auteurs de securelist.com rapportent les constatations suivantes :

• Le groupe a créé un GPO malveillant nommé PAYLOAD, désactivant le compte administrateur local sur chaque poste Windows.
• Le fichier payload.jpg du contrôleur est défini comme image de verrouillage et fond d’écran via la politique de personnalisation.
• Le GPO créé le 13 avril n’a pris effet que le 14 avril après le redémarrage des machines.

Acteurs et cibles

Acteurs rapportés

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Cibles rapportées

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Relations explicites de renseignement

• Cibles associées : Manufacturing

Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.

Repère temporel cité par la source : In April 2026.

Contexte temporel — extrait de securelist.com : In April 2026, we at Kaspersky’s Global Emergency Response Team (GERT) responded to a security incident at a manufacturing organization in the Middle East. The threat actor obtained domain admin-equivalent control of the organization’s Active Directory environment and authored a malicious Group Policy Object (GPO) named PAYLOAD, linking it at the domain root. Through that single object, the actor delivered ransom notes, hijacked the desktop wallpaper and lock screen, enforced a logon banner, and disabled the local administrator account across every domain-joined Windows workstation — all without dropping a ransomware binary or encrypting any data. The only ransomware we found in this incident was PAYLOAD sample targeting ESXi on Linux servers. Besides that, data exfiltration was observed originating from the file servers and several additional systems, and was later published on the dark web.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Entités et contexte du rapport

• Malware : Payload ; alias : elf.payload, win.payload ; is_family : True ; malware_types : dropper ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
• Secteur : Manufacturing ; alias : ICS, Industrial Control Systems, Utilities, industrial ; confiance : 100/100

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

Relations entre les entités nommées

IOC et observables pour la recherche

6 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-10T13:30:44+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-21T11:54:10.180Z ; 14 objets publics et 13 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 2 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 11885 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : PAYLOAD ransomware attacks through Active Directory GPO
• Types de rapport : threat-report
• Labels : active directory, data exfiltration, domain controller, encryptionless extortion, esxi targeting, gpo abuse, group policy object, payload, sysvol abuse, vpn compromise
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-21T11:54:10.180Z
• Modification déclarée par la source : 2026-09-26T18:34:29.960Z
• Import de l’objet de renseignement : 2026-09-26T18:34:29.656Z
• Mise à jour de l’objet de renseignement : 2026-09-26T18:34:29.960Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

PAYLOAD ransomware attacks through Active Directory GPO — securelist.com.