Le 3 juillet 2026, des chercheurs ont publié l'analyse d'un framework malware jusqu'alors inconnu, baptisé Avalon, distribué via une chaîne de phishing en plusieurs étapes conçue pour contourner les contrôles de sécurité traditionnels. Ce qui distingue Avalon des ransomwares conventionnels, c'est son architecture modulaire : avant d'activer le composant de chiffrement, baptisé CrownX en interne, le framework consacre une phase entière à neutraliser les systèmes de récupération et à cartographier les cibles à haute valeur. Le résultat est qu'au moment où la note de rançon apparaît, l'attaquant a déjà compromis les sauvegardes, établi plusieurs canaux d'accès persistant et exfiltré des données sensibles.
Avalon présente également des signes d'assistance par l'intelligence artificielle dans son développement. Les chercheurs de Blackpoint Cyber, qui ont analysé le framework en détail, ont relevé que le code assemble plusieurs composants fonctionnels avec peu de souci pour les techniques d'évasion sophistiquées ou la sécurité opérationnelle, un profil cohérent avec un développeur utilisant un outil d'IA pour générer rapidement un code fonctionnel sans maîtriser pleinement les subtilités du tradecraft.
La campagne débute par un e-mail usurpant l'identité d'un cabinet juridique ou d'un service contractuel. L'e-mail dirige la victime vers une archive protégée par un mot de passe, hébergée sur Proton Drive. Le choix de Proton Drive n'est pas anodin : les liens vers cette plateforme sont rarement bloqués par les passerelles e-mail, qui traitent Proton comme un service de partage de fichiers légitime. Le mot de passe fourni dans l'e-mail permet d'extraire un fichier ISO.
Le fichier ISO, lorsqu'il est monté sur Windows, affiche un contenu d'apparence innocente, généralement un document sur le thème juridique ou contractuel. Dissimulé à l'intérieur se trouve un raccourci Windows (fichier LNK) qui, lorsqu'il est ouvert par la victime, déclenche une commande lançant un projet MSBuild situé dans l'image ISO montée. MSBuild est un outil de compilation Microsoft légitime, ce qui rend son exécution moins susceptible de déclencher des alertes dans les environnements où les outils de développement sont autorisés.
Ce projet MSBuild constitue le stager : il télécharge et déploie Avalon sur la machine. Le recours à une chaîne ISO plutôt qu'à des pièces jointes directes évite la détection au niveau de la passerelle e-mail, car les moteurs antivirus analysent rarement le contenu des ISO hébergés sur des services cloud légitimes avant leur montage.
Une fois déployé, Avalon opère selon six modules distincts. Le premier module est dédié à la collecte d'identifiants : il extrait les mots de passe stockés dans les navigateurs, les gestionnaires d'identifiants et les fichiers de configuration. Le deuxième gère le mouvement latéral, en utilisant les identifiants collectés pour se propager vers d'autres machines du réseau. Le troisième établit un accès distant persistant via un canal de commande et contrôle. Le quatrième, et c'est là que réside la différence stratégique d'Avalon, est entièrement dédié à la perturbation de la récupération.
Ce quatrième module recherche activement les solutions de sauvegarde et de reprise d'activité avant d'agir sur les données de production. Les chaînes de caractères internes analysées par Blackpoint Cyber montrent qu'Avalon cible spécifiquement Veeam, Acronis, NetApp, Synology, vCenter, Hyper-V et Exchange. Pour chacune de ces cibles, le module tente soit de supprimer les sauvegardes existantes, soit de corrompre les configurations de protection pour rendre la récupération post-chiffrement impossible ou extrêmement coûteuse.
Le cinquième module correspond au composant ransomware CrownX lui-même, qui ne s'active qu'après que les quatre modules précédents ont accompli leur travail. Le sixième gère l'exfiltration de données avant chiffrement, pour alimenter la double extorsion classique : payer pour déchiffrer et payer pour que les données ne soient pas publiées.
La stratégie d'Avalon de prioriser les contrôleurs de domaine, les serveurs de sauvegarde et les hyperviseurs avant de déployer CrownX est le reflet d'une évolution du ransomware observée depuis plusieurs années. Les premières versions de ransomware chiffraient les fichiers sur la machine compromise et attendaient que la victime constate la perte. Les variantes modernes comprennent que la vraie pression vient de la destruction de la capacité de récupération.
Un contrôleur de domaine compromis permet de recréer des comptes d'accès même après une réinitialisation des mots de passe. Un hyperviseur compromis permettait de chiffrer simultanément toutes les machines virtuelles qu'il héberge depuis un seul point. Des sauvegardes Veeam ou Acronis supprimées signifient que la restauration à partir d'une sauvegarde saine n'est plus une option pour la victime, même si la sauvegarde existait la veille. C'est cette combinaison qui transforme une attaque ransomware en véritable crise opérationnelle.
Les indicateurs d'assistance par IA relevés dans Avalon ne signifient pas que le framework est moins dangereux. Ils signifient que sa création a nécessité moins de compétences techniques approfondies qu'un framework équivalent développé entièrement à la main. Un développeur de niveau intermédiaire, capable de décrire ses objectifs à un modèle d'IA, peut désormais obtenir un code fonctionnel pour des capacités qui auraient autrefois nécessité une expertise spécialisée en développement de malwares.
La conséquence pratique est que la barrière à l'entrée pour créer des frameworks ransomware modulaires à plusieurs étapes diminue. Avalon n'est pas isolé : des incidents similaires, où l'IA a été utilisée pour accélérer le développement de malwares fonctionnels, ont été documentés tout au long de 2026. La surveillance de l'exposition externe de votre organisation prend une dimension nouvelle lorsque la cadence de création de nouveaux outils d'attaque augmente.
Plusieurs signaux dans la chaîne d'infection d'Avalon sont détectables. L'exécution de MSBuild depuis un répertoire inhabituel, en particulier depuis un chemin lié à un disque monté ou à un répertoire temporaire, est une anomalie comportementale que les règles EDR peuvent capturer. Les connexions sortantes depuis MSBuild vers des adresses IP externes constituent un second indicateur fort, MSBuild n'ayant aucune raison légitime de communiquer avec internet dans la plupart des environnements d'entreprise.
Les tentatives de suppression ou de modification des catalogues de sauvegarde Veeam ou des snapshots Acronis depuis des processus qui ne sont pas les agents de sauvegarde eux-mêmes devraient déclencher des alertes prioritaires. Cette activité est presque impossible à justifier par une opération légitime et correspond directement au module de perturbation de la récupération d'Avalon.
La surveillance des identifiants exposés sur le dark web reste pertinente même dans le contexte d'un ransomware comme Avalon, car l'exfiltration de données précède le chiffrement. Si des informations appartenant à votre organisation circulent dans des forums criminels à la suite d'une attaque, la détection précoce de cette exposition peut influencer la décision de payer ou non, et le périmètre exact de la notification aux parties prenantes.
L'approche d'Avalon qui consiste à neutraliser les sauvegardes avant de déployer CrownX reflète une réalité que les équipes de sécurité doivent intégrer dans leur stratégie de résilience : la capacité de récupération d'une organisation n'est plus un acquis passif. Les attaquants modernes ont compris que les sauvegardes sont la défense primaire contre les ransomwares, et ils ciblent ces sauvegardes en priorité. La question n'est plus seulement "est-ce que nous avons des sauvegardes ?" mais "est-ce que nos sauvegardes sont isolées de manière à ce qu'Avalon ou un framework similaire ne puisse pas les atteindre ?"
La réponse efficace à cette menace passe par la règle 3-2-1-1-0 : trois copies des données, sur deux supports différents, dont une hors site, une hors ligne (air-gapped), et zéro erreur vérifiée lors des tests de restauration. La composante hors ligne est celle qu'Avalon ne peut pas atteindre depuis le réseau. Les sauvegardes Veeam, Acronis, NetApp, et vCenter connectées au réseau de l'entreprise sont accessibles depuis n'importe quel point de compromission réseau. Seul un support physiquement déconnecté, une bande, un disque externe débranché, ou un stockage immuable en cloud avec accès restreint, résiste à la phase de destruction de sauvegardes d'Avalon.
La vérification régulière de la restauration est l'autre composante critique. Un plan de récupération qui n'a pas été testé depuis six mois dans un environnement de production représentant la configuration actuelle n'offre pas les garanties que la direction assume souvent. Les frameworks ransomware comme Avalon ciblent précisément les systèmes que les équipes IT considèrent comme "protégés par les sauvegardes" sans avoir vérifié que cette protection fonctionne encore dans le contexte infrastructurel actuel.
Les indicateurs d'une infection Avalon en cours de déploiement sont détectables si les alertes appropriées sont configurées. L'exécution de MSBuild depuis un répertoire ISO monté ou un chemin temporaire inhabituel est un premier indicateur. Les connexions sortantes depuis MSBuild vers des adresses IP externes constituent un second signal fort. La modification ou la suppression de catalogues de sauvegarde Veeam depuis un processus qui n'est pas l'agent Veeam lui-même est un troisième indicateur critique qui devrait déclencher une réponse immédiate.
Les attaques sur les systèmes de virtualisation, vCenter et Hyper-V en particulier, méritent une surveillance dédiée. Une commande PowerShell ou CLI qui tente de supprimer des snapshots VMware depuis un hôte qui n'est pas le serveur de gestion vCenter légitime, ou qui tente d'exporter des configurations de machines virtuelles vers un chemin non standard, sont des signaux qui précèdent souvent le déploiement du ransomware dans les attaques ciblant les hyperviseurs. Les équipes de sécurité qui ne surveillent pas les API de gestion des hyperviseurs ont un angle mort dans leur capacité de détection face à des frameworks comme Avalon.
La liste des systèmes ciblés par le module de perturbation d'Avalon n'est pas aléatoire. Chaque système mentionné dans les chaînes de caractères internes du framework représente un obstacle spécifique à la rançon maximale. Comprendre pourquoi chacun est ciblé aide à comprendre comment les architectures de protection efficaces doivent être conçues.
vCenter Server est l'outil de gestion centrale de VMware vSphere. Il contrôle toutes les machines virtuelles fonctionnant sur les hôtes ESXi d'un datacenter. Un attaquant qui accède à vCenter peut mettre hors ligne toutes les machines virtuelles, supprimer leurs snapshots, et dans certaines configurations déployer directement un payload de chiffrement sur les datastores partagés sans jamais toucher aux systèmes d'exploitation invités. C'est pourquoi vCenter représente une cible de choix : compromettre vCenter revient à compromettre simultanément toutes les charges de travail qu'il gère.
Veeam Backup and Replication et Acronis Cyber Protect sont deux des solutions de sauvegarde les plus déployées dans les PME et entreprises de taille intermédiaire. Ces plateformes gèrent les sauvegardes de tous les systèmes protégés, y compris souvent les contrôleurs de domaine et les serveurs Exchange. Si un attaquant peut supprimer les points de restauration Veeam ou corrompre le catalogue Acronis avant de déployer le ransomware, l'organisation ne peut plus restaurer ses systèmes depuis une sauvegarde récente. La seule option de récupération devient le paiement de la rançon ou une reconstruction complète à partir de sources d'urgence, si elles existent.
Exchange Server, le serveur de messagerie on-premises de Microsoft, est ciblé pour deux raisons. Premièrement, il contient les communications internes de l'organisation, qui ont une valeur pour la double extorsion. Deuxièmement, chiffrer le serveur de messagerie crée une pression opérationnelle immédiate, car les organisations modernes dépendent fortement de la messagerie pour leurs opérations quotidiennes. La combinaison d'un Exchange chiffré et de communications internes exfiltrées maximise la pression sur la victime.
La protection efficace contre un framework comme Avalon nécessite plusieurs couches de contrôle qui fonctionnent indépendamment. La première couche est la segmentation réseau : vCenter, les serveurs de sauvegarde, et les contrôleurs de domaine ne devraient pas être accessibles directement depuis les postes de travail des utilisateurs. Ils devraient être sur des segments réseau dédiés avec des règles de pare-feu strictes qui ne permettent l'accès qu'aux systèmes administratifs connus. Cette segmentation ralentit le mouvement latéral d'Avalon même lorsqu'un poste de travail est compromis.
La deuxième couche est la protection des accès administratifs. Les comptes avec des privilèges sur vCenter, Veeam, Exchange, et les contrôleurs de domaine devraient utiliser des mots de passe distincts de ceux utilisés ailleurs, et ne jamais être utilisés pour la navigation web ou la lecture d'e-mails. La compromission d'un compte privilégié à travers un e-mail de phishing est l'un des vecteurs les plus courants par lesquels les attaquants atteignent les systèmes d'administration après avoir établi un premier accès.
La troisième couche est le stockage immuable des sauvegardes. Veeam, Acronis et la plupart des solutions de sauvegarde modernes offrent une fonctionnalité de sauvegarde immuable où les points de restauration ne peuvent pas être supprimés pendant une période configurable, même par un administrateur disposant de tous les droits. Cette immutabilité doit être activée pour les sauvegardes destinées à la récupération après ransomware. La politique de rétention immuable devrait couvrir au minimum 14 jours, idéalement 30, pour s'assurer qu'une sauvegarde antérieure à l'infection est disponible même si l'attaquant a séjourné dans le réseau pendant plusieurs jours avant de déployer le ransomware.
La quatrième couche est la surveillance comportementale des processus de sauvegarde. Une solution EDR configurée pour alerter sur toute interaction avec les processus ou fichiers de Veeam ou Acronis par des processus qui ne sont pas les agents de sauvegarde eux-mêmes, en particulier depuis des processus MSBuild ou PowerShell exécutés depuis des chemins inhabituels, fournit une détection précoce du module de perturbation d'Avalon avant qu'il n'ait accompli sa mission.
Enfin, les exercices de restauration réguliers sont indispensables. Une organisation qui n'a pas testé sa procédure de restauration complète, depuis une sauvegarde immuable jusqu'à un système pleinement opérationnel, dans les six derniers mois ne sait pas réellement si sa protection contre le ransomware fonctionnerait en cas d'incident. Les tests de restauration révèlent les lacunes dans la couverture de sauvegarde, les problèmes de performance qui pourraient allonger les RTO réels, et les dépendances entre systèmes qui ne sont pas évidentes tant qu'on n'a pas tenté de reconstruire un environnement de zéro.
Avalon n'est pas le premier framework malware présentant des signes d'assistance par IA dans son développement, mais il est l'un des premiers à combiner cette assistance avec un ciblage délibéré et sophistiqué des systèmes de sauvegarde et de virtualisation. Cette combinaison signale une évolution : les attaquants n'utilisent plus l'IA uniquement pour générer du code de base ou automatiser des tâches répétitives, mais pour assembler des composants qui, pris ensemble, constituent une capacité d'attaque cohérente et orientée vers un objectif de business disruption maximale.
La tendance à cibler les hyperviseurs et les systèmes de sauvegarde avant le chiffrement s'est généralisée dans l'écosystème ransomware depuis 2023. Ce qu'Avalon ajoute à cette tendance, c'est la capacité d'un acteur de niveau intermédiaire, sans expertise approfondie en développement de malwares, d'assembler un framework doté de ces capacités en utilisant l'IA comme accélérateur de développement. La barrière d'entrée pour créer un ransomware ciblant spécifiquement les sauvegardes Veeam et vCenter a significativement diminué.
Pour les équipes de sécurité, cette évolution a une implication pratique : les indicateurs comportementaux d'une attaque ransomware avancée, tels que les tentatives d'accès aux catalogues de sauvegarde depuis des processus non légitimes ou les commandes de gestion vCenter émises depuis des hôtes inhabituels, ne sont plus le seul fait de groupes APT sophistiqués. Ils peuvent maintenant provenir d'acteurs de niveau inférieur utilisant des frameworks assistés par IA. La surveillance de ces comportements doit donc être une priorité pour toutes les organisations, pas uniquement pour celles qui se considèrent comme des cibles d'acteurs avancés.
La publication de l'analyse de Blackpoint Cyber sur Avalon fournit des indicateurs de compromission concrets que les équipes SOC peuvent intégrer dans leurs règles de détection : les chemins d'exécution MSBuild inhabituels, les connexions depuis MSBuild vers des IP externes, et les modifications des catalogues de sauvegarde par des processus non autorisés. Ces indicateurs sont disponibles dans les systèmes EDR modernes pour les organisations qui ont pris le temps de configurer des règles de détection adaptées à leur environnement spécifique et à leur surface d'exposition réelle.
Les attaques décrites dans cet article partagent une caractéristique commune : elles exploitent soit des identifiants compromis, soit des comportements de confiance dans des systèmes légitimes, soit la lenteur des cycles de mise à jour. Qu'il s'agisse de ransomware Avalon ciblant les sauvegardes, d'une intrusion médicale via vishing chez Abbott, d'un ransomware généré par IA sans installation, ou d'une campagne de password spraying à 81 millions de tentatives, le point d'entrée est presque toujours lié à l'identité et aux données d'accès.
Defendis surveille en continu le dark web, les forums criminels et les bases de données de fuites pour identifier les identifiants et données liés à votre organisation. Si des informations de vos systèmes circulent dans ces canaux, Defendis vous en informe avec le contexte nécessaire pour agir avant que l'impact ne s'étende.
Réservez une démo pour voir Defendis en action.
