Apache ActiveMQ LockBit : une nouvelle chaîne d’intrusion complète vient d’être publiée par The DFIR Report, révélant comment des attaquants exploitent activement Apache ActiveMQ pour déployer le ransomware LockBit — avec une nouveauté troublante : la note de rançon est désormais transmise via l’application de messagerie chiffrée Session. Ce rapport fournit des IOCs exploitables et une chronologie précise de l’attaque, que toute équipe de sécurité devrait passer en revue aujourd’hui.
Contexte : Apache ActiveMQ, vecteur d’intrusion persistant
Apache ActiveMQ est un broker de messages open-source massivement déployé dans les architectures d’entreprise. Son exposition sur internet en fait une cible prioritaire pour les groupes ransomware. Après la CVE-2026-34197 documentée récemment, ce nouvel incident confirme que les serveurs ActiveMQ non patchés ou mal configurés restent des portes d’entrée de premier choix pour les acteurs malveillants.
Le rapport DFIR décrit une intrusion complète : de l’exploitation initiale jusqu’au déploiement du ransomware Apache ActiveMQ LockBit, en passant par la persistance, le mouvement latéral et l’exfiltration de données.
La chaîne d’intrusion : étape par étape
1. Accès initial via ActiveMQ
Les attaquants ont exploité une vulnérabilité de désérialisation non sécurisée sur un serveur ActiveMQ exposé sur internet. L’exploitation permet l’exécution de code à distance (RCE) sans authentification, ouvrant un shell initial sur le serveur cible.
- Port ciblé : 61616 (protocole OpenWire)
- Technique : désérialisation de classes Java malveillantes
- Résultat : shell reverse avec privilèges du processus ActiveMQ
2. Persistence et élévation de privilèges
Après l’accès initial, les attaquants ont déployé un implant de persistance (webshell + service Windows) et ont procédé à une élévation de privilèges via un exploit local non documenté. L’accès SYSTEM a été obtenu en moins de 30 minutes après l’intrusion initiale.
- Outil de persistance : webshell JSP sur le répertoire ActiveMQ
- Technique d’élévation : abus de service Windows vulnérable
- Temps de SYSTEM : < 30 min depuis l’exploitation
3. Mouvement latéral et reconnaissance
L’acteur a utilisé Cobalt Strike et des outils LOLBins natifs (wmic, net, nltest) pour cartographier l’Active Directory et se déplacer latéralement. Les contrôleurs de domaine ont été compromis avant le déploiement du ransomware.
- Durée de résidence : ~72 heures avant chiffrement
- Outils : Cobalt Strike beacon, BloodHound (collecte AD), Mimikatz
- Cibles prioritaires : contrôleurs de domaine, serveurs de sauvegarde
4. Déploiement de LockBit et nouveauté : Session
Le ransomware LockBit a été déployé via GPO compromise sur l’ensemble du parc. La particularité de cette campagne : la note de rançon ne pointe plus vers un site onion standard mais vers un canal Session (messagerie chiffrée décentralisée), rendant la communication avec les attaquants plus difficile à tracer et à perturber.
- Vecteur de déploiement : GPO + script PowerShell
- Canal de communication : application Session (ID de session unique)
- Fichiers ciblés : toutes extensions sauf liste d’exclusion LockBit standard
IOCs Apache ActiveMQ LockBit à surveiller
Ces indicateurs de compromission sont issus du rapport DFIR Report et doivent être intégrés dans vos règles SIEM, EDR et pare-feu sans délai :
- Hashes (SHA256) : implant webshell JSP, beacon Cobalt Strike — consulter le rapport DFIR Report complet pour les valeurs
- Noms de fichiers suspects :
svchost32.exe,update.bat,run.ps1dans%ProgramData% - Clés de registre : persistence via
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon - Connexions réseau : sorties sur port 61616 depuis des serveurs internes (mouvement latéral ActiveMQ)
- Process suspects :
activemq.batlançantcmd.exeoupowershell.exe
Recommandations prioritaires pour les PME-ETI
Si vous gérez une infrastructure avec Apache ActiveMQ, ces actions sont à prioriser immédiatement pour se protéger d’une chaîne d’intrusion LockBit similaire :
- Patcher immédiatement : mettre à jour ActiveMQ vers la dernière version stable (5.18.x minimum). Voir notre guide corriger la CVE-2026-34197 sur ActiveMQ.
- Isoler l’exposition internet : le port 61616 ne doit jamais être exposé directement sur internet. Utiliser un VPN ou un pare-feu applicatif.
- Surveiller les processus enfants : alerter sur tout
cmd.exeoupowershell.exelancé par le processus Java d’ActiveMQ. - Sauvegardes hors-ligne : les serveurs de sauvegarde sont une cible prioritaire. Implémenter la règle 3-2-1 avec une copie déconnectée du réseau.
- Segmentation réseau : les serveurs middleware ne doivent pas avoir d’accès direct aux contrôleurs de domaine. Vérifiez vos ACLs réseau.
- Threat hunting proactif : chercher les IOCs listés ci-dessus dans vos logs SIEM des 30 derniers jours. Pour les proxies LLM potentiellement exposés, voir aussi notre guide sur la sécurisation des proxies LLM.
Pourquoi Session comme canal de rançon ?
L’utilisation de Session (et non plus de sites onion TOR classiques) marque une évolution tactique. Session est une messagerie décentralisée, sans serveur central, basée sur des identifiants pseudonymes. Elle est plus difficile à bloquer, surveiller ou démanteler qu’une infrastructure TOR. Les équipes de réponse aux incidents doivent désormais inclure Session dans leur playbook de communication avec les attaquants ransomware.
Conclusion
Cette nouvelle chaîne d’intrusion Apache ActiveMQ LockBit démontre que les acteurs ransomware continuent d’innover — que ce soit dans le choix des vecteurs d’accès initial (ActiveMQ reste sous-patché dans de nombreuses organisations) ou dans leurs canaux de communication post-chiffrement. Les IOCs publiés par DFIR Report sont un cadeau : intégrez-les maintenant avant que la prochaine vague ne frappe votre organisation.