Histoire complète du ransomware (1989-2026) (1/2)

I- Le ransomware, reflet de l’évolution du cybercrime

Le ransomware n’est pas né avec Bitcoin, ni avec les groupes criminels modernes. Il est l’aboutissement de plusieurs décennies d’évolution où se sont rencontrés cryptographie, criminalité organisée et dépendance numérique des organisations.

Introduction

Parmi toutes les formes de logiciels malveillants apparues depuis les débuts de l’informatique, peu ont connu une évolution aussi spectaculaire que le ransomware. Aujourd’hui considéré comme l’une des menaces les plus importantes pour les entreprises, les administrations et les infrastructures critiques, le ransomware est souvent perçu comme un phénomène récent apparu avec les grandes campagnes des années 2010.

Cette vision est pourtant incomplète car le ransomware possède une histoire beaucoup plus ancienne. Ses origines remontent à la fin des années 1980, à une époque où Internet n’était encore qu’un réseau académique et où les ordinateurs personnels commençaient seulement à se démocratiser.

À cette période, l’idée même d’extorquer une victime à l’aide d’un logiciel malveillant semblait presque expérimentale. Les premiers programmes de ce type étaient rudimentaires, peu diffusés et techniquement limités.

Ils contenaient néanmoins les éléments fondamentaux qui caractérisent encore aujourd’hui les attaques modernes à savoir empêcher l’accès aux données, demander une compensation financière et exploiter la dépendance de l’utilisateur à son système informatique.

Au fil des décennies, le ransomware a progressivement évolué en parallèle avec la société numérique.

Chaque grande transformation technologique a apporté de nouvelles opportunités aux attaquants :

• la démocratisation des ordinateurs personnels
• l’arrivée d’Internet
• la généralisation du courrier électronique
• le développement du commerce en ligne
• l’apparition des cryptomonnaies
• l’adoption massive du cloud
• la virtualisation des infrastructures
• l’interconnexion des systèmes industriels

Le ransomware moderne est donc le résultat d’une longue évolution qui peut être divisée en plusieurs grandes périodes.

Première période : l’expérimentation (1989-2005)

Les premiers ransomwares apparaissent comme des preuves de concept et démontrent qu’un logiciel peut prendre en otage un système informatique, mais ils restent limités :

• leur diffusion est réduite
• les méthodes de paiement primitives
• absence de véritable modèle économique

Deuxième période : la recherche du profit (2005-2013)

Les cybercriminels comprennent que les données numériques ont une valeur économique, alors les ransomwares deviennent plus fréquents et mieux conçus et les attaquants commencent à utiliser :

• chiffrement asymétrique
• paiements électroniques
• campagnes massives
• ingénierie sociale

Troisième période : l’industrialisation (2013-2017)

L’arrivée de familles comme CryptoLocker change définitivement la situation et le ransomware devient rentable, automatisable et scalable.

Le Bitcoin facilite les paiements et permet aux attaquants d’opérer à l’échelle mondiale.

Quatrième période : le ransomware ciblé (2017-2020)

Les groupes abandonnent progressivement les campagnes massives.

Ils ciblent désormais les entreprises, collectivités, hôpitaux ou encore les industries.

Le chiffrement devient une arme stratégique.

Cinquième période : l’économie RaaS (2020-2026)

Le ransomware devient une véritable industrie.

Les groupes fonctionnent selon un modèle : Ransomware-as-a-Service.

Des opérateurs développent les outils, des affiliés réalisent les attaques, des courtiers vendent les accès et enfin des spécialistes négocient les rançons.

Pourquoi étudier l’histoire du ransomware ?

Comprendre l’évolution historique du ransomware permet de mieux comprendre sa nature actuelle.

Les techniques utilisées aujourd’hui ne sont pas apparues brutalement mais elles sont plutôt le résultat d’une accumulation progressive d’innovations :

• amélioration des algorithmes cryptographiques
• évolution des moyens de paiement
• professionnalisation des acteurs
• industrialisation des infrastructures
• adaptation permanente aux défenses

Chaque génération de ransomware a répondu aux évolutions de la cybersécurité :

1. Lorsque les sauvegardes se sont améliorées, les groupes ont ajouté l’exfiltration.
2. Lorsque les antivirus ont progressé, ils ont développé des techniques d’évasion.
3. Lorsque les entreprises ont refusé de payer, ils ont ajouté la pression médiatique.

Le ransomware moderne est donc une menace évolutive, capable de s’adapter rapidement.

A retenir

• Le ransomware est le résultat d’une longue évolution du cybercrime, et non une menace apparue soudainement avec les cryptomonnaies ou les groupes criminels modernes.
• Son développement repose sur la convergence de plusieurs facteurs : progrès de la cryptographie, généralisation de l’informatique, interconnexion des systèmes et dépendance croissante au numérique.
• Le modèle économique du ransomware a progressivement transformé le malware en véritable outil d’extorsion, capable de générer des revenus importants avec des risques relativement limités pour les attaquants.
• L’évolution du ransomware reflète celle du cybercrime dans son ensemble : d’attaques isolées menées par quelques individus vers une criminalité organisée, spécialisée et structurée comme une véritable industrie.
• Les ransomwares modernes ne se limitent plus au chiffrement des fichiers. Ils peuvent associer vol de données, extorsion, pression médiatique et menace de divulgation afin de maximiser les chances de paiement.
• Comprendre cette évolution historique permet de mieux comprendre pourquoi le ransomware constitue aujourd’hui l’une des formes les plus abouties de la cybercriminalité financière.

---

II- 1989-2005 : les prémices du ransomware et les premières extorsions numériques

Les premières campagnes de ransomware n’ont pas bouleversé le monde de la cybersécurité. Elles ont cependant posé les bases d’un modèle criminel qui, trente ans plus tard, deviendrait l’une des principales menaces pesant sur les entreprises et les États.

1989 : le premier ransomware de l’histoire

AIDS Trojan : la première tentative d’extorsion numérique

Le premier ransomware connu apparaît en 1989 sous le nom de : AIDS Trojan, également appelé PC Cyborg.

Son créateur est le biologiste évolutionniste américain Joseph Popp. Contrairement aux ransomwares actuels, son objectif n’était pas principalement financier au sens moderne du terme.

Le programme fut distribué sous forme de disquettes contenant un logiciel prétendument destiné à fournir des informations sur le SIDA. Une fois installé, le malware attendait un certain nombre de démarrages avant de masquer les fichiers présents sur le système. L’utilisateur voyait alors apparaître un message demandant l’envoi d’un paiement pour obtenir une licence permettant de récupérer l’accès.

Un fonctionnement rudimentaire

Le fonctionnement était très différent des ransomwares actuels :

• il ne chiffrait pas réellement les fichiers
• il modifiait certaines structures du système
• il pouvait être neutralisé relativement facilement
• il utilisait un moyen de paiement traditionnel

La demande était envoyée par courrier postal à une boîte aux lettres située au Panama.

Une idée avant son époque

Même si AIDS Trojan était techniquement limité, il introduisait déjà plusieurs concepts fondamentaux :

• prise en otage d’un système
• demande de paiement
• exploitation de la dépendance numérique
• utilisation d’un logiciel comme outil d’extorsion

Il constitue donc le point de départ historique du ransomware.

Une menace qui reste marginale pendant plus d’une décennie

Après AIDS Trojan, plusieurs variantes apparaissent dans les années suivantes, mais le phénomène reste limité.

Plusieurs facteurs expliquent la stagnation cette situation.

1- Les ordinateurs contiennent encore peu de données critiques

À la fin des années 1980 et au début des années 1990 :

• les particuliers stockent peu d’informations importantes
• les entreprises utilisent encore largement le papier
• les réseaux sont peu interconnectés

La valeur d’une compromission reste donc faible.

2- Les moyens de paiement sont peu adaptés

Les cybercriminels doivent trouver des moyens de recevoir l’argent.

Les paiements internationaux sont complexes et les systèmes électroniques de paiement sont encore peu développés.

3- Internet n’est pas encore généralisé

La diffusion massive d’un ransomware est difficile.

Les supports physiques restent dominants :

• disquettes
• CD-ROM
• échanges directs

Le ransomware existe donc, mais il n’a pas encore trouvé son modèle économique.

A retenir

• 1989 marque une étape fondatrice avec le cheval de Troie AIDS, souvent considéré comme le premier ransomware connu à grande échelle. Son fonctionnement était encore rudimentaire, mais le principe d’une donnée rendue inaccessible contre paiement était déjà présent.
• Durant les années 1990, les techniques d’extorsion numérique restent expérimentales et limitées, notamment en raison de la faible interconnexion des systèmes et des moyens de paiement disponibles.
• L’arrivée progressive d’Internet facilite cependant la diffusion des logiciels malveillants et élargit considérablement le nombre de victimes potentielles.
• Les premières formes de ransomware montrent déjà l’intérêt de combiner infection informatique et pression financière, même si les mécanismes techniques restent très éloignés de ceux utilisés aujourd’hui.
• La période voit également apparaître les premières réflexions autour de l’utilisation de la cryptographie comme moyen de verrouiller les données, préfigurant le fonctionnement des ransomwares modernes.
• Entre 1989 et 2005, le ransomware passe ainsi du stade de concept expérimental à celui de modèle d’attaque reproductible, posant les bases de son industrialisation future.
• Cette période constitue donc moins l’histoire d’une menace déjà mature que celle de l’émergence progressive d’un modèle économique criminel qui sera profondément transformé par Internet, les paiements électroniques puis les cryptomonnaies.

---

III- 2005-2013 : la professionnalisation progressive et l’arrivée des ransomwares modernes

Le ransomware n’est véritablement devenu une menace majeure que lorsque les cybercriminels ont compris qu’ils ne devaient plus simplement bloquer un ordinateur, mais exploiter la valeur économique des données et la dépendance des utilisateurs à leurs systèmes numériques.

Le contexte : l’explosion de l’économie numérique

Au milieu des années 2000, l’informatique connaît une transformation profonde.

Les ordinateurs personnels deviennent omniprésents dans les foyers et les entreprises. Internet haut débit se généralise progressivement, les services en ligne explosent et les utilisateurs commencent à stocker une quantité croissante d’informations numériques :

• photographies personnelles
• documents administratifs
• fichiers professionnels
• bases de données
• informations financières

Cette évolution crée une nouvelle opportunité pour les cybercriminels : les données numériques deviennent une ressource avec une valeur émotionnelle ou économique et un utilisateur peut accepter de payer pour récupérer :

• ses photos personnelles
• ses documents professionnels
• ses fichiers de travai

Une entreprise peut être contrainte de payer pour éviter une interruption d’activité :

Le principe économique du ransomware commence alors à trouver un terrain favorable.

L’apparition des ransomwares de verrouillage

Entre 2005 et 2010, une nouvelle génération de ransomwares apparaît, et contrairement à AIDS Trojan, ces programmes ne cherchent plus simplement à expérimenter une technique.

Ils sont conçus avec un objectif clair : forcer la victime à payer.

La méthode privilégiée à cette époque n’est pas encore le chiffrement des fichiers, les attaquants utilisent principalement le verrouillage du système.

Le ransomware « locker »

Le fonctionnement est relativement simple :

1. Le malware s’installe sur l’ordinateur.
2. Il bloque l’accès au bureau ou aux applications.
3. Un message indique que l’utilisateur doit payer une somme d’argent.
4. Une promesse de déblocage est fournie après paiement.

L’écran peut afficher :

• une fausse alerte policière
• une accusation de téléchargement illégal
• une notification de violation de loi
• une demande de paiement administratif

L’utilisation des faux messages des autorités

L’une des techniques les plus efficaces de cette période consiste à exploiter la peur, les victimes voient par exemple apparaître un message prétendant provenir :

• de la police
• d’une agence gouvernementale
• d’une autorité judiciaire

Le message accuse généralement l’utilisateur d’avoir :

• consulté des contenus interdits
• téléchargé des fichiers illégaux
• participé à une activité criminelle

La victime est invitée à payer une « amende » pour éviter des poursuites.

Cette méthode est connue sous le nom de : Police ransomware.

Pourquoi cette méthode fonctionne

Le succès de ces campagnes repose moins sur la technologie que sur la psychologie.

Les attaquants exploitent les biais cognitifs encore utilisés de nos jours :

1- La peur

La victime pense avoir commis une infraction.

2- L’urgence

Le message affirme souvent que le paiement doit être effectué rapidement.

3- La honte

Les accusations peuvent concerner des contenus sensibles.

4- Le manque de connaissances techniques

Beaucoup d’utilisateurs ne savent pas distinguer :

• une véritable notification officielle
• une fraude informatique

L’évolution des moyens de paiement

Un élément essentiel favorise l’expansion du ransomware : c’est l’apparition de moyens de paiement plus adaptés aux activités criminelles.

Les premiers ransomwares utilisaient chèques, virements ou paiements postaux, mais ces méthodes présentent cependant plusieurs problèmes, tout d’abord la traçabilité, ensuite la lenteur d’exécution et enfin la difficulté de traitement à l’international.

Les cybercriminels adoptent progressivement les cartes prépayées, services de paiement anonymisés et autre monnaie électronique et ces solutions facilitent largement l’industrialisation du modèle.

L’arrivée du chiffrement comme arme principale

Le véritable changement stratégique intervient lorsque les attaquants comprennent qu’un simple verrouillage du système n’est pas suffisant.

Une victime peut souvent contourner le blocage :

• restauration du système
• suppression du malware
• intervention technique

Le chiffrement des fichiers représente une évolution beaucoup plus efficace et l’idée devient :

Même si vous supprimez le malware, vos données resteront inaccessibles.

Les premiers ransomwares utilisant réellement le chiffrement

À partir de la fin des années 2000, plusieurs familles commencent à utiliser des mécanismes cryptographiques.

Les ransomwares évoluent progressivement vers :

• chiffrement de documents
• chiffrement d’archives
• chiffrement de bases de données

Cependant, les techniques restent encore limitées et les attaquants utilisent souvent :

• des algorithmes faibles
• des clés stockées localement
• des implémentations incorrectes

Les chercheurs en sécurité parviennent régulièrement à créer des outils de récupération.

Les premières familles importantes

Plusieurs familles marquent cette période.

1- Gpcode

Apparu dès 2004 et évoluant ensuite dans les années suivantes, Gpcode est l’une des premières familles à expérimenter un véritable chiffrement de fichiers.

Ses différentes variantes utilisent notamment RSA et AES.

Certaines versions utilisent même des clés suffisamment longues pour rendre la récupération impossible sans la clé privée.

2- Archiveus

Apparu en 2006, Archiveus représente une étape intéressante.

Le ransomware chiffre certains fichiers puis demande à la victime d’effectuer un achat spécifique afin d’obtenir la récupération.

L’approche montre déjà une volonté d’utiliser l’extorsion économique.

3- WinLock

Apparu autour de 2010, WinLock popularise le principe du verrouillage d’écran.

Il affiche des images pornographiques ou illégales afin de renforcer la pression psychologique.

La victime doit payer pour supprimer le blocage.

4- Reveton : la généralisation du ransomware policier

L’une des familles les plus importantes de cette période est : Reveton.

Apparu vers 2011, Reveton marque un tournant et perfectionne considérablement le modèle du ransomware de verrouillage.

4.1 Fonctionnement

Après infection :

• l’écran est bloqué
• une fausse notification policière apparaît
• l’adresse IP de la victime est affichée
• une accusation est formulée
• une amende est demandée

Le message est adapté au pays de la victime.

Par exemple :

• police française
• FBI américain
• police britannique

4.2 Une approche presque commerciale

Reveton démontre une évolution importante.

Les attaquants ne développent plus seulement un malware.

Ils développent une véritable expérience utilisateur criminelle :

• adaptation linguistique
• personnalisation géographique
• optimisation du taux de paiement

Cette approche préfigure les pratiques des groupes ransomware modernes.

L’essor des kits criminels

Une autre évolution majeure apparaît durant cette période : la commercialisation des outils d’attaque.

Les cybercriminels commencent à vendre :

• des kits d’exploitation
• des générateurs de malware
• des infrastructures de diffusion

Des plateformes clandestines permettent à des acteurs moins expérimentés de lancer leurs propres campagnes.

C’est la naissance progressive du : Crime-as-a-Service.

Les exploit kits : ou comment automatiser l’infection

Les exploit kits deviennent particulièrement importants.

Ils permettent d’exploiter automatiquement des vulnérabilités lorsqu’un utilisateur visite une page web compromise.

Le fonctionnement :

1. L’utilisateur visite un site infecté.
2. Le kit identifie son navigateur et son système.
3. Il recherche une vulnérabilité exploitable.
4. Il installe automatiquement un malware.

Les familles comme :

• BlackHole Exploit Kit
• Angler
• Nuclear Exploit Kit

joueront un rôle majeur dans la diffusion des malwares.

La convergence entre cybercrime et publicité malveillante

Une partie importante des infections provient également du malvertising, le principe :

• achat d’espaces publicitaires légitimes
• insertion d’un contenu malveillant
• redirection vers un exploit kit

Les victimes peuvent être infectées simplement en consultant un site populaire.

L’arrivée des premiers marchés criminels structurés

Durant cette période, les forums clandestins deviennent de véritables marchés.

On y échange :

• malware
• accès compromis
• comptes volés
• infrastructures

La cybercriminalité commence à adopter une logique industrielle, les compétences deviennent séparées et un acteur peut alors être spécialisé dans :

• le développement
• la diffusion
• la collecte d’argent

Les limites du modèle avant 2013

Malgré ces progrès, les ransomwares restent encore loin de leur forme actuelle.

Plusieurs obstacles subsistent.

1- Problème du paiement

Les attaquants doivent encore gérer la réception de l’argent, leur anonymisation ainsi que la conversion dans une monnaie utilisable.

2- Difficulté de diffusion

Les campagnes nécessitent souvent de nombreuses victimes, beaucoup de spam et une infrastructure importante.

3- Faiblesse technique

Beaucoup de ransomwares présentent des erreurs cryptographiques, des clés « facilement » récupérables ou encore des implémentations défectueuses.

4- Manque de ciblage

Les victimes sont principalement des particuliers et des petites entreprises.
Les grandes organisations ne sont pas encore la cible principale.

Une période charnière

La période 2005-2013 constitue une étape essentielle.

Le ransomware passe progressivement et d’un simple outil de nuisance on passe à un véritable mécanisme d’extorsion numérique.

Plusieurs éléments fondamentaux apparaissent :

• exploitation psychologique
• recherche du profit
• utilisation du chiffrement
• adaptation aux victimes
• professionnalisation des infrastructures

Toutes les briques nécessaires au ransomware moderne sont désormais présentes, mais il manque cependant encore un élément décisif : un moyen de paiement parfaitement adapté aux criminels et permettant des opérations internationales à grande échelle.

Cet élément arrive avec l’explosion des cryptomonnaies.

À retenir

• Entre 2005 et 2013, le ransomware devient progressivement une activité criminelle rentable.
• Les ransomwares de verrouillage remplacent les premières expérimentations.
• Les faux messages policiers exploitent efficacement la peur des victimes.
• Le chiffrement commence à devenir l’arme principale des attaquants.
• Les exploit kits et les marchés clandestins accélèrent la diffusion des malwares.
• Le modèle économique du ransomware moderne commence à se construire.
• L’arrivée du Bitcoin va permettre une véritable explosion du phénomène.

---

IV- 2013-2017 : CryptoLocker et la révolution du chiffrement criminel

Il existe un avant et un après CryptoLocker. Ce malware n’a pas inventé le ransomware, mais il a démontré qu’il pouvait devenir une industrie mondiale extrêmement rentable.

Une rupture dans l’histoire du ransomware

L’année 2013 constitue un véritable tournant dans l’histoire de la cybercriminalité.

Jusqu’alors, les ransomwares représentaient une menace réelle mais encore relativement limitée. Les campagnes étaient souvent opportunistes, les mécanismes de chiffrement imparfaits et les paiements compliqués à récupérer.

Avec l’apparition de CryptoLocker, tous ces freins disparaissent progressivement et pour la première fois, un ransomware combine avec succès :

• un chiffrement cryptographiquement robuste
• une diffusion massive à l’échelle mondiale
• un paiement simple grâce au Bitcoin
• une infrastructure de commande centralisée
• un modèle économique reproductible

CryptoLocker démontre qu’il est possible de générer des millions de dollars en quelques mois seulement.

Son succès inspire rapidement de nombreux imitateurs et le ransomware entre alors dans une nouvelle ère.

Le contexte technologique de 2013

Plusieurs évolutions convergent à cette période.

1- Les entreprises deviennent entièrement numériques

En quelques années, les organisations ont profondément changé leur fonctionnement. La majorité des activités repose désormais sur :

• des serveurs Windows
• des infrastructures Active Directory
• des fichiers bureautiques
• des ERP
• des bases de données
• des serveurs de fichiers

Une perte de données peut désormais interrompre totalement une activité.

2- Le Bitcoin devient exploitable

Créé en 2009, le Bitcoin commence réellement à être adopté quelques années plus tard.

Pour les cybercriminels, il résout un problème majeur : comment recevoir de l’argent partout dans le monde sans utiliser le système bancaire traditionnel ?

Les avantages sont considérables :

• paiement international
• rapidité
• faible coût
• pseudonymat
• automatisation

Même si les transactions restent traçables sur la blockchain, le Bitcoin constitue alors une révolution pour les activités criminelles.

3- Les botnets atteignent leur maturité

Les réseaux de machines compromises permettent désormais de diffuser automatiquement des millions de courriels frauduleux.

Les opérateurs disposent déjà d’une infrastructure mondiale à laquelle il suffit désormais d’y ajouter un ransomware.

CryptoLocker : le premier ransomware moderne

Découvert en septembre 2013, CryptoLocker est généralement considéré comme le premier ransomware moderne.

Il est principalement diffusé par le botnet Gameover Zeus, lui-même dérivé du célèbre cheval de Troie bancaire Zeus.

Cette association est importante. Elle montre que les cybercriminels réutilisent des infrastructures déjà existantes plutôt que de repartir de zéro.

Le ransomware devient une nouvelle « charge utile » parmi d’autres.

Une diffusion massive

CryptoLocker est principalement distribué via :

• campagnes de phishing
• pièces jointes ZIP
• faux courriers de livraison
• fausses factures
• notifications administratives

Les pièces jointes contiennent généralement un exécutable déguisé, et une fois ouvert :

• le malware contacte son infrastructure
• récupère une clé publique
• commence immédiatement le chiffrement

Un chiffrement enfin robuste

Contrairement à de nombreux ransomwares précédents, CryptoLocker utilise correctement la cryptographie.

Le fonctionnement est particulièrement sophistiqué pour l’époque.

Étape 1 : génération des clés

Le serveur génère une paire de clés RSA.

La clé publique est transmise à la victime.

La clé privée reste uniquement sur l’infrastructure criminelle.

Étape 2 : chiffrement local

Le ransomware chiffre :

• documents Office
• PDF
• images
• archives
• bases de données
• fichiers de développement
• sauvegardes locales

Plus de 70 extensions sont ciblées.

Étape 3 : impossibilité de récupérer les données

La clé privée n’étant jamais présente sur la machine, supprimer le malware ne permet pas de restaurer les fichiers.

Pour la première fois, les chercheurs ne disposent plus d’une faiblesse cryptographique exploitable.

Le paiement apparaît alors comme la seule solution pour de nombreuses victimes.

Une communication très professionnelle

CryptoLocker introduit également un changement dans la manière de communiquer avec les victimes, en effet, le logiciel affiche :

• un compte à rebours
• les moyens de paiement acceptés
• des explications détaillées
• une interface relativement soignée

Le message est clair :

Vos fichiers ont été chiffrés. Vous disposez de 72 heures pour payer. Passé ce délai, la clé sera détruite.

Même si cette menace n’était pas toujours appliquée, elle créait un fort sentiment d’urgence.

Le rôle psychologique du compte à rebours

Le timer constitue une innovation majeure.

Les cybercriminels exploitent plusieurs biais cognitifs :

1. La rareté
   • Le temps est limité.
2. L’urgence
   • La victime pense devoir agir immédiatement.
3. Le stress
   • Le manque de temps réduit la capacité de réflexion.
4. La pression émotionnelle
   • Les victimes craignent de perdre définitivement leurs souvenirs ou leurs données professionnelles.

Aujourd’hui encore, la quasi-totalité des ransomwares utilisent ces principes.

Une campagne extrêmement rentable

Les estimations varient, mais CryptoLocker aurait généré plusieurs dizaines de millions de dollars en quelques mois.

Ce succès repose sur plusieurs éléments :

• diffusion mondiale
• faible coût d’exploitation
• automatisation complète
• paiement simple

Pour les cybercriminels, le modèle économique est validé.

L’opération Tovar : la réponse internationale

Face à l’ampleur de la menace, une vaste opération internationale est lancée en 2014.

Connue sous le nom d’Operation Tovar, elle réunit :

• forces de l’ordre
• chercheurs en cybersécurité
• fournisseurs de services Internet
• entreprises de sécurit

L’objectif est double, à la fois démanteler Gameover Zeus, mais également neutraliser CryptoLocker.

L’opération permet de perturber durablement l’infrastructure criminelle et d’aider certaines victimes à récupérer leurs données.

Elle démontre également que la lutte contre les ransomwares nécessite une coopération internationale.

Les héritiers de CryptoLocker

Le succès de CryptoLocker déclenche une véritable explosion.

De nombreuses familles apparaissent entre 2014 et 2017.

1- CryptoWall

CryptoWall améliore encore :

• la furtivité
• les communications via Tor
• la robustesse du chiffrement

Il devient l’un des ransomwares les plus répandus de son époque.

2- CTB-Locker

CTB-Locker innove en utilisant :

• la cryptographie sur courbes elliptiques (ECC)
• des communications anonymisées via Tor

Il démontre que les auteurs maîtrisent des concepts cryptographiques avancés.

3- TeslaCrypt

Initialement spécialisé dans le chiffrement des sauvegardes de jeux vidéo, TeslaCrypt élargit progressivement ses cibles.

En 2016, ses développeurs ferment le projet et publient de manière inattendue la clé maître permettant aux victimes de récupérer leurs fichiers.

Ce cas reste relativement rare dans l’histoire des ransomwares.

4- Locky

Apparu en 2016, Locky marque une nouvelle étape.

Il est diffusé via d’importantes campagnes de spam reposant sur des documents Microsoft Office contenant des macros malveillantes.

Une fois les macros activées :

• téléchargement automatique
• chiffrement rapide
• propagation immédiate

Des centaines de milliers de machines sont touchées.

5- SamSam : le début du ransomware ciblé

Alors que la majorité des campagnes restent massives, une famille se distingue : SamSam.

Ses opérateurs abandonnent le modèle du spam massif et compromettent directement les entreprises.

Le déroulement est radicalement différent :

1. recherche de serveurs exposés
2. exploitation d’une vulnérabilité
3. compromission manuelle
4. élévation de privilèges
5. déplacement latéral
6. chiffrement coordonné

Cette approche préfigure les attaques modernes contre les grandes organisations.

L’évolution des techniques de propagation

Durant cette période, les ransomwares utilisent de nombreux vecteurs d’infection.

1. Phishing
   • Toujours dominant.
2. Exploit Kits
   • Angler, Nuclear et Neutrino permettent une infection automatique via le navigateur.
3. Macros Office
   • Les documents Word deviennent une arme redoutable.
4. Téléchargements frauduleux
   • Les faux logiciels et cracks servent également de vecteurs.
5. Vulnérabilités
   • Certaines familles commencent à exploiter directement des failles connues.

Les premières attaques contre les entreprises

Les groupes comprennent progressivement qu’une entreprise paiera davantage qu’un particulier.

Ils commencent alors à adapter leurs campagnes et les cibles deviennent :

• cabinets d’avocats
• établissements de santé
• PME
• collectivités locales

Les demandes de rançon augmentent, et on passe progressivement de quelques centaines d’euros à plusieurs dizaines de milliers.

Une professionnalisation visible

Entre 2013 et 2017, plusieurs changements majeurs apparaissent.

1. Support client, certains groupes proposent :
   • assistance technique
   • FAQ
   • guides de paiement Bitcoin
2. Traductions
   • Les notes de rançon existent en plusieurs langues.
3. Tableaux de bord
   • Les opérateurs suivent les infections en temps réel.
4. Gestion automatisée
   • Le paiement déclenche parfois automatiquement la livraison de la clé de déchiffrement.

Les défenseurs s’organisent

Face à cette montée en puissance, l’écosystème de la cybersécurité évolue lui aussi et de nombreuses initiatives voient le jour :

• outils de déchiffrement gratuits
• plateformes d’analyse de ransomwares
• partage de renseignements sur les menaces
• coopération internationale

Les CERT nationaux, les éditeurs de sécurité et les forces de l’ordre renforcent également leurs échanges pour mieux suivre les campagnes et identifier les infrastructures criminelles.

Les limites de cette génération

Malgré leurs avancées, les ransomwares de cette période présentent encore plusieurs caractéristiques qui évolueront ensuite :

• ils ciblent principalement les postes de travail plutôt que l’ensemble du système d’information
• l’exfiltration de données reste rare
• les montants demandés sont encore modestes comparés aux années suivantes
• les campagnes restent souvent automatisées et peu personnalisées

À partir de 2017, ces limites vont disparaître avec l’apparition des attaques ciblées contre les entreprises, la double extorsion et les groupes organisés opérant comme de véritables sociétés clandestines.

À retenir

• CryptoLocker marque le véritable début de l’ère moderne du ransomware.
• L’utilisation conjointe d’un chiffrement robuste et du Bitcoin rend le modèle économiquement viable.
• Les botnets permettent une diffusion mondiale à faible coût.
• Des familles comme CryptoWall, CTB-Locker, TeslaCrypt et Locky perfectionnent progressivement les techniques d’attaque.
• SamSam annonce une rupture majeure en ciblant directement les entreprises plutôt que les particuliers.
• La période 2013-2017 constitue la transition entre les campagnes de masse et les opérations de ransomware ciblées.

---

V- 2017-2020 : l’ère des ransomwares ciblés et de la double extorsion

À partir de 2017, le ransomware cesse progressivement d’être un simple malware qui chiffre des fichiers. Il devient une opération criminelle complète, capable de prendre en otage une organisation entière.

2017 : l’année qui change définitivement le paysage

L’année 2017 constitue probablement l’un des moments les plus importants de l’histoire de la cybersécurité.

En quelques mois, deux événements vont démontrer que les logiciels de chiffrement peuvent provoquer des perturbations dépassant largement le cadre d’un simple ordinateur infecté :

• WannaCry
• NotPetya

Ces deux campagnes sont très différentes dans leurs objectifs et leur fonctionnement, mais elles ont un point commun : elles démontrent la capacité d’un logiciel malveillant à se propager rapidement à travers des réseaux entiers.

Le ransomware n’est désormais plus seulement une menace pour les fichiers d’un utilisateur mais il devient une menace pour les infrastructures informatiques dans leur ensemble.

WannaCry : quand le ransomware devient mondial

Le 12 mai 2017, une campagne informatique d’une ampleur exceptionnelle commence à toucher des organisations dans plusieurs dizaines de pays.

Le malware est rapidement baptisé WannaCry.

Son fonctionnement repose notamment sur l’exploitation d’une vulnérabilité du protocole SMB de Windows.

La faille, référencée CVE-2017-0144, permet une propagation automatisée entre systèmes vulnérables.

L’exploit utilisé est connu sous le nom d’EternalBlue.

Une vulnérabilité déjà corrigée

Le point particulièrement important est que Microsoft avait publié un correctif avant l’apparition de WannaCry.

Le problème réside donc moins dans l’absence de correctif que dans :

• les systèmes non mis à jour
• les machines anciennes
• les environnements difficiles à maintenir
• les réseaux insuffisamment segmentés

WannaCry démontre ainsi une réalité fondamentale : une vulnérabilité corrigée reste dangereuse tant que des systèmes vulnérables existent encore.

Une propagation automatique

Contrairement aux ransomwares ciblés modernes, WannaCry possède un comportement de type ver informatique, c’est à dire qu’une machine infectée recherche automatiquement d’autres systèmes vulnérables.

Le malware peut ainsi se propager :

      Machine compromise
              ↓
Recherche de systèmes vulnérables
              ↓
       Exploitation SMB
              ↓
      Nouvelle infection
              ↓
      Nouvelle propagation

Cette capacité provoque une croissance extrêmement rapide du nombre de machines touchées.

Le « kill switch »

Un chercheur en cybersécurité découvre rapidement que WannaCry tente de contacter un domaine Internet particulier.

L’enregistrement de ce domaine permet de déclencher un mécanisme d’arrêt prévu dans le malware et cette découverte ralentit considérablement la propagation.

Mais le dommage est déjà considérable.

Des milliers d’organisations touchées

WannaCry affecte notamment :

• entreprises
• universités
• opérateurs télécoms
• administrations
• hôpitaux

Le National Health Service britannique (NHS) est particulièrement touché.

Des rendez-vous et interventions sont annulés, certains services deviennent indisponibles.

Le ransomware démontre alors qu’une attaque informatique peut avoir des conséquences directement opérationnelles, voire humaines.

WannaCry : un ransomware atypique

Malgré son impact mondial, WannaCry n’est pas nécessairement représentatif du ransomware moderne.

Il possède des caractéristiques particulières :

• propagation automatique
• exploitation d’une vulnérabilité réseau
• faible sophistication de la négociation
• demandes de rançon relativement faibles

Son importance historique vient surtout de sa capacité de propagation.

NotPetya : quand le ransomware devient une arme de destruction

Quelques semaines plus tard, une nouvelle campagne frappe l’Ukraine avant de se propager internationalement.

Elle est connue sous le nom : NotPetya.

Initialement présenté comme un ransomware, NotPetya est rapidement identifié comme un malware destructeur.

Une différence fondamentale

Un ransomware classique cherche à chiffrer les données afin de demander une rançon.

NotPetya vise principalement à rendre les systèmes irrécupérables.

Les mécanismes utilisés rendent la récupération extrêmement difficile, voire impossible.

Le paiement n’est donc manifestement pas réellement l’objectif principal.

Une attaque à dimension géopolitique

NotPetya est largement considéré comme une opération ayant une dimension géopolitique majeure.

La campagne cible initialement des organisations ukrainiennes avant de se propager à des entreprises internationales.

Parmi les organisations fortement affectées figurent notamment :

• Maersk
• Merck
• FedEx/TNT
• Saint-Gobain

Les pertes économiques se chiffrent en milliards de dollars.

Maersk : un exemple emblématique

Le groupe maritime Maersk subit des perturbations considérables, une grande partie de son infrastructure informatique est paralysée.

L’entreprise doit reconstruire une partie importante de son environnement informatique.

Cette attaque démontre une nouvelle réalité : une attaque informatique peut interrompre une chaîne logistique mondiale.

Le ransomware n’est plus seulement une menace informatique, il devient une menace économique.

La leçon de 2017

WannaCry et NotPetya montrent deux choses essentielles :

• WannaCry
  • Une vulnérabilité peut permettre à un ransomware de se propager automatiquement.
• NotPetya
  • Un malware présenté comme un ransomware peut être utilisé comme outil de destruction stratégique.

Cette distinction entre cybercriminalité et cyber-guerre devient progressivement plus difficile à établir.

2018-2019 : le retour aux attaques ciblées

Après les campagnes massives de 2017, les groupes criminels adoptent progressivement une approche plus rentable.

Ils abandonnent :

• les campagnes massives
• les demandes de quelques centaines d’euros
• le ciblage indiscriminé

Ils privilégient quelques victimes très rentables.

SamSam : le modèle précurseur

Déjà actif avant 2017, SamSam constitue l’un des meilleurs exemples de cette transition : les opérateurs compromettent directement les réseaux d’entreprises.

Ils peuvent passer plusieurs jours ou semaines dans l’environnement avant de déployer le ransomware.

Le ransomware devient une opération humaine

Cette évolution donne naissance au concept de Human-Operated Ransomware.

L’attaque n’est plus :

Un malware infecte automatiquement un ordinateur.

Mais elle devient :

Une équipe criminelle s’introduit dans une entreprise et prend progressivement le contrôle de son infrastructure.

Une nouvelle chaîne d’attaque

Une opération moderne peut suivre désormais :

      Accès initial
            ↓
     Reconnaissance
            ↓
  Élévation de privilèges
            ↓
Compromission Active Directory
            ↓
    Mouvement latéral
            ↓
      Vol de données
            ↓
Désactivation des protections
            ↓
       Chiffrement
            ↓
        Extorsion

Cette évolution est fondamentale.

Ryuk : l’industrialisation des attaques ciblées

Apparu en 2018, Ryuk devient rapidement l’un des ransomwares les plus redoutés.

Il se distingue notamment par :

• un ciblage des entreprises
• des demandes de rançon élevées
• des opérations manuelles
• une infrastructure criminelle structurée

Les victimes comprennent : entreprises, collectivités et infrastructures critiques.

Les montants explosent

Avec les attaques ciblées, les demandes de rançon changent d’échelle et les cybercriminels peuvent désormais demander :

• dizaines de milliers de dollars
• centaines de milliers
• voire millions

Pourquoi ?

Parce qu’ils ne demandent plus :

Combien vaut le fichier de cette victime ?

Ils demandent :

Combien vaut l’arrêt de cette entreprise ?

Cette distinction est fondamentale elle aussi.

Le ransomware devient une négociation commerciale

Les groupes criminels commencent à analyser leurs victimes.

Ils peuvent chercher à déterminer :

• chiffre d’affaires
• assurance cyber
• dépendance informatique
• criticité des systèmes
• capacité de paiement

Le montant demandé devient donc une variable économique.

Maze : une nouvelle révolution

En 2019 apparaît un groupe qui va profondément modifier le modèle économique : Maze.

Son innovation principale n’est pas le ransomware lui-même, mais il s’agit de la méthode d’extorsion.

La double extorsion

Avant Maze, le modèle classique est : chiffrement → paiement.

Maze ajoute : vol → chiffrement → menace de publication → paiement.

Avant de chiffrer les données, les opérateurs les exfiltrent.

La victime est alors confrontée à deux menaces :

• Première menace
  • Ses systèmes restent indisponibles.
• Deuxième menace
  • Ses données confidentielles peuvent être publiées.

Pourquoi la double extorsion est si efficace

Les sauvegardes constituent l’une des principales défenses contre les ransomwares.

Une entreprise disposant de bonnes sauvegardes peut théoriquement :

• restaurer ses serveurs
• récupérer ses données
• refuser de payer

Maze contourne cette défense car même si l’entreprise restaure ses systèmes, elle doit désormais répondre à une autre question :

Que faire des données volées ?

Les données deviennent une arme

Les informations exfiltrées peuvent contenir :

• contrats
• fichiers RH
• données clients
• informations financières
• secrets industriels
• communications internes

La valeur de ces données ne réside donc plus seulement dans leur utilisation par l’entreprise.

Elles deviennent un levier d’extorsion.

Les premiers sites de fuite

Maze développe également un mécanisme de pression publique.

Les victimes refusant de payer peuvent voir leurs données publiées sur un site contrôlé par les attaquants, et cette pratique deviendra rapidement standard dans l’industrie.

Une nouvelle économie de la réputation

Les groupes ransomware comprennent quelque chose d’essentiel : la pression publique peut être aussi efficace que la pression technique.

Une organisation peut craindre :

• les sanctions réglementaires
• les poursuites
• la perte de clients
• la réputation
• la divulgation de secrets commerciaux

Le ransomware entre donc dans une nouvelle dimension : l’extorsion réputationnelle.

L’effet domino

Le succès de Maze est rapidement observé par les autres groupes.

D’autres acteurs adoptent le même modèle et la double extorsion devient progressivement une norme.

Parmi les groupes ayant utilisé ou popularisé différentes formes de cette stratégie figurent notamment :

• Sodinokibi/REvil
• DoppelPaymer
• Conti
• NetWalker
• Clop

Le ransomware devient une industrie

À la fin de 2020, l’écosystème est profondément transformé.

Une attaque peut désormais impliquer :

1. Initial Access Broker
   • Obtient l’accès initial.
2. Développeur
   • Maintient le ransomware.
3. Affilié
   • Réalise l’intrusion.
4. Exfiltrateur
   • Organise le vol des données.
5. Négociateur
   • Discute avec la victime.
6. Blanchisseur
   • Transforme les cryptomonnaies en actifs utilisables.

Cette spécialisation constitue les fondations du modèle Ransomware-as-a-Service qui dominera la décennie suivante.

La professionnalisation des groupes

Les groupes commencent à adopter des pratiques proches de celles d’une entreprise et ils peuvent disposer de :

• programme d’affiliation
• système de support
• recrutement
• primes
• documentation
• procédures internes
• infrastructure de test

Certains groupes recrutent même des personnes possédant une expérience en administration système, pentest, développement et négociation commerciale.

La disparition de la frontière entre cybercrime et espionnage

Cette période démontre également que les motivations peuvent se mélanger.

Un groupe peut :

• voler des données
• espionner une organisation
• chiffrer son infrastructure
• extorquer de l’argent

La frontière entre : vol → espionnage → sabotage → extorsion devient de plus en plus floue.

Une transformation fondamentale

Entre 2017 et 2020, le ransomware passe donc par trois grandes étapes.

• 2017 : Propagation massive
  • WannaCry et NotPetya démontrent la puissance des attaques automatisées.
• 2018-2019 : Attaques ciblées
  • Les groupes recherchent des victimes beaucoup plus rentables.
• 2019-2020 : Double extorsion
  • Les données volées deviennent un second moyen de pression.

Cette évolution prépare directement l’explosion du Ransomware-as-a-Service.

Chronologie synthétique

Année	Événement	Importance
2017	WannaCry	Propagation mondiale automatisée
2017	NotPetya	Ransomware utilisé comme outil destructeur
2018	Ryuk	Montée en puissance des attaques ciblées
2018-2019	SamSam	Généralisation des opérations manuelles
2019	Maze	Popularisation de la double extorsion
2020	Multiplication des sites de fuite	Pression publique systématisée
2020	RaaS	Industrialisation du modèle criminel

Une nouvelle ère commence

À la fin de 2020, le ransomware n’est plus simplement un malware.

Il est devenu une chaîne de valeur criminelle complète.

Un groupe n’a plus besoin de maîtriser toutes les compétences nécessaires à une attaque.

Il peut :

• acheter un accès
• louer une infrastructure
• utiliser un ransomware développé par un autre acteur
• recruter un affilié
• externaliser la négociation
• blanchir les revenus via des intermédiaires

C’est cette spécialisation qui va permettre une croissance sans précédent du phénomène.

À retenir

• WannaCry démontre qu’un ransomware peut se comporter comme un ver et infecter rapidement des réseaux entiers.
• NotPetya montre que le ransomware peut également servir de couverture à une opération destructrice.
• Les groupes abandonnent progressivement les campagnes purement automatisées au profit d’intrusions ciblées.
• Les montants des rançons explosent avec le ciblage des entreprises.
• Maze popularise la double extorsion : vol des données puis chiffrement.
• Les données deviennent un deuxième levier de pression.
• À partir de 2020, l’écosystème est suffisamment mature pour fonctionner selon le modèle Ransomware-as-a-Service.

---

VI- 2020-2023 : l’explosion du Ransomware-as-a-Service

Le ransomware devient véritablement une industrie lorsqu’il n’est plus nécessaire de savoir développer un malware pour pouvoir en exploiter un.

Une nouvelle étape dans l’industrialisation du cybercrime

À partir de 2020, le ransomware change une nouvelle fois de dimension.

Les années précédentes avaient permis de mettre en place les principaux éléments du modèle moderne :

• attaques ciblées
• chiffrement robuste
• cryptomonnaies
• vol de données
• double extorsion
• négociation avec les victimes
• sites de fuite

Il manque toutefois encore un élément pour transformer cet écosystème en véritable industrie : la séparation entre ceux qui développent le ransomware et ceux qui réalisent les attaques.

C’est précisément ce que permet le modèle Ransomware-as-a-Service, ou RaaS.

Le principe du Ransomware-as-a-Service

Le concept est relativement simple : un groupe criminel développe et maintient une plateforme ransomware.

Il fournit ensuite aux affiliés :

• le logiciel de chiffrement
• les outils nécessaires aux opérations
• une infrastructure de gestion
• des interfaces permettant de suivre les victimes
• un système de négociation
• un site de fuite
• parfois un support technique

L’affilié, quant à lui, apporte principalement :

• ses compétences
• ses accès
• ses victimes
• sa capacité à pénétrer les réseaux

Les revenus sont ensuite partagés.

Une organisation comparable à une entreprise SaaS

Le modèle RaaS reproduit de nombreux mécanismes que l’on retrouve dans l’économie légitime du logiciel.

On retrouve notamment :

Entreprise légitime	Écosystème RaaS
Développeur logiciel	Développeur ransomware
Client	Affilié
SaaS	Ransomware-as-a-Service
Support technique	Support criminel
Tableau de bord	Panel d’administration
Partage de revenus	Partage de rançon
Programme partenaire	Programme d’affiliation
Marketing	Recrutement sur forums clandestins

La comparaison doit évidemment être maniée avec prudence : les activités sont criminelles et les infrastructures servent à l’extorsion.

Mais sur le plan organisationnel, la logique de spécialisation est remarquablement similaire.

Pourquoi le RaaS change tout

Avant le RaaS, un cybercriminel souhaitant lancer une campagne ransomware devait maîtriser une grande partie de la chaîne :

• développement du malware
• chiffrement
• infrastructure
• diffusion
• gestion des victimes
• paiement

Le modèle RaaS élimine cette nécessité.

Un acteur compétent en intrusion peut désormais devenir affilié sans avoir à développer son propre ransomware, et inversement, le développeur du ransomware peut se concentrer sur son logiciel sans devoir pénétrer lui-même chaque entreprise.

Cette séparation augmente considérablement le nombre d’acteurs capables de mener des attaques.

La spécialisation des rôles

L’écosystème ransomware de 2020-2023 repose sur une division du travail extrêmement poussée.

1- Les opérateurs

Ils développent et administrent l’infrastructure principale.

Leur responsabilité comprend notamment :

• développement du ransomware
• gestion des serveurs
• maintenance des plateformes
• recrutement des affiliés
• gestion financière

2- Les affiliés

Ils réalisent les opérations contre les victimes.

Ils peuvent être spécialisés dans :

• compromission initiale
• Active Directory
• environnements cloud
• infrastructures VMware
• exfiltration

3- Les Initial Access Brokers

Ils vendent des accès déjà compromis.

Cette spécialisation devient particulièrement importante car l’affilié peut ainsi commencer son opération directement depuis un accès existant.

4- Les spécialistes de l’exfiltration

Certaines personnes se concentrent principalement sur la recherche de données sensibles, leur extraction et enfin le transfert vers des infrastructures contrôlées.

5- Les négociateurs

Ils communiquent avec les victimes.

Leur rôle peut inclure :

• détermination du montant
• discussion des délais
• présentation de preuves
• négociation de remises

6- Les blanchisseurs

Après le paiement, les cryptomonnaies doivent être déplacées et converties.

Cette étape implique parfois :

• mélangeurs
• échanges clandestins
• intermédiaires
• sociétés écrans

Le partage des revenus

Les modèles de rémunération varient selon les groupes.

Un schéma fréquent consiste à laisser une part importante de la rançon à l’affilié et à reverser le reste aux opérateurs.

L’objectif est simple : rendre l’activité suffisamment rentable pour attirer les meilleurs affiliés.

Les groupes se retrouvent donc en concurrence et cherchent à proposer :

• les meilleurs outils
• les meilleurs taux de commission
• les meilleures protections
• les infrastructures les plus fiables

Le recrutement devient un enjeu majeur

Les opérateurs RaaS doivent attirer des affiliés compétents.

Les forums clandestins peuvent donc contenir des annonces ressemblant à de véritables offres d’emploi.

Les critères recherchés peuvent comprendre :

• expérience en intrusion
• maîtrise d’Active Directory
• expérience en pentest
• accès à des entreprises
• capacité à exfiltrer des volumes importants

Certains groupes vont jusqu’à proposer des bonus de recrutement.

Une concurrence entre groupes criminels

L’industrie ransomware devient progressivement concurrentielle.

Un affilié peut potentiellement choisir entre plusieurs opérateurs, alors les groupes doivent donc maintenir leur réputation.

Un ransomware qui :

• tombe fréquemment en panne
• ne fonctionne pas correctement
• ne protège pas ses affiliés
• attire trop l’attention des forces de l’ordre

risque de perdre ses partenaires.

La réputation devient donc une véritable ressource criminelle.

Les forums clandestins comme marché du travail

Les forums spécialisés jouent un rôle important.

Ils servent notamment à :

• recruter
• vendre des accès
• proposer des outils
• négocier des partenariats

On y retrouve parfois des systèmes de réputation.

Un acteur ayant une longue expérience et de bonnes évaluations peut avoir davantage de facilité à trouver des partenaires.

2020 : l’année de la généralisation de la double extorsion

Le RaaS se développe dans un contexte où la double extorsion devient progressivement la norme.

Le modèle est désormais :

         Compromission
               ↓
         Reconnaissance
               ↓
        Vol des données
               ↓
          Chiffrement
               ↓
Publication sur un site de fuite
               ↓
          Négociation
               ↓
           Paiement

Le chiffrement n’est plus nécessairement l’objectif principal, mais devient un élément parmi plusieurs leviers de pression.

Les sites de fuite deviennent une arme commerciale

Les groupes RaaS utilisent leurs sites de fuite comme de véritables vitrines et y publient :

• noms des victimes
• logos
• extraits de fichiers
• statistiques
• comptes à rebours

L’objectif est double :

1. Pression sur la victime
   • Montrer que la menace est réelle.
2. Publicité criminelle
   • Démontrer aux futurs affiliés que le groupe est actif et capable de générer des revenus.

Le phénomène Conti

Parmi les groupes ayant le plus marqué cette période figure Conti.

Actif à partir de 2020, Conti devient rapidement l’un des écosystèmes ransomware les plus importants.

Son organisation particulièrement structurée illustre parfaitement le passage du cybercrime artisanal à une véritable entreprise criminelle.

Conti comme modèle organisationnel

L’écosystème Conti fonctionne avec :

• développeurs
• administrateurs
• affiliés
• négociateurs
• spécialistes de l’intrusion

Des informations révélées ultérieurement ont permis de mieux comprendre son fonctionnement interne.

Le groupe dispose notamment de processus de recrutement et d’une hiérarchie relativement structurée.

Une entreprise criminelle à grande échelle

Conti démontre qu’un groupe ransomware peut :

• recruter en permanence
• gérer plusieurs opérations simultanément
• développer plusieurs outils
• maintenir une infrastructure importante
• négocier avec de nombreuses victimes

Le ransomware atteint alors un niveau d’industrialisation sans précédent.

REvil / Sodinokibi

Un autre acteur majeur de cette période est :

REvil, également connu sous le nom de Sodinokibi.

Le groupe se distingue notamment par :

• son modèle d’affiliation
• ses attaques contre de grandes organisations
• ses demandes de rançons élevées
• ses capacités d’extorsion

REvil participe largement à la popularisation du modèle RaaS.

DarkSide et l’affaire Colonial Pipeline

En mai 2021, une attaque contre Colonial Pipeline provoque l’une des crises cyber les plus médiatisées de la période.

Le groupe DarkSide est responsable du ransomware.

L’entreprise exploite un important réseau de pipelines transportant des produits pétroliers aux États-Unis.

À la suite de l’attaque, Colonial Pipeline suspend une partie de ses opérations.

Pourquoi Colonial Pipeline est devenu un événement historique

L’attaque démontre qu’un ransomware peut avoir des conséquences dépassant largement le domaine informatique.

Une attaque contre des serveurs, systèmes administratifs ou des infrastructures de gestion peut entraîner des perturbations physiques et économiques.

L’événement provoque l’inquiétude du gouvernement américain, des tensions sur l’approvisionnement et une couverture médiatique mondiale.

Le ransomware devient alors une question de sécurité nationale.

La fermeture de DarkSide

Sous la pression internationale qui suit l’attaque, l’infrastructure de DarkSide est perturbée.

Le groupe annonce ensuite sa fermeture, mais cette disparition ne signifie pas la disparition des acteurs.

Les membres et affiliés peuvent se déplacer vers d’autres plateformes et c’est une caractéristique essentielle du modèle RaaS : l’organisation peut disparaître tandis que ses membres continuent leur activité ailleurs.

Le phénomène des « rebrands »

Le cybercrime ransomware fonctionne souvent selon un cycle :

   Création du groupe
           ↓
      Croissance
           ↓
        Succès
           ↓
  Attention médiatique
           ↓
   Pression policière
           ↓
Fermeture / démantèlement
           ↓
   Départ des affiliés
           ↓
     Nouveau groupe

Les mêmes acteurs peuvent parfois réapparaître sous une nouvelle identité.

Cette pratique complique considérablement l’attribution.

LockBit : le RaaS poussé à l’extrême

Durant cette période, LockBit devient progressivement l’un des acteurs les plus importants de l’écosystème ransomware.

Son succès repose largement sur :

• l’automatisation
• le recrutement d’affiliés
• son développement rapide
• son infrastructure robuste
• la forte pression exercée sur les victimes

Le groupe développe plusieurs générations de son ransomware.

LockBit 2.0

Lancée autour de 2021, cette génération marque une accélération.

Le groupe améliore :

• son infrastructure
• son programme d’affiliation
• ses outils
• ses capacités d’attaque

LockBit devient alors une véritable plateforme criminelle.

LockBit 3.0

En 2022, une nouvelle version apparaît.

Elle renforce encore le modèle économique.

Le groupe tente notamment d’attirer :

• chercheurs
• développeurs
• spécialistes de sécurité
• affiliés expérimentés

La frontière entre recrutement criminel et recrutement professionnel devient particulièrement visible.

La compétition pour les affiliés

Les grands groupes RaaS se livrent une véritable guerre commerciale en cherchant à offrir :

• des commissions attractives
• des ransomwares fiables
• des outils efficaces
• des infrastructures résilientes

Certains opérateurs utilisent même des programmes de « bug bounty » criminels.

L’objectif est d’améliorer leur malware avant qu’un concurrent ou un chercheur ne découvre une faiblesse.

Les ransomwares ciblent désormais l’ensemble du SI

Une évolution fondamentale se produit durant cette période.

Les attaquants ne cherchent plus uniquement les fichiers d’un ordinateur, ils cherchent à prendre le contrôle de l’environnement informatique.

Les cibles peuvent inclure :

• Active Directory
• contrôleurs de domaine
• serveurs de fichiers
• hyperviseurs
• sauvegardes
• infrastructures cloud
• outils de sécurité

L’objectif devient la maximisation de l’impact de l’attaque.

La virtualisation devient une cible stratégique

Les environnements VMware et autres plateformes de virtualisation deviennent particulièrement intéressants.

Une organisation peut héberger des dizaines voire des centaines de machines virtuelles sur quelques hyperviseurs.

Compromettre l’hyperviseur permet donc potentiellement de perturber une grande partie du système d’information.

Les groupes développent progressivement des capacités spécifiques pour cibler ces environnements.

Les sauvegardes deviennent une cible prioritaire

Les attaquants comprennent rapidement que les sauvegardes constituent le principal obstacle au paiement.

Ils cherchent donc à :

• identifier les sauvegardes
• supprimer les copies accessibles
• compromettre les comptes administrateurs
• chiffrer les systèmes de sauvegarde

La stratégie devient :

Ne laissez à la victime aucun moyen simple de revenir à une situation normale.

Cette évolution explique pourquoi la résilience ne peut plus reposer uniquement sur l’existence de sauvegardes.

L’extorsion sans chiffrement

À partir de cette période, certains groupes réalisent également qu’ils n’ont pas toujours besoin de chiffrer les systèmes car si suffisamment de données ont été volées, la menace de publication peut suffire.

Ce modèle est particulièrement intéressant pour les attaquants car il :

• réduit le risque technique
• accélère l’opération
• évite certaines protections anti-ransomware

L’extorsion devient alors indépendante du chiffrement.

Les entreprises de cyber-assurance deviennent des cibles indirectes

La généralisation des cyber-assurances influence également le marché.

Les cybercriminels cherchent à déterminer :

• si la victime est assurée
• quel niveau de couverture elle possède
• quelles procédures elle doit suivre

La présence d’une assurance peut parfois influencer les négociations, même si elle ne garantit évidemment pas le paiement d’une rançon.

Les courtiers d’accès deviennent indispensables

Le RaaS favorise également l’essor des Initial Access Brokers.

Un IAB peut obtenir :

• un accès VPN
• un compte privilégié
• un serveur compromis
• un environnement cloud

Puis le revendre à un affilié.

Le marché de l’accès initial devient alors une composante essentielle de l’économie ransomware.

La chaîne de valeur complète

En 2022, l’écosystème peut être représenté ainsi :

                    ┌────────────────────┐
                    │ Exploit / Phishing │
                    └─────────┬──────────┘
                              ↓
                    ┌────────────────────┐
                    │   Initial Access   │
                    │       Broker       │
                    └─────────┬──────────┘
                              ↓
                    ┌────────────────────┐
                    │ Affilié ransomware │
                    └─────────┬──────────┘
                              ↓
              ┌───────────────┴───────────────┐
              ↓                               ↓
        Exfiltration                      Chiffrement
              ↓                               ↓
              └───────────────┬───────────────┘
                              ↓
                    ┌────────────────────┐
                    │  Double extorsion  │
                    └─────────┬──────────┘
                              ↓
                    ┌────────────────────┐
                    │    Négociation     │
                    └─────────┬──────────┘
                              ↓
                    ┌────────────────────┐
                    │     Paiement       │
                    └─────────┬──────────┘
                              ↓
                    ┌────────────────────┐
                    │    Blanchiment     │
                    └────────────────────┘

Cette organisation démontre que le ransomware est devenu une véritable économie souterraine spécialisée.

2022 : la guerre en Ukraine et la fragmentation de l’écosystème

L’invasion de l’Ukraine par la Russie en février 2022 a des conséquences importantes sur le monde cybercriminel.

Plusieurs groupes prennent publiquement position.

Certains soutiennent :

• la Russie
• l’Ukraine
• ou aucune des deux parties

Cette politisation entraîne des tensions internes dont Conti constitue un exemple particulièrement important.

Après avoir affiché son soutien à la Russie, une fuite massive de données internes du groupe survient.

Les fuites internes : une source exceptionnelle de renseignement

Les données divulguées permettent aux chercheurs de mieux comprendre :

• les communications internes
• les hiérarchies
• les méthodes de recrutement
• les salaires
• les infrastructures
• les relations entre acteurs

Ces informations démontrent à quel point certaines organisations criminelles sont structurées.

La fin de certaines grandes organisations

2022 et 2023 sont également marquées par une fragmentation croissante.

Plusieurs grands groupes disparaissent, se divisent, changent de nom ou voient leurs affiliés partir, mais le nombre global d’acteurs ne diminue pas nécessairement. Au contraire, la disparition d’un groupe peut provoquer la naissance de plusieurs nouveaux groupes.

Pourquoi le RaaS est si résilient

Le modèle possède des caractéristiques fondamentales :

1. Décentralisation
   • Il n’existe pas forcément une seule organisation contrôlant toute la chaîne.
2. Spécialisation
   • Chaque acteur peut être remplacé.
3. Réutilisation des compétences
   • Un affilié peut changer d’opérateur.
4. Réutilisation des infrastructures criminelles
   • Les accès compromis peuvent être revendus.
5. Anonymisation
   • Les opérateurs utilisent plusieurs couches d’infrastructure et de cryptomonnaies.

Cette résilience explique pourquoi le démantèlement d’un groupe ne suffit généralement pas à éliminer la menace ransomware.

Une industrie devenue mature

En 2023, le modèle RaaS a atteint une maturité exceptionnelle.

Le ransomware moderne dispose désormais de presque toutes les caractéristiques d’une industrie, des fournisseurs, clients, intermédiaires, développeurs, infrastructures, marchés, concurrence, recrutement, partage de revenus, blanchiment.

Le véritable produit vendu n’est donc plus simplement un malware mais une capacité d’extorsion complète.

Une industrie qui ne cesse de se transformer

Entre 2020 et 2023, le ransomware passe définitivement du statut de famille de malware à celui de modèle criminel industriel.

Les groupes les plus importants ne vendent plus simplement un programme capable de chiffrer des fichiers.

Ils proposent une infrastructure complète permettant à des affiliés de transformer un accès informatique en opération d’extorsion.

Cette transformation constitue l’une des évolutions les plus importantes de l’histoire du cybercrime.

Mais elle entraîne également une conséquence majeure : plus l’industrie devient structurée, plus elle devient fragmentée.

À partir de 2023, les grands groupes historiques commencent à disparaître ou à se réorganiser, tandis qu’une multitude de nouveaux acteurs émergent. Certains abandonnent progressivement le chiffrement, d’autres se spécialisent dans l’exfiltration, d’autres encore se concentrent sur les environnements cloud ou les infrastructures de virtualisation.

La période 2023-2026 est donc celle de la fragmentation, de l’adaptation et de la diversification du modèle ransomware.

À retenir

• Le Ransomware-as-a-Service sépare les développeurs des opérateurs d’attaques.
• Les affiliés permettent aux groupes de multiplier les campagnes sans réaliser eux-mêmes toutes les intrusions.
• Les Initial Access Brokers transforment les accès compromis en marchandises.
• Conti, REvil, DarkSide et LockBit illustrent différentes étapes de cette industrialisation.
• Colonial Pipeline démontre que le ransomware peut devenir une question de sécurité nationale.
• Les hyperviseurs, Active Directory et systèmes de sauvegarde deviennent des cibles stratégiques.
• La double extorsion devient progressivement la norme.
• Certains groupes abandonnent même le chiffrement au profit de l’extorsion basée uniquement sur le vol de données.
• La disparition d’un groupe entraîne souvent une redistribution de ses affiliés plutôt qu’une disparition du phénomène.

---

VII- 2023-2026 : fragmentation des groupes, nouvelles stratégies et industrialisation avancée

La disparition d’un groupe de ransomware ne signifie plus nécessairement la disparition de ses opérateurs. Dans l’écosystème moderne, les individus, les compétences et les infrastructures circulent plus rapidement que les noms sous lesquels ils opèrent.

Une nouvelle phase de l’histoire du ransomware

À partir de 2023, l’écosystème ransomware entre dans une phase différente.

Les années précédentes avaient été dominées par quelques grandes marques criminelles :

• LockBit
• Conti
• REvil
• DarkSide
• BlackCat/ALPHV

Ces groupes avaient démontré la viabilité du modèle Ransomware-as-a-Service, mais ce modèle produit également sa propre fragilité.

Plus un groupe devient important :

• plus il attire l’attention des forces de l’ordre
• plus ses infrastructures sont surveillées
• plus ses affiliés deviennent identifiables
• plus ses développeurs deviennent des cibles
• plus les chercheurs étudient ses outils

Le résultat est paradoxal : plus l’organisation est efficace, plus elle devient difficile à maintenir secrète.

La fragmentation de l’écosystème

Le paysage ransomware de 2023-2026 est donc beaucoup moins concentré.

Au lieu de quelques groupes dominant l’ensemble du marché, on observe :

• multiplication des petits groupes
• apparition de nouveaux RaaS
• réapparition d’anciens opérateurs
• changement fréquent de noms
• déplacement des affiliés
• spécialisation des acteurs

Cette fragmentation rend l’attribution particulièrement complexe.

La chute de Conti : un modèle de ce qui attend les grands groupes

Le cas de Conti illustre parfaitement cette évolution.

Après plusieurs années d’activité et une importante pression internationale, l’organisation cesse progressivement ses opérations sous cette identité, mais ses membres ne disparaissent pas.

Une partie de l’écosystème se retrouve associée à de nouveaux groupes et projets, et on retrouve notamment des liens avec des familles et organisations telles que :

• Black Basta
• Royal
• Akira
• Quantum
• autres structures issues de la redistribution des affiliés

L’important n’est donc pas seulement de suivre les noms des groupes.

Il faut suivre les personnes, outils, infrastructures et relations.

La fermeture de REvil

REvil constitue un autre exemple important.

Le groupe connaît plusieurs périodes d’activité et de disparition.

Son infrastructure est perturbée après des opérations internationales et une pression croissante.

Certains membres et affiliés se réorientent ensuite vers d’autres écosystèmes.

Cette dynamique devient caractéristique du cybercrime moderne.

LockBit : l’un des derniers géants

Pendant longtemps, LockBit parvient à maintenir une position dominante.

Le groupe développe plusieurs versions de son ransomware et met en place une infrastructure particulièrement sophistiquée.

Il devient l’un des principaux fournisseurs RaaS du marché, mais son succès attire également une attention considérable.

Operation Cronos

En février 2024, une opération internationale baptisée Operation Cronos cible l’infrastructure de LockBit.

L’opération implique plusieurs services de police et organismes internationaux.

Les autorités parviennent notamment à :

• saisir des infrastructures
• perturber le portail du groupe
• obtenir des informations sur ses victimes
• identifier certains acteurs
• proposer des outils de récupération à certaines victimes

L’opération constitue l’un des coups les plus importants jamais portés à un groupe ransomware.

Mais LockBit ne disparaît pas immédiatement

L’un des enseignements majeurs de l’opération est précisément celui-ci : un démantèlement technique ne garantit pas la disparition d’un écosystème criminel.

Le groupe tente de revenir, de nouvelles infrastructures apparaissent et des communications sont relancées.

Cette résilience montre que les groupes ransomware ne sont pas uniquement des infrastructures informatiques.

Ils sont aussi constitués :

• d’individus
• de relations
• de compétences
• de capitaux
• de réputation

BlackCat / ALPHV : une autre démonstration de résilience

BlackCat, également connu sous le nom ALPHV, représente une autre génération importante de RaaS.

Le groupe se distingue notamment par :

• son architecture technique moderne
• ses capacités multiplateformes
• son modèle d’affiliation
• ses opérations contre de grandes organisations

L’attaque contre Change Healthcare

En février 2024, une attaque majeure contre Change Healthcare aux États-Unis provoque d’importantes perturbations dans le système de santé américain.

L’incident devient l’un des événements ransomware les plus importants de la période et démontre une nouvelle fois qu’une compromission informatique peut provoquer des conséquences dépassant largement l’organisation directement attaquée.

Les perturbations touchent notamment :

• traitements de paiements
• processus administratifs
• pharmacies
• prestataires de santé

L’importance de la concentration des infrastructures

Change Healthcare illustre un principe fondamental du risque cyber moderne : une organisation peut être un point de concentration critique.

Si une entreprise fournit un service utilisé par des milliers d’autres organisations, sa compromission peut produire un effet domino.

L’impact potentiel dépend donc non seulement de la taille de la victime, mais aussi de sa position dans l’écosystème économique.

La fin d’ALPHV

Peu après l’incident Change Healthcare, ALPHV connaît une nouvelle période de perturbation.

Le groupe disparaît progressivement de la scène sous cette identité, et une fois encore, les affiliés doivent rechercher de nouveaux partenaires.

Certains migrent vers d’autres RaaS, des groupes indépendants ou bien des modèles d’extorsion sans ransomware.

L’extorsion sans chiffrement devient un modèle à part entière

C’est l’une des évolutions les plus importantes de la période 2023-2026.

Certains groupes comprennent qu’il existe un problème avec le ransomware traditionnel : le chiffrement demande du temps et présente des risques.

Il faut :

• déployer le malware
• gérer les systèmes
• éviter les protections
• maintenir l’accès
• parfois fournir une clé fonctionnelle

À l’inverse, le vol de données peut suffire.

Le modèle « pure extortion »

Le schéma devient :

       Accès
         ↓
   Vol de données
         ↓
 Preuve de possession
         ↓
Menace de publication
         ↓
    Négociation
         ↓
     Paiement

Aucun chiffrement n’est nécessaire.

Clop et l’exploitation massive de vulnérabilités

Le groupe Clop illustre particulièrement bien cette évolution.

Plutôt que de dépendre uniquement d’un ransomware classique, ses opérations se concentrent largement sur l’exploitation de vulnérabilités dans des logiciels ou services largement utilisés.

L’objectif peut être de compromettre simultanément de nombreuses organisations.

MOVEit : une campagne emblématique

En 2023, une vulnérabilité critique affectant MOVEit Transfer permet à Clop de mener une campagne d’exploitation massive.

Le groupe exploite la vulnérabilité pour accéder aux données de nombreuses organisations utilisant le logiciel.

La campagne démontre une évolution majeure : au lieu de pénétrer une organisation à la fois, les attaquants cherchent une vulnérabilité commune à de nombreuses organisations.

Le concept de « mass exploitation »

Le modèle peut être représenté ainsi :

        Vulnérabilité
              ↓
   Logiciel largement déployé
              ↓
           Exploit
              ↓
─────────────────────────────
  ↓       ↓       ↓       ↓
Org A   Org B   Org C   Org D
─────────────────────────────
              ↓
         Exfiltration
              ↓
          Extorsion

L’économie de l’attaque change complètement, et un seul exploit peut générer des centaines de victimes potentielles.

L’importance croissante des fournisseurs

Cette évolution met en évidence une faiblesse majeure : la supply chain.

Une entreprise peut posséder une sécurité relativement solide tout en étant exposée à travers :

• fournisseur SaaS
• logiciel tiers
• prestataire informatique
• solution de transfert
• service cloud

Le ransomware s’intéresse donc de plus en plus aux fournisseurs capables de donner accès indirectement à de nombreuses victimes.

Les environnements cloud deviennent une nouvelle frontière

À mesure que les entreprises migrent vers le cloud, les attaquants adaptent leurs méthodes.

Les objectifs ne sont plus uniquement :

• postes Windows
• serveurs locaux
• Active Directory

Ils peuvent également rechercher :

• comptes cloud
• identités privilégiées
• clés API
• tokens
• espaces de stockage
• applications SaaS

L’identité devient le nouveau périmètre

Dans une infrastructure traditionnelle, le périmètre est principalement constitué du réseau.

Dans une architecture cloud moderne, l’identité devient une composante essentielle du périmètre.

Un compte disposant de privilèges suffisants peut permettre d’accéder à :

• fichiers
• applications
• données
• machines virtuelles
• services cloud

Le vol d’identifiants devient donc particulièrement stratégique.

Les attaques contre les hyperviseurs

Les ransomwares modernes continuent également d’évoluer vers les environnements de virtualisation.

Les attaquants ciblent notamment :

• VMware ESXi
• infrastructures de virtualisation
• systèmes de gestion centralisée

Pourquoi ? Parce qu’un hyperviseur peut héberger de nombreuses machines.

Un seul accès privilégié peut donc avoir un impact considérable.

Linux devient une cible plus importante

L’environnement ransomware n’est plus exclusivement centré sur Windows.

Les groupes développent également des capacités pour :

• Linux
• VMware
• NAS
• appliances
• environnements cloud

Cette évolution correspond directement à celle des infrastructures informatiques modernes.

Le ransomware multiplateforme

Les groupes les plus sophistiqués cherchent à disposer d’un arsenal capable de toucher à la fois Windows, Linux, VMware, les systèmes cloud et les NAS.

L’objectif est de maximiser la couverture de la victime.

Les techniques d’extorsion deviennent plus sophistiquées

La menace ne se limite plus à : « Nous avons chiffré vos fichiers« .

Les groupes peuvent menacer de divulguer :

• données personnelles
• informations médicales
• documents financiers
• contrats
• propriété intellectuelle
• correspondances internes
• données concernant des clients

La pression réglementaire

Les réglementations relatives à la protection des données augmentent également la pression exercée sur les victimes.

Une fuite peut entraîner :

• des obligations de notification
• des enquêtes
• des sanctions
• des actions en justice

Les attaquants exploitent parfois cette perspective dans leurs négociations.

Les données sensibles deviennent particulièrement recherchées

Toutes les données ne possèdent pas la même valeur.

Les cybercriminels peuvent privilégier :

1. Données financières
   • Factures, comptes, transactions.
2. Données RH
   • Salaires, contrats, informations personnelles.
3. Données médicales
   • Particulièrement sensibles.
4. Propriété intellectuelle
   • Plans, logiciels, brevets.
5. Données juridiques
   • Contrats et dossiers confidentiels.
6. Données clients
   • Informations personnelles et commerciales.

Le « triple extortion »

La double extorsion n’est parfois plus suffisante.

Certains groupes ajoutent alors une troisième pression.

Par exemple : chiffrement + vol de données + attaque contre les partenaires ou clients.

Une organisation peut ainsi être confrontée à plusieurs niveaux de pression.

La pression sur les clients

Un groupe peut menacer :

• les partenaires
• les fournisseurs
• les clients
• les employés

L’objectif est de transformer la victime en point central d’un réseau de pression.

Le ransomware comme crise globale

Une attaque moderne peut désormais provoquer simultanément :

1. Crise informatique
   • Les systèmes sont indisponibles.
2. Crise financière
   • L’activité est interrompue.
3. Crise juridique
   • Des données ont été exposées.
4. Crise réglementaire
   • Des obligations de notification apparaissent.
5. Crise réputationnelle
   • Les médias s’emparent de l’incident.
6. Crise opérationnelle
   • Les clients ne peuvent plus accéder aux services.

Le ransomware devient donc un risque d’entreprise, et plus uniquement un risque informatique.

L’évolution des ransomwares vers l’extorsion

Cette transformation est importante.

Le mot « ransomware » devient parfois insuffisant pour décrire certaines opérations et on observe désormais plusieurs modèles :

Modèle	Principe
Encrypting ransomware	Chiffrement
Double extortion	Chiffrement + vol
Pure extortion	Vol + menace
Triple extortion	Plusieurs leviers de pression
Data extortion	Données comme principale arme

L’écosystème devient donc beaucoup plus diversifié.

Les groupes deviennent plus petits

L’une des conséquences de la fragmentation est la multiplication des petits groupes.

Un groupe peut désormais fonctionner avec :

• quelques développeurs
• quelques affiliés
• des fournisseurs externes

Il n’est plus nécessaire de disposer d’une organisation gigantesque.

Les groupes éphémères

Certains acteurs n’existent que quelques mois.

Ils peuvent :

1. lancer leur infrastructure
2. recruter quelques affiliés
3. réaliser plusieurs attaquesVIII- Les grandes familles de ransomware ayant marqué l’histoire
4. disparaître
5. réapparaître sous un autre nom

Cette stratégie réduit potentiellement l’exposition à long terme.

Les « rebrands » deviennent monnaie courante

Un même écosystème humain peut successivement apparaître sous plusieurs noms.

Cela complique l’attribution, les statistiques, le suivi des victimes ainsi que la compréhension des relations entre groupes.

Il devient donc important de distinguer nom du malware de nom du groupe et identité réelle des opérateurs.

Groupe, malware et infrastructure : trois concepts différents

Prenons un exemple fictif.

Un ransomware appelé ExampleCrypt peut être utilisé par :

• Groupe A
• puis Groupe B
• puis plusieurs affiliés indépendants

À l’inverse, un groupe peut changer de ransomware sans changer complètement d’équipe.

Il faut donc analyser :

• code
• infrastructure
• méthodes
• acteurs
• affiliations

L’écosystème criminel devient modulaire

En 2026, une attaque peut être assemblée comme un ensemble de services.

Accès initial
      +
   Malware
      +
Infrastructure
      +
 Exfiltration
      +
 Négociation
      +
 Blanchiment

Chaque composant peut provenir d’un acteur différent, et c’est cette modularité qui rend le cybercrime extrêmement adaptable.

Une économie de spécialistes

On peut désormais identifier plusieurs marchés spécialisés.

1. Initial Access
   • Vente d’accès compromis.
2. Malware
   • Développement de logiciels malveillants.
3. Botnets
   • Location de machines compromises.
4. Data
   • Vente ou exploitation de données volées.
5. Ransomware
   • Location de plateformes RaaS.
6. Negotiation
   • Services de négociation.
7. Money Laundering
   • Services de blanchiment.

La professionnalisation du blanchiment

Les cryptomonnaies restent un élément central du modèle économique, mais les cybercriminels doivent résoudre un problème : transformer des fonds criminels en argent utilisable.

Les acteurs spécialisés peuvent utiliser différentes techniques de dissimulation et de conversion.

Les forces de l’ordre développent parallèlement des capacités d’analyse blockchain de plus en plus importantes.

La blockchain n’est pas synonyme d’anonymat

Contrairement à une idée répandue, les cryptomonnaies comme Bitcoin ne sont pas intrinsèquement anonymes.

Les transactions sont généralement enregistrées publiquement.

Les enquêteurs peuvent exploiter :

• adresses
• montants
• temporalité
• mouvements entre portefeuilles
• interactions avec certains services

L’anonymisation repose donc davantage sur la manière dont les acteurs utilisent les infrastructures que sur la blockchain elle-même.

La réponse des forces de l’ordre évolue

Face à cette industrie, les stratégies policières deviennent elles aussi plus sophistiquées.

Les autorités cherchent désormais à :

• saisir les serveurs
• identifier les administrateurs
• suivre les cryptomonnaies
• exploiter les données des victimes
• infiltrer les forums
• identifier les affiliés
• perturber les infrastructures

Les opérations internationales

Les opérations contre les ransomwares impliquent souvent plusieurs pays.

Cette coopération est indispensable car :

• les victimes peuvent être en France
• les serveurs en Europe
• les opérateurs en Russie ou ailleurs
• les cryptomonnaies circulent mondialement

Le cybercrime ignore les frontières, alors les enquêtes doivent donc faire de même.

Le problème de l’attribution

Identifier un ransomware ne signifie pas nécessairement identifier son auteur.

Plusieurs niveaux doivent être distingués :

1. Malware
   • Quel logiciel est utilisé ?
2. Infrastructure
   • Quels serveurs sont utilisés ?
3. Groupe
   • Quelle organisation revendique ou coordonne l’opération ?
4. Affiliés
   • Qui a réalisé l’intrusion ?
5. Opérateurs
   • Qui développe et administre l’écosystème ?
6. Individus
   • Qui sont les personnes physiques derrière ces rôles ?

Ces niveaux peuvent être différents.

2025-2026 : vers un cybercrime encore plus distribué

La tendance générale observée jusqu’en 2026 est donc celle d’une fragmentation croissante.

Les grands groupes restent dangereux, mais l’écosystème repose de plus en plus sur :

• petits collectifs
• affiliés indépendant;
• courtiers
• services criminels
• infrastructures louées

Cette évolution rend le modèle extrêmement résilient.

L’intelligence artificielle dans l’écosystème criminel

L’IA commence également à modifier certains aspects du cybercrime.

Elle peut faciliter :

• génération de textes de phishing
• traduction
• automatisation de certaines tâches
• analyse de données
• recherche d’informations
• personnalisation des campagnes

Mais il est important de ne pas présenter l’IA comme une technologie ayant créé le ransomware.

Le modèle économique existait bien avant et l’IA constitue plutôt un multiplicateur de capacités.

Vers une industrialisation toujours plus poussée

L’évolution du ransomware peut désormais être résumée ainsi :

          1989
   Malware expérimental
           ↓
          2005
Extorsion opportuniste
           ↓
          2013
Ransomware cryptographique
           ↓
          2017
 Attaques à grande échelle
           ↓
          2019
    Double extorsion
           ↓
          2020
Ransomware-as-a-Service
           ↓
          2023
     Fragmentation
           ↓
          2026
Écosystème criminel modulaire

Une transformation fondamentale

Le ransomware n’est donc plus réellement un produit, c’est devenu un modèle économique criminel.

Un opérateur n’a plus nécessairement besoin de :

• développer un malware
• trouver une victime
• négocier
• blanchir l’argent

Il peut acheter ou louer chacun de ces services.

Cette modularité explique pourquoi le phénomène continue de se renouveler malgré les démantèlements successifs.

Ce que nous réserve la prochaine évolution

Plusieurs tendances devraient continuer à influencer l’écosystème :

• exploitation des environnements cloud
• attaques contre les identités
• compromission de fournisseurs
• exploitation de vulnérabilités massivement déployées
• extorsion sans chiffrement
• attaques contre les hyperviseurs
• automatisation accrue
• utilisation de l’intelligence artificielle
• professionnalisation du blanchiment

Le ransomware continuera probablement à évoluer en fonction des technologies utilisées par les entreprises.

Conclusion de cette période

Entre 1989 et 2026, le ransomware a parcouru un chemin remarquable.

Il est passé d’un programme expérimental distribué sur disquette à une industrie criminelle mondiale spécialisée dans l’extorsion numérique.

Cette évolution ne s’est pas produite grâce à une seule innovation.

Elle résulte de la convergence de plusieurs phénomènes :

• généralisation du numérique
• dépendance croissante aux systèmes informatiques
• cryptographie
• cryptomonnaies
• anonymisation
• marchés clandestins
• spécialisation des cybercriminels
• Ransomware-as-a-Service
• économie des accès compromis

Et surtout, le ransomware a appris à exploiter une faiblesse fondamentale :

plus une organisation dépend de ses données et de ses systèmes, plus leur indisponibilité possède une valeur économique.

C’est cette réalité qui explique pourquoi le ransomware continue de représenter une menace majeure malgré les progrès considérables de la cybersécurité.

À retenir

• Depuis 2023, le paysage ransomware est marqué par une forte fragmentation.
• La disparition d’un groupe ne signifie pas nécessairement la disparition de ses membres.
• Les affiliés peuvent migrer rapidement vers de nouveaux RaaS.
• LockBit, Conti et ALPHV illustrent différentes étapes de cette évolution.
• Les opérations internationales peuvent fortement perturber les infrastructures criminelles, sans nécessairement éliminer l’écosystème.
• L’extorsion sans chiffrement devient une stratégie de plus en plus importante.
• L’exploitation massive d’une vulnérabilité peut permettre de toucher simultanément un très grand nombre d’organisations.
• Les fournisseurs et logiciels largement déployés constituent donc des cibles particulièrement intéressantes.
• Les identités, le cloud, les hyperviseurs et les systèmes de sauvegarde sont devenus des éléments stratégiques.
• Le ransomware moderne fonctionne désormais comme un écosystème criminel modulaire, composé d’acteurs spécialisés.
• L’IA ne crée pas le ransomware, mais peut accélérer certaines étapes de la chaîne d’attaque.

---

Dans la seconde section de cette deuxième partie dédiée à l’histoire du ransomware, nous nous intéresserons particulièrement aux grandes familles ayant marquées l’histoire, nous approfondirons ensuite les évolutions techniques qu’ont traversés ces dernières puis nous conclurons sur l’état de la menace liée aux ransomwares.

Partie 2.2 – Histoire complète du ransomware (1989-2026) (2/2)