Histoire complète du ransomware (1989-2026) (2/2)
VIII- Les grandes familles de ransomware ayant marqué l’histoire
Un ransomware est un logiciel. Un groupe est une organisation. Un affilié est un opérateur. Confondre ces trois niveaux revient à confondre l’arme, celui qui la fournit et celui qui l’utilise.
Après avoir retracé l’évolution du ransomware de 1989 à 2026, il est maintenant nécessaire de s’intéresser aux acteurs qui ont façonné cette histoire.
Cette étape est particulièrement importante pour comprendre l’écosystème actuel, car le vocabulaire utilisé dans les médias et même dans certaines publications techniques entretient parfois une confusion entre plusieurs réalités.
CryptoLocker n’est pas un groupe.
LockBit n’est pas uniquement un ransomware.
Conti désigne à la fois un écosystème criminel et une famille de logiciels associée à cet écosystème.
Un affilié LockBit n’est pas nécessairement un développeur LockBit.
Cette distinction permet de mieux comprendre la structure du cybercrime moderne.
1. Malware, groupe, RaaS et affilié : quatre niveaux différents
Avant d’étudier les principales familles, il faut définir les quatre grandes catégories.
Le ransomware
Le ransomware est le logiciel malveillant utilisé pour compromettre ou chiffrer les systèmes.
Il possède généralement :
- un mécanisme de chiffrement
- une méthode de déploiement
- une infrastructure de communication
- une interface ou une note de rançon
Exemples :
- CryptoLocker
- WannaCry
- Ryuk
- LockBit
- BlackCat
Le groupe cybercriminel
Le groupe correspond à l’organisation qui développe, coordonne ou exploite l’écosystème criminel.
Il peut :
- développer le ransomware
- recruter des affiliés
- gérer l’infrastructure
- organiser les négociations
- gérer les paiements
Le Ransomware-as-a-Service
Le RaaS est le modèle économique permettant à plusieurs acteurs d’utiliser une infrastructure ransomware fournie par un opérateur.
Le groupe fournit généralement :
- ransomware
- portail
- infrastructure
- outils
- assistance
Les affiliés réalisent ensuite les attaques.
L’affilié
L’affilié est l’acteur qui utilise l’infrastructure du groupe pour mener une attaque.
Il peut :
- obtenir l’accès initial
- compromettre Active Directory
- effectuer le mouvement latéral
- exfiltrer les données
- déployer le ransomware
Un même affilié peut changer de groupe au fil du temps.
Les courtiers d’accès
Enfin, les Initial Access Brokers, ou IAB, constituent une catégorie différente.
Ils se spécialisent dans l’obtention et la vente d’accès.
Ils peuvent fournir :
- comptes VPN
- accès RDP
- comptes administrateurs
- serveurs compromis
- environnements cloud
Ils n’ont pas nécessairement de lien organisationnel direct avec le groupe ransomware qui achète l’accès.
Représentation simplifiée
CYBERCRIMINALITÉ
│
┌───────────────┼────────────────┐
│ │ │
↓ ↓ ↓
IAB / accès RaaS Autres
│ │ services
│ ↓
│ Développeurs
│ │
│ ↓
│ Infrastructure
│ │
└────────→ Affiliés
│
↓
VictimeCette architecture est fondamentale pour comprendre pourquoi l’écosystème est si résilient.
2. AIDS Trojan – le point de départ historique
Avant les grands groupes contemporains, il faut revenir à AIDS Trojan, apparu en 1989.
Le programme est attribué à Joseph Popp et il constitue l’un des premiers exemples connus d’un logiciel utilisé pour extorquer une victime.
Caractéristiques
AIDS Trojan :
- verrouillait certaines fonctions du système
- manipulait des fichiers
- demandait un paiement
- utilisait un paiement traditionnel
Il était extrêmement primitif par rapport aux ransomwares actuels.
Son importance est essentiellement historique.
Pourquoi il reste important
AIDS Trojan démontre déjà le principe fondamental : logiciel → perte d’accès → pression → paiement.
Toutes les générations suivantes reprendront ce concept sous des formes beaucoup plus sophistiquées.
3. Gpcode – les premières expérimentations cryptographiques
Gpcode constitue une famille particulièrement importante dans l’histoire du ransomware.
Apparu au milieu des années 2000, il expérimente différentes méthodes de chiffrement.
Certaines variantes utilisent notamment RSA.
Son importance
Gpcode montre que le chiffrement peut devenir beaucoup plus qu’une simple technique de verrouillage.
Il peut devenir une véritable arme cryptographique.
Le problème des premières versions reste cependant l’implémentation.
Des erreurs permettent parfois aux chercheurs de récupérer les fichiers.
4. CryptoLocker – le ransomware qui change l’industrie
CryptoLocker apparaît en 2013.
Il constitue probablement le ransomware le plus important de la première génération moderne.
Une combinaison décisive
CryptoLocker réunit :
- chiffrement robuste
- cryptographie asymétrique
- botnets
- phishing
- Bitcoin
- automatisation
Cette combinaison transforme le ransomware en véritable modèle économique.
Son impact historique
CryptoLocker démontre qu’un attaquant peut :
- infecter massivement
- chiffrer automatiquement
- demander une rançon
- recevoir le paiement à distance
- fournir automatiquement la clé
Le processus est presque entièrement automatisé.
5. CryptoWall
Après CryptoLocker, CryptoWall devient l’une des familles majeures.
Ses différentes versions améliorent progressivement :
- diffusion
- infrastructure
- anonymisation
- chiffrement
CryptoWall contribue à généraliser l’utilisation de mécanismes permettant de masquer davantage l’infrastructure de commande.
6. CTB-Locker
CTB-Locker est particulièrement intéressant sur le plan technique.
Le nom fait référence à : Curve-Tor-Bitcoin.
Ces trois éléments correspondent à une partie de son architecture :
- cryptographie basée sur les courbes elliptiques
- réseau Tor
- Bitcoin
Une architecture particulièrement moderne
CTB-Locker démontre que les développeurs de ransomware commencent à maîtriser plusieurs technologies avancées simultanément.
Le ransomware n’est plus un simple script criminel, il devient un produit logiciel sophistiqué.
7. TeslaCrypt
TeslaCrypt apparaît initialement avec une particularité : il cible notamment les fichiers liés aux jeux vidéo.
Les victimes peuvent perdre :
- sauvegardes
- profils
- configurations
- fichiers associés à leurs jeux
Une évolution intéressante
TeslaCrypt élargit ensuite considérablement ses cibles et devient un ransomware généraliste.
Une fin inhabituelle
En 2016, les développeurs de TeslaCrypt cessent leurs activités et publient la clé maître.
Cette décision permet aux chercheurs de développer des outils de récupération.
Elle constitue l’un des rares cas où les opérateurs eux-mêmes contribuent à la possibilité de récupérer les données.
8. Locky
Locky apparaît en 2016.
Il devient rapidement l’un des ransomwares les plus diffusés de cette période.
Son vecteur privilégié
Locky est fortement associé aux campagnes de :
- spam
- pièces jointes malveillantes
- documents Office
- macros
Le volume des campagnes est considérable.
Une étape importante
Locky contribue à démontrer qu’un ransomware peut être déployé comme une campagne mondiale de masse.
9. SamSam
SamSam représente une rupture importante.
Contrairement aux ransomwares massifs, SamSam privilégie les attaques ciblées.
Le mode opératoire
Les opérateurs peuvent :
- compromettre un serveur
- obtenir des privilèges
- explorer le réseau
- compromettre plusieurs systèmes
- désactiver certaines protections
- déployer le ransomware simultanément
Pourquoi SamSam est important
Il préfigure directement le : Human-Operated Ransomware.
Le malware n’est plus l’acteur principal.
L’acteur principal devient : l’opérateur humain.
10. WannaCry
WannaCry est probablement le ransomware le plus connu du grand public.
Sa particularité principale est sa capacité de propagation automatique.
WannaCry est presque un ver
Une machine compromise peut rechercher d’autres systèmes vulnérables.
Le ransomware devient donc capable de se propager sans interaction humaine permanente.
Son importance historique
WannaCry démontre :
- l’importance du patch management
- les risques liés aux systèmes anciens
- les dangers des réseaux insuffisamment segmentés
Il montre également qu’une vulnérabilité connue peut rester exploitable pendant des années.
11. NotPetya
NotPetya mérite une catégorie à part.
Bien qu’il soit souvent décrit comme un ransomware, son comportement et son contexte montrent qu’il s’agit avant tout d’un malware destructeur associé à une campagne ayant une forte dimension géopolitique.
Son impact
L’attaque affecte :
- Ukraine
- entreprises internationales
- logistique
- industrie
- transport
Les pertes économiques sont estimées à plusieurs milliards de dollars.
Une leçon essentielle
NotPetya démontre que : le terme « ransomware » ne suffit pas toujours à déterminer l’objectif réel d’une attaque.
Un logiciel peut afficher une demande de rançon tout en poursuivant principalement un objectif de destruction.
12. Ryuk
Ryuk apparaît en 2018 et marque la montée en puissance du ransomware ciblé.
Il vise notamment :
- entreprises
- administrations
- organisations de grande taille
Une nouvelle logique économique
Les demandes deviennent beaucoup plus importantes.
Pourquoi ?
Parce que les attaquants comprennent qu’une grande entreprise peut potentiellement perdre :
- des millions d’euros de chiffre d’affaires
- des contrats
- des jours de production
La rançon est donc calculée en fonction de la valeur économique de la victime.
13. Maze
Maze constitue une étape historique majeure.
Son innovation principale concerne l’extorsion.
Le passage à la double extorsion
Le modèle devient :
Intrusion
↓
Vol des données
↓
Chiffrement
↓
Menace de publication
↓
RançonCette stratégie change durablement le secteur.
14. Sodinokibi / REvil
REvil, également appelé Sodinokibi, représente l’un des RaaS les plus importants de la période 2019-2021.
Son modèle
Les opérateurs développent :
- ransomware
- infrastructure
- portail
- site de fuite
Les affiliés réalisent ensuite les attaques.
Une évolution majeure
REvil démontre qu’un groupe peut gérer un réseau d’affiliés extrêmement important.
Le ransomware devient donc véritablement une plateforme criminelle.
15. DoppelPaymer
DoppelPaymer appartient également à la génération des ransomwares ciblés.
Il associe :
- chiffrement
- exfiltration
- extorsion
Son fonctionnement illustre la généralisation de la double extorsion.
16. Conti
Conti est probablement l’un des exemples les plus importants de l’industrialisation du ransomware.
Actif à partir de 2020, le groupe fonctionne selon une organisation particulièrement structurée.
Une véritable entreprise criminelle
L’écosystème comprend :
- développeurs
- administrateurs
- affiliés
- négociateurs
- spécialistes techniques
Les communications internes révélées ultérieurement permettent de constater une organisation hiérarchique relativement développée.
17. DarkSide
DarkSide devient mondialement connu après l’attaque contre Colonial Pipeline.
Colonial Pipeline
L’attaque de 2021 provoque une perturbation majeure du réseau de distribution de carburant aux États-Unis.
L’incident démontre qu’un ransomware peut avoir des conséquences :
- économiques
- politiques
- médiatiques
- stratégiques
18. BlackCat / ALPHV
BlackCat, également appelé ALPHV, représente une nouvelle génération de RaaS.
Il se distingue notamment par ses capacités multiplateformes et son orientation vers les environnements d’entreprise.
Un ransomware moderne
Il vise notamment :
- Windows
- Linux
- environnements virtualisés
Cette capacité correspond à l’évolution des infrastructures informatiques des entreprises.
19. LockBit
LockBit est l’un des groupes ransomware les plus importants de l’histoire récente.
Son modèle repose largement sur :
- RaaS
- affiliés
- automatisation
- double extorsion
LockBit 2.0
Cette génération renforce :
- recrutement
- infrastructure
- outils d’attaque
LockBit 3.0
La troisième génération renforce encore l’écosystème et son programme d’affiliation.
Le groupe cherche à attirer des opérateurs expérimentés.
Operation Cronos
En 2024, une opération internationale perturbe fortement LockBit.
Des infrastructures sont saisies et des informations récupérées. L’événement démontre l’efficacité croissante de la coopération internationale, mais il illustre également la résilience du modèle RaaS.
20. Clop
Clop est particulièrement intéressant car son activité récente démontre que le ransomware n’a plus nécessairement besoin de chiffrer les systèmes.
L’exploitation massive
Le groupe est associé à plusieurs campagnes exploitant des vulnérabilités dans des logiciels largement utilisés.
L’objectif est de compromettre simultanément un grand nombre d’organisations.
MOVEit
La campagne MOVEit de 2023 constitue un excellent exemple.
Une vulnérabilité dans MOVEit Transfer permet l’exfiltration de données depuis de nombreuses organisations.
Une évolution stratégique
Le modèle devient :
Vulnérabilité
↓
Logiciel largement déployé
↓
Exploitation
↓
Vol massif
↓
ExtorsionLe chiffrement peut devenir secondaire, voire totalement absent.
21. Akira
Akira apparaît en 2023 et devient rapidement un acteur important de l’écosystème ransomware.
Il illustre la nouvelle génération de groupes apparus après la fragmentation de plusieurs grands RaaS.
Caractéristiques
Le groupe cible notamment :
- entreprises
- infrastructures
- environnements Windows
- systèmes Linux et virtualisés
Akira illustre également la tendance vers des attaques ciblées et l’extorsion de données.
22. Black Basta
Black Basta apparaît au début des années 2020 et devient rapidement un groupe majeur.
Il est souvent associé à des acteurs provenant de l’écosystème criminel ayant précédemment gravité autour de Conti.
Cela illustre parfaitement le phénomène de continuité des acteurs malgré la disparition des marques.
23. Royal
Royal apparaît après la disparition progressive de plusieurs grands écosystèmes.
Le groupe est associé à d’anciens acteurs du ransomware Conti.
Son évolution montre que les personnes peuvent survivre à la disparition d’un groupe.
24. Play
Play devient également un acteur important de la période récente.
Son fonctionnement repose largement sur :
- attaques ciblées
- exfiltration
- chiffrement
- extorsion
Il illustre la multiplication des groupes de taille intermédiaire après la fragmentation des grands RaaS.
25. 8 Base / RansomHouse et les groupes d’extorsion
Certains acteurs brouillent davantage la distinction entre ransomware et extorsion.
Ils peuvent :
- revendiquer des compromissions
- publier des données
- négocier
- utiliser ou non le chiffrement
Le terme « ransomware group » devient alors parfois trop général.
26. Les groupes ne sont pas des entités figées
C’est probablement l’une des notions les plus importantes de tout cet article.
Un groupe ransomware n’est pas nécessairement une organisation stable comparable à une entreprise traditionnelle.
Il peut tout à fait s’agir d’un ensemble d’acteurs qui :
- collaborent temporairement
- changent d’opérateur
- changent de ransomware
- changent de nom
- recrutent de nouveaux affiliés
Le phénomène des « écosystèmes »
Il est donc souvent plus pertinent de parler d’écosystèmes cybercriminels plutôt que simplement de groupes.
Un écosystème peut survivre à :
- la fermeture d’un site
- la saisie d’un serveur
- la disparition d’un ransomware
- l’arrestation d’un opérateur
Une même personne peut apparaître dans plusieurs groupes
Un affilié expérimenté peut travailler successivement pour :
Groupe A
↓
Groupe B
↓
Groupe C
↓
Groupe DLe nom du ransomware change.
Le savoir-faire reste.
C’est l’une des raisons pour lesquelles les opérations policières visant une seule marque ne suffisent pas toujours.
Tableau chronologique des principales familles
| Période | Famille / groupe | Importance historique |
|---|---|---|
| 1989 | AIDS Trojan | Première extorsion numérique connue |
| 2004-2007 | Gpcode | Premières expérimentations cryptographiques importantes |
| 2013 | CryptoLocker | Révolution du ransomware moderne |
| 2014-2016 | CryptoWall | Industrialisation des campagnes |
| 2014-2016 | CTB-Locker | Cryptographie + Tor + Bitcoin |
| 2015-2016 | TeslaCrypt | Ransomware ciblant notamment les jeux |
| 2016 | Locky | Campagnes massives |
| 2015-2018 | SamSam | Ransomware ciblé |
| 2017 | WannaCry | Propagation mondiale |
| 2017 | NotPetya | Destruction à dimension géopolitique |
| 2018-2020 | Ryuk | Attaques ciblées à forte valeur |
| 2019-2020 | Maze | Double extorsion |
| 2019-2021 | REvil | RaaS majeur |
| 2020-2022 | Conti | Industrialisation poussée |
| 2021 | DarkSide | Colonial Pipeline |
| 2021-2024 | LockBit | RaaS dominant |
| 2021-2024 | BlackCat/ALPHV | RaaS moderne |
| 2022-2026 | Black Basta | Nouvelle génération issue de la fragmentation |
| 2023-2026 | Clop | Exploitation massive + extorsion |
| 2023-2026 | Akira | Nouvelle génération RaaS |
| 2023-2026 | Play | Ransomware ciblé |
| 2023-2026 | Royal | Écosystème post-Conti |
Les grandes tendances qui se dégagent
L’étude de ces familles permet d’identifier plusieurs transformations fondamentales.
1. Du malware vers l’organisation
Au début, un programme infecte un ordinateur.
Aujourd’hui, une organisation criminelle compromet une entreprise.
2. Du chiffrement vers l’extorsion
Le chiffrement était autrefois le cœur du modèle.
Aujourd’hui, il peut devenir secondaire.
La véritable arme est désormais la capacité à exercer une pression économique.
3. De la victime individuelle à l’entreprise
Les premiers ransomwares visaient principalement les particuliers ainsi que les petits utilisateurs.
Les groupes modernes ciblent désormais :
- multinationales
- hôpitaux
- collectivités
- infrastructures critiques
- fournisseurs technologiques
4. De l’attaque isolée à l’écosystème
Une attaque moderne peut impliquer plusieurs acteurs indépendants.
Le ransomware est devenu une chaîne de valeur.
Une classification plus utile des acteurs
Pour comprendre le paysage actuel, il est donc préférable de classer les acteurs selon leur rôle.
- Développeurs
- Créent les malwares et outils.
- Opérateurs RaaS
- Gèrent la plateforme criminelle.
- Affiliés
- Réalisent les attaques.
- IAB
- Vendent les accès.
- Exfiltrateurs
- Spécialisés dans le vol de données.
- Négociateurs
- Gèrent la relation avec la victime.
- Blanchisseurs
- Gèrent les revenus criminels.
- Hébergeurs criminels
- Fournissent des infrastructures.
Cette classification est beaucoup plus pertinente que de simplement dresser une liste de « groupes de hackers ».
Une conclusion essentielle
L’histoire des ransomwares montre que les noms changent beaucoup plus rapidement que les techniques et les individus.
CryptoLocker a disparu.
Conti a disparu.
REvil a disparu.
DarkSide a disparu.
LockBit a été fortement perturbé.
Mais les mécanismes économiques qui permettent au ransomware de fonctionner sont toujours présents, le marché de l’accès initial continue d’exister, les compétences techniques continuent de circuler, les infrastructures criminelles continuent d’être recréées, et les affiliés peuvent migrer vers de nouveaux opérateurs.
C’est précisément pour cette raison que l’étude du ransomware moderne ne doit pas se limiter à une liste de noms.
Il faut comprendre l’écosystème qui relie ces acteurs entre eux.
À retenir
- Un ransomware est un logiciel ; un groupe est une organisation ; un RaaS est un modèle économique ; un affilié est un opérateur.
- Les grands noms historiques ont profondément façonné l’industrie actuelle.
- CryptoLocker a démontré la viabilité économique du ransomware moderne.
- SamSam a contribué à populariser les attaques humaines ciblées.
- WannaCry a démontré le potentiel de propagation automatique.
- Maze a popularisé la double extorsion.
- Conti, REvil, DarkSide, BlackCat et LockBit ont industrialisé le RaaS.
- Clop illustre l’importance croissante de l’exploitation massive et de l’extorsion sans chiffrement.
- Les groupes récents sont souvent issus de la fragmentation d’écosystèmes plus anciens.
- Suivre uniquement les noms des groupes est insuffisant : il faut suivre les acteurs, les outils, les infrastructures, les affiliations et les modes opératoires.
Prochaine partie – Les évolutions techniques majeures du ransomware
La prochaine section permettra de quitter la chronologie pour analyser comment les ransomwares ont techniquement évolué : chiffrement symétrique et asymétrique, génération de clés, exécution, évasion, persistance, mouvement latéral, compromission d’Active Directory, attaques contre les sauvegardes, hyperviseurs et environnements cloud, exfiltration, double/triple extorsion et évolution vers les ransomwares multiplateformes.
IX – Les évolutions techniques majeures du ransomware
Le ransomware moderne ne cherche plus simplement à chiffrer des fichiers. Il cherche à comprendre l’environnement de la victime, à en prendre le contrôle et à transformer chaque dépendance informatique en levier d’extorsion.
L’histoire du ransomware est aussi une histoire d’évolution technique.
En quelques décennies, le mécanisme est passé d’un simple programme capable de verrouiller un ordinateur à des opérations complexes impliquant :
- compromission initiale
- élévation de privilèges
- reconnaissance
- mouvement latéral
- compromission d’Active Directory
- désactivation des protections
- vol massif de données
- attaque des sauvegardes
- chiffrement distribué
- ciblage des hyperviseurs
- extorsion
- négociation
Le ransomware moderne est donc moins un malware isolé qu’une phase d’une opération d’intrusion complète.
1. Le ransomware des débuts : verrouiller avant tout
Les premières générations étaient relativement simples car leur objectif principal était de rendre l’ordinateur ou certains fichiers inutilisables.
Le programme pouvait :
- modifier le système
- masquer des fichiers
- changer des extensions
- empêcher l’utilisateur d’accéder à certaines fonctions
- afficher une demande de paiement
À cette époque, le ransomware était essentiellement un mécanisme de verrouillage.
2. L’arrivée du chiffrement
Une évolution fondamentale apparaît lorsque les cybercriminels commencent à utiliser véritablement la cryptographie pour rendre les données inutilisables.
L’objectif devient alors de faire en sorte que la victime ne puisse pas récupérer ses fichiers sans la clé.
Cette évolution change complètement la nature de la menace puisqu’un ransomware capable d’utiliser correctement la cryptographie peut rendre inutiles :
- documents
- bases de données
- archives
- photos
- sauvegardes accessibles
- fichiers applicatifs
3. Chiffrement symétrique et asymétrique
Les ransomwares modernes utilisent généralement une combinaison de plusieurs mécanismes cryptographiques.
Cryptographie symétrique
Une même clé est utilisée pour chiffrer et déchiffrer les données.
Elle est particulièrement adaptée au chiffrement de grandes quantités de données car elle est rapide.
Des algorithmes comme AES peuvent être utilisés.
Cryptographie asymétrique
Deux clés sont utilisées :
- une clé publique
- une clé privée
La clé publique peut être utilisée pour protéger une clé symétrique et la clé privée elle reste contrôlée par l’attaquant.
4. Pourquoi combiner les deux ?
Imaginons une entreprise possédant 10 To de données.
Chiffrer l’ensemble directement avec un algorithme asymétrique serait inefficace.
Le ransomware peut plutôt fonctionner selon un modèle conceptuel :
Fichier
↓
Clé symétrique
↓
Chiffrement rapide
↓
Clé symétrique protégée
↓
Clé publique de l'attaquantLe ransomware peut donc chiffrer rapidement une grande quantité de données tout en empêchant la victime de récupérer facilement la clé.
5. La génération des clés
La sécurité du ransomware dépend largement de la manière dont les clés sont générées et protégées.
Un ransomware bien conçu doit éviter :
- clés prévisibles
- réutilisation excessive
- génération pseudo-aléatoire faible
- stockage des clés en clair
Les erreurs d’implémentation peuvent toutefois permettre aux chercheurs de reconstruire les clés et c’est notamment ce qui a permis, pour certaines anciennes familles, de développer des outils de récupération.
6. Le chiffrement devient plus sélectif
Les premiers ransomwares pouvaient tenter de chiffrer pratiquement tous les fichiers.
Les ransomwares modernes doivent être plus intelligents car chiffrer plusieurs téraoctets peut prendre énormément de temps, or le temps disponible avant détection est limité.
Les attaquants cherchent donc parfois à optimiser le processus.
7. Le chiffrement partiel
Une technique consiste à ne chiffrer qu’une partie des données.
Par exemple :
Fichier 10 Go
│
├── Partie 1 → chiffrée
├── Partie 2 → intacte
├── Partie 3 → chiffrée
└── Partie 4 → intacteLe fichier peut devenir inutilisable tout en réduisant considérablement le temps nécessaire à l’opération.
Cette approche est particulièrement intéressante pour :
- bases de données
- machines virtuelles
- fichiers volumineux
8. L’objectif n’est plus de tout chiffrer
Cette évolution révèle un changement de philosophie.
L’objectif n’est donc pas nécessairement de chiffrer 100 % des données mais de rendre l’activité suffisamment difficile pour maximiser la pression.
Quelques systèmes critiques peuvent suffire à paralyser une entreprise.
9. L’extension des cibles
Le ransomware moderne ne cible plus uniquement les documents d’un utilisateur.
Les attaquants peuvent rechercher :
- bases de données
- serveurs de fichiers
- ERP
- systèmes de sauvegarde
- machines virtuelles
- serveurs applicatifs
- contrôleurs de domaine
La cible devient progressivement l’infrastructure informatique dans son ensemble.
10. Le passage au « human-operated ransomware »
Une transformation majeure apparaît avec les ransomwares opérés par des humains.
Le scénario n’est plus :
Utilisateur
↓
Malware
↓
ChiffrementMais :
Accès initial
↓
Reconnaissance
↓
Escalade de privilèges
↓
Mouvement latéral
↓
Vol de données
↓
Neutralisation des protections
↓
Attaque des sauvegardes
↓
Déploiement du ransomwareLe ransomware n’est plus le début de l’attaque, il en est plutôt souvent l’aboutissement.
11. La reconnaissance interne
Une fois dans le réseau, les attaquants cherchent à comprendre l’environnement.
Ils peuvent rechercher :
- domaines
- utilisateurs
- groupes
- serveurs
- partages
- applications
- systèmes de sauvegarde
- hyperviseurs
- équipements de sécurité
Cette phase permet de déterminer où se trouve la valeur.
12. Active Directory devient une cible prioritaire
Dans de nombreuses entreprises, Active Directory constitue le cœur de l’identité informatique.
Il permet de gérer :
- utilisateurs
- groupes
- ordinateurs
- politiques de sécurité
- authentification
- privilèges
Obtenir un contrôle élevé sur l’environnement Active Directory peut donc transformer une compromission locale en compromission globale.
13. Le compte administrateur comme objectif
Un attaquant qui possède uniquement un compte utilisateur limité dispose de possibilités relativement restreintes.
Un compte fortement privilégié peut en revanche permettre :
- administration de serveurs
- modification de politiques
- accès à des données
- déploiement logiciel
- gestion d’autres comptes
Les opérations ransomware cherchent donc fréquemment à atteindre des privilèges élevés.
14. Le mouvement latéral
Après la compromission initiale, les attaquants cherchent à se déplacer.
Le réseau peut être représenté ainsi :
Poste compromis
↓
Serveur
↓
Serveur de fichiers
↓
Serveur d'administration
↓
Contrôleur de domaine
↓
SauvegardesChaque étape augmente potentiellement l’impact final.
15. Pourquoi le mouvement latéral est essentiel
Un ransomware déployé sur un seul ordinateur peut être relativement facile à contenir.
Un ransomware déployé sur des postes de travail, des serveurs, systèmes de production ou encore sur les sauvegardes peut devenir extrêmement difficile à arrêter.
Le mouvement latéral permet donc d’augmenter la portée de l’attaque.
16. Les outils légitimes détournés
Une autre évolution majeure consiste à utiliser des outils déjà présents dans l’environnement.
Les attaquants peuvent exploiter des mécanismes d’administration légitimes.
Cette approche est souvent qualifiée de Living off the Land, et les binaires associés sont appelés des LOLbins.
Pourquoi utiliser des outils légitimes ?
Parce qu’un outil inconnu peut être facilement détecté alors qu’un outil d’administration déjà utilisé quotidiennement peut être beaucoup plus difficile à distinguer d’une activité normale.
17. Le problème de la détection
Les équipes de sécurité doivent donc distinguer une utilisation légitime d’une utilisation malveillante, ce qui est particulièrement difficile dans les grandes entreprises.
Un administrateur peut légitimement :
- modifier des politiques
- exécuter des scripts
- redémarrer des serveurs
- déployer des logiciels
Les attaquants cherchent à reproduire ces comportements.
18. La désactivation des protections
Avant le chiffrement, les attaquants cherchent parfois à réduire la capacité de défense de la victime.
Les objectifs peuvent inclure :
- solutions EDR
- antivirus
- journaux
- outils de supervision
- systèmes de sauvegarde
L’idée est simple : réduire les chances d’être interrompu avant l’extorsion.
19. L’attaque des sauvegardes
Les sauvegardes constituent l’un des principaux ennemis du ransomware.
Si une entreprise possède des sauvegardes saines, des copies hors ligne et des procédures de restauration testées, elle peut potentiellement reconstruire son environnement sans payer.
Les attaquants cherchent donc à neutraliser cette possibilité.
20. Pourquoi les sauvegardes deviennent une cible
Imaginons que l’environnement de production se retrouve chiffré, mais que l’entreprise possède une sauvegarde intacte, la victime peut alors la restaurer à sa guise et ainsi relancer la production et l’impact du ransomware devient minime.
Mais si la sauvegarde est supprimée ou elle aussi chiffrée, la situation devient alors beaucoup plus critique, et peut conduire plus facilement la victime à traiter avec les cybercriminels.
La sauvegarde devient donc elle-même un actif stratégique.
21. Les copies instantanées
Les systèmes modernes disposent parfois de mécanismes permettant de revenir à une version antérieure des données.
Les attaquants peuvent chercher à supprimer ou compromettre ces mécanismes.
L’objectif reste alors toujours le même, à savoir réduire les possibilités de récupération.
22. L’attaque des systèmes de virtualisation
Les environnements VMware et autres plateformes de virtualisation sont devenus particulièrement intéressants.
Un hyperviseur peut héberger des dizaines voire des centaines de VMs et compromettre la couche de virtualisation peut donc avoir un impact extrêmement important sur le fonctionnement d’une entreprise.
23. Les ransomwares ciblent Linux
L’augmentation des capacités Linux est une conséquence directe de cette évolution.
Les entreprises utilisent Linux pour :
- leurs serveurs
- les bases de données
- les applications
- le cloud
- les conteneurs
- les infrastructures techniques
Un ransomware moderne doit donc pouvoir s’adapter à ces environnements.
24. Les ransomwares multiplateformes
Certaines familles récentes sont conçues pour fonctionner sur plusieurs architectures.
L’objectif est d’éviter qu’une infrastructure puisse simplement protéger un environnement en utilisant une plateforme différente et ainsi d’être le plus polyvalent possible.
25. Les conteneurs et Kubernetes
A l’instar des machines virtuelles, les infrastructures modernes utilisent également :
- Docker
- Kubernetes
- services cloud natifs
Ces environnements créent de nouvelles surfaces d’attaque.
Le risque n’est pas nécessairement un « ransomware Kubernetes » au sens traditionnel.
Il peut s’agir de la compromission :
- des identités
- de l’API
- des secrets
- des registres
- des volumes de données
26. Le cloud change le modèle
Dans un environnement traditionnel on observe de manière schématique :
Poste
↓
LAN
↓
ServeursAlors que dans le cloud :
Identité
↓
Cloud
┌───────┼───────┐
↓ ↓ ↓
VM Storage SaaSLe réseau physique devient alors moins central, au profit de l’identité qui devient elle beaucoup plus importante.
27. Le vol de tokens et de secrets
Les environnements cloud utilisent de nombreux mécanismes d’authentification.
Un attaquant peut chercher des identifiants, des clés API, tokens, secrets et autres certificats.
La compromission d’une identité suffisamment privilégiée peut parfois être plus intéressante que le déploiement d’un ransomware classique.
28. Le ransomware sans ransomware
Cette évolution est essentielle.
Un attaquant peut obtenir un accès à Microsoft 365, Google Workspace, au stockage cloud, au CRM ou une plateforme SaaS.
Dès lors il peut voler les données, supprimer des fichiers, perturber les services et même exiger une rançon.
Aucun fichier .exe de ransomware n’est nécessaire dans ce cas !
29. L’exfiltration devient centrale
Le vol de données transforme profondément le modèle.
L’attaquant dispose désormais de deux armes : l’indisponibilité et la confidentialité.
L’attaquant dispose désormais d’une main mise sur deux des trois pilier de la triade CIA (Confidentiality Integrity Availability). Il peut en effet jouer sur la confidentialité de la donnée dérobée, mais également sur sa disponibilité.
La victime peut donc être confrontée simultanément voir ses données volées mais également indisponibles.
30. La double extorsion
C’est ainsi que la double extorsion devient l’un des modèles dominants.
Le scénario typique est :
- intrusion
- exfiltration
- chiffrement
- menace de publication
- négociation
31. La triple extorsion
Certains groupes ajoutent une pression supplémentaire.
Ils peuvent notamment menacer des clients, partenaires, fournisseurs ou bien employés de l’entreprise ciblée initialement.
L’attaque devient alors :
Victime
├── données volées
├── systèmes chiffrés
└── écosystème sous pression32. La pression psychologique
La technique n’est qu’une partie du ransomware, les opérateurs utilisent également :
- comptes à rebours
- échantillons de fichiers
- données sensibles
- deadlines
- messages personnalisés
Le ransomware devient donc aussi une opération de manipulation psychologique.
33. Les portails de négociation
Les groupes RaaS développent des espaces permettant aux victimes de communiquer avec les attaquants.
Ces plateformes peuvent fournir :
- une messagerie
- des informations sur la victime
- le délai de paiement
- le montant demandé
- et parfois une preuve de déchiffrement
La négociation devient donc une fonction intégrée à l’infrastructure criminelle.
34. Le ransomware devient un produit logiciel
Les groupes développent des fonctionnalités attendues par leurs affiliés.
On retrouve notamment des interfaces, de la documentation, du support, des mises à jour, des statistiques et aussi des mécanismes de génération de builds.
Le RaaS se rapproche ainsi d’un véritable produit SaaS.
35. L’automatisation
L’automatisation permet aux opérateurs de réduire le temps consacré à certaines opérations.
Elle peut concerner :
- la génération d’échantillons
- la gestion d’affiliés
- la collecte de données
- le suivi des victimes
- la publication
- et la négociation
36. La sélection des fichiers
Les ransomwares modernes doivent également éviter de rendre le système complètement inutilisable trop tôt.
Ils peuvent chercher à sélectionner certains types de fichiers, éviter certains répertoires, exclure certains processus ou adapter le comportement au système.
L’objectif est de conserver suffisamment de contrôle pour terminer l’opération et maximiser les chances de réussite.
37. L’arrêt des services
Les bases de données et applications professionnelles utilisent souvent des fichiers ouverts en permanence.
Un fichier utilisé par une application peut être difficile à chiffrer correctement, alors les attaquants cherchent donc parfois à interrompre certains services avant le chiffrement.
Cela peut concerner :
- des bases de données
- des applications
- des services métiers
- des logiciels de sauvegarde
38. Les bases de données : une cible particulièrement sensible
Une base de données contient souvent :
- clients
- transactions
- informations financières
- données personnelles
Elle constitue donc simultanément une cible de chiffrement et une source de données pour l’extorsion.
39. Les systèmes de production
Les groupes ransomware ciblent également les systèmes industriels et opérationnels.
Dans certains secteurs, la compromission du SI et l’indisponibilité des applications qui s’en suit entraîne alors une perturbation de la production ce qui conduit à terme à un arrêt opérationnel.
Le coût financier peut devenir très important.
40. Les infrastructures critiques
Les secteurs particulièrement sensibles comprennent notamment :
- la santé
- l’énergie
- les transports
- l’industrie
- les télécommunications
- les administrations
Le risque dépasse alors l’entreprise elle-même.
41. L’exploitation des vulnérabilités
Les ransomwares modernes exploitent également des vulnérabilités permettant d’obtenir rapidement un accès.
Les cibles peuvent inclure (mais ne se limite pas à) :
- VPN
- appliances
- serveurs web
- solutions de transfert
- logiciels d’entreprise
42. Le modèle de l’exploitation massive
L’évolution la plus intéressante est la possibilité de transformer une vulnérabilité en véritable multiplicateur d’attaque.
Une seule vulnérabilité identifiée sur un produit largement répandu devient une cible de choix car si 1000 sociétés utilisent de produit vulnérable, on est alors face à 1000 environnements corrompus potentiels à venir.
L’investissement initial peut alors être rentabilisé à très grande échelle.
43. Les zero-days et les vulnérabilités connues
Il est important de distinguer :
- Zero-day
- Vulnérabilité inconnue ou sans correctif disponible au moment de son exploitation.
- N-day
- Vulnérabilité déjà connue, généralement avec un correctif disponible.
Les groupes ransomware peuvent exploiter des vulnérabilités connues lorsque les organisations tardent à appliquer les correctifs.
44. La supply chain
Les attaquants peuvent également cibler un fournisseur.
Pourquoi ?
Parce qu’un fournisseur peut avoir accès à plusieurs clients, et la compromission d’un fournisseur peut donc devenir un multiplicateur potentiel permettant de maximiser son ROI.
45. Le ransomware comme problème de dépendances
Une entreprise moderne dépend rarement uniquement de ses propres systèmes.
Elle dépend souvent de :
- SaaS
- cloud
- prestataires
- fournisseurs
- logiciels
- API
- services d’identité
Le risque ransomware doit donc être analysé à l’échelle de l’écosystème complet.
46. L’évolution des ransomwares vers l’extorsion de données
Cette transformation mérite d’être résumée.
- Première génération
- Fonctionnement : Bloquer.
- Deuxième génération
- Fonctionnement : Chiffrer.
- Troisième génération
- Fonctionnement : Chiffrer + voler.
- Génération actuelle
- Fonctionnement : Voler, perturber, chiffrer si nécessaire et maximiser la pression.
47. Le ransomware devient finalement secondaire
C’est probablement le paradoxe le plus important.
Dans une attaque moderne, le ransomware peut n’occuper que quelques minutes dans une opération qui a duré plusieurs jours, plusieurs semaines voire parfois davantage.
Les étapes critiques sont souvent :
accès → privilèges → contrôle → exfiltration → destruction → extorsion.
Le chiffrement n’est alors que l’une des dernières étapes.
48. Pourquoi cette évolution est importante pour la défense
Une entreprise qui se protège uniquement contre les exécutables ransomware manque une partie essentielle du problème.
Elle doit également détecter :
- compromission d’identités
- mouvements latéraux
- accès anormaux
- exfiltration
- activités administratives inhabituelles
- attaques contre les sauvegardes
- compromission cloud
La défense doit donc intervenir avant le chiffrement.
49. La défense doit casser la chaîne d’attaque
Le modèle moderne permet de raisonner en termes de chaîne :
Accès initial
↓
Persistance
↓
Privilèges
↓
Reconnaissance
↓
Mouvement latéral
↓
Exfiltration
↓
Sabotage
↓
Chiffrement
↓
ExtorsionUne organisation n’a pas besoin d’attendre la dernière étape de la cyber kill chain pour agir.
Chaque étape constitue une opportunité de détection et de blocage.
50. Le principe de résilience
La cybersécurité moderne ne peut pas garantir qu’une organisation ne sera jamais compromise.
L’objectif devient donc d’empêcher qu’une compromission locale devienne une catastrophe globale.
Cela passe notamment par :
- la segmentation
- l’attribution du moindre privilège
- l’application du MFA
- des sauvegardes isolées
- la supervision
- des EDR
- la gestion des correctifs
- la protection des identités
- des plans de réponse à incident
51. Le modèle de défense en profondeur
Une organisation résiliente doit disposer de plusieurs barrières (la fameuse defense in depth).
Attaquant
↓
┌──────────────────┐
│ Accès initial │
└────────┬─────────┘
↓
┌──────────────────┐
│ MFA / identité │
└────────┬─────────┘
↓
┌──────────────────┐
│ Segmentation │
└────────┬─────────┘
↓
┌──────────────────┐
│ EDR / détection │
└────────┬─────────┘
↓
┌──────────────────┐
│ Sauvegardes │
└────────┬─────────┘
↓
RésilienceL’objectif n’est pas de créer une protection unique mais plutôt de rendre l’attaque difficile à chaque étape (cf. la célèbre pyramid of pain).
52. L’évolution fondamentale : de la protection des fichiers à la protection de l’identité
Il y a vingt ans, la question principale pouvait être :
Comment empêcher le chiffrement de mes fichiers ?
Aujourd’hui, la question doit davantage être :
Comment empêcher un attaquant de prendre le contrôle de mon environnement ?
Cette évolution est fondamentale.
53. Le futur du ransomware
Les tendances actuelles indiquent que les prochaines générations pourraient continuer à privilégier :
- identité
- cloud
- SaaS
- API
- supply chain
- hyperviseurs
- données
- automatisation
Le ransomware pourrait donc progressivement devenir moins visible techniquement tout en restant extrêmement destructeur économiquement.
À retenir
- Le ransomware est passé d’un simple mécanisme de verrouillage à une composante d’une opération d’intrusion complète.
- La cryptographie hybride permet de chiffrer efficacement de grandes quantités de données tout en protégeant les clés.
- Les attaques modernes privilégient souvent le contrôle de l’environnement plutôt que le simple chiffrement d’un poste.
- Active Directory, les identités, les sauvegardes et les hyperviseurs sont devenus des actifs stratégiques.
- Le mouvement latéral permet de transformer une compromission initiale en attaque globale.
- Les attaquants utilisent parfois des outils légitimes afin de se fondre dans l’activité administrative normale.
- L’exfiltration est devenue aussi importante que le chiffrement.
- La double puis la triple extorsion ont profondément transformé le modèle économique.
- L’exploitation massive d’une vulnérabilité permet de toucher simultanément de nombreuses organisations.
- Le cloud et les environnements SaaS déplacent progressivement le centre de gravité de l’attaque vers l’identité.
- Le ransomware moderne doit donc être considéré comme l’aboutissement d’une chaîne d’attaque, et non comme un simple fichier malveillant.
X – Conclusion – Pourquoi le ransomware est devenu la menace cyber dominante
L’évolution technique du ransomware raconte finalement la même histoire que son évolution économique.
Au départ, le cybercriminel avait besoin d’un programme capable de bloquer un ordinateur.
Puis il a appris à chiffrer les données.
Ensuite, il a appris à pénétrer les réseaux.
Puis à prendre le contrôle des identités.
Puis à voler les données.
Puis à attaquer les sauvegardes.
Puis à exploiter les fournisseurs et les vulnérabilités massivement déployées.
Et finalement, il a compris que le chiffrement lui-même n’était plus indispensable.
La véritable valeur du ransomware moderne réside dans sa capacité à exploiter la dépendance d’une organisation à son système d’information.
Le malware n’est donc plus nécessairement le centre de l’attaque, l’organisation, ses données, ses identités et ses dépendances sont devenues la véritable cible.
C’est précisément ce qui permet de comprendre la prochaine étape de notre dossier, les différents profils d’acteurs qui composent cette économie criminelle : développeurs, opérateurs RaaS, affiliés, Initial Access Brokers, spécialistes de l’exfiltration, négociateurs, blanchisseurs, groupes d’extorsion et acteurs étatiques ou para-étatiques.
C’est d’ailleurs le sujet traité dans la suite de ce dossier :
Partie 3 – L’écosystème complet de la cybercriminalité
One Comment