Comment fonctionne un rançongiciel

Un rançongiciel est un logiciel malveillant qui empêche l'accès aux données ou aux systèmes, généralement en chiffrant les fichiers, puis exige un paiement en échange de leur restauration. Les campagnes modernes sont menées par des organisations criminelles structurées avec des affiliés, des services d'assistance et des guides de négociation.

Comprendre ses mécanismes dans une perspective défensive, et non pour le créer, vous permet d'interrompre la chaîne d'attaque à plusieurs endroits.

Un rançongiciel chiffre rarement les données dès son arrivée. Il suit une chaîne que vous pouvez interrompre :

• Accès initial — hameçonnage, RDP exposé, VPN vulnérable
• Point d'ancrage et persistance — porte dérobée, tâche planifiée
• Élévation de privilèges et déplacement latéral — propagation vers davantage d'hôtes
• Reconnaissance et exfiltration — recherche et vol de données
• Impact — chiffrement massif et note de rançon

La détection pendant les premières phases du temps de présence coûte bien moins cher que la restauration après le chiffrement.

La plupart des intrusions commencent par un petit nombre de points d'entrée prévisibles :

• Hameçonnage au moyen de pièces jointes ou de liens malveillants
• Services distants exposés comme RDP, avec des mots de passe faibles ou réutilisés
• Logiciels exposés à Internet et non corrigés (VPN, messagerie, applications web)
• Identifiants valides achetés auprès de courtiers en accès

Corriger ces failles constitue le moyen de prévention le plus efficace ; ce sujet est abordé dans la prochaine leçon.

Les rançongiciels modernes utilisent une cryptographie hybride. Ils génèrent une clé symétrique rapide (AES) par fichier ou par hôte pour chiffrer rapidement les données, puis chiffrent cette clé symétrique avec la clé publique de l'attaquant (RSA ou courbe elliptique).

Seul l'attaquant détient la clé privée correspondante. Les victimes ne peuvent donc pas récupérer les clés symétriques sans celle-ci. Les variantes mal conçues réutilisent ou divulguent parfois les clés, ce qui explique que des outils de déchiffrement existent occasionnellement, mais vous ne devez jamais compter là-dessus.

Les opérateurs sophistiqués savent que les sauvegardes sont votre voie de secours. Ils les recherchent donc avant de chiffrer les données.

• Supprimer ou chiffrer les référentiels de sauvegarde
• Supprimer les copies instantanées de volume de Windows
• Cibler les identifiants des administrateurs des sauvegardes

C'est pourquoi les sauvegardes immuables, hors ligne ou isolées du réseau (dans la leçon suivante) sont déterminantes : elles ne peuvent pas être atteintes ni détruites, même avec des droits d'administrateur de domaine.

Le chiffrement seul échoue face à de bonnes sauvegardes. Les attaquants ont donc accru la pression.

• Extorsion simple — chiffrer les données et exiger un paiement pour obtenir la clé de déchiffrement
• Double extorsion — exfiltrer également les données, puis menacer de les publier

La double extorsion signifie qu'une restauration à partir d'une sauvegarde ne suffit plus : la violation de données a déjà eu lieu. Traitez chaque incident de rançongiciel comme une violation de données potentielle, avec les obligations légales et de notification qui en découlent.

Au-delà du chiffrement et des fuites, les groupes ajoutent de la pression pour obtenir un paiement rapide :

• Triple extorsion — menacer directement les clients ou les partenaires de la victime
• Lancer une attaque par déni de service distribué contre la victime pendant les négociations
• Contacter les médias ou les organismes de réglementation pour amplifier les dommages à la réputation

Ces tactiques visent l'entreprise, et pas seulement les systèmes. C'est pourquoi la réponse doit impliquer les services juridiques, la communication et la direction, et pas uniquement le service IT.

L'écosystème est industrialisé. Les opérateurs du rançongiciel en tant que service développent et entretiennent le logiciel malveillant et le site de fuite, puis le louent à des affiliés qui mènent les intrusions et se partagent les bénéfices.

Conséquences pour les défenseurs :

• De nombreux intrus différents utilisent la même boîte à outils, ce qui rend les indicateurs communs utiles
• Les affiliés ont des niveaux de compétence variables ; certains sont bruyants et faciles à détecter
• Perturber un opérateur déplace la menace, mais ne l'élimine pas

Le paiement n'est pas une solution fiable et il est parfois soumis à des restrictions légales.

• Aucune garantie que l'outil de déchiffrement fonctionne ou soit même fourni
• Les outils de déchiffrement sont souvent lents ou corrompent les fichiers
• Les données volées peuvent malgré tout être divulguées ou revendues
• Payer finance de futures attaques et peut enfreindre la législation relative aux sanctions
• Vous identifie comme payeur et vous expose à de nouvelles attaques

La position défendable consiste à pouvoir récupérer ses données sans payer, grâce à la préparation.

Pour éviter la détection, les opérateurs détournent des outils légitimes intégrés au système plutôt que de déposer un logiciel malveillant évident. C'est ce qu'on appelle l'exploitation des outils natifs.

• Outils d'administration natifs pour l'exécution et la découverte à distance
• Logiciels d'accès à distance légitimes réutilisés pour prendre le contrôle
• Fonctionnalités de script intégrées pour désactiver les défenses et se propager

Comme les fichiers binaires sont considérés comme fiables, la détection ne repose plus sur les signatures, mais sur le comportement : l'utilisation inhabituelle d'outils d'administration par des comptes inattendus.

Chaque étape offre une occasion de se défendre :

• Accès initial — MFA, application de correctifs, résistance à l'hameçonnage
• Déplacement latéral — segmentation, privilèges minimaux
• Exfiltration — surveillance des flux sortants, DLP
• Impact — sauvegardes immuables pour que le chiffrement ne puisse pas être permanent

Vous n'avez pas besoin de gagner à chaque étape ; interrompre une seule d'entre elles peut suffire à arrêter l'opération. Les prochaines leçons construiront ces différentes couches.

Vous comprenez maintenant suffisamment bien leur fonctionnement pour vous en défendre.

• Les rançongiciels suivent un cycle de vie : accès, persistance, déplacement latéral, exfiltration, puis impact
• Ils utilisent un chiffrement hybride et détruisent délibérément les sauvegardes en premier
• La double et la triple extorsion ajoutent les fuites de données et la pression externe, ce qui en fait également une violation de données
• Le rançongiciel en tant que service industrialise les attaques ; l'exploitation des outils natifs permet d'éviter les signatures
• Payer est risqué ; l'objectif est de récupérer les données sans payer

Ensuite : empêcher l'attaque de prendre pied.