====== **🔒 Évolution Inquiétante des menaces RaaS!** ======

Le ransomware est aujourd’hui la menace cyber **la plus active**. Initialement limité au chiffrement de données, il s’est transformé en **opérations complexes ciblant entreprises et infrastructures critiques**, avec des coûts de récupération en **hausse constante**. [[https://www.coveware.com/blog/2025/1/31/q4-report|(Coveware, Q3 2024)]]

----

====== 1. RaaS et extorsion multiple ======

{{ :ransomware.png?nolink&400|}}

La professionnalisation du crime via le modèle** Ransomware-as-a-Service (RaaS)** repose sur une répartition des rôles : des développeurs créent les malwares, tandis que des affiliés infiltrent les réseaux, en échange d’une part de la rançon. [[https://www.recordedfuture.com/fr/research/2024-annual-report|(Recorded Future, 2024)]] Ce modèle facilite largement l’accès au cybercrime. Face à l’efficacité des sauvegardes, les groupes adoptent désormais la multi-extorsion:

    
1. **Exfiltration** de données sensibles à l’aide d’outils légitimes comme **RClone**.[[https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2024?hl=en|(Mandiant, M-Trends 2024)]]
    
2. **Chiffrement** des systèmes.
    
3. **Extorsion** pour empêcher la publication des données sur des sites dédiés du Dark Web.


Certains groupes vont jusqu’à la triple extorsion, en ciblant directement clients ou partenaires pour accroître la pression. [[https://fr.wikipedia.org/wiki/Panne_informatique_mondiale_de_juillet_2024|(CrowdStrike, 2024)]]


----

Les attaquants privilégient aujourd’hui l’accès ciblé plutôt que le phishing massif. Les principales méthodes sont:
    
1. **Exploitation de vulnérabilités exposées** : failles affectant VPN, pare-feu ou appliances, exploitées très rapidement après divulgation (CISA).
    
2. **Compromission RDP/VPN** : utilisation d’identifiants volés ou de configurations mal sécurisées, permettant un accès direct au réseau. [[https://www.microsoft.com/fr-fr/security/security-insider/intelligence-reports/microsoft-digital-defense-report-2024|(Microsoft Security, 2024)]]
    
3. **Attaques de la supply chain** : compromission d’éditeurs ou de prestataires MSP, permettant d’infecter de nombreuses victimes simultanément.

----

====== 2 Techniques furtives ======

{{ :rancongiciel.png?nolink&400|}}
Les "rançongiciels" modernes optimisent la furtivité pour éviter la détection :
    
1. **Chiffrement intermittent :** seuls certains blocs de fichiers sont chiffrés, accélérant l’attaque et contournant les mécanismes de détection basés sur l’activité disque (Sophos).
    
2. **Living Off the Land (LOTL) :** utilisation d’outils légitimes du système (PowerShell, PsExec) pour les déplacements latéraux et le déploiement, rendant les actions difficiles à distinguer d’opérations normales (MITRE ATT&CK).


----
 
====== 3. Mesures de défense ======
{{ :capture_d_ecran_2025-11-30_232832.png?nolink&400|}}
Pour contrer ces menaces, les organisations doivent privilégier :
    
1. le **patching** (l'action de modifier le code pour enlever ce bug) rapide des systèmes exposés, 
    
2. la segmentation réseau pour **limiter la propagation**,
    
3. une approche **Zero Trust**,
    
4. des **sauvegardes immuables** garantissant la récupération (ANSSI).