Le ransomware est aujourd’hui la menace cyber la plus active. Initialement limité au chiffrement de données, il s’est transformé en opérations complexes ciblant entreprises et infrastructures critiques, avec des coûts de récupération en hausse constante. (Coveware, Q3 2024)

La professionnalisation du crime via le modèle Ransomware-as-a-Service (RaaS) repose sur une répartition des rôles : des développeurs créent les malwares, tandis que des affiliés infiltrent les réseaux, en échange d’une part de la rançon. (Recorded Future, 2024) Ce modèle facilite largement l’accès au cybercrime. Face à l’efficacité des sauvegardes, les groupes adoptent désormais la multi-extorsion:

1. Exfiltration de données sensibles à l’aide d’outils légitimes comme RClone.(Mandiant, M-Trends 2024)

2. Chiffrement des systèmes.

3. Extorsion pour empêcher la publication des données sur des sites dédiés du Dark Web.

Certains groupes vont jusqu’à la triple extorsion, en ciblant directement clients ou partenaires pour accroître la pression. (CrowdStrike, 2024)

Les attaquants privilégient aujourd’hui l’accès ciblé plutôt que le phishing massif. Les principales méthodes sont:

1. Exploitation de vulnérabilités exposées : failles affectant VPN, pare-feu ou appliances, exploitées très rapidement après divulgation (CISA).

2. Compromission RDP/VPN : utilisation d’identifiants volés ou de configurations mal sécurisées, permettant un accès direct au réseau. (Microsoft Security, 2024)

3. Attaques de la supply chain : compromission d’éditeurs ou de prestataires MSP, permettant d’infecter de nombreuses victimes simultanément.

Les “rançongiciels” modernes optimisent la furtivité pour éviter la détection :

1. Chiffrement intermittent : seuls certains blocs de fichiers sont chiffrés, accélérant l’attaque et contournant les mécanismes de détection basés sur l’activité disque (Sophos).

2. Living Off the Land (LOTL) : utilisation d’outils légitimes du système (PowerShell, PsExec) pour les déplacements latéraux et le déploiement, rendant les actions difficiles à distinguer d’opérations normales (MITRE ATT&CK).

Pour contrer ces menaces, les organisations doivent privilégier :

1. le patching (l'action de modifier le code pour enlever ce bug) rapide des systèmes exposés,

2. la segmentation réseau pour limiter la propagation,

3. une approche Zero Trust,

4. des sauvegardes immuables garantissant la récupération (ANSSI).