Qu’est-ce qu’un ransomware ?
Découvrez comment protéger votre entreprise contre les ransomwares avant qu’il ne soit trop tard
Ransomware : Définition
Le ransomware est un type de logiciel malveillant qui chiffre des fichiers importants stockés localement ou sur le réseau et exige une rançon pour les déchiffrer. Les hackers développent ce type de malware pour gagner de l'argent par le biais du chantage numérique.
Le chiffrement opéré par un ransomware ne peut être annulé qu’à l’aide de la clé appropriée. La seule alternative est de restaurer les données à partir d’une sauvegarde.
Le fonctionnement du ransomware est particulièrement efficace. D’autres types de malware qui détruisent ou volent des données peuvent laisser d’autres possibilités de récupération. Sans sauvegarde, le paiement de la rançon est souvent le seul moyen de récupérer les données. Il arrive aussi que l’entreprise paie, mais ne reçoive jamais la clé de déchiffrement.
Une fois activé, le ransomware analyse les fichiers stockés localement et en réseau pour les chiffrer. Il cible en particulier les fichiers essentiels à l’utilisateur ou à l’entreprise. Cela inclut aussi les fichiers de sauvegarde pouvant servir à restaurer les données.
Différents types de ransomware ciblent différents formats de fichiers. Mais certains types de fichiers sont recherchés par tous. La plupart des ransomwares ciblent les fichiers Microsoft Office, souvent porteurs d’informations critiques pour l’entreprise. L’objectif est d’augmenter les chances que la rançon soit payée.
Origine du ransomware
Les premiers cas d’infection par ransomware ont été détectés entre 2005 et 2006 en Russie. L’un des premiers rapports de Trend Micro sur le ransomware décrivait une variante qui compressait certains fichiers de la victime et les protégeait par mot de passe.
Un fichier de demande de rançon était également laissé sur l’ordinateur, réclamant 300 USD en échange des fichiers. Aux débuts de cette menace, les fichiers .DOC, .XLS, .JPG, .ZIP, .PDF, et d’autres formats courants étaient pris en otage. Plus tard, des variantes ont été capables d’infecter des téléphones mobiles ou le Master Boot Record (MBR) d’un ordinateur, empêchant ainsi le système d’exploitation de démarrer.
Dès 2012, le ransomware s’est propagé de la Russie à d’autres pays européens. Cela pourrait être dû à la répression des faux antivirus (FAKEAV), incitant les cybercriminels à chercher d’autres moyens de tirer profit de leurs victimes. Les acteurs du ransomware ont développé de nouvelles tactiques pour diffuser leurs menaces. L’une des plus connues fut Reveton, qui imitait des forces de l’ordre et menaçait les victimes de poursuites judiciaires. En parallèle, ces groupes ont commencé à utiliser différentes méthodes de paiement, comme Ukash, paysafecard ou MoneyPak, pour brouiller les pistes.
Fin 2013, ce qu’on appelle aujourd’hui le « crypto-ransomware » est apparu, mené par des variantes telles que CryptoLocker. Cette menace ne se contentait plus de chiffrer les fichiers, elle les supprimait si la rançon n’était pas payée. Pour récupérer les fichiers, les victimes devaient payer en Bitcoin pour obtenir une clé de déchiffrement.
Depuis l’émergence du crypto-ransomware, les cybercriminels ont continuellement affiné leurs méthodes pour extorquer de l’argent à des victimes — qu’elles soient des particuliers ou des entreprises de toute taille, dans le monde entier.
Comment fonctionne le ransomware
Les attaques par ransomware se divisent généralement en quatre étapes clés :
« Intrusion initiale », « activité interne », « exfiltration de données » et « déploiement du ransomware ».
À partir de la phase d’« activité interne », les méthodes employées s’apparentent à celles des attaques ciblées (APT – attaques persistantes avancées).
1. Intrusion initiale
Pour voler des données et installer un ransomware, les attaquants doivent d’abord pénétrer dans le réseau interne.
Méthodes d’intrusion courantes :
Exploitation de vulnérabilités dans les systèmes réseau (ex. : VPN)
Mauvaise gestion des mots de passe dans les services RDP (Remote Desktop Protocol)
Campagnes de phishing ciblant les employés pour installer des malwares
Ces tactiques permettent aux attaquants d’entrer discrètement dans les systèmes de l’entreprise.
2. Activité interne
Une fois infiltrés, les attaquants utilisent des outils d’accès à distance (RATs) pour contrôler les terminaux et maximiser leurs privilèges.
Pour éviter d’être détectés, ils abusent souvent d’outils légitimes déjà présents dans l’environnement informatique.
Exemples :
Outils de test de pénétration pour détecter des vulnérabilités
Services cloud comme des plateformes de stockage pour transférer des données
Cette méthode est appelée « Living off the Land » – elle repose sur l’utilisation des ressources existantes pour échapper à la détection.
De plus en plus, les cybercriminels utilisent des techniques anti-EDR pour désactiver les systèmes de détection et réponse sur les terminaux.
3. Exfiltration de données
Après avoir obtenu un accès étendu, les attaquants recherchent des données sensibles exploitables à des fins de chantage.
Les fichiers volés sont regroupés puis transférés vers des serveurs contrôlés par les attaquants.
4. Déploiement du ransomware
Une fois les données exfiltrées, le ransomware est distribué et exécuté à travers le réseau.
Les attaquants désactivent parfois les solutions de sécurité avant le déploiement pour garantir son efficacité.
Des politiques de groupe sont utilisées pour propager le ransomware dans toute l’infrastructure.
Après chiffrement, une demande de rançon s’affiche sur les appareils concernés.
Types de ransomware
Leakware ou Doxware
Le Leakware, aussi appelé Doxware, est une forme avancée de ransomware qui non seulement chiffre les fichiers, mais menace également de publier des données sensibles si la rançon n’est pas payée. Contrairement au ransomware classique, l’objectif ici est d’exploiter la peur de la divulgation publique. Le plus souvent, le Leakware est utilisé dans des attaques à double extorsion, exigeant paiement à la fois pour la déchiffrement et pour éviter les fuites.
Ransomware mobile
Les appareils mobiles, devenus indispensables dans nos vies professionnelles et privées, sont une cible de choix pour les ransomwares. Ce type de ransomware se propage via des applications malveillantes ou du phishing. Une fois installé, il verrouille l’appareil, affiche des messages de rançon ou chiffre les données locales, rendant les fichiers, photos et contacts inaccessibles. Les paiements sont souvent exigés en cryptomonnaies.
Ransomware en tant que service (RaaS)
Le Ransomware en tant que service (RaaS) est un modèle économique cybercriminel où le ransomware est vendu ou loué à des affiliés. Le RaaS explique en partie la croissance rapide des attaques par ransomware, car il permet à des attaquants sans grandes compétences techniques d’utiliser des outils puissants contre leurs cibles.
Scareware
Le Scareware repose sur la manipulation psychologique pour pousser les victimes à payer. Il se présente souvent sous la forme d’un faux antivirus ou d’une alerte système signalant des infections ou des vulnérabilités critiques. Le logiciel exige un paiement pour « corriger » ces problèmes fictifs. Même s’il ne chiffre pas forcément les fichiers, il peut verrouiller l’accès au système ou afficher en boucle des pop-ups jusqu’à paiement. Le scareware exploite la peur et le manque de connaissances techniques – un outil redoutable contre les utilisateurs moins avertis.
Comment se protéger contre le ransomware
La meilleure façon de se protéger contre le ransomware est d'utiliser des sauvegardes. Les fichiers de sauvegarde stockés localement ou sur un lecteur réseau peuvent être vulnérables. Le stockage cloud, en revanche, est protégé contre les analyses réseau par les ransomwares, ce qui en fait une bonne solution pour la récupération. Exception : si le stockage cloud est monté comme un lecteur local ou un sous-dossier.
La prévention est le meilleur moyen d’éviter les dommages causés par les ransomwares. La plupart des attaques commencent lorsque les utilisateurs téléchargent involontairement un logiciel malveillant ou exécutent par erreur un script malicieux.
Deux méthodes efficaces pour éviter le téléchargement de ransomwares sont le filtrage de contenu basé sur DNS et les solutions de cybersécurité pour les e-mails avec des fonctions de quarantaine intelligente. Le filtrage DNS empêche les utilisateurs d’accéder à des sites Web figurant sur des listes de blocage. Les filtres de messagerie placent le contenu malveillant et les pièces jointes en quarantaine pour vérification par un administrateur.
Il est également recommandé d’utiliser un logiciel antimalware avec apprentissage automatique et surveillance comportementale sur tous les appareils, y compris les appareils mobiles. Un bon logiciel de sécurité détecte le ransomware avant qu’il ne puisse accéder au stockage et chiffrer les fichiers. Pour une efficacité maximale, le logiciel antimalware doit être maintenu à jour avec les derniers correctifs.
L'impact du ransomware sur les entreprises
Chaque année, des milliers d’utilisateurs dans le monde sont victimes d’attaques par ransomware. Dans certains cas, des problèmes peuvent encore survenir même après que la menace semble sous contrôle. De nombreux programmes antimalware détectent les anciennes variantes, mais les pirates développent continuellement de nouvelles pour échapper à la détection.
Par exemple, en 2018 et 2019, le ransomware Ryuk a désactivé la fonction de restauration du système Windows, empêchant les utilisateurs de récupérer leurs données via des points de restauration. Ryuk a ciblé des entreprises et exigé des rançons de plusieurs centaines de milliers de dollars.
CryptoLocker, WannaCry et Petya sont des formes différentes de ransomware qui ont paralysé des infrastructures dans le monde entier, affectant même des banques et des agences gouvernementales. WannaCry, en particulier, a ciblé les ordinateurs Windows à l’aide d’un exploit développé par la NSA pour scanner les lecteurs réseau ouverts et chiffrer les fichiers vulnérables.
Parmi les menaces persistantes figurent GandCrab, SamSam, Zeppelin et REvil. Ces variantes récentes restent des malwares très dangereux capables de causer d’importants dégâts aux systèmes informatiques des entreprises.
Variantes répandues de ransomware
Il existe de nombreux types de ransomware – comme « Ryuk », « MAZE » ou « LockBit ». Ces derniers sont souvent appelés familles de ransomware. En général, chaque famille est contrôlée par un groupe d’attaquants distinct, avec des cibles et des tactiques variées.
Malgré les efforts des autorités internationales pour démanteler et poursuivre ces groupes, la menace des ransomwares continue de croître. Une raison majeure est l’émergence de nouvelles familles depuis 2022.
Selon la surveillance des sites de fuites par Trend Micro, des groupes comme RansomHub ont considérablement accru leur activité en 2024. En octobre de cette année, les 10 principaux groupes étaient responsables de 90 % de toutes les publications sur ces sites.
Trend Micro fournit sur son blog des informations détaillées sur les principales familles de ransomware et les profils associés des attaquants.
Comprendre ces méthodes permet de détecter les risques de manière proactive. Si votre organisation est victime d’une attaque et que la famille responsable est identifiée, ces informations peuvent être utiles pour analyser l’origine de l’incident.
Trend Micro Ransomware Protection
L'année dernière, 83 % des organisations ont fait face à plusieurs violations qui ont coûté 4,4 millions USD chacune. La réduction de l’exposition aux risques a permis d’économiser en moyenne 1,3 million USD.
Cyber Risk Exposure Management, qui fait partie de notre plateforme de cybersécurité d'entreprise Trend Vision One™, réduit fortement les cyber-risques grâce à une détection continue, à des évaluations en temps réel et à une maîtrise automatisée des risques dans les environnements cloud, hybrides ou sur site.
Le ransomware reste une menace
Le ransomware cible les entreprises de toutes les tailles et bloque votre organisation si elle ne dispose pas de sauvegardes. Le fait de comprendre comment fonctionnent les ransomware et comment ils peuvent affecter votre entreprise peut vous aider à mieux vous en défendre. Le meilleur moyen d’arrêter une attaque consiste à informer les utilisateurs, à exécuter un antimalware sur tous les appareils et à empêcher les utilisateurs d’accéder à des emails malveillants.
Télécharger l'étude de Trend Micro ici
https://www.trendmicro.com/vinfo/fr/security/news/cybercrime-and-digital-threats/the-future-of-ransomware
Informations connexes sur Ransomware
Rapport semestriel 2024 de Trend Micro sur les menaces de cybersécurité
Les acteurs malveillants sont toujours à la recherche de nouvelles technologies à exploiter, d'événements mondiaux importants à exploiter et d'actifs mal gérés et vulnérables à compromettre.
Comment Trend Micro Managed Detection and Response a mis en pause une attaque de ransomware Play
À l'aide de la plate-forme Trend Micro Vision One, notre équipe MDR a pu rapidement identifier et contenir une tentative d'intrusion de ransomware Play.
Recherches associées
Articles associés