Accueil
Explorer les pages
Types de Ransomware

Préparez-vous à faire face à ces types courants de ransomware

6 formes d’attaques par rançongiciel, 9 attaques très médiatisées et 12 variantes actuelles de rançongiciels que vous devez connaître.

Vue d’ensemble

Comprendre les principaux types de ransomware en 2024

Parmi tous les dangers qui caractérisent le paysage actuel des menaces, les ransomwares sont sans doute ceux qui suscitent le plus de craintes. Il existe différents types ded’attaques par ransomwareLeurs motivations et leurs modes opératoires peuvent varier, mais elles ont toutes un point commun : rendre les données de la victime inaccessibles. Pour une entreprise moderne, cela peut constituer une menace existentielle.

Découvrons ensemble les types de ransomware les plus courants, notamment :

Casiers
Ransomware cryptographique
Logiciels de chantage
Ransomware en tant que service (RaaS)
Logiciels d’extorsion (notamment les « doxware » et les « leakware »)
Malware « Wiper »

Vous découvrirez également les attaques les plus marquantes du passé ainsi que les menaces de ransomware les plus graves à l’heure actuelle.

Ransomware Types

Les 6 types d’attaques par ransomware les plus courants

Lorsque l’on entend le mot « ransomware », on pense généralement à un chiffrement forcé. Bien que cela soit le cas dans bon nombre des attaques de ransomware les plus médiatisées, ce n’est pas toujours vrai. Ce qui définit réellement une attaque de ransomware, c’est – comme son nom l’indique – une demande de paiement visant à permettre à la victime de récupérer l’accès à ses données. On retrouve cette tactique dans les six types courants d’attaques de ransomware présentés ci-dessous.

1. Ransomware cryptographique
L’une des formes les plus connues et les plus destructrices de ransomware, le crypto-ransomware (ou ransomware de chiffrement) chiffre de force les fichiers et les données d’un système, rendant leur contenu inaccessible tant que la victime n’a pas payé. Pour accentuer la pression, les développeurs de crypto-ransomware ajoutent souvent un compte à rebours à leur demande de rançon, à l’issue duquel les fichiers seront supprimés. Bien sûr, même si la rançon est versée, généralement en cryptomonnaie, rien ne garantit que les cybercriminels tiendront leur promesse de fournir une clé de déchiffrement. Parmi les formes courantes de crypto-ransomware, on peut citer Hive, REvil et Ryuk.

2. Casiers
» : plutôt que de chiffrer les fichiers, les ransomwares de type « locker » bloquent l’accès aux données en désactivant les fonctions de base de l’ordinateur, rendant ainsi vos fichiers et applications inutilisables. Vous ne pouvez généralement plus accéder à votre bureau, bien que vous conserviez juste assez de fonctionnalités de la souris et du clavier pour effectuer le paiement. Un écran de verrouillage affiche la demande de rançon, souvent accompagnée du redoutable compte à rebours. Bien que la destruction complète de vos données soit peu probable, le logiciel malveillant peut se propager rapidement sur votre réseau pour infecter d’autres appareils au sein de votre organisation. Parmi les formes courantes de ransomware de type « locker », on peut citer CryptoLocker et Locky.

3. Le ransomware en tant que service
» ( RaaS) Connaissant actuellement un essor fulgurant, le RaaS apporte la commodité du SaaS à la cybercriminalité. Dans cette forme de menace, l’attaque est menée par un groupe RaaS professionnel qui héberge et distribue son propre logiciel malveillant, collecte les paiements auprès des victimes et rétablit l’accès (dans l’idéal) en échange d’une part de la rançon. Le RaaS permet à des cybercriminels moins expérimentés sur le plan technique, voire amateurs, de mener une attaque par ransomware hautement efficace. Pour les créateurs des logiciels malveillants utilisés, mener l’attaque au nom de leur client permet de gagner facilement de l’argent tout en prenant moins de risques. Les groupes RaaS peuvent utiliser n’importe quel type de logiciel malveillant de leur choix, mais parmi les formes courantes, on trouve LockBit, Black Basta et BlackMatter, le successeur de DarkSide.

4. Logiciels de chantage
» (logiciels d’extorsion) : aggravant la menace des ransomwares classiques, les « extortionwares » vont au-delà du chiffrement en menaçant de divulguer des données propriétaires ou des informations d’identification personnelle (PII) concernant leurs cibles, à moins qu’un paiement ne soit effectué. Lorsque de telles attaques visent une victime individuelle – une variante également connue sous le nom de « doxware » –, cette divulgation peut exposer la personne à un risque d’humiliation publique, à la ruine de sa carrière ou de ses relations personnelles, voire à des dommages physiques. Lorsque la cible de l’attaquant s’étend plus largement à une organisation dans son ensemble — c’est-à-dire le « leakware » —, l’impact potentiel s’apparente à celui de tout autre type de fuite de données, notamment l’embarras public, la détérioration des relations avec les clients et des relations commerciales, ainsi que des amendes réglementaires. Parmi les logiciels couramment utilisés dans différents types d’attaques par extortionware, on peut citer DoppelPaymer, Revil et EvilQuest.

5. Le logiciel malveillant « Wiper »
malveillants de type « wiper » Bien qu’ils ne correspondent pas à la définition classique d’un rançongiciel, les attaques par logiciels malveillants de type « wiper » se font souvent passer pour des rançongiciels ; il est donc important de comprendre en quoi ils diffèrent. À l’instar des rançongiciels, les logiciels malveillants de type « wiper » restreignent l’accès de l’utilisateur à ses données. Comme lors d’une attaque par rançongiciel, les cybercriminels exigent souvent un paiement, utilisant parfois un compte à rebours pour renforcer l’effet dramatique. Mais il existe une différence fondamentale : dans la plupart des cas, les auteurs d’une attaque par logiciel de destruction n’ont aucune intention de rétablir l’accès de la victime à ses données. Leur objectif principal est de semer le chaos en détruisant définitivement les données, et l’argent qu’ils en tirent n’est qu’un bonus pour un travail bien fait. Parmi les logiciels utilisés lors d’attaques par logiciels de destruction, on peut citer NotPetya et KillDisk.

6. Scareware
Souvent efficaces contre des victimes peu averties, les scarewares sont de faux logiciels qui prétendent avoir détecté un virus ou un autre problème sur votre ordinateur et vous incitent à payer pour résoudre le problème. Une alerte contextuelle – ou une avalanche d’alertes – exhorte l’utilisateur à télécharger un outil ou un service pour résoudre le problème. Bien sûr, c’est ce logiciel téléchargé qui permet en réalité à l’attaquant d’accéder au système. À ce stade, certains types de scareware verrouillent l’ordinateur et exigent une rançon, bien qu’ils n’endommagent généralement pas le système ni ne compromettent les fichiers. Parmi les formes courantes de scareware, on peut citer Mac Defender et WinFixer.

d’attaques par ransomware

9 attaques par ransomware bien connues

Une liste exhaustive des attaques par ransomware rendues publiques serait bien trop longue pour être lue, et de nombreuses victimes préfèrent, à juste titre, garder le silence (même si les sociétés cotées en bourse sont tenues par la SEC de signaler les cyberattaques). Quelques exemples très médiatisés suffisent toutefois à illustrer clairement les dégâts potentiels, qu’il s’agisse des rançons versées ou de leurs répercussions plus larges.

1) CryptoLocker (2013-2014) – Comptant parmi les premières attaques majeures de type « ransomware », se propageant via des pièces jointes infectées et le botnet Gameover ZeuS, CryptoLocker a permis de soutirer environ 3 millions de dollars à diverses petites et moyennes entreprises.

2) WannaCry (2017) – Cette attaque mondiale a touché plus de 230 000 ordinateurs dans 150 entreprises. Le Service national de santé britannique (NHS) a subi des pertes estimées à 92 millions de dollars, sans compter les difficultés incalculables causées aux patients, aux professionnels de santé et aux établissements. Les pertes totales à l’échelle mondiale ont atteint 4 milliards de dollars.

3) Petya/NotPetya (2017) – Cette campagne, qui a connu un immense succès, a entraîné 10 milliards de dollars de pertes à l’échelle mondiale, dont 300 millions de dollars pour la compagnie maritime Maersk.

4) GandCrab (2018-2019) – Ciblant de nombreuses petites et moyennes entreprises plutôt que quelques victimes fortunées, GandCrab a causé des dommages estimés à 2 milliards de dollars au total à l’échelle mondiale.

5) REvil/Sodinokibi (2021) – Impliqué dans plus d’un cinquième des interventions d’IBM en matière de gestion des incidents en 2022, REvil aurait infecté environ 175 000 ordinateurs à travers le monde, pour un montant total de rançons versées estimé à au moins 200 millions de dollars. À elle seule, la société JBS Foods aurait versé 11 millions de dollars.

6) Maze (2019-2020) – Le cabinet de conseil en informatique Cognizant a été durement touché par la variante de ransomware Maze. L’entreprise a déclaré des pertes directes liées à la Recovery comprises entre 50 et 70 millions de dollars ; si l’on ajoute à cela le manque à gagner, l’impact financier total a été estimé à pas moins de 140 millions de dollars.

7) Ryuk (2020) – Une cyberattaque visant Universal Health Services a touché 250 établissements de soins aux États-Unis. Son impact à long terme est difficile à évaluer, mais les pertes à court terme se sont élevées à 67 millions de dollars.

8) DarkSide (2021) – Surtout connue pour son impact sur Colonial Pipeline, cette attaque de type « RaaS » (Ransomware-as-a-Service) a permis aux pirates d’obtenir une rançon de 4,4 millions de dollars – mais ce n’est qu’une partie de l’histoire. Les pirates ont également dérobé environ 100 Go de données sur les serveurs de l’entreprise. Parallèlement, une pénurie généralisée de carburant et une flambée des prix se sont répercutées sur les marchés de la consommation, des entreprises et financiers.

9) ALPHV/BlackCat et Scattered Spider (2023) – Ces groupes de ransomware ont collaboré pour mener une attaque contre MGM Resorts, obtenant un premier accès grâce à des techniques d’ingénierie sociale sur LinkedIn. Malgré des perturbations importantes de ses activités et de l’expérience client pendant près de deux semaines, l’entreprise a refusé de payer la rançon – mais a subi une perte de chiffre d’affaires et d’autres préjudices estimés à 100 millions de dollars.

Menaces liées aux rançongiciels

Les 12 menaces de ransomware les plus graves à l’heure actuelle

Le paysage actuel des ransomwares est de plus en plus fragmenté. Alors que de nombreuses souches anciennes bien connues ont évolué, changé de nom ou cessé leurs activités, de nouveaux groupes continuent d’apparaître. La plupart d’entre eux prennent la forme de RaaS (Ransomware as a Service) et recourent à des tactiques de double extorsion, dans lesquelles des rançons distinctes doivent être versées pour le décryptage et la suppression des données volées.

Voici une douzaine de menaces de ransomware dont vous devez être conscient dès maintenant.

1) LockBit – Mis en œuvre par un groupe RaaS extrêmement sophistiqué, LockBit est l’un des ransomwares les plus prolifiques et les plus destructeurs au monde. Il utilise des outils natifs de Windows pour échapper à la détection, dissimule son fichier exécutable sous la forme d’un fichier .PNG et peut se propager de manière autonome sur un réseau avec un minimum d’intervention manuelle. Un marketing agressif, une interface conviviale et un modèle de partage des bénéfices attractif ont alimenté sa popularité croissante.

2) PLAY – Également connue sous le nom de PlayCrypt, cette cybermenace sophistiquée a fait son apparition en juin 2022 et cible principalement l’Amérique latine. Actuellement disponible sous forme de RaaS, PLAY exploite les vulnérabilités d’infrastructures accessibles au public, telles que le VPN SSL de Fortinet et le ProxyNotShell de Microsoft Exchange, et utilise des comptes valides compromis pour obtenir un accès initial.

3) Black Basta – Depuis début 2022, Black Basta figure parmi les groupes RaaS les plus actifs au monde. Ce groupe recourt à une tactique de double chantage : il chiffre les données de ses victimes, puis menace de publier des informations sensibles. Faisant évoluer ses tactiques en permanence, Black Basta a récemment intégré les attaques DDoS par e-mail et le hameçonnage vocal (vishing) à ses attaques.

4) RansomHub – Relativement récent mais en pleine expansion, le groupe RansomHub, qui opère sous le modèle RaaS (Ransomware-as-a-Service), cible des secteurs d’infrastructures critiques tels que la santé, la gestion de l’eau, les services financiers et les services publics. Des tactiques courantes telles que le phishing, l’exploitation de vulnérabilités et le « password spraying », associées à des outils de contournement des solutions EDR (Endpoint Detection and Response), ont permis au groupe de s’introduire chez plus de 200 victimes, parmi lesquelles la maison de ventes aux enchères Christie’s et Change Healthcare.

5) Hunters International – Probablement une version rebaptisée de Hive, Hunters International fonctionne comme un RaaS (Ransomware-as-a-Service) axé principalement sur l’exfiltration de données et l’extorsion plutôt que sur le chiffrement de fichiers. Écrit en Rust, ce qui renforce sa capacité à échapper à la détection et à accélérer le chiffrement, ce logiciel malveillant est connu pour sa capacité à tuer des processus, à supprimer des sauvegardes et à désactiver les mécanismes de récupération.

6) Akira – Encore un autre RaaS connu pour ses tactiques de double extorsion, Akira s’est rapidement imposé comme l’une des principales menaces mondiales en matière de ransomware. Les rançons exigées varient généralement entre 200 000 dollars et plus de 4 millions de dollars, la plupart des victimes appartenant aux secteurs de l’éducation, de la finance, de l’industrie et de la santé.

7) Medusa – Se propageant rapidement via ses affiliés à travers le monde, le RaaS Medusa obtient généralement un accès initial en exploitant des services vulnérables ou par le biais de campagnes de hameçonnage. Une fois infiltré, il arrête plus de 280 services et processus Windows afin de faciliter le chiffrement. Les blogs dénonçant les victimes, tant sur le dark web que sur le web de surface, ont contribué à sa notoriété au sein de la communauté de la cybersécurité.

8) BianLian – Actuellement l’une des principales menaces mondiales en matière de ransomware, BianLian s’est récemment réorienté, passant des attaques par chiffrement aux attaques par extorsion. S’introduisant souvent via des identifiants RDP compromis, le groupe utilise des outils open source et des scripts en ligne de commande pour collecter des identifiants et repérer des données, puis exfiltre ces dernières via des services de partage de fichiers tels que FTP, Rclone ou Mega.

9) 8Base – Apparu pour la première fois en 2022 sous le couvert de testeurs d’intrusion, le groupe 8Base mène désormais des opérations de double chantage à l’encontre de petites et moyennes entreprises aux États-Unis, au Brésil et au Royaume-Uni. Son logiciel malveillant désactive les composants de Windows Defender, supprime les clichés instantanés, efface les journaux d’événements et modifie les entrées du registre afin de contourner le Contrôle d’accès utilisateur et d’assurer sa persistance.

10) INC Ransomware – Depuis juillet 2023, cette opération s’introduit via des e-mails de spear-phishing ou en exploitant des services vulnérables, puis utilise une combinaison d’outils commerciaux et de binaires « living-off-the-land » (LOLBIN) pour mener des opérations de reconnaissance et de déplacement latéral. Le groupe propose cyniquement le « service » de révéler ses méthodes afin de sécuriser davantage l’environnement de la victime, moyennant paiement.

11) Qilin – Exploitant à l’origine son service RaaS sous le nom d’Agenda, Qilin utilise une stratégie de double extorsion avec des demandes de rançon allant de 50 000 à 800 000 dollars. Un logiciel malveillant sophistiqué, écrit à la fois en Golang et en Rust, obtient un accès initial par le biais d’e-mails de hameçonnage et de réseaux VPN ne disposant pas d’authentification multifactorielle. Des fonctionnalités personnalisables, telles que la modification des extensions de fichiers et l’arrêt de processus spécifiques, rendent ce service extrêmement adaptable.

12) Vanir Group – Depuis ses débuts en juillet 2024, le groupe Vanir Group, spécialisé dans le RaaS, a noué des liens avec d’anciens membres d’autres groupes de ransomware notoires, ce qui lui a permis de gagner rapidement en sophistication. Ce groupe est connu à la fois pour son apparence de professionnalisme et pour ses tactiques très agressives, telles que l’envoi de messages intimidants aux PDG afin de renforcer le caractère urgent de leurs demandes de double extorsion.

Tant les types de logiciels de rançongiciel que les tactiques des groupes qui les utilisent sont en constante évolution. Il est impossible de se protéger totalement contre une intrusion, mais en accordant une attention constante à la protection des données, à la Backup and Recovery, ainsi qu’aux capacités de cyber-résilience, vous pouvez atténuer le risque que représentent ces menaces. Soyez vigilant, soyez prêt, et vous contribuerez àassurer la continuité de vos activités quoi qu’il arrive.