Ransomware : anatomie d'une attaque et comment s'en protéger

En 2024, le coût global des ransomwares a dépassé 20 milliards de dollars. Des hôpitaux aux PME, personne n'est épargné. Comprendre comment fonctionne une attaque de A à Z — de la compromission initiale au chiffrement des données — est la première étape pour construire une défense efficace.

Qu'est-ce qu'un ransomware ?

Un ransomware (ou rançongiciel) est un logiciel malveillant qui chiffre les fichiers d'une victime et exige une rançon en échange de la clé de déchiffrement. Les variantes modernes combinent chiffrement, exfiltration de données (double extorsion) et menace de publication publique.

• Ransomware-as-a-Service (RaaS) : des groupes criminels vendent leur infrastructure à des affiliés
• Double extorsion : chiffrement + menace de publication des données volées
• Triple extorsion : attaque DDoS en parallèle pour maximiser la pression
• Temps moyen entre compromission et chiffrement : 3 à 14 jours (dwell time)

Anatomie d'une attaque en 6 phases

Phase 1 — Compromission initiale (Initial Access)

Les vecteurs d'entrée les plus courants en 2024 :

• Phishing ciblé (spear-phishing) avec pièce jointe malveillante ou lien vers un faux portail
• Exploitation de VPN vulnérables (Fortinet, Citrix, Ivanti) — souvent via des CVE critiques non patchés
• Accès RDP exposé sur Internet avec credentials faibles ou volés
• Supply chain compromise : attaque via un prestataire ou un logiciel tiers
• Achat d'accès initial sur des forums criminels (Initial Access Brokers)

Phase 2 — Persistance et élévation de privilèges

Une fois l'accès obtenu, l'attaquant s'installe discrètement et cherche à devenir administrateur.

# Techniques courantes observées
- Création de comptes backdoor (administrateurs locaux)
- Modification des clés de registre Run/RunOnce (Windows)
- Installation de RAT (Remote Access Trojan) : Cobalt Strike, Metasploit
- Exploitation de Kerberoasting pour obtenir des tickets de service
- Pass-the-hash / Pass-the-ticket pour se déplacer latéralement

Phase 3 — Reconnaissance interne

L'attaquant cartographie le réseau pendant plusieurs jours ou semaines en restant sous le radar des outils de détection.

• Scan du réseau interne (nmap, BloodHound pour Active Directory)
• Identification des sauvegardes, des serveurs critiques, du domaine Active Directory
• Collecte d'informations sur la valeur des actifs pour calibrer la rançon
• Désactivation progressive des outils de sécurité (antivirus, EDR)

Phase 4 — Exfiltration des données

Avant de chiffrer, les données sensibles sont copiées vers des serveurs contrôlés par l'attaquant. C'est la base de la double extorsion.

Phase 5 — Chiffrement

Le chiffrement est déclenché simultanément sur tous les systèmes compromis, souvent en dehors des heures ouvrées (nuit, week-end). Les algorithmes utilisés sont robustes : AES-256 pour les fichiers, RSA-2048 ou ChaCha20 pour la clé de session.

# Comportement typique lors du chiffrement
1. Suppression des shadow copies Windows (vssadmin delete shadows /all)
2. Désactivation du pare-feu Windows
3. Arrêt des services de base de données (SQL, Oracle) et de backup
4. Chiffrement récursif de tous les fichiers (souvent avec extension renommée)
5. Dépôt d'une note de rançon dans chaque dossier (README.txt)

Phase 6 — Extorsion

La victime est contactée via un portail Tor avec un délai de paiement. En cas de non-paiement, les données sont publiées sur un "leak site" accessible sur le dark web.

Stratégies de défense

La règle 3-2-1-1-0 des sauvegardes

La défense la plus efficace contre un ransomware reste une stratégie de sauvegarde robuste.

• 3 copies des données
• 2 supports différents (disque + cloud)
• 1 copie hors site (offsite)
• 1 copie air-gapped (déconnectée du réseau)
• 0 erreur de restauration — testez vos sauvegardes régulièrement !

Segmentation réseau

Limiter la propagation latérale est essentiel pour contenir une attaque.

# Exemple de segmentation avec UFW sur Linux
# Autoriser uniquement les VLAN nécessaires entre segments
ufw allow from 192.168.10.0/24 to 192.168.20.0/24 port 3306  # MySQL entre app et DB
ufw deny from 192.168.10.0/24 to 192.168.30.0/24              # Pas d'accès au segment backup
ufw allow from 192.168.40.0/24 to 192.168.30.0/24             # Seul le VLAN backup peut écrire

Mesures techniques prioritaires

1. 1Patcher en urgence les VPN, RDP et équipements réseau exposés sur Internet
2. 2Activer l'authentification multi-facteurs (MFA) sur tous les accès distants
3. 3Désactiver RDP sur Internet, utiliser un bastion SSH ou un VPN
4. 4Déployer un EDR (Endpoint Detection and Response) sur tous les postes
5. 5Appliquer le principe du moindre privilège sur les comptes Active Directory
6. 6Mettre en place un SIEM pour détecter les comportements anormaux
7. 7Former les équipes à reconnaître les emails de phishing

Que faire si vous êtes victime ?

1. 1Isoler immédiatement les machines touchées du réseau (couper les câbles ethernet, Wi-Fi)
2. 2Ne pas éteindre les machines — des artefacts forensiques en mémoire peuvent aider l'investigation
3. 3Contacter une équipe de réponse à incident (CERT, prestataire spécialisé)
4. 4Signaler à la CNIL si des données personnelles sont compromises (72h légales en RGPD)
5. 5Déposer plainte (OCLCTIC en France)
6. 6Identifier la souche ransomware sur nomoreransom.org — des déchiffreurs existent pour certaines variantes

Ressources utiles

• No More Ransom — base de données de déchiffreurs gratuits (projet Europol)
• ANSSI — guides et recommandations pour les entreprises françaises
• CISA KEV — catalogue officiel des vulnérabilités activement exploitées
• ID Ransomware — identifier la souche à partir d'un fichier chiffré