Qu'est-ce que le logiciel rançonneur ?

Comment fonctionne le logiciel rançonneur

Pour réussir, le logiciel rançonneur doit accéder à un système cible, crypter les fichiers qui s'y trouvent et demander une rançon à la victime.
Si les détails de la mise en œuvre varient d'une variante du logiciel rançonneur à l'autre, toutes partagent les mêmes trois étapes fondamentales

• Étape 1. Vecteurs d'infection et de distribution

Le logiciel rançonneur, comme tout logiciel malveillant, peut accéder aux systèmes d'une organisation de différentes manières. Cependant, les opérateurs du logiciel rançonneur ont tendance à privilégier quelques vecteurs d'infection spécifiques.

L'un d'entre eux est l'hameçonnage (phishing). Un courriel malveillant peut contenir un lien vers un site web hébergeant un téléchargement malveillant ou une pièce jointe intégrant une fonctionnalité de téléchargement. Si le destinataire du courrier électronique tombe dans le panneau, le logiciel rançonneur est téléchargé et exécuté sur son ordinateur.

Un autre vecteur d'infection populaire du logiciel rançonneur tire parti de services tels que le protocole de bureau à distance (RDP). Avec RDP, un pirate qui a volé ou deviné les identifiants de connexion d'un employé peut les utiliser pour s'authentifier et accéder à distance à un ordinateur au sein du réseau de l'entreprise. Avec cet accès, l'attaquant peut directement télécharger le logiciel malveillant et l'exécuter sur la machine qu'il contrôle.

D'autres peuvent tenter d'infecter directement les systèmes, comme WannaCry qui a exploité la vulnérabilité EternalBlue. La plupart des variantes du logiciel rançonneur ont plusieurs vecteurs d'infection.

En 2025, les attaques par logiciels rançonneurs exploitent fréquemment les vulnérabilités des fournisseurs tiers d'une organisation, les considérant comme un point d'entrée plus faible. Cela commence souvent par des identifiants compromis ou des logiciels non mis à jour dans le système d’un fournisseur, permettant aux pirates d’obtenir un accès initial. À partir de là, les cybercriminels exploitent la connexion de confiance entre le fournisseur et l’organisation cible pour se déplacer latéralement et déployer des logiciels rançonneurs, contournant ainsi les défenses directes de l’entreprise principale.  

• Étape 2. Chiffrement des données

 Une fois que le logiciel rançonneur a accédé à un système, il peut commencer à crypter ses fichiers. La fonctionnalité de chiffrement étant intégrée dans un système d'exploitation, il s'agit simplement d'accéder aux fichiers, de les chiffrer à l'aide d'une clé contrôlée par l'attaquant et de remplacer les originaux par les versions chiffrées. La plupart des variantes du logiciel rançonneur sont prudentes dans leur sélection de fichiers à crypter afin de garantir la stabilité du système. Certaines variantes prennent également des mesures pour supprimer les copies de sauvegarde et les copies d'ombre des fichiers afin de rendre plus difficile la récupération sans la clé de décryptage.

• Étape 3. Demande de rançon

Une fois le chiffrement du fichier terminé, le logiciel rançonneur est prêt à demander une rançon. Les différentes variantes du logiciel rançonneur mettent cela en œuvre de différentes manières, mais il n'est pas rare que l'arrière-plan de l'écran soit remplacé par une note de rançon ou que des fichiers texte soient placés dans chaque répertoire crypté contenant la note de rançon. Généralement, ces billets exigent un montant déterminé de crypto-monnaie en échange de l'accès aux fichiers de la victime. Si la rançon est payée, l'opérateur du logiciel rançonneur fournira soit une copie de la clé privée utilisée pour protéger la clé de chiffrement symétrique, soit une copie de la clé de chiffrement symétrique elle-même. Ces informations peuvent être saisies dans un programme de décryptage (également fourni par le cybercriminel) qui peut les utiliser pour inverser le chiffrement et restaurer l'accès aux fichiers de l'utilisateur.

Bien que ces trois étapes fondamentales existent dans toutes les variantes du logiciel rançonneur, les différents logiciels rançonneur peuvent inclure des implémentations différentes ou des étapes supplémentaires. Par exemple, des variantes du logiciel rançonneur comme Maze analysent les fichiers, les informations du registre et le vol de données avant le chiffrement des données, et le logiciel rançonneur WannaCry recherche d'autres appareils vulnérables à infecter et à chiffrer.

Logiciel rançonneur populaire Variantes

Il existe des dizaines de variantes du logiciel rançonneur, chacune ayant ses propres caractéristiques. Cependant, certains groupes de logiciel rançonneur ont été plus prolifiques et ont connu plus de succès que d'autres, ce qui les a fait sortir du lot.

1.Ransomhub 

RansomHub, un important groupe de ransomware-as-a-service (RaaS) apparu en février 2024, s'est rapidement fait connaître en attirant des affiliés issus de groupes en rupture tels que ALPHV et LockBit. Malgré un faible taux de paiement, leur modèle de partage des bénéfices élevé (90 %) a entraîné une recrudescence des attaques, en particulier en juillet et août 2024, visant principalement des entreprises américaines et brésiliennes. RansomHub’s logiciel rançonneur, écrit en Golang et C++, est connu pour son chiffrement rapide, l’utilisation de EDRKillShifter, et la mise en œuvre récente du chiffrement à distance. Cependant, le 1er avril 2025, RansomHub’s les opérations ont cessé, les filiales se seraient tournées vers Qilin et DragonForce revendiquant le contrôle, marquant ainsi sa disparition dans le paysage des logiciels rançonneurs. 

2.Akira

Akira, une variante de logiciels rançonneurs identifiée pour la première fois au premier trimestre 2023, cible à la fois Windows et les systèmes Linux utilisant le chiffrement ChaCha2008. Il s’infiltre dans les systèmes via des e-mails de phishing et des vulnérabilités VPN, puis utilise des tactiques telles que LOLBins et le dumping d’identifiants pour échapper à la détection et obtenir des privilèges. Akira utilise le chiffrement intermittent pour éviter les solutions de sécurité et supprime des copies fantômes pour entraver la récupération. Le groupe effectue également des attaques par extorsion uniquement, volant des données et exigeant une rançon sans chiffrement. Akira exige des rançons importantes, ciblant principalement les grandes entreprises d’Amérique du Nord, d’Europe et d’Australie, en particulier dans les secteurs de l’éducation, de la finance, de l’industrie manufacturière et de la santé. Pour atténuer les attaques d’Akira, les organisations doivent mettre en œuvre des formations de sensibilisation à la cybersécurité, des solutions anti-logiciels rançonneurs, des sauvegardes régulières des données, la gestion des correctifs, une authentification forte des utilisateurs (MFA) et la segmentation du réseau.

3. Jouez

Le Play Ransomware Group, également connu sous le nom de Play ou Playcrypt, est apparu comme une entité cybercriminelle importante depuis 2022, compromettant avec succès plus de 300 organisations à travers le monde, y compris des cibles de premier plan telles que Microsoft Cuba, la ville d’Oakland et le gouvernement suisse. Ce groupe emploie des tactiques uniques telles que le chiffrement intermittent, qui ne recours au chiffrement que de certaines parties des fichiers afin d’échapper à la détection, et la double extorsion, où ils non seulement effectuent le chiffrement des données, mais les exfiltrent également et menacent de les rendre publiques si une rançon n’est pas versée. Play exploite les vulnérabilités dans FortiOS et les serveurs RDP exposés pour l’accès initial, puis distribuant les charges utiles des logiciels rançonneurs via des objets de stratégie de groupe sous forme de tâches planifiées. Ils gèrent un blog Tor pour faire connaître leurs attaques et les données qu’ils ont volées, afin de faire pression sur les victimes pour qu’elles se soumettent.

4.Clop

Cl0p est un logiciel rançonneur c'est-à-dire une variante de Cryptomix logiciel malveillant. Ils'agit d'une menace sophistiquée fonctionnant comme un Ransomware-as-a-Service (RaaS) qui cible principalement les secteurs traitant des données sensibles, tels que la santé et la finance. Elle utilise une stratégie de double extorsion, effectuant le chiffrement des données et menaçant de divulguer publiquement les informations volées si une rançon n'est pas payée. Les méthodes de distribution de Cl0p comprennent les e-mails de phishing et l'exploitation de vulnérabilités zero-day, ce qui rend sa prévention difficile . Ce logiciel rançonneur est connu pour son code signé numériquement, ses demandes de rançon élevées, son utilisation de SDBOT pour s’auto-propager et sa préférence pour les réseaux d’entreprise. Pour prévenir les attaques Cl0p, les organisations doivent mettre en place une détection des menaces assistée par IA, une surveillance constante, la vérification des journaux pour détecter toute activité inhabituelle, une formation complète des employés sur le phishing, une mise en quarantaine rapide des systèmes infectés et des protocoles d’authentification forts. 

5.Qilin

Qilin opère en tant que Ransomware-as-a-Service (RaaS) de premier plan, utilisant un logiciel rançonneur hautement personnalisable, basé sur Rust pour cibler des organisations de divers secteurs à l’échelle mondiale. Ce groupe a connu un essor considérable en avril 2025, se hissant en tête de liste des attaques par logiciels rançonneurs. Qilin utilise une technique de double extorsion , non seulement en effectuant un chiffrement des fichiers des victimes et en exigeant une rançon pour les décrypter, mais aussi avec l'exfiltration de données sensibles et menaçant de les divulguer même si la rançon est payée. Leurs tactiques sophistiquées consistent notamment à adapter leurs attaques à chaque victime, à modifier les extensions de nom de fichier, à terminer des processus spécifiques et à proposer différents modes de chiffrement. Qilin fait la promotion de ses services sur le dark web, présentant un site propriétaire de fuite de données (DLS) avec des identifiants d’entreprise uniques et des détails de comptes volés, et aurait gagné des affiliés après la fermeture de RansomHub .

6.Ryuk

Ryuk est un exemple de variante très ciblée du logiciel rançonneur. Il est généralement diffusé par le biais de courriels de hameçonnage ou en utilisant des informations d'identification compromises pour se connecter à des systèmes d'entreprise à l'aide du protocole de bureau à distance (RDP). Une fois le système infecté, Ryuk crypte certains types de fichiers (en évitant ceux qui sont essentiels au fonctionnement de l'ordinateur), puis présente une demande de rançon.

Ryuk est réputé pour être l'un des logiciels rançonneur les plus chers qui soient. Ryuk exige des rançons qui moyenne supérieure à 1 million de dollars. Par conséquent, les cybercriminels qui se cachent derrière Ryuk se concentrent principalement sur les entreprises qui disposent des ressources nécessaires pour répondre à leurs demandes.

7. Maze

Les Labyrinthe logiciel rançonneur est célèbre pour avoir été la première variante de logiciel rançonneur à combinez le chiffrement des fichiers et le vol de données. Lorsque les cibles ont commencé à refuser de payer les rançons, Maze a commencé à collecter des données sensibles sur les ordinateurs des victimes avant de les crypter. Si la demande de rançon n'est pas satisfaite, ces données sont exposées publiquement ou vendues au plus offrant. La possibilité d'une violation coûteuse des données a été utilisée comme une incitation supplémentaire à payer.

Le groupe à l'origine du logiciel rançonneur Maze a a officiellement mis fin à ses activités. Cela ne signifie pas pour autant que la menace du logiciel rançonneur a été réduite. Certains affiliés de Maze sont passés à l'utilisation du logiciel rançonneur Egregor, et les variantes Egregor, Maze et Sekhmet auraient une source commune.

8.REvil (Sodinokibi)

Le groupe REvil (également connu sous le nom de Sodinokibi ) est une autre variante du logiciel rançonneur qui cible les grandes entreprises.

REvil est l'une des familles de logiciels rançonneur les plus connues sur le net. Le groupe logiciel rançonneur, exploité par le groupe russophone REvil depuis 2019, est à l'origine de nombreuses brèches importantes telles que "Kaseya" et "JBS

Il est en concurrence avec Ryuk depuis plusieurs années pour le titre de variante la plus chère du logiciel rançonneur. REvil est connu pour avoir exigeait le paiement d'une rançon de 800 000 dollars.

Si REvil a commencé comme une variante traditionnelle du logiciel rançonneur, il a évolué au fil du temps.
Il utilise la technique de la double extorsion pour voler les données des entreprises tout en chiffrant les fichiers. Cela signifie qu'en plus d'exiger une rançon pour décrypter les données, les attaquants peuvent menacer de divulguer les données volées si un second paiement n'est pas effectué.

9. Lockbit

LockBit est un logiciel malveillant de chiffrement de données en activité depuis septembre 2019 et un récent logiciel rançonneur-as-a-Service (RaaS). Ce logiciel rançonneur a été développé pour crypter rapidement les grandes organisations afin d'empêcher sa détection rapide par les dispositifs de sécurité et les équipes IT/SOC. 

10. DearCry

En mars 2021, Microsoft a publié des correctifs pour quatre vulnérabilités au sein des serveurs Microsoft Exchange. DearCry est une nouvelle variante du logiciel rançonneur conçue pour tirer parti de quatre vulnérabilités récemment révélées dans Microsoft Exchange.

Le logiciel DearCry rançonneur crypte certains types de fichiers. Une fois le cryptage terminé, DearCry affiche un message de rançon demandant aux utilisateurs d'envoyer un courrier électronique aux opérateurs du logiciel rançonneur afin d'apprendre comment décrypter leurs fichiers.

11. Lapsus$

Lapsus$ est un gang sud-américain de logiciels rançonneur qui a été associé à des cyberattaques visant des cibles de premier plan. Ce cyber-gang est connu pour ses pratiques d'extorsion, menaçant de divulguer des informations sensibles si ses victimes ne se plient pas à ses exigences. Le groupe s'est vanté d'avoir pénétré chez Nvidia, Samsung, Ubisoft et d'autres. Le groupe utilise un code source volé pour déguiser des fichiers logiciels malveillants en fichiers dignes de confiance.

Secteurs couramment visés par les logiciels rançonneurs

Les logiciels rançonneurs peuvent cibler n’importe quelle entreprise, tous secteurs confondus. Cependant, ils sont généralement déployés dans le cadre d’une campagne de cybercriminalité qui vise souvent un secteur particulier. En 2023, les cinq principaux secteurs ciblés par les logiciels rançonneurs sont les suivants :

• Éducation/Recherche : le secteur de l'éducation/recherche a subi 2 046 attaques par logiciels rançonneurs en 2023, soit une baisse de 12 % par rapport à l'année précédente.
• Gouvernement/armée : les organisations gouvernementales et militaires ont été le deuxième secteur le plus ciblé, avec 1 598 attaques, soit une baisse de 4 % par rapport à 2022.
• Santé : le secteur de la santé a subi 1 500 attaques, soit une augmentation de 3 %, ce qui est particulièrement préoccupant en raison des données sensibles et des services essentiels qu'il fournit.
• Communications : les organisations de communication ont connu une croissance de 8 % en 2023, avec un total de 1 493 attaques connues.
• FAI/MSP : les FAI et les MSP, cibles fréquentes des logiciels rançonneurs en raison de leur vulnérabilité aux attaques visant la chaîne d'approvisionnement, ont subi 1 286 attaques de logiciels rançonneurs en 2023, soit une baisse de 6 %.

Comment supprimer le logiciel rançonneur ?

Un message de rançon n'est pas quelque chose que l'on souhaite voir sur son ordinateur, car il indique que l'infection par le logiciel rançonneur a réussi. À ce stade, certaines mesures peuvent être prises pour répondre à une infection par un logiciel rançonneur actif, et une organisation doit faire le choix de payer ou non la rançon.

• Comment atténuer une infection par un logiciel rançonneur actif ?

De nombreuses attaques réussies du logiciel rançonneur ne sont détectées qu'après le chiffrement des données et l'affichage d'une note de rançon sur l'écran de l'ordinateur infecté. À ce stade, les fichiers cryptés sont probablement irrécupérables, mais certaines mesures doivent être prises immédiatement :

1. Mettez la machine en quarantaine : Certaines variantes du logiciel rançonneur tentent de se propager aux lecteurs connectés et à d'autres machines. Limitez la propagation du logiciel malveillant en supprimant l'accès à d'autres cibles potentielles.
2. Laissez l'ordinateur allumé : le chiffrement des fichiers peut rendre l'ordinateur instable et la mise hors tension de l'ordinateur peut entraîner la perte de la mémoire volatile. Laissez l'ordinateur allumé pour maximiser les chances de récupération.
3. Créez une sauvegarde : Le décryptage des fichiers de certaines variantes du logiciel rançonneur est possible sans payer la rançon. Faites une copie des fichiers cryptés sur un support amovible au cas où une solution serait disponible à l'avenir ou si une tentative de décryptage échouée endommageait les fichiers.
4. Vérifiez s'il existe des décrypteurs : Consultez le projet No More Ransom pour voir si un décrypteur gratuit est disponible. Si c'est le cas, exécutez-le sur une copie des données cryptées pour voir s'il peut restaurer les fichiers.
5. Demandez de l'aide : Les ordinateurs stockent parfois des copies de sauvegarde des fichiers qu'ils contiennent. Un expert en criminalistique numérique peut être en mesure de récupérer ces copies si elles n'ont pas été supprimées par le logiciel malveillant.
6. Effacer et restaurer : Restaurez la machine à partir d'une sauvegarde propre ou d'une installation du système d'exploitation. Cela permet de s'assurer que le logiciel malveillant est complètement supprimé de l'appareil.