Le 19 février 2024, Europol, le FBI et une coalition de forces de l'ordre de dix pays ont annoncé l'opération Cronos : les serveurs de LockBit avaient été saisis, son site de fuites avait été remplacé par une page d'information policière, et plusieurs membres du groupe avaient été arrêtés ou identifiés. Le groupe qui avait dominé le paysage ransomware depuis 2019, responsable de plus de 2 000 victimes connues selon Europol, venait de subir la perturbation la plus significative de son existence. Quatre jours après l'annonce, LockBit avait lancé un nouveau site de fuites et déclaré reprendre ses opérations. Le démantèlement avait causé des dégâts réels, mais le groupe n'avait pas été éliminé.
Cette séquence, démantèlement partiel suivi de reconstitution rapide, illustre un défi fondamental pour les équipes de sécurité qui cherchent à comprendre le paysage des ransomwares : les groupes sont résilients, adaptatifs, et souvent plus organisés qu'on ne le perçoit depuis l'extérieur. Suivre les groupes ransomware comme des entités dynamiques, comprendre leurs tactiques spécifiques, leurs ciblages, et leurs évolutions, est plus utile pour la défense qu'une simple liste de groupes actifs.
LockBit a fonctionné selon un modèle Ransomware-as-a-Service (RaaS) dans lequel des développeurs maintiennent le logiciel et l'infrastructure, et des affiliés conduisent les attaques en échange d'une part des rançons, généralement entre 70 et 80% pour l'affilié. Cette structure distribuée est ce qui a rendu LockBit particulièrement difficile à perturber : démanteler les développeurs centraux impacte l'infrastructure, mais les affiliés peuvent migrer vers d'autres programmes RaaS et continuer leurs opérations.
LockBit 3.0, la troisième itération majeure du malware, a introduit un modèle inédit de bug bounty criminel, invitant les chercheurs à identifier des vulnérabilités dans le logiciel ransomware en échange d'une rémunération. Cette approche a démontré que LockBit fonctionnait avec une sophistication opérationnelle dépassant celle de nombreuses organisations légitimes. Les TTPs documentés de LockBit incluent l'exploitation de vulnérabilités dans les accès distants (RDP, VPN), l'achat d'accès auprès d'initial access brokers, et des techniques de living-off-the-land pour se déplacer latéralement avant de déployer le ransomware.
Pour les équipes de défense, le suivi des affiliés de LockBit est aussi important que le suivi du groupe principal. Les affiliés utilisent des TTPs qui leur sont propres, notamment pour l'accès initial, et comprendre la variabilité des comportements affiliés permet de mieux détecter les premières phases d'une attaque LockBit avant que le ransomware ne soit déployé.
En décembre 2023, le FBI a saisi le site de fuites d'ALPHV/BlackCat et offert une clé de déchiffrement à certaines victimes. ALPHV a contre-attaqué en levant la règle qui interdisait aux affiliés d'attaquer les infrastructures critiques, et a prétendu avoir récupéré le contrôle de ses serveurs. Puis, en mars 2024, après qu'un affilié eut extorqué une rançon de 22 millions de dollars à Change Healthcare, une filiale d'UnitedHealth Group, ALPHV a réalisé un "exit scam" : le groupe a disparu avec les fonds sans payer l'affilié ayant conduit l'attaque, emportant potentiellement la totalité des 22 millions de dollars.
L'attaque contre Change Healthcare est l'une des plus coûteuses de l'histoire du ransomware en termes d'impact opérationnel : Change Healthcare traite environ 50% des transactions de santé américaines, et la perturbation de ses systèmes a affecté des milliers de pharmacies, d'hôpitaux et de prestataires de soins pendant des semaines. L'incident a démontré l'impact multiplicateur que peut avoir une attaque ransomware sur une infrastructure de traitement centralisée dans la chaîne d'approvisionnement de la santé.
Pour les équipes de sécurité, l'exit scam d'ALPHV souligne l'importance de surveiller la dynamique interne des groupes criminels : les tensions entre développeurs et affiliés, les disputes sur le partage des rançons, et les signaux de dissolution imminente créent de l'instabilité et des comportements imprévisibles qui peuvent amplifier le risque pour les victimes.
Cl0p s'est distingué des autres groupes ransomware par sa stratégie d'exploitation de vulnérabilités zero-day dans des logiciels de transfert de fichiers largement utilisés. En 2021, le groupe a exploité une vulnérabilité dans Accellion FTA. En 2023, il a exploité CVE-2023-0669 dans GoAnywhere MFT en janvier, puis CVE-2023-34362 dans MOVEit Transfer en mai. Cette dernière campagne a affecté plus de 2 000 organisations selon les estimations, dont des agences gouvernementales américaines, Shell, BBC, et British Airways.
La stratégie de Cl0p diffère du ransomware traditionnel sur un point clé : le groupe n'a pas systématiquement chiffré les systèmes de ses victimes dans la campagne MOVEit. Il a exfiltré des données et menacé de les publier sur son site de fuites si la rançon n'était pas payée, une approche d'extorsion pure sans chiffrement. Cette tactique réduit la complexité opérationnelle pour l'attaquant et maintient les systèmes victimes fonctionnels, ce qui peut compliquer la classification de l'incident et la réponse initiale.
Pour les équipes de défense, le modèle opérationnel de Cl0p implique que la surveillance des vulnérabilités dans les logiciels de gestion de fichiers et de transfert de données est une priorité spécifique. Les produits comme MOVEit Transfer, GoAnywhere, et leurs équivalents sont des cibles de haute valeur pour ce groupe, et l'application rapide des correctifs pour ces systèmes, particulièrement ceux exposés à internet, est une mesure défensive directement informée par l'intelligence sur les TTPs de Cl0p.
Le suivi des groupes ransomware produit de la valeur défensive à plusieurs niveaux. Au niveau tactique, la connaissance des IOCs associés aux groupes actifs, leurs domaines C2, leurs hash de malware, et leurs outils préférés, alimente les systèmes de détection et les règles de blocage. Ces IOCs ont une durée de vie courte, car les opérateurs les remplacent rapidement, mais ils restent utiles pour la détection d'activité en cours.
Au niveau des TTPs, la connaissance des techniques spécifiques utilisées par les groupes ciblant votre secteur informe l'ingénierie de détection : si un groupe utilise systématiquement PsExec pour le mouvement latéral et Cobalt Strike pour la persistance, les règles de détection ciblant ces comportements dans votre environnement sont directement informées par l'intelligence sur ce groupe. Cette approche TTP est plus durable que la chasse aux IOCs car les TTPs changent plus lentement que l'infrastructure.
Au niveau stratégique, la surveillance des annonces de recrutement et des activités des forums RaaS peut fournir un avertissement précoce qu'un groupe cible activement votre secteur. Les affiliés de ransomware cherchent souvent des accès à des secteurs spécifiques, et leurs annonces sur les forums underground précèdent les attaques réelles. La surveillance des sources dark web qui hébergent ces annonces transforme le suivi des ransomwares d'une activité réactive en une capacité de détection précoce.
Au-delà des groupes établis, le paysage ransomware en 2026 est caractérisé par l'émergence régulière de nouveaux opérateurs cherchant à occuper les espaces laissés par les groupes démantelés. Cette dynamique de remplacement signifie que les équipes de sécurité ne peuvent pas se concentrer uniquement sur les groupes historiquement connus : de nouveaux acteurs avec des TTPs empruntés à leurs prédécesseurs mais des caractéristiques propres émergent régulièrement.
L'identification précoce des groupes émergents repose sur la surveillance des forums underground pour les nouvelles annonces de programmes d'affiliation RaaS, le suivi des nouveaux sites de fuites qui apparaissent sur le dark web, et l'analyse des incidents rapportés qui ne correspondent pas aux patterns des groupes connus. Les chercheurs en sécurité partagent ces observations sur des plateformes comme Twitter/X et via des communautés de partage de renseignements, créant un signal agrégé qui peut identifier de nouveaux acteurs avec une latence bien inférieure aux rapports formels.
Pour les équipes de défense, la réponse aux groupes émergents ne peut pas attendre des rapports complets sur leurs TTPs, car ces rapports prennent du temps à être produits. L'approche la plus résiliente est de maintenir des contrôles défensifs couvrant les techniques communes à la plupart des opérations ransomware, indépendamment du groupe spécifique : la protection des accès initiaux couramment exploités (RDP, VPN), la détection des mouvements latéraux, la protection des sauvegardes, et la capacité de réponse aux incidents. Ces contrôles fondamentaux réduisent le risque posé par les groupes connus comme par les acteurs émergents dont les TTPs ne sont pas encore entièrement documentés. La surveillance continue des sources de renseignement sur les menaces est ce qui transforme cette posture défensive générique en une capacité adaptée au paysage actuel des menaces.
Les incidents ransomware culminent fréquemment dans des négociations entre la victime et les opérateurs ransomware, un processus qui a lui-même fait l'objet d'une professionnalisation significative. Comprendre les comportements de négociation des groupes ransomware majeurs, leurs points de référence pour les demandes initiales, leur disposition à réduire leurs exigences, et les conditions dans lesquelles ils honorent leurs engagements de non-publication, est un élément de l'intelligence CTI qui peut avoir des implications directes sur les résultats des incidents.
Les données issues d'incidents publiquement documentés et de rapports de réponse aux incidents montrent que les demandes initiales de rançon varient selon des facteurs incluant le chiffre d'affaires estimé de la victime, le secteur d'activité (les services financiers et la santé étant systématiquement ciblés avec des demandes plus élevées), la criticité des systèmes chiffrés, et le groupe ransomware impliqué. Chaque groupe a des patterns de demande, de négociation, et de comportement post-paiement qui sont documentés dans la littérature de réponse aux incidents.
L'intelligence sur les groupes ransomware révèle également leurs pratiques de double extorsion : la publication de données volées sur leurs sites de leak en l'absence de paiement dans les délais imposés. Comprendre quelles catégories de données un groupe publie typiquement, à quelle vitesse, et si les négociations peuvent réellement retarder ou empêcher la publication, est une information de valeur pour les équipes de réponse aux incidents qui doivent conseiller leurs organisations sur les décisions de paiement. La surveillance des sites de leak ransomware fournit des informations en temps réel sur les nouvelles victimes publiées, les délais de publication observés, et l'évolution des pratiques des groupes, contribuant à la base de connaissance qui guide les décisions de réponse aux incidents dans des situations de haute pression.
Les opérations des forces de l'ordre contre les groupes ransomware ont produit des résultats mitigés. Des opérations comme Cronos contre LockBit en février 2024 ont perturbé l'infrastructure et abouti à des arrestations, mais n'ont pas éliminé le groupe : LockBit a annoncé relancer ses opérations quelques jours après la saisie de son infrastructure. L'expérience montre que les groupes ransomware modernes sont conçus pour la résilience et peuvent se reconstituer rapidement même après des perturbations significatives. Les effets les plus durables des opérations des forces de l'ordre sont la disruption de la confiance dans l'écosystème RaaS (affiliés qui craignent d'être exposés) et la destruction de la réputation des groupes touchés, plutôt que l'élimination complète de la capacité opérationnelle.
Aucune garantie n'est possible dans une transaction avec des acteurs criminels. Les données montrent que la majorité des organisations qui paient reçoivent effectivement un outil de déchiffrement fonctionnel, car les groupes ransomware ont intérêt à maintenir leur réputation de "partenaires fiables" pour que les futures victimes acceptent de payer. En revanche, les engagements de non-publication sont moins fiables : des cas documentés montrent des organisations qui ont payé et dont les données ont quand même été publiées, parfois par des affiliés agissant indépendamment des opérateurs du groupe. Le paiement d'une rançon soulève également des questions légales dans de nombreuses juridictions, notamment concernant le financement de groupes sanctionnés.
Dans un modèle traditionnel, un groupe développe, opère, et distribue son propre ransomware. Dans le modèle RaaS, les développeurs du ransomware fournissent l'outil, l'infrastructure de gestion, et le service de négociation à des affiliés qui gèrent l'accès initial, le déploiement, et la communication avec les victimes. Les revenus sont partagés entre développeurs et affiliés. Ce modèle a permis une expansion massive de l'écosystème ransomware car il sépare le développement technique (barrière à l'entrée élevée) de l'opération (accessible à des acteurs avec des compétences d'intrusion réseau mais pas de développement de malware). C'est ce modèle qui explique le volume d'incidents ransomware observé depuis 2020.
La préparation à un incident ransomware couvre plusieurs dimensions. La résilience opérationnelle, via des sauvegardes testées et isolées, est la mesure la plus directement impactante sur la capacité à récupérer sans payer. La détection précoce, via une surveillance des indicateurs d'activité pré-ransomware (reconnaissance réseau interne, exfiltration de données, désactivation des outils de sécurité), permet d'interrompre une attaque avant le déploiement du chiffrement. La préparation de la réponse, avec des playbooks de réponse aux incidents testés, des contacts pre-établis avec des équipes de réponse aux incidents externes, et une communication de crise planifiée, réduit le temps de réponse et le coût des incidents qui ne peuvent pas être arrêtés à temps.
Les Initial Access Brokers (IABs) sont le maillon de la chaîne d'attaque ransomware qui se spécialise dans l'obtention d'accès initiaux aux réseaux d'entreprise et leur revente à des opérateurs ransomware. Cette spécialisation a permis une division du travail dans l'écosystème criminel qui a significativement réduit la barrière à l'entrée pour de nouveaux groupes ransomware : un groupe n'a plus besoin de maîtriser l'ensemble de la chaîne d'attaque, du phishing initial à la latéralisation et au déploiement du ransomware, s'il peut acheter l'accès initial à un IAB spécialisé.
Les IABs vendent plusieurs catégories d'accès sur les forums underground. Les accès VPN et RDP compromis, souvent obtenus via l'exploitation de vulnérabilités dans des produits d'accès distant exposés ou via le credential stuffing, sont les types les plus courants. Les accès avec Active Directory compromise sont plus précieux car ils facilitent le mouvement latéral. Les accès avec des comptes à hauts privilèges déjà établis sont les plus chers car ils réduisent le temps et l'effort nécessaires pour passer de l'accès initial à la capacité de déployer le ransomware à grande échelle.
La surveillance des listings des IABs sur les forums underground est une composante de la défense contre les attaques ransomware qui permet d'identifier si un accès à l'infrastructure de l'organisation a été compromis et mis en vente avant qu'un opérateur ransomware ne l'achète. Cette détection précoce, dans la fenêtre entre la mise en vente de l'accès et son achat par un groupe ransomware, permet d'initier une investigation de compromission et une remediation avant que l'accès vendu ne soit utilisé pour lancer une attaque. La surveillance des forums IAB fournie par Defendis est calibrée pour détecter les listings qui correspondent à votre profil d'infrastructure, avec des alertes qui permettent d'agir dans cette fenêtre critique.
La résilience organisationnelle face aux menaces ransomware ne se limite pas aux contrôles techniques. Les organisations qui récupèrent le plus rapidement et le mieux des incidents ransomware partagent des caractéristiques organisationnelles qui vont au-delà de la qualité de leurs sauvegardes ou de la rapidité de leur détection. Ces caractéristiques incluent la clarté des responsabilités en cas d'incident, la capacité à prendre des décisions rapides sous pression, et la préparation des parties prenantes non-techniques à leur rôle dans la réponse à l'incident.
Les exercices de simulation d'incident ransomware, ou "tabletop exercises," sont la méthode la plus efficace pour développer ces capacités organisationnelles. Un exercice bien conçu ne se concentre pas uniquement sur les aspects techniques de la réponse, mais expose les participants au type de décisions difficiles que les incidents ransomware génèrent : payer ou ne pas payer, quand notifier les autorités de régulation, comment communiquer avec les clients et les médias, et comment prioriser la restauration lorsque les ressources sont insuffisantes pour tout restaurer simultanément. Ces décisions nécessitent un alignement qui ne peut pas être atteint pour la première fois au milieu d'un incident réel.
La préparation aux ransomwares inclut également des décisions pre-incident sur des questions légales et contractuelles : quelle est la politique de l'organisation sur le paiement de rançons ? Quels assureurs cyber couvrent ce type d'incident et quelles sont leurs exigences procédurales ? Quels cabinets d'avocats spécialisés en réponse aux incidents et quelles sociétés de réponse aux incidents ont été pré-engagés ? Avoir ces décisions et ces relations établies à l'avance réduit le temps de réponse initial et évite des erreurs coûteuses prises sous la pression d'un incident actif. La veille sur les groupes ransomware actifs ciblant votre secteur alimente la préparation de ces exercices avec des scénarios réalistes.
Les groupes ransomware annoncent leurs recrutements, vendent des accès, et testent leurs outils dans des environnements criminels surveillables. Defendis monitore ces signaux en continu : annonces d'accès initial ciblant votre secteur, nouveaux indicateurs de compromission liés aux groupes actifs, et tentatives d'usurpation de domaine pour des attaques BEC. Lorsque votre organisation est mentionnée ou ciblée, l'alerte arrive avant que l'attaque ne soit déclenchée.
Réservez une démo pour voir comment Defendis surveille les groupes ransomware et les vecteurs de fraude numérique pour votre organisation.
