Qu'est-ce qu'un ransomware ?

La plupart des recherches sur le ransomware ont deux intentions : comprendre la menace ou réagir parce que des fichiers sont déjà bloqués. Cette page répond aux deux sans devenir une archive d'actualités.

Qu'est-ce qu'un ransomware ?

Un ransomware est un malware d'extorsion. Il peut chiffrer documents, photos, bases de données et sauvegardes, verrouiller l'écran ou voler des données avant de réclamer de l'argent. La note de rançon affirme souvent que payer est la seule solution, mais ce n'est pas toujours vrai et le paiement ne garantit pas la récupération.

Les attaques modernes ne se limitent plus au chiffrement. Les criminels peuvent voler des fichiers, menacer de les publier, contacter employés ou clients et pousser la victime à payer vite. Pour un particulier, le dommage principal est souvent la perte de fichiers personnels. Pour une entreprise, il peut inclure arrêt d'activité, fuite de données, obligations légales et coûts de reprise.

Comment fonctionne un ransomware

Un incident ransomware suit souvent plusieurs étapes. La note de rançon visible est la fin de l'attaque, pas son début.

1. Accès initial. L'attaquant entre via une pièce jointe malveillante, un faux téléchargement, un accès distant exposé, un mot de passe volé ou une faille.
2. Exécution. Un loader, un script ou un cheval de Troie lance le ransomware ou télécharge la charge finale.
3. Préparation. Le malware peut désactiver la sécurité, supprimer les copies shadow, arrêter des services ou chercher partages réseau et sauvegardes.
4. Chiffrement ou verrouillage. Les fichiers sont chiffrés ou l'appareil est bloqué. Des notes de rançon apparaissent souvent dans les dossiers touchés.
5. Extorsion. Les criminels exigent un paiement et peuvent menacer de publier les données volées ou de relever le prix après une date limite.

Signes d'alerte d'un ransomware

Certaines attaques semblent soudaines, mais des indices apparaissent souvent avant que le dommage soit complet.

• Les fichiers reçoivent soudain des extensions étranges ou ne s'ouvrent plus.
• Des dossiers contiennent des notes comme README.txt, RECOVER-FILES.html ou des messages similaires.
• Les outils de sécurité, de sauvegarde ou de restauration système cessent de fonctionner.
• L'ordinateur ralentit alors que l'activité disque reste anormalement élevée.
• Des processus inconnus partent de dossiers temporaires, téléchargements ou profils utilisateur.
• Des outils d’accès distant, scripts ou tâches planifiées apparaissent sans raison claire.
• Les dossiers partagés ou lecteurs réseau changent en même temps.

Suppression du ransomware et récupération

L'ordre le plus sûr est simple : contenir, nettoyer, puis restaurer. Restaurer avant la suppression active peut reproduire les dégâts.

1. Isolez l'appareil touché. Déconnectez-le d'internet et du réseau local. Si plusieurs postes sont touchés, séparez-les rapidement.
2. Conservez les preuves. Gardez notes de rançon, échantillons chiffrés, e-mails suspects et captures. Ces éléments aident à identifier la famille.
3. Identifiez la souche. Utilisez extensions, noms de notes et détections du scanner pour savoir si un déchiffreur peut exister.
4. Supprimez le malware. Lancez une analyse complète avec un outil fiable et vérifiez démarrage, tâches planifiées, services et accès distant.
5. Vérifiez les déchiffreurs. Cherchez dans des sources réputées avant de prendre des mesures de récupération lourdes.
6. Restaurez depuis des sauvegardes propres. Ne restaurez qu’après nettoyage, idéalement dans un environnement neuf ou vérifié.
7. Changez les identifiants exposés. Mettez à jour les mots de passe depuis un appareil propre, surtout e-mail, cloud, VPN, RDP et comptes administrateur.

Pour Windows, commencez par le flux anti-ransomware. Si la machine montre des symptômes plus larges, utilisez d’abord le flux de suppression des malwares.

Les fichiers peuvent-ils être déchiffrés ?

Parfois, mais pas toujours. Un déchiffrement gratuit est possible si des chercheurs trouvent une faille, si les forces de l'ordre obtiennent des clés ou si le ransomware a utilisé une clé hors ligne ou réutilisée. Avec un chiffrement solide et une clé en ligne unique, il peut ne pas exister de déchiffreur.

Avant de payer ou de réinstaller, consultez des sources fiables comme No More Ransom et gardez des échantillons chiffrés. Même si aucune solution n’existe aujourd’hui, des clés ou outils peuvent apparaître plus tard pour certaines familles.

Types courants de ransomware

Type	Effet
Ransomware chiffreur	Chiffre les fichiers et réclame une clé de déchiffrement.
Locker ransomware	Bloque l'appareil ou l'écran sans forcément chiffrer chaque fichier.
Leakware ou doxware	Vole des données et menace de les publier si la victime ne paie pas.
Ransomware-as-a-Service	Infrastructure louée à des affiliés qui mènent les attaques et partagent les gains.
Ransomware de type wiper	Imite une rançon mais vise surtout la destruction des données ou la perturbation.

Comment le ransomware se propage

Un ransomware arrive rarement sans point d'entrée. Les chemins les plus courants sont connus, ce qui rend la prévention efficace.

• E-mails de phishing : pièces jointes, liens, fausses factures, avis de livraison ou demandes d’activation de document.
• Téléchargements malveillants : cracks, keygens, faux installateurs, fausses mises à jour de navigateur et logiciels reconditionnés.
• Identifiants volés : mots de passe réutilisés pour e-mail, cloud, VPN ou bureau distant.
• Accès distant exposé : RDP, VPN, supervision distante ou outils admin mal protégés.
• Logiciels non corrigés : serveurs, plugins, CMS et équipements réseau vulnérables.
• Autres malwares : chevaux de Troie, droppers, spyware ou botnets qui déposent ensuite le ransomware.

Comment se protéger du ransomware

Une bonne défense ne repose pas sur un seul produit. C'est une routine en couches : réduire les entrées, garder les sauvegardes hors d'atteinte et détecter tôt les comportements suspects.

1. Gardez des sauvegardes hors ligne ou immuables. Elles ne doivent pas rester modifiables depuis le même appareil qui pourrait être infecté.
2. Mettez les logiciels à jour rapidement. Corrigez Windows, navigateurs, lecteurs de documents, clients VPN et systèmes exposés.
3. Utilisez une authentification forte. Activez MFA pour e-mail, cloud, VPN, bureau distant et comptes administrateur.
4. Limitez l’accès distant. Désactivez le RDP public si possible et réservez les outils admin aux réseaux fiables.
5. Bloquez les téléchargements risqués. Évitez cracks, installateurs piratés, gestionnaires inconnus et fausses mises à jour.
6. Surveillez les signaux précoces. Modifications massives de fichiers, sécurité désactivée ou suppression de copies shadow sont urgentes.
7. Gardez une protection anti-malware. Un scanner complet aide à vérifier et nettoyer après une activité suspecte.

Familles et exemples de ransomware

Les familles changent, mais les techniques se répètent. Ces exemples aident à identifier et étudier les incidents :

• LockBit - une famille ransomware-as-a-service très connue.
• Conti et Ryuk - opérations historiques visant les entreprises.
• Dharma - souvent liée à un accès distant exposé et à des identifiants faibles.
• Magniber, MedusaLocker et Snatch - exemples aux notes de rançon et comportements de fichiers reconnaissables.

Recherches récentes sur les ransomwares

• Dire Wolf (.direwolf) Ransomware Virus - Removal and Decryption
• PE32 Ransomware
• VerdaCrypt Ransomware
• D0glun Ransomware: Analysis and Protection Guide
• Moscovium Ransomware

Foire Aux Questions

References

• CISA #StopRansomware Guide
• FBI: Ransomware
• No More Ransom: Decryption Tools
• NIST SP 800-83 Rev. 1: Guide to Malware Incident Prevention and Handling