Ransomware (rançongiciel) : définition et fonctionnement réel

Un ransomware, ou rançongiciel, est un logiciel malveillant qui chiffre vos fichiers avec une clé que vous ne possédez pas, puis réclame un paiement pour la rendre. Les données restent sur le disque, illisibles, et la seule sortie fiable reste une sauvegarde hors ligne dont la restauration a déjà été testée.

Ce qu’un rançongiciel fait à vos fichiers

Un lundi matin, le serveur de fichiers répond encore mais plus rien ne s'ouvre. Les documents portent une extension inconnue, parfois le nom de la famille (.lockbit, .conti), parfois huit caractères aléatoires générés par machine. Dans chaque dossier traîne un fichier texte de quelques lignes avec une adresse .onion et un identifiant de victime. Voilà à quoi ressemble un ransomware vu du poste utilisateur : pas un écran rouge spectaculaire, juste des fichiers devenus du bruit.

Le terme français officiel est rançongiciel.

La mécanique tient en trois temps : obtenir un accès, élever ses privilèges pour atteindre le plus de machines possible, puis chiffrer. La phase de chiffrement est la plus courte et la seule visible. La reconnaissance et le déplacement latéral qui la précèdent peuvent durer des jours, parfois des semaines, sans que personne remarque quoi que ce soit.

Depuis la famille Maze, fin 2019, presque tous les groupes ajoutent une seconde pression : les données sont exfiltrées avant d'être chiffrées, puis menacées de publication sur un site de fuite. Refuser de payer ne protège plus de la divulgation.

Pourquoi vous ne casserez pas le chiffrement

Les familles sérieuses ne se contentent pas d'un algorithme, elles en combinent deux. Un chiffrement symétrique rapide pour le contenu des fichiers, en général AES-256 (spécifié par le FIPS 197), et un chiffrement asymétrique pour protéger cette clé symétrique, en général RSA-2048 ou RSA-4096 (PKCS #1, RFC 8017). Quelques familles récentes préfèrent ChaCha20 et une courbe elliptique ; la logique ne change pas.

Résultat : la clé qui a servi à chiffrer vos fichiers se trouve bien sur votre disque, mais enfermée dans une enveloppe que seule la clé privée de l'attaquant ouvre. La force brute sur AES-256 n'est pas une piste, même avec des moyens étatiques.

Les déchiffreurs gratuits qui existent viennent presque toujours d'une erreur d'implémentation, d'une clé saisie lors du démantèlement d'un serveur, ou d'un groupe qui publie ses clés en se dissolvant. Jamais de la cryptographie elle-même.

• 1. Le code génère une clé AES aléatoire, souvent une par fichier
• 2. Il chiffre le contenu avec cette clé, en mode CBC ou CTR
• 3. La clé AES est à son tour chiffrée avec la clé publique RSA embarquée dans le binaire
• 4. La version en clair est effacée de la mémoire ; il ne reste que l'enveloppe chiffrée, collée en fin de fichier

Par où l’attaque entre

Le vecteur le plus banal n'est pas la pièce jointe, c'est un service d'administration laissé accessible. Un RDP sur 3389/TCP exposé sur Internet reçoit des tentatives d'authentification en quelques heures.

Pour voir ce que vous exposez depuis l'extérieur : nmap -Pn -p 3389,445,22 --open votre.plage/24. Côté journaux Windows, une rafale d'événements 4625 suivie d'un 4624 de type 10 raconte une session RDP forcée qui a fini par aboutir.

Une fois à l'intérieur, l'attaquant cherche des partages et des comptes réutilisés. SMB sur 445/TCP a fourni le cas d'école : WannaCry, le 12 mai 2017, s'est propagé tout seul via la faille EternalBlue de SMBv1 et a touché, selon l'estimation d'Europol, environ 200 000 machines dans 150 pays. Microsoft avait publié le correctif MS17-010 le 14 mars 2017.

Deux mois d'avance. Ça n'a pas suffi.

Juste avant de chiffrer, le code détruit les points de restauration. La commande vssadmin delete shadows /all /quiet apparaît dans presque toutes les analyses, souvent suivie de wbadmin delete catalog -quiet et de bcdedit /set {default} recoveryenabled no. Si votre outil de détection ne remonte rien sur cette séquence, l'angle mort est là.

Vecteur d'entrée	Port ou service	Contre-mesure directe
RDP exposé sur Internet	3389/TCP	Passage par VPN, second facteur, aucun RDP nu
Partage SMB non corrigé	445/TCP	MS17-010 appliqué, SMBv1 désactivé
Pièce jointe ou macro Office	SMTP puis HTTPS	Macros bloquées à l'origine Internet, filtrage des types de fichiers
Concentrateur VPN vulnérable	443/TCP	Correctifs Citrix, Fortinet, Pulse sans retard
Compte à privilèges réutilisé	Kerberos 88, LDAP 389	LAPS, comptes d'administration dédiés et cloisonnés

Ne pas confondre avec les voisins

La confusion la plus coûteuse concerne les wipers. NotPetya, en juin 2017, avait tous les attributs d'un rançongiciel : note de rançon, adresse de paiement, écran de progression. Sauf que la clé n'était jamais transmise et que la table de fichiers était détruite. Payer ne pouvait rien donner, par construction. L'entrée initiale venait d'une mise à jour piégée du logiciel comptable ukrainien M.E.Doc.

Autre mélange fréquent : le cryptojacking. Les deux mots commencent par crypto, les effets ne se ressemblent pas. Un mineur clandestin mange votre processeur et laisse vos fichiers intacts.

Les lockers bloquent l'écran sans toucher aux données. Reveton, vers 2012, affichait un faux avertissement de la gendarmerie et réclamait une amende par coupon prépayé ; un démarrage sur support externe suffisait à tout récupérer.

Quant au cheval de Troie, ce n'est pas une catégorie concurrente mais un moyen de livraison : beaucoup de rançongiciels arrivent par un accès qu'un chargeur de ce type a vendu à un affilié.

Menace	Effet sur les données	Récupération sans sauvegarde
Ransomware chiffrant	Fichiers chiffrés, clé chez l'attaquant	Rare, seulement si un déchiffreur public existe
Wiper	Données écrasées ou table de fichiers détruite	Impossible
Locker ou scareware	Rien n'est chiffré, l'interface est bloquée	Oui, démarrage externe et nettoyage
Cryptojacking	Données intactes, CPU accaparé	Sans objet

Réagir dans la première heure

Isoler, pas éteindre.

Couper le câble ou désactiver le port sur le commutateur stoppe la propagation et le pilotage à distance. Éteindre fait perdre la mémoire vive, où la clé symétrique traîne parfois en clair. Des équipes de réponse ont récupéré des clés ainsi : c'est rare, mais ça ne coûte rien d'essayer.

La sauvegarde reste la seule réponse qui fonctionne toujours. La règle 3-2-1 (trois copies, deux supports, une hors site) s'est étendue en 3-2-1-1-0 : une copie immuable ou déconnectée, et zéro erreur à la vérification de restauration. Ce dernier zéro est celui qu'on saute. Une sauvegarde jamais restaurée pour de vrai n'est pas une sauvegarde, c'est une hypothèse.

Un NAS monté en permanence avec les identifiants du domaine sera chiffré avec le reste.

• Isoler la machine du réseau sans la mettre hors tension
• Photographier la note de rançon et noter l'extension ajoutée : c'est ce qui identifie la famille
• Vérifier l'état des sauvegardes hors ligne avant toute tentative de nettoyage
• Soumettre un fichier chiffré à nomoreransom.org, qui héberge des déchiffreurs gratuits pour plus d'une centaine de familles
• Reconstruire les serveurs depuis des images saines plutôt que désinfecter en place
• Réinitialiser tous les mots de passe, comptes de service inclus, et le compte krbtgt à deux reprises espacées

Les obligations françaises et leurs délais

Le dépôt de plainte n'a rien de symbolique. Depuis la LOPMI (loi du 24 janvier 2023), l'article L. 12-10-1 du code des assurances conditionne l'indemnisation des pertes causées par une cyberattaque au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. Les faits relèvent des articles 323-1 à 323-3 du code pénal, jusqu'à cinq ans d'emprisonnement et 150 000 euros d'amende pour l'entrave au fonctionnement d'un système ou l'altération frauduleuse de données.

Si des données personnelles sont touchées, la CNIL doit être notifiée sous 72 heures au titre de l'article 33 du RGPD, et les personnes concernées informées lorsque le risque pour elles est élevé.

Pour l'appui, cybermalveillance.gouv.fr oriente indépendants et petites structures vers des prestataires, et le CERT-FR publie les avis et reçoit les signalements. Ni l'ANSSI ni les services d'enquête ne recommandent le paiement : il alimente la filière, n'offre aucune garantie de déchiffrement complet, et n'efface pas ce qui a déjà été exfiltré.

Questions fréquentes

Faut-il payer la rançon ?

Ni l'ANSSI ni les services d'enquête ne le recommandent. Le déchiffreur fourni peut être partiel ou échouer sur les gros fichiers, et le paiement ne supprime pas les copies déjà exfiltrées. En pratique, la décision se prend avec l'assureur et un prestataire de réponse à incident, pas dans la panique du premier matin.

Un antivirus suffit-il à bloquer un ransomware ?

Pas contre une attaque conduite à la main. Les signatures attrapent les familles connues, mais un opérateur qui entre avec un compte RDP valide et utilise des outils légitimes (PsExec, WMI, parfois BitLocker lui-même) ne ressemble à rien de suspect. Il faut une détection comportementale et une alerte sur la suppression des clichés instantanés.

Mes sauvegardes sur NAS me protègent-elles ?

Seulement si le NAS n'est pas joignable avec les identifiants du domaine. Un partage monté en permanence est chiffré au même titre qu'un poste de travail. Visez l'immuabilité (object lock, snapshots non supprimables) ou une copie réellement déconnectée après écriture.

Peut-on déchiffrer sans payer ?

Parfois. Le projet No More Ransom, porté par Europol, héberge des déchiffreurs gratuits issus d'erreurs d'implémentation ou de saisies de serveurs. Identifiez d'abord la famille par l'extension ajoutée et la note de rançon, puis testez sur une copie, jamais sur les fichiers d'origine.

L’adresse IP de l’attaquant sert-elle à quelque chose ?

Rarement à l'identifier. Les adresses vues dans les journaux appartiennent le plus souvent à des serveurs virtuels loués, à des relais Tor ou à des machines compromises. Elles gardent leur utilité comme indicateurs à bloquer et à transmettre aux enquêteurs, pas comme preuve d'origine.

À lire aussi

cheval de troie · chiffrement asymetrique · brute force · anti malware

Testez vos connaissances