- Decrire les etapes d'une attaque ransomware moderne (kill chain)
- Comprendre la double extorsion et le modele RaaS
- Mettre en place les defenses prioritaires contre le ransomware
Anatomie d'une attaque ransomware
Une attaque ransomware suit une sequence bien etablie : 1) Acces initial (phishing, VPN non patchee, credential stuffing). 2) Etablissement de la persistance (backdoor, compte admin cree). 3) Decouverte du reseau (cartographie interne, identification des sauvegardes). 4) Mouvement lateral (propagation vers les serveurs critiques). 5) Exfiltration des donnees. 6) Chiffrement de tous les fichiers accessibles. 7) Demande de rancon. Les etapes 1 a 5 prennent souvent des semaines : l'attaquant est discret avant de frapper.
Double extorsion et Ransomware-as-a-Service
Le ransomware moderne est une industrie. Le modele RaaS (Ransomware-as-a-Service) permet a des criminels sans expertise technique d'acheter un kit d'attaque cle en main. La double extorsion est devenue la norme : l'attaquant chiffre ET exfiltre les donnees, menaçant de les publier si la rancon n'est pas payee. Certains groupes pratiquent la triple extorsion en contactant aussi les clients et partenaires de la victime.
Defense prioritaires contre le ransomware
La regle 3-2-1 pour les sauvegardes (3 copies, 2 supports differents, 1 hors site) est le filet de securite ultime. Les sauvegardes doivent etre testees regulierement et au moins une copie doit etre immuable (non modifiable par le ransomware). En complement : MFA sur tous les acces distants, segmentation reseau pour limiter la propagation, EDR avec protection comportementale, et un plan de reponse aux incidents documente.
Checklist pratique
Votre progression est sauvegardée localement dans votre navigateur.
Points clés à retenir
- L'attaquant passe en moyenne 24 jours dans votre reseau avant de chiffrer : la detection precoce est cle
- Regle 3-2-1 + sauvegardes immuables = seule garantie de recuperation sans payer la rancon
- RaaS democratise les attaques : n'importe qui peut louer un ransomware, les PME sont des cibles rentables
- Payer ne garantit pas la recuperation et peut etre illegal (sanctions OFAC)