Bien avant que les attaques par ransomware ne fassent la une chaque semaine, une famille de logiciels malveillants a discrètement réécrit les règles de la cybercriminalité. GandCrab n'a pas seulement extorqué des victimes, il a construit toute une entreprise autour de l'extorsion, avec contrats d'affiliation, indicateurs de performance et service client. Les chercheurs en sécurité de McAfee ont examiné comment l'opération fonctionnait réellement, et ce qu'ils ont découvert ressemble moins à une étude de cas sur le piratage qu'à un accord de franchise. Comprendre la structure de GandCrab est important aujourd'hui parce que le modèle de ransomware en tant que service qu'il a contribué à populariser reste le format dominant derrière les attaques modernes.

Ce qui a rendu GandCrab différent : un modèle commercial d'affiliation

La plupart des gens imaginent le ransomware comme le travail d'un pirate solitaire installant un code malveillant. GandCrab fonctionnait différemment. Selon l'analyse de McAfee, les développeurs derrière GandCrab ne menaient pas eux-mêmes les attaques. Au lieu de cela, ils recrutaient des affiliés qui distribuaient le logiciel malveillant et géraient les infections réelles, tandis que les opérateurs principaux prenaient une part des bénéfices.

Cette part était substantielle : les affiliés conservaient 70 % des paiements de rançon, le reste revenant aux développeurs qui maintenaient le code. Cette répartition des revenus incitait les affiliés à maximiser le volume, et elle offrait aux opérateurs un flux de revenus régulier sans avoir à toucher directement une seule machine de victime.

L'arrangement comportait également une forme de responsabilisation. McAfee a constaté que les affiliés sous-performants étaient exclus du programme, un détail qui souligne à quel point l'opération était devenue professionnelle. Une faible production signifiait le licenciement, la même logique qui régit toute équipe de vente évaluée sur des quotas. Le logiciel malveillant lui-même était également conçu pour ignorer les machines situées en Russie et dans d'autres anciens États soviétiques, un schéma courant parmi les groupes de ransomware soupçonnés d'opérer depuis cette région, probablement pour éviter d'attirer l'attention des forces de l'ordre locales.

Le manuel technique : chiffrement, suppression des copies fantômes et preuve de déchiffrement

Sous la structure commerciale se trouvait une pièce d'ingénierie malveillante réellement efficace. GandCrab combinait le chiffrement AES et RSA, superposant la cryptographie symétrique et asymétrique afin que les victimes ne puissent pas simplement inverser le processus sans la clé privée de l'attaquant. Une fois les fichiers verrouillés, le logiciel malveillant supprimait les copies fantômes de Windows, les instantanés de sauvegarde intégrés que de nombreux utilisateurs utilisent pour restaurer leurs fichiers après un problème système. La suppression de ces copies éliminait l'une des voies de récupération les plus faciles disponibles pour les victimes qui n'avaient pas maintenu de sauvegardes hors ligne séparées.

Pour prouver que la demande de rançon était légitime et non un bluff, les opérateurs avaient intégré un mécanisme permettant de déchiffrer gratuitement un fichier. Ce petit geste servait un objectif psychologique précis : il démontrait que payer restaurerait effectivement l'accès, rendant les victimes plus susceptibles d'aller jusqu'au paiement plutôt que de considérer leurs données comme une perte totale.

Support sur le dark web et paiements en Dash : l'extorsion comme service client

L'aspect peut-être le plus inhabituel de l'opération GandCrab était la façon dont elle traitait les victimes une fois la note de rançon apparue. Le groupe offrait un support sur le dark web disponible 24h/24 et 7j/7, gérant en réalité un centre d'assistance pour les personnes extorquées. Les victimes confuses sur les étapes de paiement ou les instructions de déchiffrement pouvaient obtenir de l'aide, une couche de service qui rendait l'ensemble du processus dérangeamment proche d'un support client légitime.

Les paiements eux-mêmes étaient acheminés via Dash plutôt que via le Bitcoin plus couramment évoqué. Dash offre des temps de transaction plus rapides et des fonctionnalités de confidentialité supplémentaires, ce qui en faisait un choix attrayant pour une opération qui devait traiter des paiements à travers un réseau d'affiliés distribué tout en limitant la traçabilité.

Ce que cela signifie pour votre stack de sécurité aujourd'hui

GandCrab est une étude de cas utile précisément parce que le modèle de ransomware en tant que service qu'il a affiné n'a jamais disparu. Les structures d'affiliation, les paiements échelonnés et les canaux de support sur le dark web restent des caractéristiques standard des opérations de ransomware actuelles. Le rapport de Check Point sur 2 139 victimes de ransomware au T2 2026 montre à quel point cette approche pilotée par les affiliés a pris de l'ampleur, confirmant que le manuel que GandCrab a contribué à établir continue de générer de vraies victimes en volumes réels.

Pour les utilisateurs quotidiens et les petites entreprises, les leçons défensives restent inchangées. Étant donné que des ransomwares comme GandCrab suppriment les copies fantômes pour bloquer la récupération facile, les sauvegardes hors ligne et dans le cloud stockées séparément de votre système principal sont essentielles, pas optionnelles. Les outils de sécurité des points de terminaison qui détectent le comportement de chiffrement malveillant avant qu'il ne termine un passage complet sur vos fichiers ajoutent une autre couche de protection. Un VPN réputé n'arrêtera pas un ransomware à lui seul, mais il réduit l'exposition sur les réseaux publics et limite le type d'espionnage réseau qui précède parfois les attaques ciblées, en particulier pour les travailleurs à distance et le personnel des petites entreprises se connectant depuis divers endroits.

Points à retenir exploitables

Sauvegardez vos fichiers régulièrement et conservez au moins une copie hors ligne ou dans un stockage que le ransomware ne peut pas atteindre via votre réseau. Maintenez les systèmes d'exploitation et les logiciels de sécurité à jour, car de nombreuses infections par ransomware exploitent encore des vulnérabilités connues et corrigeables. Méfiez-vous des pièces jointes et des liens non sollicités, car les campagnes pilotées par les affiliés dépendent fortement du hameçonnage en volume pour trouver des victimes. Enfin, considérez tout outil de sécurité unique, qu'il s'agisse d'un VPN, d'un antivirus ou d'une solution de sauvegarde, comme une pièce d'une défense en couches plutôt que comme une réponse complète. GandCrab a prouvé que les opérateurs de ransomware pensent comme des entreprises ; vos défenses devraient être tout aussi délibérées.