Le ransomware LockBit n’a pas disparu, il s’est adapté

Pendant des années, le ransomware LockBit a été l’une des opérations de ransomware-as-a-service (RaaS) les plus prolifiques au monde, louant ses outils de chiffrement et son infrastructure à un réseau d’affiliés qui mènent les attaques en échange d’une part de la rançon. Lorsque les forces de l’ordre ont lancé l’opération Cronos, une action internationale visant les serveurs, les sites de diffusion de données et l’infrastructure des affiliés de LockBit, beaucoup ont cru que le règne du groupe était terminé. Au lieu de cela, l’opération a refait surface avec LockBit 5.0, une version mise à jour du logiciel malveillant qui reflète les leçons tirées de cette perturbation.

Comprendre le fonctionnement de ce ransomware et ses évolutions est important au-delà des seuls services informatiques. Les attaques par ransomware exposent régulièrement des dossiers clients, des données d’employés et des fichiers professionnels confidentiels, ce qui signifie que les conséquences d’une intrusion réussie se transforment souvent en incident de confidentialité pour toutes les personnes dont les informations étaient stockées sur le réseau compromis.

Comment LockBit fonctionne en tant qu’entreprise de RaaS

LockBit s’apparente moins à un groupe de pirates unique qu’à une franchise criminelle. Les développeurs principaux entretiennent le logiciel de chiffrement et négocient l’infrastructure, tandis que des affiliés indépendants gèrent l’intrusion elle-même, se déplacent au sein du réseau de la victime, volent les données et déploient la charge utile du ransomware. Comme de très nombreux affiliés utilisent la même trousse à outils LockBit, le terme « attaque LockBit » peut décrire des méthodes d’intrusion et des comportements radicalement différents selon l’affilié qui l’a menée.

Ce modèle d’affiliation est ce qui a rendu LockBit si persistant. Même lorsque des individus sont arrêtés ou que des infrastructures sont saisies, comme ce fut le cas lors de l’opération Cronos, le réseau plus large d’affiliés et la réputation de la marque LockBit peuvent survivre à une seule opération de répression. C’est en partie pourquoi LockBit 5.0 a émergé plutôt que le groupe ne disparaisse simplement.

La plupart des intrusions LockBit suivent un modèle de double extorsion : les attaquants exfiltrent d’abord les fichiers sensibles, puis chiffrent les systèmes, et menacent enfin de publier les données volées si aucune rançon n’est versée. C’est la même tactique de pression que l’on observe dans d’autres incidents d’extorsion très médiatisés, comme le cas où un pirate utilisant l’alias « 888 » a affirmé avoir volé 35 Go de code source d’Accenture, illustrant comment des données d’entreprise dérobées deviennent un moyen de pression même sans le chiffrement du ransomware.

Ce que l’opération Cronos a changé, et ce que LockBit 5.0 apporte

L’opération Cronos a perturbé les sites de diffusion de données et l’infrastructure dorsale de LockBit, obligeant le groupe à restaurer la confiance des affiliés et à démontrer qu’il pouvait encore opérer efficacement. LockBit 5.0 représente cet effort de reconstruction : une version évoluée du logiciel malveillant conçue pour contourner les leçons de sécurité opérationnelle apprises lors de la saisie.

Pour les défenseurs, le point essentiel n’est pas dans les ajustements techniques précis d’une nouvelle version du malware, mais dans le schéma qui se répète. Les opérations de ransomware qui sont déstabilisées disparaissent rarement complètement. Elles changent de marque, corrigent leurs faiblesses et reviennent avec des outils mis à jour. Traiter une action policière comme la fin de la menace est une erreur ; les organisations doivent partir du principe que les opérations du type LockBit, qu’elles soient menées par le groupe d’origine ou par des affiliés copieurs utilisant des outils de construction ayant fuité, continueront de cibler les réseaux aux défenses insuffisantes.

Détection, réponse et récupération

Étant donné que les techniques varient d’un affilié LockBit à l’autre, aucun contrôle unique ne bloque toutes les attaques. Une défense efficace repose sur la superposition de plusieurs protections :

  • Maintenir des sauvegardes hors ligne et testées afin que les systèmes chiffrés puissent être restaurés sans payer de rançon
  • Appliquer l’authentification multifacteur sur les points d’accès à distance, car les identifiants compromis demeurent un point d’entrée courant pour les affiliés
  • Corriger rapidement les systèmes exposés sur Internet, les vulnérabilités non corrigées étant fréquemment exploitées pour l’accès initial
  • Déployer des outils de détection sur les terminaux capables de repérer les déplacements latéraux et l’élévation de privilèges qui précèdent généralement le chiffrement
  • Segmenter les réseaux afin qu’un seul appareil compromis ne puisse pas atteindre facilement les systèmes critiques ou les dépôts de sauvegarde

Une détection rapide pendant la phase d’exfiltration des données, avant le début du chiffrement, offre la meilleure chance de limiter les dégâts et d’éviter un processus de récupération coûteux.

Ce que cela signifie pour vous

Même si vous n’êtes pas administrateur informatique, l’activité de LockBit vous affecte indirectement. Les attaques par ransomware contre les hôpitaux, les commerces, les prestataires de services et les agences gouvernementales exposent régulièrement les données personnelles de clients et de patients qui n’ont joué aucun rôle dans la violation. Si une entreprise avec laquelle vous interagissez divulgue un incident de ransomware, prenez-le au sérieux : surveillez vos comptes pour détecter toute activité inhabituelle, changez les mots de passe réutilisés et soyez attentif aux tentatives d’hameçonnage faisant référence à cette violation. Pour les entreprises, l’émergence de LockBit 5.0 rappelle qu’une action policière passée contre un groupe de ransomware ne garantit pas une sécurité à long terme.

Points pratiques à retenir

  • Partez du principe que les groupes de ransomware déstabilisés par les forces de l’ordre peuvent revenir sous de nouvelles versions ; ne baissez pas la garde
  • Privilégiez les sauvegardes hors ligne et l’authentification multifacteur comme protections de base contre les attaques de type ransomware-as-a-service
  • Si vous êtes informé d’une violation impliquant LockBit ou un ransomware similaire, surveillez vos comptes personnels et soyez vigilant face aux tentatives d’hameçonnage qui pourraient en découler
  • Tenez-vous informé de l’évolution des tactiques de ransomware, car les opérations reposant sur des affiliés comme LockBit adaptent constamment leurs méthodes

Le ransomware LockBit reste l’un des exemples les plus clairs de la résilience et de la capacité d’adaptation des opérations de cybercriminalité modernes. Se tenir informé de la manière dont ces groupes évoluent et prendre des mesures défensives concrètes reste le moyen le plus efficace de réduire les risques, tant pour les organisations que pour les individus dont elles détiennent les données.