Pendant des années, l'image typique du ransomware était celle de fichiers chiffrés et d'une note de rançon à l'écran. Une nouvelle tactique décrite par PortalGeek change ce scénario : le ransomware sans chiffrement living off the land paralyse les réseaux d'entreprise sans chiffrer un seul fichier, en s'appuyant sur les propres outils de l'organisation. Le résultat reste le même, une entreprise à l'arrêt, mais le chemin pour y parvenir est plus difficile à détecter.
Cet article explique comment cela fonctionne, pourquoi c'est si insaisissable et ce que devraient vérifier tant les entreprises que les personnes qui travaillent depuis chez elles.
Comment fonctionne le ransomware sans chiffrement
Selon les informations publiées, cette tactique paralyse l'activité d'un réseau d'entreprise sans recourir au chiffrement de fichiers, qui est ce que surveillent habituellement de nombreuses défenses. Au lieu de déployer un programme malveillant très visible, l'attaquant exploite des utilitaires qui existent déjà dans l'environnement : des outils d'administration comme PowerShell et des logiciels d'accès à distance.
Cette approche est connue sous le nom de « living off the land » (vivre du terrain) : l'intrus utilise ce qui est déjà installé. Sans chiffrer de données, il peut interrompre des services, bloquer des accès ou rendre des systèmes inutilisables, et l'impact sur la continuité de l'activité est tout aussi grave. Pour une entreprise, ne pas pouvoir opérer est le problème central, que ses fichiers soient chiffrés ou non.
Pourquoi l'utilisation d'outils légitimes rend la détection plus difficile
La clé réside dans le fait que rien de ce que l'attaquant exécute ne semble, à première vue, étrange. PowerShell est utilisé quotidiennement par les administrateurs système, et les logiciels d'accès à distance sont un élément habituel du support technique. Si un attaquant disposant d'identifiants valides lance ces mêmes outils, son activité peut être confondue avec un travail de routine.
Cela a plusieurs conséquences pratiques :
- Moins de signaux classiques. Un antivirus qui recherche des fichiers malveillants connus a peu de choses à bloquer lorsque des programmes légitimes sont utilisés.
- L'attention se déplace vers les identifiants. Si l'accès est valide, la question n'est plus « quel est ce logiciel ? », mais « qui l'utilise et depuis où ? ».
- Le comportement gagne en importance. Détecter un usage inhabituel d'un outil (à une heure étrange, depuis un poste inattendu) devient plus utile que détecter un fichier précis.
Ce n'est pas une menace qui se résout avec un seul produit. Elle nécessite des couches : contrôle des accès, visibilité et capacité de récupération.
Ce que cela signifie pour le télétravail et les réseaux domestiques
Un réseau d'entreprise ne s'arrête pas au bureau. Chaque ordinateur portable connecté depuis chez soi, chaque outil d'accès à distance et chaque mot de passe réutilisé élargit la surface par laquelle un attaquant peut entrer. Si la méthode repose sur l'utilisation d'accès légitimes, les identifiants de ceux qui travaillent à distance deviennent une porte particulièrement précieuse.
En pratique, la sécurité du réseau domestique influence celle de l'entreprise :
- Un routeur avec le mot de passe d'usine ou un firmware non mis à jour est un point faible.
- Un mot de passe répété entre services personnels et professionnels facilite qu'une fuite externe finisse par affecter le travail.
- Un programme d'accès à distance installé et oublié, ou sans authentification renforcée, offre une voie directe vers l'ordinateur.
Le contexte général compte aussi. Comme nous l'avons relevé dans notre analyse sur l'augmentation des victimes de ransomware en Espagne et le vol de données avec l'IA, la menace continue de croître et touche tant les organisations que les personnes qui y sont connectées.
Mesures pratiques : MFA, moindres privilèges, surveillance et sauvegardes
Aucune de ces mesures n'est nouvelle, mais ensemble elles réduisent considérablement la marge de manœuvre de celui qui tente d'abuser d'outils légitimes.
- Authentification multifacteur (MFA). Activez-la sur le courrier, sur les VPN d'entreprise, sur le bureau à distance et sur tout panneau d'administration. Si un mot de passe fuit, le MFA ajoute un obstacle important.
- Moindres privilèges. Chaque compte ne devrait avoir que les permissions dont il a besoin. Si un utilisateur normal n'a pas besoin d'exécuter PowerShell avec des droits élevés, mieux vaut le restreindre.
- Contrôle des logiciels d'accès à distance. Tenez un inventaire des outils autorisés et supprimez ceux qui ne sont pas utilisés.
- Surveillance du comportement. Enregistrez et examinez l'activité des outils administratifs, et définissez des alertes en cas d'usages inhabituels.
- Sauvegardes isolées et testées. Conservez des copies séparées du réseau principal et vérifiez qu'elles peuvent être restaurées. Si ce qui est bloqué, ce sont des systèmes et pas seulement des fichiers, il convient aussi de disposer d'un plan de récupération documenté.
- Hygiène domestique. Changez les identifiants du routeur, mettez à jour son firmware, utilisez des mots de passe uniques avec un gestionnaire et maintenez le système d'exploitation à jour.
Conclusion : révisez votre configuration avant qu'un attaquant ne le fasse
Le ransomware sans chiffrement living off the land rappelle que le danger n'arrive pas toujours sous la forme d'un fichier suspect. Parfois, il arrive avec un compte valide et des outils qui sont déjà sur votre machine. C'est pourquoi la défense passe par la protection des identifiants, la limitation des permissions, la surveillance du comportement et la garantie de pouvoir récupérer.
Prenez quelques minutes cette semaine pour revoir votre configuration de travail à distance : avez-vous activé le MFA sur vos comptes clés ? Avez-vous changé le mot de passe d'administration de votre routeur ? Vos sauvegardes sont-elles isolées et les avez-vous testées ? Pour mieux comprendre l'ampleur du problème, vous pouvez consulter notre article sur les tendances du ransomware en Espagne.
