La plupart des gros titres sur les rançongiciels se concentrent sur la même poignée de noms bien connus, mais une catégorie plus discrète d'acteurs malveillants s'avère tout aussi destructrice. Les groupes de rançongiciels moins connus abandonnent de plus en plus les vastes réseaux d'affiliés qui ont rendu des groupes comme LockBit et Cl0p tristement célèbres, optant plutôt pour de petites équipes disciplinées, plus difficiles à infiltrer et à anticiper. Royal, un groupe apparu vers septembre, est l'un des exemples les plus clairs de ce changement, et il constitue une étude de cas utile pour comprendre pourquoi « plus petit » ne signifie pas « plus sûr » pour les entreprises que ces groupes ciblent.
Un modèle économique différent : des équipes fermées plutôt que des affiliés
La plupart des grandes opérations de rançongiciels fonctionnent selon un modèle d'affiliation, ou de rançongiciel en tant que service. Les développeurs principaux conçoivent et maintiennent le logiciel malveillant, puis le concèdent sous licence à une rotation d'affiliés qui réalisent les intrusions proprement dites en échange d'une part de la rançon. C'est une structure efficace qui permet à un seul logiciel malveillant de s'étendre sur des dizaines ou des centaines d'attaques simultanées, mais elle crée aussi des points faibles. Les affiliés deviennent négligents, divulguent des détails ou se font arrêter, et les forces de l'ordre ont réellement réussi à démanteler ces réseaux en remontant le maillon le plus faible.
Royal contourne entièrement ce modèle. Plutôt que de recruter une large base d'affiliés, le groupe fonctionne avec une équipe centrale plus restreinte et plus soudée, qui comprendrait d'anciens membres de Conti, l'une des opérations de rançongiciels les plus prolifiques et les plus sophistiquées techniquement avant son éclatement. Ce pedigree compte. Un groupe bâti autour d'opérateurs expérimentés qui savent déjà naviguer dans les réseaux d'entreprise, échapper à la détection et négocier des rançons n'a pas besoin d'échelle pour être efficace. Il a besoin de discipline, et une structure fermée est plus facile à maintenir disciplinée.
Pour les défenseurs, il s'agit d'un changement significatif dans le paysage des menaces. Les groupes pilotés par des affiliés laissent souvent une trace de tactiques incohérentes parce que tant de personnes différentes utilisent la même boîte à outils. Une équipe fermée comme Royal, en revanche, tend à opérer avec plus de constance et plus de sécurité opérationnelle, ce qui peut rendre son activité plus difficile à identifier et à attribuer aux premiers stades d'une intrusion.
La double extorsion reste le fil conducteur
Malgré les différences structurelles, Royal partage une tactique avec presque tous les autres groupes de rançongiciels actifs aujourd'hui : la double extorsion. Au lieu de simplement chiffrer les fichiers d'une victime et d'exiger un paiement pour une clé de déchiffrement, le groupe exfiltre d'abord les données sensibles du réseau. Si la rançon n'est pas payée, la menace ne se limite pas à des fichiers verrouillés : c'est la publication publique des données volées, qui peuvent inclure des dossiers clients, des informations financières ou des communications internes.
Cette campagne de pression à deux volets est devenue la norme du secteur parce qu'elle fonctionne. Même les organisations dotées de solides systèmes de sauvegarde capables de restaurer les données chiffrées sans payer font toujours face aux retombées réputationnelles et réglementaires d'une fuite de données. C'est une tactique que l'on retrouve dans tout l'écosystème des rançongiciels, indépendamment de la taille ou de la notoriété d'un groupe. Les nouveaux entrants plus petits l'utilisent tout aussi volontiers que les noms établis. Le cas récent de M3RX ransomware revendiquant une société de logiciels espagnole et dérobant des centaines de gigaoctets de données suit le même scénario : infiltrer, exfiltrer, chiffrer et menacer de divulgation jusqu'au paiement.
Ce que ce schéma révèle aux entreprises, c'est que la taille ou la renommée d'un groupe de rançongiciels est un mauvais indicateur du risque. Une équipe relativement inconnue avec une poignée d'opérateurs qualifiés peut exécuter la même attaque par double extorsion, avec les mêmes conséquences, qu'un groupe qui domine les gros titres.
Ce que cela signifie pour vous
Pour les équipes de sécurité et les chefs d'entreprise, la leçon de Royal et de groupes similaires est que la surveillance des menaces construite autour d'une courte liste de noms célèbres de rançongiciels est incomplète. Les groupes de rançongiciels moins connus sont fréquemment composés d'opérateurs expérimentés issus d'organisations dissoutes ou rebaptisées, ce qui signifie que leurs capacités peuvent rivaliser avec celles de noms plus importants, même sans une large empreinte publique.
Cela a également des implications directes sur la façon dont les organisations conçoivent l'accès au réseau. Parce que la double extorsion dépend de la capacité des attaquants à se déplacer dans un réseau et à extraire des données avant de déclencher le chiffrement, limiter les mouvements latéraux est l'une des défenses les plus efficaces disponibles. Une segmentation réseau robuste, des contrôles d'accès stricts et la surveillance des transferts sortants de données inhabituels peuvent détecter une intrusion avant que l'exfiltration ne soit terminée, même si la brèche initiale n'est pas stoppée. Les outils d'accès à distance sécurisés, y compris les VPN correctement configurés avec authentification multifacteur, restent l'un des moyens les plus simples de réduire la surface d'attaque exposée sur laquelle des groupes comme Royal s'appuient pour obtenir un premier point d'ancrage.
Points clés à retenir
Les entreprises n'ont pas besoin de suivre chaque groupe de rançongiciels obscur par son nom pour se protéger, mais elles doivent supposer que tout système non corrigé ou point d'accès à distance exposé est une porte d'entrée potentielle pour des groupes dont elles n'ont jamais entendu parler. Quelques mesures pratiques font une réelle différence : maintenir les outils d'accès à distance corrigés et protégés par authentification multifacteur, segmenter les réseaux afin qu'un seul compte compromis ne puisse pas atteindre les données sensibles, surveiller les transferts sortants de données volumineux ou inhabituels pouvant indiquer une exfiltration en cours, et maintenir des sauvegardes hors ligne testées régulièrement, pas simplement stockées.
Les groupes de rançongiciels moins connus ne sont pas une note de bas de page face aux noms plus importants qui dominent l'actualité. Comme le démontrent Royal et d'autres opérations plus petites en équipe fermée, une visibilité réduite s'accompagne souvent d'une compétence opérationnelle accrue, et non d'un risque diminué. Traiter chaque groupe, familier ou non, avec le même niveau de rigueur défensive est le moyen le plus fiable de garder une longueur d'avance sur eux.
