Le ransomware

Pour situer le ransomware dans le vocabulaire qui structure la défense, le lecteur peut s'appuyer sur Anti-hack et ses concepts clés, qui recense les familles de menaces et les couches de protection correspondantes. Le chiffrement de masse ne se propage souvent que par une porte d'entrée plus simple, décrite dans Phishing expliqué, où un courriel usurpé déclenche l'exécution du fichier malveillant. Une fois le programme installé, la barrière de périmètre qui aurait dû bloquer la communication sortante vers le serveur de commande est Le pare-feu informatique, et le dernier rempart en temps réel est celui que décortique Antivirus : le mecanisme.

Un malware à part entière

Le ransomware appartient à la catégorie malware, au même titre que les chevaux de Troie, les vers et les logiciels espions. Ce qui le distingue, c'est l'objectif économique explicite : le virus ne se contente pas d'espionner ou de corrompre, il rend les données inutilisables pour monétiser l'arrêt. En informatique, on classe le ransomware comme un logiciel malveillant destructif ciblé, car il ne cherche pas à se propager massivement pour le plaisir, mais à identifier une victime dont l'activité rend le paiement probable. Le terme « virus » est souvent utilisé à tort : un virus classique s'attache à un fichier hôte et se réplique, alors que le ransomware est un programme autonome qui se déploie en une seule exécution.

Le cycle d'extorsion en 4 étapes

Le cycle d'extorsion du ransomware suit 4 étapes séquentielles, de l'infection à la demande de rançon. Chaque étape a un nom technique que la littérature de sécurité utilise de façon standardisée.

1. Infection : un fichier piégé, un lien dans un courriel de phishing ou une faille logicielle non corrigée (un « zero-day ») laisse le programme malveillant s'exécuter sur la machine.
2. Chiffrement : le ransomware parcourt le disque dur et chiffre les fichiers de travail, les images et les bases de données avec un algorithme de type AES-256, puis remplace les extensions (par exemple .lockbit, .conti, .ware).
3. Note de rançon : un fichier texte ou une page plein écran apparaît, avec un compte à rebours de 72 à 168 heures et un montant fixe, souvent exprimé en monnaie numérique.
4. Négociation ou paiement : la victime tente de déchiffrer par ses moyens, négocie avec les attaquants via un forum en dark web, ou accepte de payer ; dans les 2 cas, le risque de double extorsion (vendre les données volées) subsiste.

Les familles récentes, comme LockBit 3.0 (2022) ou BlackCat (Alphv), ajoutent un module de vol de données avant le chiffrement, ce qui transforme la rançon en double chantage : payer pour déchiffrer ou payer pour que les données ne soient pas publiées.

Débarrasser sa machine du ransomware

Débarrasser un système du ransomware exige une action rapide et ordonnée, car chaque minute augmente la surface de fichiers chiffrés. La procédure recommandée par les équipes de réponse à incident s'articule en 5 gestes.

• Isoler : débrancher le réseau (câble Ethernet et Wi-Fi) pour empêcher la propagation au reste du parc informatique.
• Identifier : noter le nom du fichier de rançon, l'extension ajoutée et l'empreinte du fichier chiffré, car des outils publics comme ID Ransomware permettent de reconnaître la famille.
• Chercher une clé publique : certaines familles ont vu leur algorithme cassé ou leurs serveurs de clé pris ; le site No More Ransom de l'Europol (lancé en 2016) recense plus de 400 types de ransomware pour lesquels un outil gratuit existe.
• Restaurer : récupérer les fichiers depuis une sauvegarde hors ligne (disque externe débranché, bande magnétique ou réplique cloud immutable).
• Repulvériser : reformater le système d'exploitation, réinstaller les applications et appliquer toutes les mises à jour avant de reconnecter la machine.

Si aucune sauvegarde n'existe et si le chiffrement est trop récent pour qu'une clé publique soit disponible, le déchiffrement local reste le seul chemin, avec un taux de succès estimé à moins de 5 % selon les analyses du secteur de la cybersécurité en 2023.

Protection : les couches qui font reculer le ransomware

Les couches de protection qui font reculer le ransomware s'empilent depuis le périmètre réseau jusqu'au poste individuel. Chaque couche réduit la probabilité d'infection ou la vitesse de propagation, et leur efficacité combine sans être redondante.

Position du ransomware dans le vocabulaire anti-hack

Le ransomware occupe une place centrale dans le vocabulaire anti-hack parce qu'il condense, en un seul artefact logiciel, la plupart des notions que la discipline étudie séparément : la faille zéro jour, la chaîne d'exploitation (exploit chain), le chiffrement asymétrique, la cryptographie appliquée à la délinquance, la réponse à incident et la résilience des données. En science informatique, les chercheurs modélisent le ransomware comme un problème d'optimisation adversariale : l'attaquant choisit la cible qui maximise le produit « probabilité de paiement × montant », tandis que la défense minimise ce produit en réduisant soit la probabilité (antivirus, pare-feu, segmentation), soit le montant (sauvegarde qui rend le paiement inutile). Cette formalisation explique pourquoi la protection efficace ne repose jamais sur un seul dispositif, mais sur la multiplication indépendante des couches décrites dans le tableau précédent. Le champ de la cybersécurité évolue chaque année pour intégrer les nouvelles variantes : en 2024, l'apparition de ransomwares exploitant des failles dans des composants Azure et des images conteneur Docker a élargi le périmètre de vigilance au-delà du poste de travail classique, et le vocabulaire anti-hack s'enrichit en conséquence de termes comme « ransomware-as-a-service » et « double extortion ».