Ransomware multiplateforme : panorama actuel, familles et défenses

Informatec Digital » Ressources » Ransomware multiplateforme : panorama actuel, familles et défenses

Les rançongiciels multiplateformes sont devenus l'un des problèmes les plus graves pour les entreprises, les organismes publics et tous types d'organisations. Il ne s'agit plus seulement de virus affectant les ordinateurs Windows, mais aussi de familles de rançongiciels capables de chiffrer les données sur les serveurs Linux, les hyperviseurs ESXi, les machines virtuelles et, de plus en plus, d'exploiter l'intelligence artificielle pour automatiser leurs attaques.

Ces dernières années, nous avons assisté à l'émergence de nouvelles familles de ransomwares écrites en Rust, Go ou C++ , à une explosion des modèles de ransomware en tant que service (RaaS) et à des campagnes très ciblées contre les infrastructures critiques et les réseaux d'entreprise. Parallèlement, les équipes de réponse aux incidents et les laboratoires de cybersécurité ont décrypté les mécanismes de ces attaques, identifié des failles de conception, publié des outils de déchiffrement et documenté des tactiques, techniques et procédures (TTP) de plus en plus complexes.

Qu’est-ce qu’un ransomware multiplateforme et pourquoi sa popularité a-t-elle explosé ?

Lorsqu'on parle de ransomware multiplateforme, on fait référence à des logiciels malveillants capables de s'exécuter sur plusieurs systèmes d'exploitation , généralement Windows et Linux, et souvent aussi sur des environnements de virtualisation comme VMware ESXi. Cette prouesse repose sur l'utilisation de langages de programmation modernes tels que Rust, Go ou, dans une moindre mesure, C/C++ avec des versions adaptées à chaque architecture.

L'objectif est clair : maximiser l'impact au sein d'un réseau d'entreprise . Si des attaquants parviennent à accéder à l'environnement, ils souhaitent pouvoir chiffrer les ordinateurs des utilisateurs, les serveurs, les contrôleurs de domaine, les périphériques NAS (voir la protection NAS ), les machines virtuelles et tout autre élément contenant des informations sensibles. Cela augmente considérablement leur pouvoir de négociation en matière de rançon.

Des langages comme Rust et Go sont indépendants de la plateforme et permettent une compilation relativement aisée de binaires pour différents systèmes et architectures (x86, x86_64, ARM, etc.). Cette caractéristique a été exploitée par des groupes tels que BlackCat, Hive, Luna, Akira, PromptLock et d'autres plus récents, qui ne se contentent pas de cibler un seul type de système.

De plus, de nombreux groupes cybercriminels ont adopté le modèle du ransomware en tant que service (RaaS) , dans lequel les développeurs de logiciels malveillants louent leur plateforme à des affiliés. Ces derniers sont chargés de compromettre les réseaux et de déployer le ransomware, en échange du partage de la rançon. Cette approche favorise un code modulaire, facilement portable et capable de fonctionner de manière transparente dans divers environnements.

01flip : un ransomware Rust multiplateforme ciblant Windows et Linux

Un exemple récent de cette tendance est 01flip, un ransomware entièrement écrit en Rust, qui a été observé attaquant des systèmes Windows et Linux sur des réseaux de la région Asie-Pacifique, rendant l'administration des systèmes Linux cruciale pour la défense. Les chercheurs l'ont lié à une activité répertoriée sous le nom de CL-CRI-1036, associée à la cybercriminalité à motivation financière.

Les premiers indices sont apparus début juin 2025, lorsqu'un exécutable Windows suspect, présentant un comportement typique de ransomware, a été analysé dans un environnement isolé. Le binaire n'était ni empaqueté ni fortement obfusqué, ce qui a permis de confirmer qu'il s'agissait de code Rust authentique. Le nom « 01flip » provient de l'extension ajoutée aux fichiers chiffrés (« .01flip ») et de l'adresse de contact figurant dans la note de rançon (« 01Flip@protonme »).

Par la suite, grâce à l'analyse d'échantillons présents sur des plateformes de partage de logiciels malveillants, une version Linux de 01flip, passée inaperçue pendant au moins trois mois, a été identifiée . L'utilisation de Rust et de la compilation croisée a permis aux attaquants de conserver une logique interne quasi identique pour les deux variantes, ne modifiant que les dépendances spécifiques à chaque plateforme.

Des outils comme rustbininfo ont montré que la version de Rust, le hachage de commit et la plupart des bibliothèques (crates) étaient identiques entre les binaires Windows et Linux. Cela indique que l'équipe réutilise le même code source et le compile pour différents systèmes avec des modifications minimales, un des principaux avantages de cette approche multiplateforme.

Concernant l'impact réel, un petit nombre de victimes ont été recensées à ce jour , bien que certaines d'entre elles gèrent des infrastructures sociales critiques en Asie du Sud-Est. Des fuites de données liées à CL-CRI-1036 ont été constatées sur des forums du dark web, mais le nombre total d'organisations touchées demeure inconnu.

Chaîne d'attaque 01flip : accès initial, déplacement latéral et déploiement

L'analyse forensique des réseaux compromis par 01flip révèle une approche plutôt manuelle et ciblée . Dans un cas documenté, les attaquants ont commencé à sonder le périmètre début avril 2025, tentant d'exploiter d'anciennes vulnérabilités telles que CVE-2019-11580 dans des applications exposées à Internet.

Bien que le vecteur d'entrée exact n'ait pu être déterminé, de forts indices laissent penser que les attaquants ont déployé Sliver , un framework open source d'émulation d'adversaires et de commande et de contrôle (C2) bien connu, écrit en Go et multiplateforme, sur la machine Linux de la victime. Une balise Sliver fonctionnant avec un profil de pivot TCP a été détectée un mois après la première tentative d'exploitation.

Grâce à cet accès consolidé, fin mai 2025, le groupe à l'origine de CL-CRI-1036 a étendu son emprise à d'autres machines Linux , téléchargeant de nouveaux implants Sliver pour renforcer sa présence sur le réseau. Le déploiement du ransomware 01flip a eu lieu ultérieurement, une fois les attaquants familiarisés avec l'environnement et disposant de droits d'administration suffisants.

Lors de la phase finale de l'incident, plusieurs instances de 01flip ont été détectées s'exécutant quasi simultanément sur des machines Windows et Linux au sein de la même organisation. Bien que le mode de propagation interne exact reste flou, il est raisonnable de supposer qu'elles ont exploité les fonctionnalités de Sliver et des modules complémentaires pour :

• Effectuer une reconnaissance interactive des systèmes et services.
• Télécharger les identifiants et élever ses privilèges au sein du domaine.
• Effectuer des mouvements latéraux vers d'autres segments et serveurs clés.

Dans leurs communications, les attaquants exigeaient jusqu'à 1 bitcoin (BTC) pour le déchiffrement et utilisaient des canaux chiffrés (messagerie sécurisée et messagerie privée) pour négocier avec les victimes. Du moins dans cette campagne, aucun portail public de double extorsion, semblable à ceux utilisés par les grands groupes de RaaS, n'a été observé, bien qu'une annonce de vente de données ait été trouvée sur un forum du dark web immédiatement après l'infection.

Fonctionnement interne de 01flip : chiffrement, évasion et effacement des traces

La logique de 01flip est relativement simple, bien qu'elle comprenne plusieurs détails techniques curieux . Une fois exécuté sur un système compromis, le ransomware effectue les principales actions suivantes :

1. Énumérer toutes les unités accessibles (sous Windows, de A: à Z: ; sous Linux, systèmes de fichiers montés) pour localiser le nombre maximal de répertoires accessibles en écriture.
2. Créez une note de rançon appelée RECOVER-YOUR-FILE.TXT Dans chaque dossier auquel il a accès en écriture, on trouve des informations de contact et un bloc de données chiffrées utilisées lors des négociations.
3. Renommez les fichiers cibles suivant le modèle . .<0 ou 1>.01flip, afin que chaque victime soit identifiée et que certains paramètres de chiffrement soient différenciés.
4. Chiffrez le contenu des fichiers avec AES-128-CBC en utilisant une clé de session symétrique générée pour chaque système.
5. Chiffrez cette clé de session avec une clé publique RSA-2048 intégrée. dans le fichier binaire et l'inclut dans la note de rançon, de sorte que seule la personne qui possède la clé privée RSA puisse générer le déchiffreur.
6. Elle s'élimine d'elle-même à la fin de l'exécution compliquer l'analyse médico-légale.

En matière d'évasion, 01flip se caractérise par son utilisation des API natives et des appels de bas niveau dès que possible . Sous Windows, il exploite les fonctions du noyau plutôt que les API de haut niveau, généralement surveillées de plus près par les solutions de sécurité. Sous Linux, il recourt de la même manière aux appels système directs. Cette stratégie n'est pas infaillible, mais elle contribue à camoufler l'activité au sein du système d'exploitation.

Une autre couche d'obfuscation consiste à chiffrer les chaînes de caractères sensibles au sein du binaire . La note de rançon, son nom de fichier, la liste des extensions à traiter et la clé publique RSA elle-même sont stockés sous forme chiffrée. À l'exécution, ils sont déchiffrés par une simple soustraction (SUB) de paires d'octets. Selon sa longueur, chaque chaîne est placée dans la section .text ou .data de l'exécutable.

Paradoxalement, 01flip intègre également une petite technique anti-sandbox : il vérifie si le nom du fichier exécutable contient la chaîne « 01flip » . Si c’est le cas, il s’autodétruit sans lancer de chiffrement. Cela complique légèrement l’analyse automatisée lorsque les systèmes de laboratoire renomment les échantillons, mais il s’agit tout de même d’une astuce assez simple.

Le module d'effacement des traces est plus sophistiqué. Une fois le chiffrement terminé, le ransomware tente d'écraser son propre fichier binaire avec des données aléatoires, puis de le supprimer du disque, aussi bien sous Windows que sous Linux. Concrètement, il utilise des commandes spécifiques à chaque plateforme :

• Sous Windows : combiner un ping pour introduire une pause, fsutil pour effacer plusieurs mégaoctets du fichier, puis une suppression forcée. (De /f /q).
• Sous Linux : utilise Utilisez la commande dd avec /dev/urandom pour remplir plusieurs mégaoctets de l'exécutable lui-même avec des données aléatoires. et ensuite il lance une RM silencieuse.

Politique d'exclusion du chiffrement et lien possible avec LockBit

Comme d'autres familles de rançongiciels, 01flip intègre une liste d'extensions de fichiers qu'il ne chiffre jamais . Cette liste d'exclusion vise à éviter de rendre le système d'exploitation inutilisable et à garantir le fonctionnement des services essentiels à l'attaquant (tels que les outils d'administration ou les binaires système), afin de maintenir la stabilité de l'environnement et de permettre à la victime de communiquer et de payer la rançon.

Parmi les extensions exclues, on trouve un grand nombre de types exécutables et système : exe, dll, sys, bat, cmd, com, msi, msu, ocx, so, o, bin, rom, winmd, pilotes (drv), polices et caractères (ttf, woff, otf, fnt, fon), ressources visuelles (ico, icns, cur, ani), fichiers temporaires et cache (tmp, sfcache), liens (lnk), fichiers de verrouillage (lock) ou packages d'installation (deb, dmg, apk, app, cab, iso), parmi beaucoup d'autres.

L'exclusion de l'extension .lockbit est particulièrement notable , car elle n'est généralement pas utilisée légitimement . Le fait que 01flip ignore tout fichier se terminant par .lockbit a conduit les analystes à soupçonner un possible lien avec le groupe à l'origine du tristement célèbre ransomware LockBit, que certains fournisseurs de services de sécurité surveillent sous le nom de Flighty Scorpius.

Cependant, au-delà de cette curieuse coïncidence dans le code, aucune TTP, infrastructure ou schéma de trading n'a été trouvé qui indique clairement un lien direct entre CL-CRI-1036 et LockBit. Il pourrait s'agir d'un clin d'œil délibéré, d'un moyen d'éviter les conflits entre transactions, ou simplement d'une copie de fragments de code provenant d'exemples publics.

Dans tous les cas, la liste d'exclusion est un élément essentiel de la conception du ransomware , car elle permet au système de continuer à démarrer et évite de corrompre les éléments nécessaires à la victime pour accéder à la note de rançon, interagir avec l'environnement et effectuer le paiement si elle le souhaite.

Environnements ESXi, Rust et Go et montée en puissance des ransomwares multiplateformes

Les laboratoires de sécurité de plusieurs entreprises ont constaté une augmentation constante des familles de rançongiciels ciblant les hyperviseurs ESXi, en plus des systèmes Windows et Linux. La virtualisation d'une grande partie des infrastructures d'entreprise fait que la compromission d'un serveur ESXi permet aux attaquants de chiffrer simultanément des dizaines, voire des centaines de machines virtuelles.

Le groupe Luna , par exemple, utilise un ransomware écrit en Rust capable d'attaquer simultanément Windows, Linux et ESXi. L'analyse de Kaspersky a détecté des publicités pour Luna sur des forums du dark web, précisant qu'ils ne travaillent qu'avec des affiliés russophones, un détail qui, combiné à certaines fautes d'orthographe dans la note de rançon intégrée au fichier binaire, suggère une origine russe.

Un autre cas notable est celui de Black Basta, une famille de ransomware écrite en C++ qui a compromis plus de 40 organisations depuis son apparition en 2022, principalement aux États-Unis, en Europe et en Asie. Black Basta et Luna possèdent tous deux des variantes spécifiques pour ESXi, ce qui confirme la tendance à cibler la couche de virtualisation comme point de défaillance unique.

Parallèlement, des groupes comme BlackCat et Hive ont également adopté Rust et Go . Hive, en particulier, combine ces deux langages dans son écosystème d'outils et est devenu un exemple classique de ransomware multiplateforme orienté vers le modèle RaaS, avec des tableaux de bord pour les affiliés, la gestion des victimes et des stratégies de double extorsion très sophistiquées.

Le message sous-jacent véhiculé par les chercheurs est clair : le choix de langages comme Rust et Go réduit l’effort nécessaire pour porter des ransomwares entre plateformes , facilite une certaine évasion des signatures statiques traditionnelles et complique l’analyse inverse pour les laboratoires, en raison de la structure particulière des binaires et des optimisations de compilation.

VolkLocker (CyberVolk 2.x) : RaaS, automatisation avec Telegram et une défaillance critique

VolkLocker, lié à la résurgence du groupe hacktiviste pro-russe CyberVolk , est un autre exemple récent de ransomware multiplateforme . Cette nouvelle opération, baptisée CyberVolk 2.x, adopte une approche de type « ransomware-as-a-service », permettant ainsi à des affiliés aux compétences techniques limitées mais désireux de monétiser l'accès aux réseaux compromis.

VolkLocker est conçu pour cibler les infrastructures critiques des environnements Windows, Linux et ESXi , grâce à des fonctionnalités automatisées permettant d'exécuter des commandes, d'élever ses privilèges et même d'activer des fonctions destructrices à l'aide de minuteurs. L'une de ses particularités est l'utilisation de Telegram comme canal de commande et de contrôle , s'appuyant sur des bots et des API de messagerie pour recevoir des ordres, envoyer les résultats des commandes et coordonner les opérations entre différents systèmes compromis.

Sur le plan technique, il intègre des mécanismes permettant de contourner le contrôle de compte d'utilisateur (UAC) de Windows afin d'élever les privilèges , ainsi que des modules programmés pour supprimer ou corrompre les données si certaines conditions temporelles sont remplies ou si la victime tente d'interférer avec le processus de chiffrement. L'ensemble de ces éléments correspond à une approche RaaS relativement professionnelle.

Cependant, des analyses de sécurité ont révélé une faille de conception très grave : les clés de chiffrement principales sont encodées statiquement dans les fichiers binaires et stockées en clair. Cela signifie qu’une fois le fichier binaire extrait et examiné, il est possible de reconstituer les clés sans payer la rançon, ce qui permet aux victimes de développer des outils de déchiffrement.

Ce type de vulnérabilité rappelle les premières versions d'autres rançongiciels où le chiffrement était mal implémenté , permettant aux chercheurs de diffuser gratuitement des outils de déchiffrement. Cependant, les groupes tirent généralement des leçons de ces failles et publient des versions corrigées ultérieurement ; il est donc crucial de profiter de cette opportunité tant qu'elle existe.

PromptLock : le premier ransomware basé sur l’IA

En matière d'innovation, ESET décrit PromptLock comme le premier ransomware alimenté par l'intelligence artificielle . Il s'agit, à ce jour, d'une preuve de concept ou d'un projet en cours de développement qui n'a pas encore été observé lors d'attaques réelles, mais il illustre l'évolution possible de ces menaces.

PromptLock est écrit en Go et propose des versions pour Windows et Linux , tirant ainsi parti de la nature multiplateforme de ce langage. Plus impressionnant encore, il intègre localement le modèle gpt-oss-20b d'OpenAI via l'API Ollama, utilisant l'IA pour générer à la volée des scripts Lua malveillants.

Ces scripts Lua sont construits à partir d'instructions encodées au sein même du logiciel malveillant et servent à réaliser de multiples tâches : énumérer le système de fichiers, identifier les fichiers d'intérêt, exfiltrer des données spécifiques et, enfin, exécuter le chiffrement. L'IA agit comme un moteur qui adapte la logique d'attaque au contexte, ouvrant la voie à un comportement beaucoup plus dynamique.

La découverte de PromptLock met en évidence que les outils d'IA disponibles publiquement et facilement accessibles peuvent être détournés à des fins malveillantes , automatisant les phases critiques d'une attaque de ransomware (reconnaissance, analyse de fichiers, sélection de la cible, etc.) à une vitesse et à une échelle qui nécessitaient auparavant un effort manuel considérable.

Pour les équipes de défense, cela signifie que le volume, la complexité et l'adaptabilité des attaques pourraient augmenter , notamment si les futures familles de ransomwares combinent IA, capacités multiplateformes et modèles commerciaux de ransomware en tant que service (RaaS). ESET prévoit que les ransomwares continueront de se développer parallèlement à l'intelligence artificielle et recommande de suivre de près les tendances émergentes qui seront décrites dans des rapports et livres blancs spécifiques consacrés à l'utilisation offensive de l'IA.

Nouvelles menaces multiplateformes : FakeSG, Akira et le voleur d’AMOS pour macOS

L'équipe GReAT de Kaspersky a également documenté d'autres campagnes et familles qui s'inscrivent dans ce paysage de la cybercriminalité multiplateforme , où les ransomwares partagent la vedette avec les voleurs d'identifiants et les systèmes de distribution avancés.

Parmi les menaces croissantes figure FakeSG, une campagne consistant à compromettre des sites web légitimes pour afficher de fausses notifications de mise à jour de navigateur. Cliquer sur ces notifications télécharge un fichier malveillant qui exécute des scripts cachés, établit un accès de commande et de contrôle (C2) et permet aux attaquants de prendre le contrôle du système ou de déployer d'autres types de logiciels malveillants, notamment des rançongiciels.

Dans le domaine du chiffrement pur, Akira s'est imposé comme une variante de ransomware ciblant Windows et Linux . En peu de temps, il a touché plus de soixante organisations dans de multiples secteurs (commerce de détail, éducation, biens de consommation, etc.). Il partage des caractéristiques avec le célèbre ransomware Conti, notamment une liste d'exclusion de dossiers quasiment identique et un panneau de commande et de contrôle (C2) distinctif, doté d'une interface classique mais robuste, difficilement détectable.

Parallèlement, on observe une croissance notable de l' écosystème des logiciels malveillants ciblant macOS , système traditionnellement moins attaqué que Windows. Le logiciel malveillant AMOS (Atomic macOS Stealer) est apparu initialement en avril 2023 et était proposé pour environ 1 000 $ par mois via des chaînes Telegram.

Au fil du temps, AMOS, initialement écrit en Go , a été réécrit en C et a intégré des méthodes de distribution de plus en plus agressives, comme des campagnes de malvertising sur des sites imitant les pages officielles du logiciel. Une fois installé, il dérobe les identifiants, les données sensibles et autres secrets des utilisateurs, chaque infection étant identifiée par un UUID unique. Ce type de logiciel malveillant démontre que l'approche multiplateforme n'est plus l'apanage des rançongiciels, mais s'étend à l'ensemble de l'arsenal des cybercriminels.

Histoire, évolution et modèles d'extorsion des rançongiciels

Pour comprendre la situation actuelle, il est important de rappeler que les rançongiciels ne sont pas un phénomène nouveau . Le premier cas largement documenté fut celui du cheval de Troie AIDS, également connu sous le nom de PC Cyborg, en 1989. Ce logiciel malveillant chiffrait les noms de fichiers sur le disque C: des ordinateurs et exigeait le paiement de 189 dollars à une boîte postale au Panama en échange d'un prétendu outil de déchiffrement.

Ces premières attaques d'extorsion simple ont évolué vers des modèles d'extorsion double, triple, voire quadruple . Dans des campagnes comme Maze (2019), les criminels ont non seulement crypté les données, mais ont également menacé de les publier en cas de non-paiement. Avaddon, en 2021, a ajouté la possibilité de lancer des attaques par déni de service distribué (DDoS) contre les victimes récalcitrantes. L'extorsion quadruple intègre des pressions sur les clients et partenaires de l'organisation ciblée, amplifiant ainsi les dommages à sa réputation.

Les ransomwares se sont transformés en un marché bien structuré au sein de l'écosystème criminel . Des modèles comme le RaaS permettent à des acteurs ayant peu de compétences techniques de lancer des campagnes à l'aide de plateformes complètes incluant le logiciel malveillant, les panneaux de contrôle, l'infrastructure de paiement et le support d'affiliés. Hive illustre parfaitement cette approche multiplateforme et orientée services.

Certains groupes ont même mis en place des programmes internes de primes aux bogues , rémunérant ceux qui découvrent et signalent des failles dans leur code afin d'améliorer la sécurité de leurs opérations, comme ce fut le cas pour LockBit. Cette ironie illustre parfaitement leur niveau de professionnalisme : tout en s'attaquant à la sécurité des entreprises et des utilisateurs, ils s'efforcent de protéger leur propre « produit ».

La montée en puissance des ransomwares s'explique en partie par leur facilité de propagation et la diversité des vecteurs d'infection disponibles : phishing, exploitation de vulnérabilités, téléchargements malveillants, macros dans les documents, attaques sur les RDP exposés, etc. De plus, la présence de places de marché et de services annexes sur le dark web (location de botnets, vente d'accès, blanchiment de cryptomonnaies) complète une chaîne de valeur criminelle très mature.

Méthodes d'infection courantes, techniques d'évasion et méthodes de chiffrement

Au fil des ans, différentes familles de rançongiciels ont perfectionné et combiné de multiples méthodes d'intrusion . De nombreuses campagnes s'appuient encore sur des courriels d'hameçonnage, comme l'ont fait en leur temps TeslaCrypt, CERBER, Nemucod, LECHIFFRE, MirCop et Stampado, utilisant des pièces jointes ou des liens trompeurs pour exécuter la charge utile initiale.

D'autres groupes ont eu recours à des kits d'exploitation qui compromettent des sites web légitimes , tels que CryptXXX, SNSLocker, XORIST ou DXXD, de sorte que la simple visite d'une page vulnérable suffit pour tenter d'exploiter une chaîne de failles dans le navigateur ou dans des plugins obsolètes.

Les téléchargements et mises à jour de logiciels malveillants sont également fréquents , comme l'ont montré les cas de BadBlock, 777, DemoTool, Crysis et TeleCrypt, où des installateurs d'apparence légitime dissimulaient des rançongiciels. Parallèlement, des familles de rançongiciels telles qu'AutoLocky et XORBAT exploitaient les macros présentes dans les documents bureautiques, incitant les utilisateurs à activer du contenu actif qui déclenchait le code malveillant.

Certains des cas les plus notoires, tels que WannaCry, Petya, Chimera, Jigsaw, Globe/Purge ou Teamxrat/Xpan, se caractérisaient par l'exploitation des vulnérabilités du réseau et une propagation autonome au sein des organisations, affectant les serveurs, les postes de travail et les ressources partagées sans pratiquement aucune intervention humaine.

Avant le chiffrement, nombre de ces programmes malveillants désactivent les services et processus liés à la sécurité , suppriment les clichés instantanés et les points de restauration, et modifient les paramètres système pour assurer leur persistance et entraver la récupération. Après l'attaque, ils effacent généralement les traces et les journaux afin de bloquer toute analyse forensique.

En matière de chiffrement, des familles comme WannaCry et Petya ont utilisé des algorithmes robustes tels que AES et RSA , implémentés de manière à ce qu'en théorie, le processus soit irréversible sans la clé correspondante. D'autres, comme XORIST, XORBAT et Stampado, ont opté pour leurs propres algorithmes ou des adaptations qui, dans certains cas, se sont révélées vulnérables à l'analyse cryptographique.

Outils de désinfection et de décryptage : le cas Trend Micro

Face à la recrudescence des attaques, l'écosystème de la cybersécurité a commencé à publier des outils de déchiffrement pour un nombre croissant de familles de rançongiciels , permettant ainsi aux victimes de récupérer leurs données sans payer de rançon. À titre d'exemple, citons Trend Micro Ransomware File Decryptor, compatible avec des variantes telles que CryptXXX, TeslaCrypt, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT, CERBER, Stampado, Nemucod, Chimera, LECHIFFRE, MirCop, Jigsaw, Globe/Purge, DXXD, Teamxrat/Xpan, Crysis, TeleCrypt, DemoTool, WannaCry et Petya.

Pour l'utiliser, téléchargez l'outil, extrayez son contenu et exécutez le fichier RansomwareFileDecryptor.exe . Après avoir accepté le contrat de licence, l'interface vous permet de sélectionner la famille de ransomware concernée, de spécifier l'emplacement des fichiers chiffrés et de lancer le processus de déchiffrement, ou de consulter des guides pour récupérer des fichiers depuis un disque dur.

Dans certaines variantes (par exemple, CyptXXX V1, XORIST, XORBAT, NEMUCOD ou TeleCrypt), l'outil nécessite deux fichiers : un fichier chiffré et une copie non chiffrée, afin de déduire la clé ou la méthode de récupération. Il est recommandé que ces fichiers soient aussi volumineux que possible pour faciliter l'analyse.

Ce processus n'est pas sans limites. CryptXXX V3 ne permet qu'un déchiffrement partiel et peut nécessiter des utilitaires supplémentaires pour certains types de fichiers. BadBlock peut chiffrer des composants système critiques, ce qui ralentit le démarrage. CERBER exige que le déchiffrement soit effectué sur la machine infectée elle-même, et sa durée dépend de la puissance du processeur. Globe/Purge utilise la force brute et peut s'avérer très long, en plus de rencontrer des problèmes avec les volumes FAT32.

Dans le cas de WannaCry, le déchiffrement repose sur la localisation de la clé privée dans la mémoire du processus actif ; il ne fonctionne donc que si le ransomware est toujours en cours d'exécution et est particulièrement efficace sur les systèmes Windows XP. Petya, en revanche, exige des étapes spécifiques pour restaurer le système d'exploitation après la récupération de la clé de chiffrement à partir du MBR modifié.

Malgré ces restrictions, l'existence d'outils de déchiffrement réduit considérablement l'intérêt économique pour les attaquants . À chaque fois qu'un déchiffreur efficace est mis au point, le pourcentage de victimes prêtes à payer diminue, ce qui met à rude épreuve le modèle économique des organisations criminelles. Cependant, ces groupes réagissent généralement vite, en corrigeant les vulnérabilités et en diffusant de nouvelles variantes plus résistantes.

Recommandations pour la protection contre les ransomwares multiplateformes

Dans ce contexte, les experts s'accordent à dire que la prévention et la détection précoce sont absolument essentielles . Parmi les mesures recommandées par Kaspersky, ESET et d'autres fournisseurs de solutions de sécurité, on peut citer :

• Ne pas exposer les services de bureau à distance (RDP) ni aucun autre accès administratif directement à Internet, sauf en cas de stricte nécessité, et toujours protégé par des mots de passe forts, l'authentification multifacteur et, si possible, un VPN.
• Axer la stratégie défensive sur la détection des mouvements latéraux et de l'exfiltration de données., en surveillant de près le trafic sortant et les connexions inhabituelles aux serveurs externes.
• Mise en œuvre de solutions EDR/XDR et de services de détection gérés (tels que Kaspersky EDR Expert, Managed Detection and Response ou Cortex XDR/XSIAM) qui combinent l'analyse comportementale, l'apprentissage automatique et la corrélation des événements pour identifier les activités suspectes à un stade précoce.
• Former et sensibiliser les employés grâce à des programmes de formation spécifiques, réduisant ainsi la probabilité qu'ils tombent dans le piège des courriels d'hameçonnage ou installent des logiciels malveillants.
• Se tenir au courant des renseignements sur les menaces, en tirant parti de portails spécialisés qui regroupent des informations sur les campagnes actives, les indicateurs de compromission et les tactiques, techniques et procédures réelles utilisées par les attaquants.
• Gérez proactivement la surface d'attaque., en identifiant les services vulnérables exposés à Internet (tels que Atlassian Crowd Server affecté par CVE-2019-11580) avec des outils de gestion de la surface d'attaque tels que Cortex Xpanse.

Pour les personnes qui pensent avoir été victimes d'un incident grave, les services d'intervention d'unités spécialisées comme l'Unité 42 offrent une assistance urgente via des lignes téléphoniques dédiées en Amérique du Nord, en Europe, en Asie-Pacifique, au Japon, en Australie, en Inde et en Corée du Sud. Par ailleurs, des initiatives telles que la Cyber ​​Threat Alliance facilitent l'échange de renseignements techniques entre les entreprises de sécurité afin d'accélérer le développement des protections et de démanteler les réseaux criminels.

Les organisations sont également encouragées à signaler les tentatives de fraude, les cyberattaques ou les signes de compromission à leurs centres nationaux d'intervention en cas d'incident de sécurité informatique (CERT), aux forces de l'ordre compétentes et à leurs fournisseurs de services de cybersécurité. Plus les informations sont partagées, plus il est facile d'identifier les schémas récurrents et de mettre fin aux campagnes en cours.

Le contexte actuel révèle que les ransomwares multiplateformes, autrefois rares sur le plan technique , sont devenus monnaie courante parmi les groupes les plus actifs. Ils s'appuient sur des langages comme Rust et Go, des modèles RaaS, l'exploitation des environnements ESXi, l'intégration de l'IA et des campagnes d'extorsion doubles, voire triples. Face à cette situation, la combinaison de la prévention, de la surveillance avancée, de la réponse coordonnée et des initiatives publiques de déchiffrement est devenue essentielle pour poursuivre ses activités dans un environnement numérique de plus en plus hostile.