Le nouveau rapport de Check Point portant sur les menaces liées aux ransomware, nous indique à quel point l’écosystème du ransomware évolue rapidement. Il est question ce trimestre de malwares générés par IA, d’un effondrement de la confiance dans le déchiffrement, de cartels soutenus par des affiliés, et d’un paysage de la menace fragmenté, plus difficile à suivre que jamais. Tribune.
Constatations clés – Tendances au T2 2025
- Perturbations chez les groupes de Ransomware-as-a-Service (RaaS) : plusieurs groupes de ransomware majeurs ont disparu, laissant un écosystème fragmenté.
- Légère baisse de l’extorsion publique de victimes : moins de victimes ont été recensées sur les sites de fuites de données ce trimestre, probablement en raison de la pression des forces de l’ordre et de l’évolution des tactiques des attaquants.
- Transition continue vers l’extorsion par vol de données : les attaquants s’éloignent de plus en plus du chiffrement, préférant le vol et la divulgation de données pour contraindre au paiement.
- Le groupe de ransomware Qilin en tête avec de nouveaux outils d’extorsion : Qilin a été le groupe le plus actif au T2, utilisant des méthodes innovantes pour faire pression sur les victimes et augmenter les paiements.
Voici ce que tout responsable de la sécurité doit savoir et pourquoi le ransomware reste l’un des aspects les plus rentables et dynamiques du cybercrime.
Le ransomware dopé à l’IA n’est plus théorique
En 2025, les groupes de ransomware ne font pas qu’expérimenter l’IA, ils l’exploitent de manière opérationnelle.
Plus tôt cette année, Check Point Research a observé des campagnes réelles utilisant l’IA générative pour la création de contenus de phishing, l’obfuscation de code et l’usurpation d’identité des victimes. L’IA agit comme un multiplicateur de force pour les cybercriminels, supprimant les barrières à l’entrée et réduisant la dépendance aux développeurs hautement qualifiés.
Négociations assistées par IA et services innovants
Le groupe de ransomware appelé Global Group (également connu sous les noms El Dorado ou Blacklock) propose un « support de négociation alimenté par IA » dans le cadre de son offre Ransomware-as-a-Service (RaaS). Cela permettrait probablement aux attaquants d’affiner leurs tactiques de négociation pour obtenir des paiements plus élevés.
Ces outils d’IA comprendraient notamment :
- Des bots personnalisant les communications de rançon selon les réponses des victimes
- Des messages générés par IA, conçus pour être plus convaincants ou menaçants
- Des profils psychologiques visant à appliquer une pression stratégique sur les décideurs
Au T2, Qilin s’est également imposé comme un acteur dominant, déployant de nouveaux outils et services d’extorsion conçus pour accroître la pression sur les victimes et maximiser les paiements. Cela inclut l’offre d’une assistance juridique pour examiner les données volées, évaluer les violations réglementaires potentielles dans la juridiction de la victime, et préparer une documentation à soumettre aux autorités compétentes comme les agences fiscales, les forces de l’ordre ou des entités comme le FBI.
Des cartels et non plus des gangs : le ransomware devient une marque
Le ransomware devient une activité professionnelle décentralisée.
Le groupe DragonForce a amorcé un changement en se qualifiant de « modèle de cartel de ransomware ». Contrairement aux opérations RaaS traditionnelles où les affiliés suivent une méthode centralisée, DragonForce permet aux affiliés d’opérer de manière semi-indépendante : ils mènent leurs propres campagnes, choisissent leurs cibles et personnalisent les tactiques d’extorsion.
Éléments clés du modèle de cartel :
- Outils en marque blanche : accès à des constructeurs de ransomware avancés, à l’infrastructure des sites de fuite et aux mécanismes de chiffrement.
- Licence de marque : les attaques sont signées DragonForce, leur conférant une notoriété immédiate, même si les opérateurs principaux ne sont pas impliqués directement.
- Indépendance opérationnelle : cette structure réduit les risques, augmente la portée et rend les démantèlements plus difficiles.
DragonForce se distingue aussi par son accent stratégique sur l’image de marque et la visibilité, notamment via un partenariat avec Ramp, le plus grand forum clandestin dédié au ransomware.
Croire que la baisse des paiements est une victoire serait une erreur
Pour la première fois, les taux de paiement de rançons ont chuté de 25 à 27 % selon Coveware. Pourquoi ce changement ?
Facteurs de la baisse :
- Résilience accrue : les entreprises investissent davantage dans les sauvegardes, la segmentation et la réponse aux incidents, ce qui les rend plus aptes à refuser les paiements.
- Méfiance envers les attaquants : les victimes doutent de plus en plus que le paiement garantisse une clé de déchiffrement fonctionnelle ou la suppression des données.
- Pression réglementaire : des gouvernements comme ceux des États-Unis et de l’Australie proposent ou imposent des interdictions de paiement, modifiant ainsi l’équation du risque.
Cependant, le ransomware ne disparaît pas. Les attaquants adaptent sans cesse leurs méthodes :
- Triple extorsion : au-delà du chiffrement, les menaces incluent désormais le vol de données et des attaques directes contre les clients, employés ou partenaires.
- Enchères de données : les données volées sont mises en vente sur des sites de fuite ou dans des enchères clandestines, monétisant l’attaque même sans paiement.
- Attaques sur la réputation : certains groupes lancent des attaques DDoS ou contactent les médias et régulateurs pour faire pression publiquement.
La stratégie évolue du chiffrement à l’extorsion par tous les moyens.
Fragmentation après l’effondrement : la nouvelle norme du ransomware
La domination du ransomware n’est plus concentrée dans quelques noms. On assiste à une fragmentation de l’écosystème, ce qui complique la tâche des défenseurs.
Rien qu’au T2 2025 :
- LockBit, ancien groupe RaaS le plus actif, a subi de nouveaux revers et perdu des affiliés.
- RansomHub, un autre groupe de premier plan, aurait cessé ses activités.
- Cactus et d’autres groupes intermédiaires se sont éteints ou ont éclaté en petites entités.
Mais au lieu d’un déclin de l’activité, on observe une montée de nouveaux acteurs ou de groupes renommés, souvent utilisant des bases de code divulguées mais avec plus de discrétion.
Conséquences :
- Attribution plus difficile : les lignes deviennent floues, les malwares sont recyclés, les indicateurs traditionnels perdent en pertinence.
- Détection retardée : les petits groupes passent sous les radars et émergent souvent après une brèche réussie.
- Réaction ralentie : les forces de l’ordre et équipes de réponse doivent faire face à une myriade de menaces peu visibles.
En résumé, l’écosystème ransomware ne rétrécit pas : il se fragmente.
Ce que les responsables IT doivent faire dès maintenant
Devancer les ransomwares en 2025 exige plus que des correctifs et une défense périmétrique. D’après nos renseignements, nous recommandons :
- Adopter une architecture de sécurité connectée, intégrant la protection des endpoints, du réseau et des identités, surtout en environnements hybrides et multi-cloud.
- Déployer une protection anti-phishing à grande échelle : sensibilisation des utilisateurs, filtrage des emails, analyse comportementale capable de détecter les appâts générés par IA.
- Utiliser la déception et la chasse aux menaces pour repérer tôt l’activité des affiliés et les mouvements latéraux.
- Segmenter les sauvegardes et tester régulièrement la reprise. Ne vous reposez pas sur des politiques ou succès passés.
