Le visage du cybercrime change radicalement en 2026. Aujourd’hui, les attaques par rançongiciel ne reposent plus uniquement sur des codes malveillants complexes. Les attaquants opèrent désormais avec la précision d’une entreprise organisée. Ainsi, ils utilisent des outils Windows fiables pour neutraliser discrètement les défenses informatiques. Cette évolution rend les campagnes modernes de groupes comme LockBit 3.0 ou BlackCat nettement plus difficiles à détecter.
Le détournement d’outils légitimes : une arme redoutable
Les logiciels à l’origine de cette menace n’ont jamais été conçus pour le crime. En effet, des utilitaires comme Process Hacker, IOBit Unlocker ou PowerRun servent normalement aux administrateurs système. Ces outils aident les équipes informatiques à gérer les processus ou à déverrouiller des fichiers récalcitrants. Cependant, les pirates les ont détournés pour mettre fin silencieusement aux logiciels antivirus.
Comme ces outils possèdent des signatures numériques valides, les systèmes de sécurité les considèrent souvent comme inoffensifs. Par conséquent, l’activité de neutralisation laisse très peu de traces derrière elle. Les chercheurs de Seqrite notent d’ailleurs que cette technique est devenue une caractéristique déterminante des attaques par rançongiciel actuelles.
Un processus d’attaque méthodique en deux étapes
Une fois qu’ils ont établi une position dominante, les attaquants suivent un protocole strict. Ce démantèlement systématique de la sécurité précède toujours l’exécution de la charge utile finale.
Étape 1 : Neutralisation et élévation de privilèges
L’objectif initial est de briser la persistance des logiciels de protection. Ainsi, des outils comme TDSSKiller déchargent les pilotes du noyau de l’antivirus. Dans le même temps, Process Hacker exploite des privilèges spécifiques pour arrêter les processus de détection (EDR). Par ailleurs, certaines entrées de registre sont supprimées pour empêcher le redémarrage automatique des défenses.
Étape 2 : Vol d’identifiants et chiffrement final
Une fois l’environnement « aveugle », l’attaque atteint son point critique. Les pirates utilisent alors Mimikatz pour extraire les mots de passe des administrateurs en mémoire. Par la suite, PowerRun exécute le ransomware avec les privilèges système les plus élevés. À ce stade, le chiffrement des fichiers commence librement, car aucun logiciel de sécurité n’est plus actif pour intervenir.
Comment protéger les organisations et les entreprises ?
Face à cette stratégie évoluée, les mesures de sécurité traditionnelles ne suffisent plus. En effet, la détection basée sur les signatures est inefficace contre des outils officiels. Les équipes de sécurité doivent donc adopter une posture proactive.
- Imposer l’authentification multifactorielle (MFA) : Cela limite considérablement le déplacement latéral, même si des identifiants sont volés.
- Activer la liste blanche des applications : Cette mesure bloque l’exécution d’utilitaires puissants non approuvés par la DSI.
- Surveiller les commandes suspectes : Il faut isoler immédiatement tout point d’extrémité où des commandes comme
sc stopoutaskkillapparaissent de façon anormale.
En conclusion, les attaques par rançongiciel exploitent désormais la confiance accordée aux outils d’administration. Les organisations doivent donc auditer régulièrement leurs configurations de démarrage et limiter l’accès aux logiciels de bas niveau. Seule une surveillance étroite des comportements système permettra de détecter ces neutralisations furtives avant qu’il ne soit trop tard.
