# Comment détecter un rançongiciel sur le réseau

> Les signes réseau qui précèdent le chiffrement par un rançongiciel, rapportés à MITRE ATT&CK, et ce que la détection réseau peut faire ou non.

Source page: https://netsenx.com/fr/detect-ransomware-on-the-network

Dernière vérification : 7 novembre 2026

Détecter un rançongiciel (ransomware) sur le réseau, c'est repérer l'attaque pendant les étapes qui précèdent le chiffrement du premier fichier. L'attaquant doit d'abord atteindre une machine, contacter son propre serveur, trouver les serveurs de fichiers et les sauvegardes, s'y déplacer et, dans la plupart des attaques actuelles, copier des données vers l'extérieur pour disposer d'un second moyen de pression. Chacune de ces étapes traverse le réseau et laisse un motif : des connexions régulières vers un serveur extérieur, un hôte qui balaie beaucoup d'autres, de nouvelles sessions d'administration, un gros envoi la nuit. Le chiffrement est la dernière étape, et celle que le réseau voit le moins.

## Le fait à retenir

Dans l'avis commun AA24-131A, publié pour la première fois le 10 mai 2024, la CISA, le FBI et des agences partenaires ont indiqué que les affiliés de Black Basta avaient touché plus de 500 organisations dans le monde, appliquaient un modèle de double extorsion qui chiffre les systèmes et exfiltre les données, et utilisaient RClone pour exfiltrer les données avant le chiffrement.

Source : [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)

## Les signes sur le réseau, dans l'ordre où ils apparaissent d'habitude

Aucun ne prouve à lui seul un rançongiciel. Vus dans cet ordre ou ensemble, ils méritent une enquête le jour même.

1. **Un nouveau serveur extérieur, contacté à intervalles réguliers** Un poste se met à contacter une destination que personne d'autre n'utilise, toutes les quelques minutes, jour et nuit. C'est souvent le canal de commande et de contrôle de l'attaquant, ou un outil d'accès à distance que personne n'a approuvé.
2. **Un hôte qui balaie le réseau interne** La machine compromise sonde les plages internes à la recherche de ports SMB (445), RDP (3389) et de bases de données ouverts, pour trouver serveurs de fichiers, sauvegardes et contrôleurs de domaine.
3. **De nouvelles sessions d'administration vers de nombreux serveurs** Des sessions à distance en SMB, RDP ou WinRM depuis un poste vers des serveurs qu'il n'a jamais utilisés, souvent en dehors des heures de travail, montrent que l'attaquant se rapproche des données.
4. **Un gros envoi avant tout chiffrement** La copie de données vers un stockage cloud, avec des outils comme RClone, apparaît comme un volume sortant inhabituel depuis un serveur qui envoie d'ordinaire peu, souvent la nuit.
5. **Des lectures et réécritures massives sur les partages** Quand le chiffrement commence, un client lit et réécrit de gros volumes de données sur les partages réseau en peu de temps. À ce stade, le confinement passe avant tout.

## Correspondance avec MITRE ATT&CK

Les noms et identifiants des techniques sont ceux de MITRE. La dernière colonne indique la catégorie de détection NetSenX dont relève ce trafic ; elle ne signifie pas que toutes les variantes de la technique sont détectées.

| Technique | Ce que l'on voit sur le réseau | Détection NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Un hôte qui se connecte en peu de temps à de nombreuses adresses internes sur des ports SMB, RDP ou de bases de données. | Balayage |
| [T1021.002](https://attack.mitre.org/techniques/T1021/002/) Remote Services: SMB/Windows Admin Shares (Lateral Movement) | Un poste qui ouvre des sessions SMB sur les partages d'administration de serveurs qu'il n'a jamais utilisés. | Mouvement latéral |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | De petites connexions régulières vers une même destination externe en HTTPS, jour et nuit. | Beaconing C2 |
| [T1567.002](https://attack.mitre.org/techniques/T1567/002/) Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration) | Un serveur qui envoie vers un service de stockage cloud bien plus de données que d'habitude. | Volume de données sortant inhabituel |
| [T1486](https://attack.mitre.org/techniques/T1486/) Data Encrypted for Impact (Impact) | Le chiffrement s'exécute sur les hôtes. Lorsqu'il touche des partages réseau, un client lit et réécrit de gros volumes en SMB. | Pas de détection dédiée : NetSenX surveille les étapes qui le précèdent |

## Ce que NetSenX fait aujourd'hui

- Détecte le balayage, le mouvement latéral, le beaconing C2 et les volumes de données sortants inhabituels à partir du comportement réseau, dans chaque offre, Free comprise.
- Explique chaque alerte en langage clair, en citant les caractéristiques réseau qui ont déterminé son score, pour qu'une petite équipe distingue une intrusion d'une nouvelle tâche de sauvegarde.
- Indique sur l'alerte la technique MITRE ATT&CK lorsqu'une détection y correspond, et montre dans une vue de couverture les techniques couvertes par vos détections actives.
- Suit les délais de l'article 23 de NIS2 si un incident s'avère important, et prépare pour votre DPO une notification de violation au titre de l'article 33 du RGPD.

## Ce que NetSenX ne fait pas

NetSenX n'arrête pas le chiffrement sur un hôte, ne restaure pas les fichiers et n'a pas de détection dédiée à l'étape de chiffrement elle-même : c'est le rôle de la protection des postes (EDR) et des sauvegardes hors ligne. Il ne voit que les segments que vous surveillez et ne déchiffre jamais le trafic. Une attaque qui commence et finit sur une seule machine laisse peu de chose à voir au réseau, et une alerte est une raison d'enquêter, pas la preuve d'un rançongiciel.

## Questions des acheteurs

### Quels sont les premiers signes d'un rançongiciel sur un réseau ?

Des connexions régulières d'un poste vers un nouveau serveur extérieur, un hôte qui balaie les plages internes à la recherche de ports SMB, RDP ou de bases de données, de nouvelles sessions d'administration vers de nombreux serveurs et un gros envoi vers un stockage cloud depuis un serveur qui envoie d'ordinaire peu. Ils arrivent généralement dans cet ordre, avant qu'aucun fichier ne soit chiffré.

### La surveillance réseau peut-elle détecter un rançongiciel avant le chiffrement ?

Souvent, parce que les étapes qui précèdent le chiffrement traversent le réseau : connexions de commande et de contrôle, balayage, mouvement latéral et vol de données. C'est la fenêtre pendant laquelle une attaque peut encore être arrêtée. Toutes les attaques ne montrent pas toutes ces étapes, et une attaque confinée à une seule machine laisse peu de chose à voir au réseau.

### NetSenX arrête-t-il les rançongiciels ?

Non. NetSenX signale le comportement réseau qui précède généralement un rançongiciel, pour que votre équipe agisse tant qu'il est temps. Isoler les hôtes, chasser l'attaquant et restaurer les données restent du ressort de votre équipe, de votre protection des postes et de vos sauvegardes.

### Que faire en premier si l'on voit ces signes ?

Déconnecter du réseau les hôtes concernés, conserver leurs journaux, réinitialiser les identifiants utilisés sur ces machines et appeler votre prestataire de réponse à incident. Si votre organisation relève de NIS2, le délai de 24 heures pour l'alerte précoce court dès que vous avez connaissance d'un incident important.

## Sources

- [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)
- [MITRE ATT&CK — Data Encrypted for Impact (T1486)](https://attack.mitre.org/techniques/T1486/)
- [Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.

## Pages associées

- [Détecter les mouvements latéraux et le beaconing C2](https://netsenx.com/fr/detect-lateral-movement-c2-beaconing)
- [Comment savoir si quelqu'un est dans votre réseau](https://netsenx.com/fr/is-someone-inside-your-network)
- [Surveillance réseau NIS2](https://netsenx.com/fr/nis2-network-monitoring)
- [Qu'est-ce que le NDR ?](https://netsenx.com/fr/what-is-ndr)
- [Tarifs et offre Free](https://netsenx.com/fr/pricing)