# Groupes et familles de rançongiciels (FAQ)

> 25 questions sur Groupes et familles de rançongiciels, en langage clair : quoi vérifier, ce que montre NetSenX et ce qu'une sonde ne voit pas.

Source page: https://netsenx.com/fr/faq/ransomware-families

## Quelle différence entre une famille de rançongiciel, un groupe et un affilié ?

La famille, c'est le logiciel malveillant : le programme de chiffrement et ses outils, généralement nommés d'après le code ou la note de rançon, comme LockBit ou Akira. Le groupe est l'organisation criminelle qui le développe et l'exploite, avec le site de fuite, le processus de paiement et les négociateurs. Un affilié est une équipe criminelle distincte qui loue le logiciel au groupe et mène les intrusions elles-mêmes, en échange d'une part de la rançon, souvent la plus grande. C'est important pour les défenseurs, car une même famille peut arriver par des voies très différentes selon l'affilié qui l'utilise, tandis qu'un affilié peut changer de famille d'un mois à l'autre. Les avis gouvernementaux décrivent donc les deux : les indicateurs de la famille et les techniques observées chez ses affiliés. Quand un rapport dit qu'un groupe a attaqué une entreprise, cela signifie en général qu'un de ses affiliés l'a fait.

https://netsenx.com/fr/faq/difference-between-a-ransomware-family-group-and-affiliate

## Qu'est-ce que le ransomware as a service (RaaS) ?

Le ransomware as a service est un modèle économique dans lequel des développeurs louent leur rançongiciel à des affiliés, qui mènent les attaques et partagent les gains avec eux. Les développeurs fournissent le logiciel de chiffrement, un panneau de contrôle, un site de fuite pour publier les données volées, la gestion des paiements et parfois des négociateurs et un support. Les affiliés apportent l'accès aux victimes, souvent acheté à des courtiers en accès initial, et font le travail d'intrusion. Ce modèle explique plusieurs choses que remarquent les petites entreprises : le rançongiciel n'est plus réservé à des attaquants chevronnés, les attaques sont fréquentes et opportunistes plutôt que réservées aux grands noms, et une même marque peut apparaître avec des techniques très différentes. La plupart des familles des avis récents de la CISA et du FBI, dont LockBit, ALPHV, RansomHub et Medusa, sont décrites comme fonctionnant ainsi. Démanteler les développeurs perturbe d'un coup de nombreux affiliés, d'où le choix fréquent des forces de l'ordre de viser la plateforme.

https://netsenx.com/fr/faq/what-is-ransomware-as-a-service

## Qu'est-ce que la double extorsion dans les rançongiciels ?

La double extorsion signifie que les attaquants chiffrent vos systèmes et volent aussi une copie de vos données, puis exigent un paiement pour deux choses : la clé de déchiffrement et la promesse de ne pas publier les données. Elle s'est répandue vers 2020 et c'est désormais la norme : les avis de la CISA et du FBI la décrivent pour la plupart des groupes actuels, dont Black Basta, Akira, Play et Rhysida. Certains groupes renoncent même au chiffrement et n'extorquent qu'avec les données volées, comme le décrit l'avis sur BianLian à partir de 2024. Conséquence pratique : de bonnes sauvegardes ne règlent que la moitié du problème. Elles permettent de redémarrer mais ne changent rien aux données volées, qui peuvent déclencher une notification RGPD et des obligations envers les clients. Cela signifie aussi que le vol précède le chiffrement, souvent sur plusieurs jours, ce qui laisse une fenêtre aux défenseurs. Les gros transferts sortants vers des destinations inconnues font partie des signaux que NetSenX remonte dans toutes les offres.

https://netsenx.com/fr/faq/what-is-double-extortion-ransomware

## Qu'est-ce qu'un site de fuite de rançongiciel ?

Un site de fuite est un site web tenu par un groupe de rançongiciel, généralement accessible seulement via le réseau Tor, où il liste les entreprises qu'il affirme avoir attaquées et publie leurs données volées si elles ne paient pas. Une fiche commence souvent par le nom de l'entreprise, un compte à rebours et un échantillon de fichiers, pour faire pression pendant les négociations. Ces sites servent aussi de publicité : ils montrent la portée du groupe aux affiliés potentiels. Quelques points pour une entreprise qui s'y trouve listée. Une fiche est une affirmation, pas une preuve ; les groupes exagèrent parfois ou republient d'anciennes données, vérifiez donc ce qui a réellement été pris. C'est néanmoins un indice fort que des données ont quitté le réseau, ce qui compte pour la notification RGPD. Les opérations policières remplacent souvent ces sites par une bannière de saisie, comme pour LockBit en février 2024 et BlackSuit en juillet 2025. Des services de veille et les CERT nationaux suivent ces sites ; ne les consultez pas depuis des appareils de l'entreprise.

https://netsenx.com/fr/faq/what-is-a-ransomware-leak-site

## Où trouver des informations officielles sur les groupes de rançongiciels ?

Commencez par les sources gouvernementales, gratuites, datées et prudentes dans leurs affirmations. L'agence américaine CISA, avec le FBI et des agences partenaires, publie la série d'avis conjoints StopRansomware, chacun consacré à un groupe avec ses techniques connues, ses indicateurs de compromission et les défenses recommandées ; chaque avis porte un identifiant comme AA24-131A et une date. En Europe, consultez votre CERT national ou votre agence de cybersécurité, qui publie des alertes dans votre langue, le rapport annuel Threat Landscape de l'ENISA pour les tendances, et Europol pour les démantèlements et arrestations. Le projet No More Ransom recense des outils de déchiffrement gratuits. Les rapports des éditeurs de sécurité ajoutent des détails mais aussi du marketing : recoupez leurs chiffres avec une source officielle. En lisant un avis, regardez d'abord la date et l'historique des mises à jour : les groupes changent d'outils et les anciens indicateurs perdent vite de leur valeur, tandis que les techniques décrites restent pertinentes bien plus longtemps.

https://netsenx.com/fr/faq/where-to-find-official-ransomware-advisories

## Qu'est-ce que No More Ransom, et peut-il déchiffrer nos fichiers ?

No More Ransom est un site gratuit lancé en juillet 2016 par le Centre européen de lutte contre la cybercriminalité d'Europol, la police néerlandaise et des entreprises de sécurité, qui rassemble des outils de déchiffrement de rançongiciels. Pour ses six ans, en juillet 2022, Europol annonçait 136 outils gratuits couvrant 165 variantes. Sa page Crypto Sheriff permet de déposer une note de rançon ou deux fichiers chiffrés pour vérifier si un outil existe. Cela vaut la peine de vérifier, mais restez réaliste : les outils concernent surtout des familles anciennes, des familles dont la police a saisi les clés et des familles dont le chiffrement présente des failles. Pour la plupart des groupes professionnels actuels, il n'existe pas de déchiffreur gratuit. N'envoyez pas de fichiers contenant des données personnelles sensibles sans considérer vos obligations RGPD, gardez des copies des fichiers chiffrés au cas où un outil apparaîtrait plus tard, et demandez conseil avant de lancer un déchiffreur sur des systèmes de production.

https://netsenx.com/fr/faq/what-is-no-more-ransom

## Que signifie pour les victimes le démantèlement d'un groupe de rançongiciel par la police ?

Parfois beaucoup, souvent moins que ne le suggèrent les titres. Quand la police saisit les serveurs d'un groupe, elle peut récupérer des clés de déchiffrement : lors de l'opération contre Hive annoncée en janvier 2023, le FBI a indiqué avoir remis des clés à plus de 300 victimes en cours d'attaque et à plus de 1 000 victimes antérieures, et l'opération Cronos contre LockBit, en février 2024, a permis d'obtenir plus de 1 000 clés. Les victimes peuvent demander à leur police nationale s'il existe des clés pour leur cas, et No More Ransom publie souvent des outils ensuite. Les données saisies peuvent aussi empêcher de nouvelles fuites. Mais un démantèlement écarte rarement les personnes : les affiliés passent à d'autres plateformes et, dans plusieurs cas, des membres sont réapparus sous un nouveau nom en quelques mois. Pour les entreprises pas encore attaquées, cela change peu. Les mêmes techniques continuent sous d'autres marques, et les défenses recommandées dans les avis restent celles à appliquer.

https://netsenx.com/fr/faq/what-does-a-ransomware-takedown-mean-for-victims

## Pourquoi les groupes de rançongiciels changent-ils de nom ?

Surtout pour échapper à la pression. Un nom connu attire les forces de l'ordre, les sanctions et les listes de blocage, et beaucoup d'assureurs et d'entreprises refusent de payer des groupes sous sanctions : un nouveau nom peut donc faciliter le paiement pour les criminels. Un changement de nom peut aussi suivre une scission interne, une fuite des conversations du groupe ou une opération de police. Les sources officielles documentent plusieurs de ces changements : la mise à jour d'août 2024 de l'avis de la CISA sur Royal indique que BlackSuit est un rebranding de Royal, et l'avis de la CISA d'août 2024 sur RansomHub note que l'opération était auparavant connue sous les noms de Cyclops et Knight. Après la fuite des conversations internes de Conti en 2022, ses membres se sont dispersés dans d'autres opérations. Pour les défenseurs, la leçon est simple : le nom sur la note de rançon change plus vite que les techniques derrière. Suivez les techniques, que chaque avis liste avec des références MITRE ATT&CK, pas seulement les noms de marque.

https://netsenx.com/fr/faq/why-do-ransomware-groups-rebrand

## Comment une petite entreprise doit-elle utiliser un avis sur un rançongiciel ?

Lisez-le comme une liste de contrôle, pas comme une actualité. Chaque avis StopRansomware de la CISA se termine par une section de mesures d'atténuation, qui reprend surtout la même poignée de mesures : corriger vite les systèmes exposés à internet, en particulier VPN et accès distants ; exiger l'authentification multifacteur pour l'accès distant, la messagerie et les comptes d'administration ; garder des sauvegardes hors ligne et testées ; segmenter le réseau pour qu'une machine infectée n'atteigne pas tout ; limiter les droits d'administration et l'usage du bureau à distance ; surveiller le trafic interne et sortant inhabituel. Cochez ce que vous faites déjà et corrigez d'abord le point le plus faible. Lisez ensuite la section sur l'accès initial : si le groupe exploite un produit que vous utilisez, vérifiez aujourd'hui son niveau de correctifs. Les indicateurs de compromission, comme les adresses IP et les empreintes de fichiers, sont utiles à votre prestataire informatique ou à vos outils de sécurité mais vieillissent vite. Pas besoin de comprendre chaque détail technique pour appliquer les mesures.

https://netsenx.com/fr/faq/how-a-small-company-should-use-a-ransomware-advisory

## Qu'est-ce que le rançongiciel LockBit ?

LockBit est une opération de ransomware as a service apparue en 2019, qui a été la variante de rançongiciel la plus déployée au monde en 2022, selon l'avis conjoint AA23-165A publié par la CISA, le FBI et des partenaires internationaux le 14 juin 2023. Ses affiliés entraient par des services de bureau à distance exposés, du phishing, des identifiants volés et des vulnérabilités de systèmes exposés à internet ; un avis distinct, AA23-325A de novembre 2023, décrivait l'exploitation de la faille Citrix Bleed. Le 20 février 2024, l'opération Cronos, menée par la National Crime Agency britannique avec le FBI et Europol, a pris le contrôle de l'infrastructure et du site de fuite de LockBit et obtenu plus de 1 000 clés de déchiffrement. La marque a ensuite tenté de reprendre, avec une portée bien moindre. Les leçons des avis restent valables : corriger vite les équipements en bordure de réseau, exiger la MFA pour l'accès distant et surveiller le mouvement latéral et les gros transferts sortants avant le chiffrement.

https://netsenx.com/fr/faq/what-is-lockbit-ransomware

## Qu'est-ce qu'ALPHV, aussi appelé BlackCat ?

ALPHV, aussi connu sous le nom de BlackCat, était une opération de ransomware as a service active depuis fin 2021, remarquée parce qu'elle était écrite dans le langage Rust et chiffrait aussi bien les serveurs ordinaires que les hôtes de virtualisation. La CISA et le FBI l'ont décrite dans l'avis AA23-353A, publié le 19 décembre 2023 et mis à jour en février 2024 : ses affiliés avaient alors compromis plus de 1 000 entités dans le monde, souvent après avoir manipulé des services d'assistance et du personnel informatique pour obtenir des identifiants. En décembre 2023, le FBI a annoncé avoir perturbé le groupe et fourni un outil de déchiffrement à plus de 500 victimes. ALPHV a brièvement repris, puis fermé en mars 2024, ce que beaucoup de chercheurs ont décrit comme une escroquerie envers ses propres affiliés. Ceux-ci n'ont pas disparu ; beaucoup sont passés à d'autres plateformes. La leçon clé de l'avis pour les petites entreprises : former le support à vérifier l'identité avant toute réinitialisation de mot de passe ou de MFA.

https://netsenx.com/fr/faq/what-is-alphv-blackcat-ransomware

## Qu'est-ce que le rançongiciel Black Basta ?

Black Basta est une opération de ransomware as a service observée pour la première fois en avril 2022. Dans l'avis conjoint AA24-131A, publié le 10 mai 2024, la CISA, le FBI et des agences partenaires ont indiqué que ses affiliés avaient touché plus de 500 organisations dans le monde, dont 12 des 16 secteurs d'infrastructures critiques américains, par double extorsion : chiffrement des systèmes et vol de données. L'accès initial passait généralement par du spear phishing et l'exploitation de vulnérabilités connues ; l'avis décrit aussi des affiliés utilisant des outils légitimes d'accès à distance et de transfert de fichiers, des identifiants volés et le bureau à distance pour passer d'une machine à l'autre. Des chercheurs ont largement rapporté que les conversations internes du groupe ont fuité en février 2025, après quoi son activité a diminué. Les recommandations de l'avis forment une bonne base pour toute entreprise : systèmes à jour, MFA résistante au phishing, formation du personnel à reconnaître le phishing, sauvegardes hors ligne et contrôle des logiciels d'accès à distance autorisés.

https://netsenx.com/fr/faq/what-is-black-basta-ransomware

## Qu'est-ce que le rançongiciel Akira ?

Akira est une opération de rançongiciel observée pour la première fois en mars 2023, qui vise des entreprises et des infrastructures critiques en Amérique du Nord, en Europe et en Australie. La CISA, le FBI, le centre de lutte contre la cybercriminalité d'Europol et le NCSC néerlandais l'ont décrite dans l'avis conjoint AA24-109A du 18 avril 2024 : au 1er janvier 2024, elle avait touché plus de 250 organisations et revendiqué environ 42 millions de dollars de gains. Une mise à jour du 13 novembre 2025 a porté ce chiffre à environ 244 millions de dollars à fin septembre 2025 et cité l'industrie manufacturière, l'éducation, l'informatique, la santé, les services financiers et l'agroalimentaire parmi les secteurs les plus touchés. Les affiliés d'Akira entrent généralement par des comptes VPN sans authentification multifacteur et par des failles connues de produits VPN et pare-feu, la mise à jour citant notamment une vulnérabilité SonicWall, et ils volent les données avant de chiffrer. Le conseil en découle directement : MFA sur chaque compte VPN, correctifs rapides des équipements en bordure de réseau et sauvegardes hors ligne.

https://netsenx.com/fr/faq/what-is-akira-ransomware

## Qu'est-ce que le rançongiciel Play ?

Play, aussi appelé Playcrypt, est un groupe de rançongiciel actif depuis juin 2022. La CISA, le FBI et l'Australian Cyber Security Centre l'ont décrit dans l'avis conjoint AA23-352A du 18 décembre 2023, qui comptait alors environ 300 entités touchées ; une mise à jour de juin 2025 indiquait que le FBI en connaissait environ 900 en mai 2025. Play pratique la double extorsion, mais sa note de rançon n'indique aucun montant : les victimes doivent prendre contact par e-mail, et la mise à jour signale que certaines ont aussi reçu des appels menaçants. L'accès initial vient généralement de comptes valides volés ou achetés, et de vulnérabilités de systèmes exposés à internet comme les services de bureau à distance et les pare-feu. Le groupe recompile son logiciel pour chaque attaque, si bien que les empreintes de fichiers servent peu. Le comportement est plus fiable : vol d'identifiants, déplacements entre machines internes, et données rassemblées puis envoyées avant le chiffrement, ce que la surveillance réseau peut voir.

https://netsenx.com/fr/faq/what-is-play-ransomware

## Que sont les rançongiciels Royal et BlackSuit ?

Royal était une opération de rançongiciel active depuis septembre 2022 environ, et BlackSuit est son successeur. La CISA et le FBI ont décrit Royal pour la première fois dans l'avis AA23-061A du 2 mars 2023 ; une mise à jour de novembre 2023 recensait plus de 350 victimes connues depuis septembre 2022, et une mise à jour d'août 2024 indique que BlackSuit est un rebranding de Royal et que les demandes de rançon cumulées dépassaient 500 millions de dollars, la plus élevée atteignant 60 millions. Le phishing était la voie d'entrée la plus fréquente, suivi du bureau à distance, de l'exploitation d'applications exposées et d'accès achetés à des courtiers. En juillet 2025, une opération internationale coordonnée via Europol et menée par les Homeland Security Investigations américaines a saisi les serveurs et domaines de BlackSuit, comme l'a annoncé le ministère de la Justice américain en août 2025. Aucune arrestation n'a été signalée, et des chercheurs ont vu des membres passer à de nouvelles opérations. Les défenses de l'avis restent pertinentes, quelle que soit la marque.

https://netsenx.com/fr/faq/what-are-royal-and-blacksuit-ransomware

## Qu'est-ce que le rançongiciel Rhysida ?

Rhysida est un groupe de ransomware as a service apparu en mai 2023. La CISA, le FBI et le MS-ISAC l'ont décrit dans l'avis conjoint AA23-319A du 15 novembre 2023, en notant qu'il attaquait de manière opportuniste l'éducation, la santé, l'industrie, l'informatique et les administrations, par double extorsion. Selon l'avis, ses auteurs entraient surtout par des services distants externes comme les VPN, souvent avec des identifiants volés là où l'authentification multifacteur n'était pas imposée, par du phishing et parfois en exploitant la vulnérabilité Zerologon des contrôleurs de domaine. Une fois à l'intérieur, ils utilisaient les outils d'administration intégrés et le bureau à distance pour se déplacer, le schéma living off the land observé chez beaucoup de groupes. Pour une petite entreprise, le message de l'avis est connu mais important : exiger la MFA sur chaque accès distant, corriger les contrôleurs de domaine, restreindre le bureau à distance et segmenter le réseau pour qu'un seul point d'appui n'expose pas tout.

https://netsenx.com/fr/faq/what-is-rhysida-ransomware

## Qu'est-ce que le rançongiciel Medusa ?

Medusa est une opération de ransomware as a service identifiée pour la première fois en juin 2021, à ne pas confondre avec la famille MedusaLocker, sans lien, ni avec un logiciel malveillant mobile portant le même nom. La CISA, le FBI et le MS-ISAC l'ont décrite dans l'avis conjoint AA25-071A du 12 mars 2025, qui recensait plus de 300 victimes en février 2025 dans des secteurs d'infrastructures critiques comme le médical, l'éducation, le juridique, l'assurance, la technologie et l'industrie ; une mise à jour d'août 2026 porte ce nombre à plus de 500 victimes en avril 2026. Ses développeurs et affiliés entrent par du phishing pour voler des identifiants et en exploitant des vulnérabilités non corrigées, et l'avis décrit un usage intensif de logiciels légitimes d'accès à distance et d'outils d'administration intégrés. Medusa tient un site de fuite avec comptes à rebours et propose de retarder la publication contre paiement. Les mesures sont les mêmes que d'habitude : corriger systèmes, logiciels et firmwares ; MFA pour tous les services ; segmentation du réseau ; sauvegardes hors ligne ; et limiter les outils de bureau et d'accès à distance à ceux que vous utilisez vraiment.

https://netsenx.com/fr/faq/what-is-medusa-ransomware

## Qu'est-ce que le rançongiciel RansomHub ?

RansomHub était une opération de ransomware as a service apparue en février 2024, qui a vite grandi en recrutant des affiliés d'autres plateformes, notamment après l'effondrement d'ALPHV et le démantèlement de LockBit. La CISA, le FBI, le MS-ISAC et le ministère américain de la Santé l'ont décrite dans l'avis conjoint AA24-242A du 29 août 2024 : elle avait alors chiffré et volé les données d'au moins 210 victimes, dans des secteurs comme l'eau, l'informatique, les services publics, la santé, les services d'urgence, l'alimentation, les services financiers et les communications. L'avis note que l'opération était auparavant connue sous les noms de Cyclops et Knight et pratique la double extorsion. Les affiliés entraient généralement par du phishing, du password spraying et l'exploitation de vulnérabilités connues de systèmes exposés à internet. Des chercheurs ont rapporté que son infrastructure a disparu en avril 2025 et que beaucoup d'affiliés sont partis ailleurs. Le schéma est la leçon : les marques passent vite, tandis que les techniques d'entrée et les défenses recommandées restent les mêmes.

https://netsenx.com/fr/faq/what-is-ransomhub-ransomware

## Qu'est-ce que le rançongiciel Cl0p ?

Cl0p, aussi écrit Clop, est une opération de rançongiciel et d'extorsion que les agences de sécurité associent à un groupe criminel suivi sous le nom de TA505. Il est surtout connu pour des vols de données massifs via des failles de logiciels de transfert de fichiers plutôt que pour du chiffrement classique. La CISA et le FBI ont décrit son exploitation d'une vulnérabilité zero-day, CVE-2023-34362, dans le produit MOVEit Transfer dans l'avis conjoint AA23-158A du 7 juin 2023 : à partir de fin mai 2023, le groupe a volé des données de très nombreuses organisations via ce seul produit, puis exigé un paiement pour ne pas les publier. Des campagnes antérieures avaient exploité des failles similaires d'autres produits de transfert de fichiers. Pour une petite entreprise, les leçons sont précises : savoir quelles applications de transfert de fichiers et autres applications exposées à internet vous utilisez, y compris celles qu'un prestataire gère pour vous, les corriger dès qu'un avis paraît, et surveiller les volumes inhabituels de données quittant ces serveurs. Pas besoin de chiffrement pour causer de graves dommages.

https://netsenx.com/fr/faq/what-is-cl0p-ransomware

## Qu'est-ce que le rançongiciel BianLian ?

BianLian est un groupe criminel qui a commencé comme opération de rançongiciel en juin 2022 et qui est passé à une extorsion fondée uniquement sur le vol de données. La CISA, le FBI et l'Australian Cyber Security Centre l'ont décrit dans l'avis conjoint AA23-136A du 16 mai 2023 ; l'avis indique que le groupe est passé principalement à l'extorsion par exfiltration vers janvier 2023, et une mise à jour de novembre 2024 précise qu'il y est passé exclusivement vers janvier 2024. Ses auteurs entrent généralement avec des identifiants valides de bureau à distance, souvent achetés à des courtiers en accès initial ou obtenus par phishing, puis utilisent des outils intégrés et des logiciels d'accès à distance pour explorer le réseau et copier les données vers l'extérieur avant d'exiger un paiement. Comme rien n'est chiffré, une victime peut n'apprendre l'attaque que par le message d'extorsion. La surveillance des données sortantes est donc particulièrement utile : le vol est l'attaque. L'avis recommande de limiter strictement le bureau à distance, d'auditer les outils d'accès à distance et de contrôler étroitement les comptes d'administration.

https://netsenx.com/fr/faq/what-is-bianlian-ransomware

## Qu'était le rançongiciel Hive ?

Hive était une opération de ransomware as a service active de juin 2021 au début de 2023. Dans l'avis conjoint AA22-321A du 17 novembre 2022, la CISA, le FBI et le ministère américain de la Santé indiquaient qu'il avait fait plus de 1 300 victimes parmi les entreprises du monde entier et reçu environ 100 millions de dollars de rançons, avec un impact particulier sur la santé. Ses affiliés entraient par des comptes de bureau à distance et VPN sans MFA, par du phishing et par des vulnérabilités connues de serveurs exposés à internet. Le 26 janvier 2023, le ministère de la Justice américain a annoncé que le FBI infiltrait secrètement le réseau de Hive depuis juillet 2022, remettant des clés de déchiffrement à plus de 300 victimes en cours d'attaque et à plus de 1 000 victimes antérieures, avant de saisir ses serveurs avec l'aide des polices allemande et néerlandaise et d'Europol. Hive montre ce qu'un démantèlement peut apporter aux victimes, et aussi ses limites : des chercheurs ont ensuite signalé la réutilisation du code de Hive dans une nouvelle marque de rançongiciel.

https://netsenx.com/fr/faq/what-was-hive-ransomware

## Qu'était le rançongiciel Conti ?

Conti a été l'une des opérations de rançongiciel les plus actives de 2020 à 2022. Dans l'avis conjoint AA21-265A du 22 septembre 2021, la CISA, le FBI et la NSA recensaient plus de 400 attaques contre des organisations américaines et internationales, les affiliés entrant par spear phishing, identifiants de bureau à distance volés ou faibles, faux téléchargements de logiciels et vulnérabilités connues ; l'avis a ensuite été complété par d'autres indicateurs. Conti fonctionnait davantage comme une entreprise que comme un réseau informel, avec du personnel rémunéré, ce qui est apparu en février 2022 quand des dizaines de milliers de ses messages internes ont fuité. La marque a cessé vers la mi-2022 et ses membres se sont dispersés dans d'autres opérations de rançongiciel et d'extorsion. Pour les défenseurs, les documents divulgués ont confirmé ce que disaient les avis : la plupart des intrusions reposaient sur des faiblesses ordinaires, comme l'absence de MFA, des accès distants exposés et des correctifs tardifs, pas sur des exploits exotiques.

https://netsenx.com/fr/faq/what-was-conti-ransomware

## Que sont les rançongiciels Phobos et 8Base ?

Phobos est une famille de ransomware as a service active depuis 2019 environ, et 8Base était l'un des groupes qui utilisaient une variante de Phobos. La CISA, le FBI et le MS-ISAC ont décrit Phobos dans l'avis conjoint AA24-060A du 29 février 2024 : ses affiliés visaient des collectivités locales, des services d'urgence, l'éducation, la santé et d'autres infrastructures critiques, en entrant généralement par des services de bureau à distance protégés par des mots de passe faibles ou volés, ou par du phishing. Des chercheurs en sécurité notent que Phobos a surtout été utilisé contre de petites et moyennes organisations plutôt que contre de grandes entreprises. Le 11 février 2025, Europol a annoncé une opération internationale coordonnée, au cours de laquelle quatre personnes soupçonnées de diriger 8Base ont été arrêtées ; selon le ministère américain de la Justice, plus de 100 serveurs liés au réseau ont été perturbés. Le conseil aux petites entreprises est simple : ne pas exposer le bureau à distance sur internet, imposer des mots de passe robustes et la MFA pour l'accès distant, et garder des sauvegardes hors ligne.

https://netsenx.com/fr/faq/what-are-phobos-and-8base-ransomware

## Qu'est-ce que le rançongiciel Ghost, ou Cring ?

Ghost, aussi connu sous le nom de Cring et sous plusieurs autres noms, est une opération de rançongiciel à motivation financière que la CISA, le FBI et le MS-ISAC ont décrite dans l'avis conjoint AA25-050A du 19 février 2025. Selon l'avis, ses auteurs ont commencé leurs attaques vers début 2021 et ont compromis des organisations dans plus de 70 pays, dans des secteurs comprenant les infrastructures critiques, les écoles et universités, la santé, les administrations, l'industrie et de nombreuses petites et moyennes entreprises. Ils obtiennent surtout l'accès en exploitant des vulnérabilités connues, souvent anciennes de plusieurs années, de logiciels exposés à internet comme les pare-feu, serveurs web et serveurs de messagerie, pour lesquelles des correctifs existaient depuis longtemps. Ils changent aussi souvent les noms de fichiers de leur rançongiciel et leurs notes de rançon, ce qui rend la marque difficile à suivre. La leçon est nette : corriger les systèmes exposés contre les vulnérabilités connues et remplacer les appareils qui ne reçoivent plus de mises à jour est la principale défense recommandée par l'avis.

https://netsenx.com/fr/faq/what-is-ghost-cring-ransomware

## Qu'est-ce que le rançongiciel Interlock ?

Interlock est une opération de rançongiciel observée pour la première fois en septembre 2024, qui vise des entreprises et des infrastructures critiques en Amérique du Nord et en Europe. La CISA, le FBI, le ministère américain de la Santé et le MS-ISAC l'ont décrite dans l'avis conjoint AA25-203A du 22 juillet 2025. Contrairement à beaucoup de groupes, Interlock entre souvent par des téléchargements furtifs depuis des sites légitimes compromis, dont de fausses mises à jour de navigateur, et par la technique ClickFix, dans laquelle un faux CAPTCHA ou un faux message d'erreur convainc l'utilisateur de coller et d'exécuter une commande. Il pratique la double extorsion et chiffre aussi bien les ordinateurs ordinaires que les machines virtuelles. Les défenses recommandées reflètent cette voie d'entrée : filtrage DNS et web pour bloquer les sites malveillants, navigateurs et protection des postes à jour, et un personnel qui sait qu'aucun vrai site ne demande de coller des commandes, plus les habituels correctifs, MFA et segmentation du réseau. Après l'accès initial, le trafic de contrôle à distance et le mouvement latéral sont les étapes que la surveillance réseau peut voir.

https://netsenx.com/fr/faq/what-is-interlock-ransomware

FAQ: https://netsenx.com/fr/faq