Publié par : Anaëlle Quivrin-Tessier — Rédactrice spécialisée en informatique
LockBit est l’un des groupes de cybercriminalité les plus connus de ces dernières années. Ce rançongiciel cible surtout les entreprises, les administrations et les organisations. Il chiffre les fichiers pour interrompre l’activité, puis vole parfois des données afin de menacer leur publication. Comprendre son modèle, ses méthodes et les bons réflexes aide à mesurer le risque et à réagir sans aggraver la crise.
LockBit, un rançongiciel organisé comme un service
Apparu à la fin de l’année 2019, LockBit fonctionne selon le modèle du ransomware as a service, aussi appelé RaaS. Les opérateurs développent le logiciel malveillant, entretiennent l’infrastructure et organisent le paiement. Des affiliés, de leur côté, mènent les intrusions contre les victimes. Les revenus des rançons sont ensuite répartis entre les différents acteurs.
Testez vos connaissances sur LockBit
Répondez aux six questions, puis validez pour obtenir votre score et les corrections.
Cette organisation facilite la diffusion internationale du groupe. L’équipe centrale n’a pas besoin de conduire chaque attaque. Elle peut s’appuyer sur de nombreux affiliés, avec des compétences, des méthodes et des cibles différentes. Entre juin 2022 et février 2024, LockBit aurait compté 188 affiliés et revendiqué plus de 7 000 attaques. Près de 2 500 victimes ont été recensées, dont plus de 200 en France.
Pourquoi les organisations sont les cibles prioritaires
Les cybercriminels recherchent des structures pour lesquelles une interruption informatique produit des effets immédiats : travail impossible, retards de production, services indisponibles, systèmes administratifs bloqués ou accès aux dossiers interrompu. Une PME, une collectivité ou un établissement de santé peut donc subir une forte pression, même si tous les postes de travail ne sont pas touchés.
Le montant de la rançon n’est pas la seule menace. LockBit exploite aussi le coût du temps perdu, l’incertitude sur l’intégrité des données et le risque de divulgation. La victime se retrouve face à une décision présentée comme urgente : restaurer ses opérations par ses propres moyens ou négocier avec des criminels. Dans les deux cas, aucune garantie ne permet d’assurer la récupération complète des fichiers ou la suppression réelle des données volées.
Une attaque LockBit se prépare avant le chiffrement
Le chiffrement visible des fichiers intervient souvent à la fin d’une intrusion déjà avancée. L’accès initial peut provenir d’un hameçonnage, d’identifiants volés, d’un accès RDP insuffisamment protégé ou de l’exploitation d’une vulnérabilité. Une fois dans le réseau, les attaquants cherchent à élever leurs privilèges, à repérer les serveurs critiques et à conserver une porte dérobée.
Cette phase préparatoire peut durer avant que les utilisateurs constatent le moindre blocage. Les attaquants évaluent les ressources accessibles, les comptes administrateurs et les mécanismes de sauvegarde. Ils cherchent aussi à comprendre l’organisation du réseau pour atteindre un maximum de systèmes au moment du chiffrement.
Mouvement latéral, reconnaissance et exfiltration
Les opérateurs peuvent utiliser des outils d’administration et des mécanismes comme PowerShell, SMB ou RDP pour se déplacer d’un poste à l’autre. Ce mouvement latéral leur permet d’atteindre les contrôleurs de domaine, les serveurs de fichiers et parfois les systèmes de sauvegarde. Ils tentent également de désactiver ou de contourner les protections capables de détecter leur activité.
Un bon niveau de sécurité ne repose donc pas uniquement sur l’antivirus. Il faut surveiller les connexions inhabituelles, les créations de comptes à privilèges, les transferts massifs vers l’extérieur et les tentatives d’accès aux sauvegardes. La segmentation du réseau limite aussi la propagation. Si un segment est compromis, l’attaquant ne doit pas pouvoir rejoindre librement les serveurs qui contiennent les données les plus sensibles.
La double extorsion, cœur du chantage
Avant de chiffrer les fichiers, les affiliés peuvent exfiltrer des documents, des bases de données ou des archives. C’est le principe de la double extorsion : la victime subit à la fois l’indisponibilité de ses systèmes et la menace de publication de ses informations sur un site de fuite de données, souvent hébergé dans le darknet.
Restaurer les fichiers ne suffit donc pas à faire disparaître le risque. L’organisation doit aussi déterminer quelles données ont été consultées ou exportées, quels comptes ont été compromis et si les attaquants disposent encore d’un accès. Cette analyse conditionne les décisions techniques, juridiques et liées à l’information des personnes concernées.
Variantes LockBit : un malware qui s’adapte
LockBit a évolué par versions successives, notamment LockBit 2.0, LockBit 3.0, aussi désigné LockBit Black, et des développements associés à LockBit-NG-Dev. Ces variantes peuvent modifier le mode de chiffrement, les mécanismes d’exécution ou la capacité à contourner certaines défenses.
Le nom de la famille fournit un premier repère, mais il ne suffit pas à analyser un incident. Les outils utilisés, le compte compromis, le vecteur d’entrée et l’étendue de la présence dans le réseau doivent être établis séparément. Une réponse efficace s’appuie sur les traces observées dans l’environnement concerné, pas seulement sur le nom affiché par la note de rançon.
| Élément | Risque opérationnel | Point de vigilance |
|---|---|---|
| Accès initial | Intrusion discrète via un compte ou une vulnérabilité | Authentification multifacteur et application des correctifs |
| Propagation interne | Atteinte rapide de plusieurs serveurs | Segmentation et surveillance des privilèges |
| Exfiltration | Fuite de données malgré une restauration | Détection des flux sortants anormaux |
| Chiffrement | Arrêt des activités et perte des accès | Sauvegardes isolées et régulièrement testées |
Les outils associés à une attaque peuvent eux aussi évoluer. StealBit est notamment lié à l’exfiltration de données. Cette spécialisation montre pourquoi une réponse centrée uniquement sur le déchiffrement reste insuffisante. Il faut identifier les données consultées ou exportées, les comptes utilisés et les éventuelles méthodes de persistance laissées dans le système.
L’opération Cronos a fragilisé l’infrastructure criminelle
La lutte contre LockBit a pris une ampleur particulière avec l’opération Cronos, menée durant la semaine du 19 février 2024. Cette coopération internationale, impliquant 7 agences, a permis de reprendre le contrôle d’une partie importante de l’infrastructure utilisée par le groupe. Le 20 février 2024, 34 serveurs ont été saisis, ainsi que près de 200 portefeuilles de crypto-monnaie.
L’opération a aussi permis d’obtenir plus de 1 000 clés de déchiffrement, qui peuvent aider certaines victimes à récupérer leurs fichiers. Des arrestations et des procédures ont visé des personnes liées au réseau dans plusieurs pays. Ces actions réduisent les capacités opérationnelles du groupe, perturbent ses revenus et peuvent faciliter la récupération des données.
Elles ne font toutefois pas disparaître le risque immédiatement. Les affiliés peuvent se disperser, réutiliser certains outils ou rejoindre d’autres écosystèmes criminels. Le démantèlement d’une infrastructure ne suffit pas à sécuriser les organisations déjà compromises. Celles-ci doivent continuer à vérifier leurs accès, leurs journaux et leurs sauvegardes.
Prévenir l’attaque et réagir sans aggraver la crise
La prévention repose sur plusieurs couches complémentaires. Aucune mesure isolée ne suffit face à un ransomware structuré. L’objectif est de réduire les possibilités d’entrée, de ralentir la propagation et de préserver une capacité de reprise indépendante des systèmes compromis.
- Appliquer rapidement les correctifs sur les systèmes, les logiciels exposés et les équipements distants.
- Imposer l’authentification multifacteur, en priorité pour les accès d’administration, les VPN et la messagerie.
- Limiter les droits utilisateurs et contrôler régulièrement les comptes à privilèges.
- Conserver des sauvegardes séparées du réseau, protégées contre la modification et régulièrement testées.
- Segmenter les environnements et surveiller les comportements anormaux, notamment les transferts de données et l’activité RDP.
- Former les équipes à repérer les messages d’hameçonnage et à appliquer les procédures de signalement.
Les premières décisions après une compromission
En cas de suspicion d’attaque LockBit, il faut isoler les machines ou les segments concernés sans effacer les éléments utiles à l’analyse. Les comptes compromis doivent être désactivés. Les journaux doivent être conservés. L’organisation doit ensuite évaluer l’étendue de l’intrusion et mobiliser des spécialistes de la réponse à incident si nécessaire.
La restauration ne doit commencer qu’après l’identification du vecteur d’entrée et la suppression de la persistance. Sinon, les attaquants peuvent revenir dans un environnement remis en service trop rapidement. Les sauvegardes doivent donc être vérifiées avant leur utilisation, tout comme les comptes administrateurs et les connexions à distance.
Enfin, la demande de rançon ne doit pas dicter seule la stratégie. La décision implique des enjeux techniques, juridiques, assurantiels et de notification des personnes concernées en cas de fuite. Une organisation préparée, dotée de sauvegardes fiables et d’un plan de crise testé, dispose d’une marge de manœuvre bien plus grande face au chantage.
