Ransomware : un mois de mai qui conforte le recul d’avril

En bref

• Une nouvelle souche de ransomware nommée Lyrix a récemment fait surface, représentant une menace importante pour les utilisateurs Windows dans le monde entier. Ce ransomware se distingue par sa capacité à contourner les solutions antivirus traditionnelles en utilisant un code polymorphique qui mute constamment pour éviter la détection basée sur les signatures. Une fois infiltré, le logiciel malveillant cartographie discrètement la cible et déploie des techniques d’évasion avancées pour compromettre les systèmes Windows.
• Le gang de ransomware Interlock déploie un nouveau RAT appelé NodeSnake ciblant des universités britanniques. Détecté dans deux attaques en janvier et mars 2025, ce malware JavaScript utilise des techniques d’obfuscation avancées pour maintenir un accès furtif et persistant aux réseaux compromis. Après avoir émergé en septembre 2024, Interlock élargit désormais ses cibles aux conseils régionaux britanniques, cherchant à voler des données de recherche précieuses.
• Les groupes de ransomware utilisent de plus en plus un nouveau malware appelé Skitnet (ou « Bossnet ») pour mener des activités furtives post-exploitation sur les réseaux compromis. Apparu sur des forums clandestins comme RAMP en avril 2024, ce logiciel malveillant a gagné en popularité parmi les gangs de ransomware depuis début 2025, notamment BlackBasta et Cactus qui l’ont déployé lors d’attaques de phishing via Microsoft Teams. Skitnet fonctionne en établissant trois processus distincts pour envoyer des requêtes DNS, surveiller et exfiltrer les données, et écouter les commandes chiffrées provenant d’un panneau de contrôle C2, permettant ainsi aux attaquants de maintenir leur présence et d’exécuter des commandes à distance tout en minimisant les traces « forensiques ».
• Le ransomware VanHelsing, apparu à la mi-mars 2025, risque de générer rapidement de nombreuses variantes, car son code source intègre tous les composants nécessaires pour créer facilement de nouvelles opérations criminelles. Contrairement au builder de LockBit qui nécessitait le développement d’infrastructures propres, VanHelsing offre une solution complète, qui pourrait accélérer l’émergence de nouvelles enseignes mafieuses. Ce ransomware-as-a-service (RaaS) fonctionne avec un modèle économique où les affiliés versent un dépôt de 5 000 dollars pour rejoindre le programme et conservent 80 % des rançons, tandis que les opérateurs principaux reçoivent 20 %, et il promet de cibler non seulement Windows, mais également Linux/ESXi, BSD et les systèmes ARM.