Qu'est-ce qu'un ransomware (rançongiciel)?

Un rançongiciel (de l’anglais ransomware), logiciel rançonneur, logiciel de rançon ou logiciel d’extorsion, est un logiciel malveillant qui prend en otage des données personnelles. Pour ce faire, un rançongiciel chiffre des données personnelles puis demande à leur propriétaire d'envoyer de l’argent en échange de la clé qui permettra de les déchiffrer.

Un rançongiciel se propage typiquement de la même manière qu’un cheval de Troie (Cavalo de Tróia em inglês): il pénètre le système par exemple via des Web Exploit ou à travers des campagnes d’emails-malicieux. Il exécute ensuite une charge active (payload), por exemplo, un exécutable qui va chiffrer les fichiers de l’utilisateur sur son disque dur. Des rançongiciels plus sophistiqués utilisent des algoritmes de cryptographie hybride sur les données de la victime, avec une clef symétrique aléatoire et une clef publique fixée. Ainsi, l’auteur du logiciel malveillant est le seul qui connaisse la clef privée qui permette de déchiffrer les documents.

Certains rançongiciels n’utilisent pas de chiffrement. Dans ce cas, la payload é une simple application qui va restreindre toute interaction avec le système, couramment en changeant le shell par défaut (explorer.exe) na base de registro do Windows, ou alterador do Master Boot Record (MBR), despeje o sistema de exploração de démarrer tant qu’il n’a pas été réparé.

Dans tous les cas, un rançongiciel va tenter d'extorquer de l’argent à l’utilisateur, en lui faisant acheter soit un program pour déchiffrer ses fichiers, soit um código simples qui retire tous les verrous appliqués à ses documents bloqués. Les paiements sont le plus souvent effectués sous la forme de virement bancaire, de SMS surtaxés19, d'achats de monnaie virtuelle comme le bitcoin12 ou encore l’acquittement préalable d'une somme donnée effectuée par le biais de sites de paiement en ligne tels que Paysafecard ou Paypal

Les crypto-ransomwares les plus actifs en França:

Cryptowall: diffusé par des campagnes d'e-mails (Trojan. Downloader: Upatre) et des campagnes de Web Exploit.
TeslaCrypt: difundido par des campagnes de courriels malicieux ainsi que l’utilisation de Web Exploit notamment par le piratage massif de sites, como WordPress et Joomla, ainsi que des malvertising.
Locky Ransomware: utiliza os memes méthodes de difusão que o Trojan Banker Cridex, à savoir des campagnes de courriels malicieux.
Ransomware RSA-4096 (CryptXXX): Apparu en avril 2016 et assez actif en França, o nom provient des premières menções du fichier d'instructions qui est une copie de celui de TeslaCrypt.
Cerber Ransomware: Apparu aussi debut 2016, ce dernier é distribuído par des campagnes Web Exploit et emails malicieux.
CTB-Locker: ativo em 2014 com os campagnes de courriels malicieux, em février 2016 uma nova versão está aparecendo visivelmente os servidores web sous GNU / Linux. Sa Distribution est relativement faible en França.
Petya: actif en mars 2016 et chiffre la table de fichiers principale de NTFS.
WannaCry: actif en mai 2017 qui utilizar la faille de Windows EternalBlue (Microsoft avait publié le correctif deux mois avant, en mars).
NotPetya: actif en juin 2017 et chiffre fichiers, dont il écrase la clef de chiffrement, et les index.
Bad Rabbit: aparecido em 24 de outubro de 2017, ele é semelhante a WannaCry e Petya.