Crypto et ransomware : les tendances les plus courantes

La demande de rançon s'affiche sur votre écran et vous vivez cette situation comme une catastrophe, ce qui est tout à fait légitime car c'en est une. Mais au même moment, ailleurs, quelqu'un traite cet événement comme un simple appel au service client. Ils ont rédigé une lettre type. Une équipe est même en attente, prête à recevoir votre demande. Cela inclut la tarification, un processus de négociation et votre situation finale si vous manquez l'échéance du paiement. Certains d'entre eux bénéficient d'une évaluation cinq étoiles, où les affiliés évaluent les plateformes de ransomware de la même manière que les freelances évaluent les logiciels de gestion de projet.

Ce gouffre — entre la perception de l'événement de votre point de vue et la façon dont il est perçu du leur — est précisément là où réside l'essentiel de ce qui rend le ransomware intéressant. Les détails techniques, les noms des exploits, les montants en dollars : tout cela n'est que l'ossature. Sa dynamique est dictée par la psychologie de ce qui se joue de chaque côté de cette transaction.

Le ransomware n'est pas une activité artisanale. Ceux qui dirigent des opérations d'envergure se considèrent comme des entrepreneurs ayant résolu un problème de distribution. Le produit est en place — un logiciel qui chiffre les fichiers et crée un levier de pression — et C'est ce qu'on appelle la division du travail — dans l'extorsion.

Les communications internes du groupe de cybercriminalité Conti, divulguées en février 2022 peu après le début de l'invasion russe et avant que le groupe ne déclare publiquement son soutien à la Russie, ont offert un aperçu d'une clarté inhabituelle sur le fonctionnement de ces organisations. Les discussions révélaient des litiges RH. Des négociations salariales. Des consignes techniques pour les nouvelles recrues. Des discussions sur les conditions de travail et la fidélisation du personnel. Une équipe de direction surchargée, concentrée sur les indicateurs de productivité, le recrutement et la gestion des affiliés, ainsi que sur la planification de la continuité des activités. Les opérateurs de Conti géraient une entreprise de logiciels — une entreprise dont la production pulvérisait des hôpitaux et des municipalités, mais où l'expérience vécue en interne était si proche de celle de n'importe quelle autre société de logiciels que les e-mails administratifs auraient pu provenir du Slack d'une quelconque startup. C'est un détail qui n'a pas été suffisamment pris en compte. Cela devrait inquiéter les gens plus que ce n'est le cas.

Ce que décide la victime

En mai 2021, Joseph Blount a versé 4,4 millions de dollars en Bitcoins au gang de ransomwares DarkSide. Il témoignera plus tard de cette décision devant le Sénat. Il a déclaré avoir approuvé le paiement car il n'avait pas une idée précise de la profondeur de l'intrusion ni du temps nécessaire pour rétablir les systèmes de manière indépendante, ajoutant qu'il s'agissait de l'une des décisions les plus difficiles de sa carrière.

Une chose qu'il n'a ni dite ni écrite, mais qui se lit entre les lignes de son témoignage, est ce qu'il a réellement ressenti au cœur de cette décision. Colonial Pipeline n'a pas payé pour une clé de déchiffrement. Elle payait pour mettre fin à une certaine sensation — le sentiment d'être responsable, en direct, des pénuries d'essence qui se propageaient déjà le long de la côte Est, des achats de panique, des files d'attente devant les stations-service, et de la couverture médiatique qui avait transformé une difficulté opérationnelle locale en une catastrophe politique nationale. Le calcul de ces 4,4 millions de dollars n'était pas purement rationnel. C’était le prix à payer — pour pouvoir au moins se dire qu’on avait essayé.

Les opérateurs de ransomwares doivent cependant vendre cette idée. Les capacités de déchiffrement sont le produit nominal. Il s’agit du soulagement face à une pression ingérable : le fait que les conséquences d’une catastrophe en cours reposent désormais sur une décision que vous prenez à cet instant précis, dans une incertitude maximale, avec des informations limitées, sous le regard des actionnaires, des régulateurs et des journalistes. Même pour les organisations qui pourraient théoriquement effectuer une restauration à partir de sauvegardes, le prix de ce soulagement s’avère étonnamment non négligeable. Car la reconstruction prend des semaines. La pression, elle, est immédiate.

Le FBI a réussi à récupérer environ 2,3 millions de dollars du paiement de Colonial en saisissant la clé privée associée au portefeuille où DarkSide avait placé les fonds — une récupération qui a souligné, avec des preuves concrètes, que le pseudonymat du Bitcoin ne signifie pas l’anonymat du Bitcoin. Cela a également révélé quelque chose de plus troublant : après le paiement, Blount s’est brièvement senti mieux, une réaction non pas rationnelle face à la situation, mais très humaine. Même s’il était infondé, le soulagement est bien réel.

Quant aux victimes qui refusent de payer, elles subissent une variante distincte de cette même psychologie. Elles prennent une décision mûrement réfléchie, pour ensuite constater au cours des semaines suivantes que (1) l’opération est bien plus coûteuse que prévu ; (2) leurs plans de sauvegarde et de redondance n’étaient pas aussi robustes qu’elles le pensaient ; (3) l’estimation fournie par la société de réponse aux incidents engagée dans divers efforts d’atténuation était trop optimiste ; et enfin, à un moment donné, surgit une vérité dérangeante qui change à jamais la façon dont les clients, les employés et les régulateurs les perçoivent. Le principe demeure. Le prix est supérieur au montant prévu." La plupart disent avec le recul qu'ils recommenceraient exactement la même chose — ce que les gens disent lorsqu'ils ont besoin de se convaincre qu'ils le feraient.

Le modèle de la double extorsion adopté comme norme au début des années 2020 — l'exfiltration avant le chiffrement et la substitution de la perte d'accès par une manœuvre de pression liée à l'exposition publique — n'était pas une avancée technique. C'était une avancée psychologique. Il s'agit d'un vecteur d'attaque qui peut être combattu par des sauvegardes. Le risque d'exposer des dossiers de patients, des données salariales d'employés, des accords contractuels avec des fournisseurs ou des courriels de cadres ne peut être atténué par aucun contrôle technique. Ce modèle s'attaque à autre chose : non pas à la continuité des activités, mais à la réputation, à la vie privée et à la confiance qui dépend des deux. C'était la preuve que les attaquants connaissaient leur produit mieux qu'eux-mêmes.

Géographie de l'impunité

LockBit était géré par des opérateurs qui étaient loin d'être des inconnus pour les forces de l'ordre. Au cours du dernier mois d'un effort international massif et coordonné — mené par la National Crime Agency du Royaume-Uni — pour neutraliser l'infrastructure de LockBit en février 2024, son administrateur a été nommé : Dmitry Khoroshev, un citoyen russe de trente et un ans. Ils ont publié sa photographie. Listé ses actifs. Le département de la Justice des États-Unis a révélé un acte d'accusation. L'OFAC a imposé des sanctions. C'était, par essence, l'avis de recherche international complet.

Khoroshev est toujours en liberté. Il réside en Russie, pays qui n'extrade pas ses citoyens pour cybercriminalité si des systèmes non russes sont touchés. C'est ainsi que l'ensemble de l'économie des rançongiciels fonctionne par conception.

Traditionnellement, la règle simple des forces de l'ordre russes en matière de rançongiciels a été la suivante : les cibles en Russie ou dans sa sphère d'influence politique sont intouchables ; partout ailleurs sur la planète n'est pas vraiment une priorité. La détection du clavier cyrillique a été intégrée aux premières versions du code utilisé par le groupe Conti : si la disposition du clavier d'une victime était russe, cela déclenchait la non-exécution du programme." Ce n'était pas du patriotisme. C'était un mécanisme de conformité. Le groupe gérait sa relation avec un gouvernement qui autorisait la poursuite des opérations à condition qu'elles restent dans les limites géographiques qu'il jugeait acceptables.

L'implication est directe : les architectes qui élaborent les réponses politiques aux rançongiciels à Washington, Bruxelles et Londres le font en réaction à une industrie dont les dirigeants sont presque toujours hors de portée. Tout cela est d'une logique implacable : les arrestations qui ont lieu — quelques affiliés isolés en Pologne, certains membres de REvil arrêtés en Russie durant une brève période de relations inhabituellement cordiales au début de 2022, l'opérateur américain ou européen occasionnel qui évalue mal son exposition locale — sont des exceptions à la marge d'un écosystème plus vaste. Là où se trouve le cœur (et où il a toujours été).

Cette géographie de la responsabilité régit tout le reste du débat politique. Si la réponse à laquelle vous avez accès ne permet pas d'atteindre les responsables, vous redéfinissez ce qui constitue une réponse. Washington réagit avec un outil appelé la réglementation des crypt Il existe également des normes de sécurité obligatoires pour les infrastructures critiques, mais elles s'imposent plus lentement, suscitent davantage de résistance politique et obligent à affronter une réalité : c'est en partie la faute du gouvernement — le fait que des agences fédérales aient exploité pendant des années des réseaux présentant des vulnérabilités connues, que les cadres réglementaires pour la sécurité des infrastructures critiques aient été insuffisants, et que ce qui se passe actuellement résulte en partie de choix faits par les institutions mêmes qui proposent aujourd'hui d'y remédier.

Il est plus simple de rejeter la faute sur l'infrastructure de paiement.

Le moment du législateur

Ce genre d'audition au Congrès, qui survient invariablement à la suite d'une attaque majeure par rançongiciel contre une infrastructure critique. Le PDG concerné témoigne. On l'interroge ensuite sans relâche sur les raisons pour lesquelles il a payé la rançon. Il répond qu'on lui a conseillé de le faire. On lui demande ensuite pourquoi il ne disposait pas de meilleures sauvegardes. Il peut expliquer que ses systèmes de sauvegarde n'étaient que partiellement corrompus, ou que leur restauration n'était pas réalisable compte tenu des contraintes de temps. Puis, il est interrogé sur la cryptomonnaie. Il fait une déclaration délibérément ambiguë, ce qui lui permet d'éviter les ennuis avec les avocats.

Il serait inconcevable de penser que les législateurs qui posent ces questions ne sont pas informés. Ils reçoivent des briefings approfondis. Ce qu'ils font est différent d'une simple enquête : ils façonnent un récit selon lequel le problème a une source identifiable et explicable, compréhensible par leurs électeurs — et que ce qu'ils proposent de faire sur le plan législatif pour répondre à cette cause constitue une action concrète contre les rançongiciels.

Dans le contexte législatif, la cryptomonnaie est un problème susceptible d'être résolu. C'est une industrie qui relève de leur juridiction, avec des lobbyistes avec lesquels ils peuvent débattre, le genre d'exigences réglementaires qu'ils peuvent élargir, et des indicateurs concrets d'activité réglementaire qui alimentent leurs bulletins d'information.

Le type de résultats tangibles obtenus en attaquant directement les hackers par la guerre ou la cyberguerre ne peut se produire si l'on poursuit les opérateurs réels par le biais de la politique étrangère, de la coopération en matière de renseignement et de la pression juridique extraterritoriale.

Depuis des années, le secteur des cryptomonnaies soutient que la répression des cryptos n'arrêtera pas les ransomwares — parce que les ransomwares existaient avant le Bitcoin, parce que les opérateurs utiliseraient simplement d'autres canaux de paiement, et parce que les véritables criminels vivent dans des pays qui ne respectent pas la réglementation financière américaine. Cet argument est correct. Et, parce qu'avoir raison n'est pas synonyme d'efficacité dans un contexte politique — là où l'efficacité est pourtant primordiale — il a persisté dans son inefficacité. Il s'agit de fournir quelque chose que les personnes présentes dans la salle sont en mesure d'utiliser.

Le comportement de BlackCat concernant Change Healthcare en février 2024 a illustré un problème totalement différent, que les cadres réglementaires ne sont absolument pas censés traiter. BlackCat a reçu environ 22 millions de dollars de la part de la société mère de Change Healthcare. Finalement, BlackCat a réalisé un « exit scam » : l'opérateur s'est enfui avec l'argent et a fermé l'infrastructure, laissant son propre affilié travailler pour rien. L'affilié, frustré par cette situation, a commencé à menacer de divulguer les données volées malgré tout. Les opérateurs de ransomwares ont escroqué leurs propres rouages criminels. Ainsi, pour cette couche spécifique du problème, il n'existe pas de cadre adéquat au sein même du débat politique.

Ce que l'utilisateur détient

Les particuliers qui détiennent des cryptos pour des cas d'usage concrets — transferts de stablecoins, positions DeFi, envois de fonds et activités commerciales quotidiennes — apportent une dimension particulière au débat sur les ransomwares qui n'est pas largement explorée.

Ce sont eux qui paient réellement pour les mesures réglementaires prises en réponse à des crimes qu'ils n'ont pas commis et dont ils ne tirent aucun bénéfice.

Cela crée une sorte de posture défensive latente au sein des communautés crypto, qui devient manifeste chaque fois qu'un rançongiciel fait la une de l'actualité. Une personne envoyant de l'USDT pour un transfert commercial légal se retrouve désormais aux côtés d'une organisation criminelle avec laquelle elle n'a aucun lien. L'équipe émettrice d'un protocole explique une fois de plus au monde pourquoi les contrats intelligents ne sont pas responsables de la manière dont ils sont utilisés dans des transactions de rançon. En raison de ce qui est fait ailleurs, dans un autre pays, par d'autres personnes et via des flux de transactions totalement différents, l'expérience de bout en bout de l'utilisation des cryptomonnaies à des fins légitimes devient plus surveillée et son coût prohibitif.

Cette attitude défensive est souvent contre-productive — elle ne paraît pas sincère mais hésitante, et ceux qui sont sur la défensive exagèrent parfois leurs arguments d'une manière qui invite au rejet. Mais la colère sous-jacente est bien réelle. On vous demande de ressentir de la frustration à l'idée de payer des coûts engendrés par une réaction au comportement criminel d'autrui, et bien sûr, ceux qui créent ces coûts n'ont pas besoin de les justifier dans leurs calculs, car les personnes qui les subissent ne font pas partie des administrés dont ils traitent les besoins.

Il existe une vision plus intime de cela, liée à la manière dont les individus possédant des cryptomonnaies justifient leur présence auprès d'autrui. Ils font la distinction entre des choses qui leur semblent évidentes et qui sont opaques pour leurs interlocuteurs. Ils expliquent pourquoi faire passer un transfert commercial sur une blockchain publique n'est pas comparable à l'utiliser pour envoyer une rançon à un hôpital. Les explications sont justes. Il est très lassant de devoir les répéter sans cesse, mais c'est une nuance que seuls ceux qui s'en moquent — ou ne comprennent pas — sauront apprécier.

WannaCry lui-même nous enseigne quelque chose à ce sujet. L'attaque a causé des dommages réels se chiffrant en centaines de millions de dollars au sein du NHS, de Telefónica, de FedEx, de la Deutsche Bahn et de bien d'autres. Elle n'a en réalité rapporté que quelques dizaines de milliers de dollars en rançons effectives, car les opérateurs ont perdu le contrôle sur le nombre de victimes pour lesquelles ils pouvaient raisonnablement traiter les demandes de déchiffrement. Un jeune homme de vingt-deux ans nommé Marcus Hutchins a neutralisé le logiciel malveillant en enregistrant un nom de domaine jusqu'alors non enregistré que le code interrogeait, déclenchant ce qui semblait être un « kill switch » intégré par ses concepteurs, le tout depuis sa chambre dans le Devon. Le récit géopolitique était celui d'un exploit militarisé de la NSA ayant ciblé des infrastructures mondiales dans le cadre d'un conflit qui n'avait absolument rien à voir avec le Bitcoin. Ce qui est resté dans la conscience collective, c'est que les hackers réclamaient du Bitcoin.

Pourquoi cela perdure

En 2023, les paiements de rançongiciels suivis par Chainalysis ont dépassé le milliard de dollars — la première année enregistrée où ce total a franchi ce seuil. Les paiements ont chuté d'environ 35 % en 2024, en partie grâce aux actions des forces de l'ordre contre les groupes les plus importants, et en partie parce que les victimes avaient appris à mieux refuser de payer. Aucun de ces développements n'indiquait que les problèmes de fond étaient en voie de résolution.

LockBit a été perturbé, son infrastructure saisie, son administrateur identifié et sanctionné — avant de reprendre partiellement ses activités quelques jours plus tard. Pendant plus de six mois à partir de la mi-2022, le FBI a infiltré Hive, fournissant discrètement aux victimes des clés de déchiffrement gratuites alors que l'opération se poursuivait jusqu'en janvier de cette année, date à laquelle les autorités ont saisi une partie de son infrastructure. Au moment de l'exploitation de masse de MOVEit Transfer en 2023, Cl0p avait complètement pivoté vers l'exfiltration de données non chiffrées — un rançongiciel sans chiffrement, sans fichiers à déchiffrer, mais consistant uniquement à infiltrer les réseaux d'autrui pour en voler les données, constituant ainsi un levier pour leurs actions criminelles.

Le secteur actuel réagit pour s'adapter plus rapidement que ne le font les réponses politiques — les entreprises de sécurité ont des incitations directes à s'adapter, là où les politiques d'évaluation ont des motivations différentes.

Les sauvegardes testées hors ligne, l'authentification multi-facteurs, les systèmes mis à jour, la segmentation du réseau et la détection des points de terminaison sont autant d'éléments fastidieux mais sans éclat de l'infrastructure de sécurité bien connue qui permettraient réellement de réduire l'incidence des attaques. Cela n'empêche pas l'existence des opérateurs de ransomwares. Ils augmentent le coût de chaque attaque au point que de nombreuses victimes s'en sortent sans payer. Ces mesures exigent une discipline organisationnelle continue et un engagement financier illimité, ce qui est plus difficile à vendre qu'une mesure réglementaire qui fait bouger les choses devant les caméras sans que personne n'ait à payer pour quelque chose qui ne produit aucun résultat mesurable en fonctionnement.

Interdire les cryptomonnaies ne sécurise pas les hôpitaux utilisant des logiciels non mis à jour sur des réseaux plats. Le mécanisme de paiement n'est qu'une pièce d'un système où de multiples failles structurelles ont convergé pour aboutir à ce résultat. Moins il est difficile de s'attaquer à ces autres défaillances, plus elles attirent l'attention.

Pour quiconque utilise des stablecoins sur le réseau TRON — pour des raisons sans rapport avec ce qui précède — Netts.io consolide les prix de l'Énergie en direct de fournisseurs de niveau intermédiaire tels que JustLend, Trongas, Catfee, Sohu, APITRX ainsi qu'un fournisseur privé mutualisé moyen pour trouver et envoyer tout montant de transaction requis au prix de l'Énergie TRON le plus bas disponible en temps réel : actuellement dès 25 sun par unité d'Énergie — soit environ 75 % moins cher que le taux de combustion (burn rate) par défaut du TRX, avec une délégation immédiate des transactions et sans avoir besoin de staker ou de geler des TRX. On peut y accéder via un simple bot Telegram sans interface web.

Savoir si le contexte d'utilisation d'une transaction donnée est lié ou non à un ransomware n'est pas une question à laquelle le marché de l'énergie peut répondre. À tout le moins, il traite directement du coût de la transaction.