Les opérateurs ransomware ne misent plus uniquement sur la vitesse d’exécution. En 2026, leur avantage concurrentiel repose surtout sur leur capacité à rester sous le radar des EDR le temps d’exfiltrer, de préparer le chiffrement et de neutraliser les sauvegardes.
Un modèle « living off the land » plus mature
Les campagnes récentes privilégient les binaires légitimes déjà présents sur le poste : PowerShell, WMI, msiexec, outils d’administration distante, scripts signés. L’objectif est simple : générer un signal trop proche de l’activité IT légitime pour déclencher une alerte prioritaire.
Cette approche complique le hunting classique basé sur les hashes ou les familles de malware connues. Ce qui compte désormais, c’est la chaîne comportementale : qui a lancé quoi, depuis quel parent process, vers quelle ressource sensible, à quelle heure anormale.
Contournement et aveuglement des EDR
Plusieurs techniques d’évasion sont régulièrement observées :
- BYOVD (Bring Your Own Vulnerable Driver) pour désactiver ou fragiliser les composants kernel de sécurité
- Injection dans des processus de confiance et exécution via callbacks moins surveillés
- Désactivation sélective de télémétrie, services de backup ou agents de sécurité
- Utilisation de comptes légitimes (admin local, service accounts) obtenus après credential dumping
L’attaque ne « casse » pas forcément l’EDR : elle cherche à le rendre inutile ou trop bruyant pour que les analystes perdent le fil.
Exfiltration avant chiffrement
Le double, voire triple extorsion, reste la norme. Avant le chiffrement, les attaquants ciblent les partages fichiers, les bases métier, les exports RH/finance et les dépôts cloud mal segmentés. Une exfiltration lente et étalée dans le temps passe souvent mieux qu’un transfert massif nocturne.
Du point de vue détection, il faut corréler :
- accès inhabituels à des répertoires à forte valeur
- outils d’archivage / sync soudainement utilisés
- connexions sortantes vers des infrastructures peu connues
- activité hors horaires métier sur des comptes privilégiés
Implications pour le Threat Hunting
Un SOC efficace en 2026 ne se contente plus de triage d’alertes. Il doit construire des hypothèses de hunting autour des TTPs ransomware :
- Cartographier les chemins vers les sauvegardes et les contrôleurs de domaine
- Surveiller les destructions / modifications de Volume Shadow Copies et des jobs de backup
- Détecter les créations de comptes, élévations et logons RDP/WinRM inhabituels
- Prioriser les signaux faibles sur les assets où un ransomware aurait un impact maximal
Ce qu’il faut retenir
Les ransomwares modernes gagnent moins par sophistication binaire que par maîtrise de l’environnement victime. La réponse n’est pas uniquement technologique : elle combine hygiène des privilèges, durcissement des sauvegardes, détection comportementale et exercices IR réguliers.
Si votre organisation veut évaluer sa capacité à détecter ces TTPs avant le chiffrement, un cycle de threat hunting ciblé ransomware reste l’un des investissements les plus rentables.
Retour au blog