Qilin, le nouveau visage du ransomware. Et pourquoi les entreprises belges sont des cibles privilégiées

Après LockBit, Black Basta et BlackCat, le nouveau groupe de cybercriminels Qilin s’est imposé comme l’un des plus rentables de la planète. Avec 15 organisations belges déjà compromises, celui qu’on surnomme également Agenda illustre la mutation du ransomware en une industrie structurée. Un nouveau rapport du CCB dévoile une cybercriminalité qui ne cherche plus à « casser » les systèmes, mais à les exploiter à l’échelle industrielle. Décryptage en profondeur.

Selon le dernier rapport « Threat Intelligence » publié par le Centre pour la Cybersécurité Belgique (CCB), 15 organisations belges ont déjà été victimes des attaques du groupe de cybercriminels Qilin. Derrière les chiffres se cache une réalité inquiétante : le ransomware est devenu une industrie structurée. 

 Lorsque les autorités internationales ont porté plusieurs coups d'arrêt aux groupes LockBit, ALPHV (BlackCat) et RansomHub, certains observateurs ont pu croire à un démantèlement durable des organisations cybercriminelles. Mais dans l'économie du ransomware, les groupes ne disparaissent jamais vraiment. Les développeurs rejoignent d'autres équipes, les négociateurs changent de bannière, les courtiers revendent leurs accès à de nouveaux clients et les affiliés migrent vers les plateformes offrant les meilleures commissions. Autrement dit, le marché se réorganise. Comme l’atteste la récente mutation incarnée par Qilin.

Le dernier rapport du Centre pour la Cybersécurité en Belgique montre comment une organisation criminelle est parvenue à industrialiser ses activités de ransomware. En effet, là où les premiers ransomwares étaient essentiellement développés par des pirates-artisans doués, Qilin fonctionne comme une entreprise de services numériques assurant le recrutement, le support technique, un programme de fidélisation des affiliés, des outils marketing et une amélioration continue de son « produit ».

 La Belgique en ligne de mire 

 Cette industrie mondiale du Ransomware-as-a-Service (RaaS) touche aujourd’hui la Belgique de plein fouet. Selon le rapport, quinze organisations auraient déjà été compromises, principalement dans les secteurs technologique et manufacturier. Des incidents qui provoquent à chaque fois des semaines d'interruption d'activité, des données stratégiques dérobées et des coûts qui dépassent largement le paiement, ou non, d'une rançon.

L’intérêt que nourrissent les criminels pour les entreprises belges est motivé par le fait que notre pays concentre de nombreuses PME industrielles, des entreprises technologiques fortement intégrées aux chaînes d'approvisionnement européennes, des acteurs de la santé et de la logistique critiques, ainsi que de nombreuses organisations internationales.

Pour un groupe comme Qilin, ces organisations présentent un avantage décisif : le coût d'un arrêt d'activité y est souvent extrêmement élevé. Chaque heure d'interruption d'une ligne de production, d'un système hospitalier ou d'une plateforme logistique accroît la pression sur les dirigeants et augmente les chances qu'une négociation s'engage rapidement.

Les cybercriminels raisonnent finalement comme des investisseurs. Ils ne recherchent pas uniquement les organisations les plus riches, mais celles pour lesquelles le retour à la normale possède la plus grande valeur économique.

C'est précisément ce qui explique la place importante occupée par les secteurs manufacturier, technologique, financier et de la santé dans les statistiques mondiales de Qilin.

« Le modèle économique du cybercrime organisé : les affiliés recrutés sur les forums clandestins conservent jusqu'à 85 % des rançons. Ils bénéficient d'un environnement de travail complet (tableaux de bord, outils de chiffrement mis à jour, assistance juridique et même des modules pour lancer des attaques DDoS contre les victimes récalcitrantes) ».

 Anatomie d'une attaque : la patience avant le chiffrement

 Toutes les attaques de Qilin ne se ressemblent pas. Les affiliés disposent d'une grande autonomie et adaptent leurs méthodes en fonction de leur cible. Le rapport du CCB met en évidence un scénario quasi-industrialisé.

Contrairement aux premières générations de ransomwares, qui chiffraient les postes de travail quelques minutes après l'infection, Qilin privilégie une approche beaucoup plus méthodique. 

Les attaquants passent des jours, voire des semaines, à cartographier le système d'information avant d'agir. Ils recherchent d'abord les contrôleurs de domaine Active Directory, les serveurs de sauvegarde, les systèmes de virtualisation et les postes des administrateurs. Autrement dit, tout ce qui permettra de prendre le contrôle de l'entreprise en une seule opération. Cette patience constitue l'une des principales évolutions du ransomware moderne.

Pour rester sous les radars, ils détournent des outils légitimes (PowerShell, WMI, PsExec) plutôt que d'introduire des malwares détectables. Ils installent ensuite des pilotes Windows authentiques mais vulnérables pour désactiver les solutions EDR/Antivirus avant l'attaque finale.

L’extorsion de données sensibles (contrats, RH, secrets industriels) précède systématiquement le chiffrement. La donnée est devenue le levier de négociation principal.

Autrement dit, dans de nombreux cas, l'attaquant profite d'une erreur humaine ou d'un système insuffisamment protégé. Un employé clique sur un lien de phishing, un identifiant est réutilisé après une fuite de données, un VPN n'a pas été mis à jour ou une appliance exposée sur Internet présente une vulnérabilité critique connue depuis plusieurs semaines. À partir de cet instant, l'objectif n'est plus de chiffrer immédiatement les données. L'objectif est de devenir invisible.

 Les vulnérabilités : le facteur temps

 Qilin n'exploite pas nécessairement des failles inédites. Le groupe mise sur la lenteur des entreprises à corriger des vulnérabilités publiques sur des équipements stratégiques. Le facteur déterminant n'est pas la sophistication de l'attaquant, mais le délai de remédiation de la victime.

Le rapport du CCB dresse une liste impressionnante de technologies régulièrement exploitées par les affiliés de Qilin. On y retrouve des équipements Fortinet, Citrix et WatchGuard, des environnements Microsoft SharePoint, des serveurs Atlassian Confluence, des infrastructures VMware ESXi, des plateformes TeamCity, des solutions de sauvegarde Veeam ou encore des serveurs SAP NetWeaver.

Ces solutions occupent souvent une position stratégique dans le système d'information. Lorsqu'une faille critique est découverte, les cybercriminels savent que certaines entreprises mettront plusieurs jours, parfois plusieurs semaines, avant d'appliquer les correctifs. Dans l'univers du ransomware, ce délai représente une formidable opportunité.

Le rapport du CCB insiste d'ailleurs sur un point souvent sous-estimé : la majorité des attaques exploitent des vulnérabilités déjà documentées publiquement. Les groupes criminels ne recherchent pas nécessairement des failles inédites ; ils misent surtout sur le temps que mettent les organisations à les corriger. En d'autres termes, le facteur déterminant n'est pas toujours la sophistication de l'attaquant, mais la lenteur de la victime.

Devenir invisible ou l'art du « Living-off-the-Land »

 L'une des raisons pour lesquelles Qilin inquiète autant les équipes chargées de répondre aux incidents tient à sa discrétion. Plutôt que d'introduire immédiatement de nouveaux logiciels malveillants, les affiliés utilisent massivement des outils déjà présents dans Windows.

Cette approche, connue sous le nom de Living-off-the-Land, consiste à détourner des utilitaires parfaitement légitimes – PowerShell, WMI, PsExec ou les outils d'administration Microsoft – afin d'effectuer des actions malveillantes.

Pour un analyste SOC, la difficulté paraît évidente. Comment dès lors distinguer un administrateur système qui exécute PowerShell pour maintenir un serveur d'un cybercriminel qui utilise exactement le même outil pour préparer une attaque ?C'est précisément cette ambiguïté que recherchent les affiliés de Qilin.

Chaque commande paraît normale lorsqu'elle est observée isolément. Ce n'est qu'en reconstituant l'ensemble de la chaîne d'événements que l'intention malveillante apparaît.

Cette stratégie explique pourquoi les capacités de détection comportementale deviennent aujourd'hui plus importantes que les simples antivirus basés sur les signatures.

 Une boîte à outils digne d'une équipe de cyberconsultants

Le rapport du CCB révèle également l'impressionnante diversité des outils utilisés par les opérateurs. Pour extraire les mots de passe de la mémoire, ils continuent d'utiliser Mimikatz, véritable classique des opérations offensives.

Pour se déplacer d'un serveur à l'autre, PsExec reste une valeur sûre. Lorsque les communications doivent contourner les dispositifs de sécurité, les affiliés s'appuient sur Chisel, capable de créer discrètement des tunnels réseau chiffrés.

Le framework Sliver, initialement conçu pour les équipes de Red Team et les tests d'intrusion, apparaît également dans plusieurs investigations. Son utilisation illustre une tendance de fond : les frontières entre les outils employés par les professionnels de la cybersécurité et ceux utilisés par les cybercriminels deviennent de plus en plus floues.

Ce phénomène complique considérablement le travail des équipes de détection. Bloquer systématiquement ces outils n'est pas toujours possible puisqu'ils sont également utilisés dans des contextes parfaitement légitimes.

 Comment les cybercriminels désactivent les solutions de sécurité

 L'un des éléments les plus préoccupants du rapport concerne les attaques dites BYOVD (Bring Your Own Vulnerable Driver). Les attaquants installent sur la machine un pilote Windows parfaitement authentique, mais dont une ancienne vulnérabilité leur permet d'obtenir des privilèges élevés.

À partir de là, ils neutralisent les solutions EDR ou les antivirus avant même que le ransomware ne soit lancé. Autrement dit, ils utilisent un logiciel légitime pour désactiver les mécanismes censés les détecter.

Cette technique illustre parfaitement l'évolution actuelle du ransomware : les opérateurs ne cherchent plus uniquement à contourner les défenses, mais à les supprimer méthodiquement avant l'attaque finale. 

Alors que faire ? Penser comme un adversaire ! 

Le rapport du CCB conseille dès lors de dépasser la simple description technique des attaques et rappelle une évidence souvent négligée : les ransomwares exploitent d'abord les faiblesses organisationnelles.

Les recommandations du CCB peuvent sembler classiques (appliquer rapidement les correctifs de sécurité, généraliser l'authentification multifacteur, protéger les comptes à privilèges, sensibiliser les collaborateurs au phishing ou renforcer la surveillance des systèmes exposés à Internet), mais elles répondent directement aux techniques observées chez Qilin.

Le rapport montre en effet que les affiliés privilégient rarement des vulnérabilités inédites. Ils exploitent avant tout des défauts connus, des identifiants compromis, des mots de passe réutilisés ou des équipements dont les correctifs n'ont pas été appliqués. Autrement dit, la sophistication de l'attaque intervient souvent après une compromission initiale relativement banale.

Cette observation change profondément la manière d'aborder la cybersécurité. Pendant longtemps, les entreprises ont investi massivement dans la prévention : pare-feu de nouvelle génération, antivirus, filtrage des courriels ou protection des postes de travail. Ces dispositifs restent indispensables, mais ils ne suffisent plus face à des attaquants capables de demeurer invisibles pendant plusieurs semaines.

Le véritable enjeu devient désormais la détection précoce.

Combien de temps un attaquant peut-il évoluer dans le système d'information avant d'être identifié ? Les mouvements latéraux sont-ils surveillés ? Les accès privilégiés sont-ils réellement contrôlés ? Les sauvegardes sont-elles isolées et régulièrement testées ? Les équipes savent-elles réagir lorsqu'une exfiltration de données est détectée ? Ces questions sont aujourd'hui plus déterminantes que le nombre d'alertes bloquées quotidiennement par les outils de sécurité.

Le rapport du CCB insiste également sur l'intérêt du référentiel CyberFundamentals (CyFun), qui permet aux organisations belges de structurer progressivement leur niveau de maturité. L'approche est intéressante, car elle privilégie les contrôles ayant le meilleur impact opérationnel plutôt qu'une accumulation de technologies.

Pour les responsables de la cybersécurité, le message est finalement assez clair : la résilience ne repose plus uniquement sur les investissements réalisés, mais sur la capacité de l'organisation à détecter rapidement une intrusion, à la contenir et à poursuivre ses activités malgré l'attaque.

 Qilin annonce le ransomware de demain

 Qilin n'est probablement pas l'organisation la plus dangereuse parce qu'elle serait plus sophistiquée que toutes les autres. Elle est inquiétante parce qu'elle préfigure ce que deviendra le ransomware dans les prochaines années.

Tout, dans son fonctionnement, rappelle celui d'une entreprise numérique moderne. Les développeurs publient régulièrement de nouvelles versions de leur plateforme. Les affiliés sont recrutés comme des partenaires commerciaux. Les revenus sont partagés selon un modèle économique clairement défini. Les outils évoluent en permanence. Le support technique est assuré en continu. Les campagnes sont pilotées à partir de tableaux de bord et les résultats sont analysés pour améliorer les opérations suivantes.

Cette professionnalisation rend le phénomène particulièrement résilient. Lorsqu'un groupe disparaît, ses membres rejoignent une autre organisation. Lorsqu'une faille est corrigée, une nouvelle est rapidement exploitée. Lorsqu'un outil devient détectable, il est remplacé par un autre. Le modèle économique, lui, demeure.

La lutte contre les ransomwares ne se gagnera pas uniquement par le démantèlement de quelques groupes emblématiques. Tant que l'économie clandestine continuera à fournir des courtiers en accès initiaux, des développeurs, des hébergeurs, des négociateurs et des spécialistes du blanchiment, d'autres organisations émergeront pour occuper l'espace laissé vacant. Qilin en est aujourd'hui l'illustration la plus visible. Et demain, un autre nom la remplacera peut-être. Le modèle, lui, est ainsi appelé à perdurer.

Quelques recommandations aux RSSI

 La résilience ne repose plus uniquement sur les investissements technologiques, mais sur la capacité de détection et de réponse:  

 -Prioriser la détection comportementale. Puisque les attaquants utilisent des outils légitimes, les signatures antivirus ne suffisent plus. Il faut surveiller les comportements anormaux (mouvements latéraux, usage inhabituel de PowerShell).

-Renforcer la gestion des accès : La compromission initiale est souvent banale (phishing, identifiants réutilisés). L'ITDR (Identity Threat Detection and Response) doit devenir une priorité.

-Isoler les sauvegardes : Les serveurs de sauvegarde sont des cibles prioritaires. Ils doivent être isolés, immuables et régulièrement testés.

-Structurer la maturité : Le référentiel CyberFundamentals (CyFun) du CCB est l'outil recommandé pour structurer sa défense, en se concentrant sur les contrôles ayant le plus fort impact opérationnel.

Le rapport complet du CCB est disponible : https://ccb.belgium.be/open-media/1361/download?inline