LockBit 4.0 : Le groupe de ransomware le plus dangereux au monde est de retour

En février 2024, une opération internationale coordonnée des forces de l'ordre, baptisée « Operation Cronos », a démantelé l'infrastructure de LockBit, le groupe de rançongiciels responsable de plus d'un milliard de dollars de paiements d'extorsion à travers le monde. Menée par la National Crime Agency (NCA) du Royaume-Uni en partenariat avec Europol, le FBI et des agences de dix autres pays, cette opération a permis de saisir les sites de fuite de données de LockBit sur le dark web, d'arrêter des affiliés clés et de révéler publiquement l'identité de l'administrateur du groupe, le ressortissant russe Dmitry Yuryevich Khoroshev.

Pourtant, dès le début de l'année 2025, LockBit avait fait son retour — sous une nouvelle identité et plus dangereux que jamais, sous le nom de LockBit 4.0.

Qu'est-ce qui a rendu LockBit si dangereux ?

LockBit fonctionnait comme une plateforme de « ransomware-as-a-service » (RaaS) : ses développeurs principaux louaient une infrastructure de logiciel malveillant à des affiliés externes, lesquels menaient les attaques et reversaient une partie des sommes perçues au titre des rançons. À son apogée en 2023, LockBit était à l'origine d'environ 23 % de toutes les attaques par rançongiciel connues dans le monde, ciblant des hôpitaux, des organismes publics, des institutions financières et des infrastructures critiques.

Parmi ses victimes figuraient :

• Royal Mail (Royaume-Uni) — perturbations des livraisons internationales de colis pendant plusieurs semaines

• Boeing — fuite de plus de 43 Go de données sensibles

• ICBC Financial Services — perturbations des opérations de compensation sur le marché des bons du Trésor américain

• Comté de Fulton (Géorgie) — compromission de documents juridiques et électoraux sensibles

Qu'est-ce qui a changé avec LockBit 4.0 ?

La nouvelle variante a introduit plusieurs améliorations techniques conçues pour échapper aux systèmes de détection modernes :

• Algorithmes de chiffrement plus rapides utilisant le chiffrement intermittent — chiffrant uniquement une partie des fichiers pour accélérer les opérations tout en restant efficaces

• Fonctionnalités anti-analyse améliorées, capables de détecter les bacs à sable (sandboxes) et les environnements virtuels utilisés par les chercheurs en sécurité

• Nouvelles stratégies de recrutement d'affiliés ciblant des initiés mécontents au sein des entreprises

• Outils améliorés d'exfiltration de données avant chiffrement, maximisant le levier de la double extorsion

La réponse mondiale

Suite à la résurgence de LockBit, la CISA (Cybersecurity and Infrastructure Security Agency) a publié une alerte actualisée exhortant les organisations à corriger immédiatement les vulnérabilités connues, à mettre en œuvre une segmentation du réseau et à conserver des sauvegardes hors ligne. L'ENISA (Union européenne) a également publié un rapport révisé sur le paysage des menaces, classant LockBit 4.0 comme une menace critique de niveau 1.

Que peuvent faire les organisations ?

1. Appliquez immédiatement les correctifs : LockBit exploite fréquemment des vulnérabilités connues dans les VPN et les points de terminaison RDP non mis à jour.

2. Activez l’authentification multifacteur (MFA) sur tous les points d’accès distants.

3. Organisez des exercices de simulation d’attaques par rançongiciel.

4. Faites appel à un fournisseur de détection et de réponse gérées (MDR) pour une surveillance continue (24 h/24 et 7 j/7).

5. Conservez des sauvegardes hors ligne immuables, régulièrement testées.

Le retour de LockBit nous rappelle brutalement qu'anéantir un groupe de rançongiciels ne fait pas disparaître la menace. Tant que les incitations financières perdureront, de nouvelles variantes apparaîtront. Une défense proactive constitue la seule stratégie viable à long terme.