Les rançongiciels sont l’une des cybermenaces les plus dangereuses et les plus coûteuses, avec des conséquences potentiellement dévastatrices. En mai 2021, l’attaque par ransomware du Colonial Pipeline a forcé l’arrêt de toutes les opérations du pipeline qui transportait environ 400 millions de litres par jour d’essence, ce qui a amené le ministère américain de la Justice à accorder aux attaques par ransomware une priorité similaire à celle du terrorisme. Les ransomwares touchent tous les secteurs, et en particulier les secteurs de la santé et de la médecine, les services d’urgence, les secteurs de l’énergie, les installations publiques et gouvernementales, les services et marchés financiers, l’alimentation et l’agriculture, ainsi que l’enseignement supérieur et la recherche.
La définition que l’on a en tête est qu’un ransomware est un logiciel malveillant (malware) qui bloque l’accès aux fichiers, généralement en cryptant, totalement ou partiellement, les données du système. Cette définition est aujourd’hui incomplète, car elle ne tient pas compte de l’évolution des modes opératoires des criminels. En effet, l’objectif global d’une attaque par ransomware est d’obtenir une rançon par tous les moyens, la motivation principale des criminels étant financière. Pour faire pression sur les victimes, les criminels utilisent le chantage en menaçant de révéler les données compromises, soit publiquement, soit aux partenaires des victimes, et de perturber l’accès Internet de la victime.
Dans ce contexte, les enjeux scientifiques sont doubles. D’une part, il s’agit d’être en mesure de détecter une attaque et de comprendre la nature de celle-ci, dans un jeu où les rançongiciels évoluent sans cesse. D’autre part, il s’agit de comprendre l’écosystème et les modes opératoires des cyber-criminels.
Au Loria, l’équipe a pour objectif de développer de nouvelles méthodes d’analyse et de détection des rançongiciels en combinant à la fois des approches formelles et à la fois des approches d’IA. Parallèlement, un autre objectif est d’avoir une capacité de prédiction des nouvelles attaques et de leurs modes opératoires, ce qui implique une compréhension globale de l’écosystème autour des ransomwares, en impliquant différentes disciplines.