Pourquoi le ransomware Medusa constitue-t-il une menace croissante pour les infrastructures critiques ?

Medusa a toujours été plus qu'un monstre.  

Dans les mythes anciens, son regard transformait les hommes en pierre. Pendant la Renaissance, elle était un symbole de beauté devenue mortelle. Aujourd’hui, elle a été revendiquée comme une figure de transformation — apparaissant dans la mode, la culture pop et les symboles d’autonomisation.

Aujourd’hui, elle est de retour — pas dans le marbre ou le mythe, mais dans le malware. L’opération de ransomware en tant que service (RaaS) de Medusa, active depuis juin 2021, intensifie désormais les attaques contre les infrastructures critiques à travers le monde. Les secteurs ciblés incluent les secteurs médical, éducatif, juridique, d’assurance, de la technologie et de la fabrication.

Au cours des deux premiers mois de 2025, le nombre d’attaques de ransomware Medusa a doublé par rapport à la même période l’année dernière — une forte hausse qui indique que Medusa accélère, et non s’estompe.

Dans la mythologie, regarder Méduse signifiait la mort. En cybersécurité, ne pas la voir peut menacer l’électricité, l’eau, les transports, les systèmes financiers et la confiance du public — l’infrastructure qui fait fonctionner le monde. ‍

Un avertissement commun de la CISA et du FBI

En février 2024, la CISA et le FBI ont publié un avis conjoint : #StopRansomware : Ransomware Medusa.

Plus de 300 organisations ont déjà été victimes, notamment des hôpitaux, des institutions financières, des écoles et des services publics.

Les agences ont conseillé ces mesures urgentes :

• Veiller à ce que les systèmes d'exploitation, les logiciels et les microprogrammes soient corrigés et mis à jour.
• Segmenter les réseaux pour limiter les mouvements latéraux.
• Filtrez le trafic réseau en empêchant les origines inconnues ou non fiables d'accéder aux services distants.

Les rançongiciels sont désormais un risque national

Le ransomware n’a pas toujours été aussi dangereux. En 1989, la première attaque de ransomware connue — connue sous le nom de cheval de Troie du SIDA — a été livrée sur disquette et a exigé 189 $ par courrier.

Aujourd’hui, selon l’étude mondiale sur le coût des ransomwares d’Illumio :

• 25% des systèmes critiques tombent en panne lors d'une attaque, pour une durée moyenne de 12 heures.
• Les demandes de rançon moyennes dépassent 1,2 million de dollars.
• Même après paiement, seules 13% des victimes récupèrent toutes leurs données.
• Le confinement nécessite plus de 130 heures (environ 11 jours) et près de 18 personnes.

Le ransomware n’est pas qu’une menace cybernétique. C’est une perte de temps, d’argent et de résilience. Et lorsqu’il atteint des infrastructures critiques, les enjeux peuvent entraîner une ruine financière, mettre le public en danger, voire déstabiliser les gouvernements.  

Pourquoi les infrastructures critiques sont-elles si exposées ?

Les infrastructures critiques attirent les ransomwares pour une raison importante : elles comptent.

"L'infrastructure critique est essentielle par nature - si vous la mettez hors service, les répercussions sont énormes", déclare Trevor Dearing, directeur des solutions d'infrastructure critique d'Illumio. "La véritable menace qui pèse sur les services essentiels est l'arrêt des opérations - lorsque les systèmes d'électricité, d'eau ou de transport sont mis hors service. C'est là que les choses deviennent vraiment dangereuses".

Des réseaux électriques aux pipelines, l'épine dorsale de la société repose souvent sur des technologies obsolètes et irrécupérables, en particulier les anciens systèmes ICS et SCADA.

Michael Adjei, directeur de l'ingénierie des systèmes d'Illumio pour la région EMEA, partage cet avis.

"Ces systèmes sont difficiles à mettre à jour et faciles à exploiter par les pirates", explique-t-il. "Cela en fait des cibles idéales pour les ransomwares comme Medusa.

Même si la modernisation s'accélère, la sécurité est souvent laissée pour compte dans le monde des infrastructures critiques.

"Les systèmes de contrôle câblés sont remplacés par l'Ethernet et le Wi-Fi sans que les implications en termes de sécurité soient pleinement prises en compte", explique M. Dearing. "De plus, de nombreux fabricants livrent des équipements dont la sécurité par défaut est faible - et limitent ensuite ce que les entreprises peuvent faire pour la renforcer.

De nombreuses organisations d'infrastructures critiques sont publiques ou dépendent d'un financement national. Cela signifie que la passation des marchés est lente, que la surveillance est complexe et que les budgets sont limités. En d'autres termes, il s'agit d'une cible massive et insuffisamment défendue.

Quelle est la gravité d'une attaque contre des infrastructures critiques ?

En 2023, 11 des 15 vulnérabilités les plus courantes ont été exploitées comme des failles zero-day, selon un rapport conjoint de la CISA et de la NSA. La rapidité et l’ampleur de l’exploitation montrent à quelle vitesse les attaquants cherchent à instrumentaliser les failles avant que les défenseurs ne puissent les corriger — surtout dans les systèmes critiques. À mesure que les tactiques de ransomware évoluent, les attaquants peuvent transformer des vulnérabilités mineures en menaces majeures — avec le potentiel de déstabiliser les infrastructures critiques et de perturber des services essentiels.  

Les rançongiciels conçus pour l'ère hybride

Medusa n’a pas besoin de vulnérabilités zero-day ni d’exploits bruyants. Il se déroule discrètement, et il est conçu pour des environnements hybrides — où les applications cloud peuvent se connecter aux centres de données sur site. ‍

Medusa évite d’être détecté en utilisant des outils déjà présents dans votre réseau — ce qu’on appelle vivre de la terre (LotL). Au lieu de larguer de nouveaux malwares, il exploite les programmes intégrés et les vulnérabilités pour se fondre dans les opérations normales.

Il peut s'agir de

• PowerShell
• Instrumentation de gestion Windows (WMI)
• Protocole de bureau à distance (RDP)
• ConnectWise ScreenConnect
• SSH (sur les systèmes Linux et Unix)  

"Ces outils sont autorisés, fiables et disposent déjà de l'accès souhaité par les attaquants", explique M. Adjei. "Il s'agit moins de l'outil que de ses privilèges et de sa portée.

Les logiciels de gestion à distance tels que ScreenConnect ou SolarWinds sont particulièrement intéressants car ils sont pré-approuvés. Conçu pour connecter, surveiller et contrôler à grande échelle, il devient un multiplicateur de force entre de mauvaises mains, donnant aux attaquants un accès immédiat à l'ensemble des systèmes.

Et lorsque le ransomware se comporte comme l’informatique, il se peut qu’il ne suscite pas d’alerte.

Comme le dit Adjei : « Le ransomware moderne ne débarque pas par la porte d’entrée — il se fond dans la masse comme un espion.»

Mouvement latéral : comment Medusa se propage-t-elle ?

Les attaquants se posent là où c'est facile - pas là où ils veulent être. Ils se déplacent ensuite silencieusement sur le réseau, système par système, jusqu'à ce qu'ils atteignent les joyaux de la couronne.

Il existe deux types de déplacements latéraux:

• Host-intrinsèque: escalade de privilèges au sein du système (par exemple, svc-ndscans)
• Host-extrinsèque: déplacement entre machines via RDP ou WinRM

Dans une attaque typique de Méduse, les deux types travaillent ensemble. D’abord, ils prennent le contrôle à l’intérieur d’un appareil. Ensuite, ils utilisent cet accès pour se disperser discrètement à travers le réseau. ‍

Exfiltration de données et double extorsion  

Medusa a également recours à une double extorsion : le cryptage des données et leur exfiltration - en exigeant une rançon pour les récupérer et la promesse que les données volées ne seront pas publiées, vendues ou divulguées en ligne ou sur le dark web.

Au cours de la dernière étape, les attaquants localisent et volent des données sensibles qu'ils renvoient à leurs serveurs de commande et de contrôle. Ce trafic de rappel peut être acheminé via des ports de communication courants, en utilisant des techniques telles que les enregistrements de texte DNS ou les paquets ICMP - des méthodes conçues pour passer inaperçues face aux défenses traditionnelles.

Ne vous détournez pas de la Méduse

Pour en savoir plus sur la portée, l'ampleur et les enjeux des menaces actuelles liées aux ransomwares :

• Regardez notre récent webinaire, Ransomware par les chiffres
• Télécharger l’étude sur le coût mondial des ransomwares