Un ransomware qui commence par désinstaller l’EDR avant de chiffrer quoi que ce soit. C’est le scénario documenté en août 2026 avec la famille BabLock, qui abuse de désinstalleurs légitimes pour arrêter les processus antivirus, interrompre les services de sauvegarde et effacer les journaux d’événements Windows. Les logiciels malveillants ne se contentent plus de contourner les protections : ils les démontent méthodiquement.
Quand le ransomware cible l’EDR et les sauvegardes
On pense souvent que la cible d’un rançongiciel, ce sont les données. En pratique, la première cible est devenue l’infrastructure de défense elle-même. Les campagnes récentes désactivent les outils de sécurité comme étape préalable, pas comme effet collatéral.
La technique documentée avec BabLock illustre ce basculement. Le malware identifie les agents EDR installés sur la machine, puis utilise leurs propres désinstalleurs légitimes pour les arrêter proprement. Pas de tentative brutale de tuer un processus protégé : l’outil de sécurité se ferme comme si un administrateur avait lancé la procédure de suppression.
Les services de sauvegarde subissent le même sort. Les journaux d’événements Windows sont purgés ensuite, ce qui complique toute analyse forensique. Quand le chiffrement des fichiers démarre enfin, la victime se retrouve sans protection active, sans copie de secours et sans traces exploitables.
Cette approche rend les dispositifs de détection traditionnels insuffisants quand ils fonctionnent en isolation. Un antivirus qui ne surveille pas l’intégrité de son propre processus de désinstallation devient un maillon faible plutôt qu’un rempart.
Attaques fileless et Living off the Land : pourquoi l’antivirus ne voit rien
Un binaire malveillant déposé sur le disque dur, c’est un scénario de moins en moins fréquent dans les campagnes avancées. Les rapports de threat intelligence du premier semestre 2026 confirment que des groupes abandonnent les exécutables classiques au profit d’outils natifs du système : PowerShell, WMI, ou encore les CLI cloud comme AWS CLI et Azure Az.
Le principe est simple sur le papier. L’attaquant n’a pas besoin d’introduire un fichier suspect si les outils déjà présents sur la machine peuvent exécuter ses commandes. On appelle ça le Living off the Land, et ça pose un problème fondamental aux solutions de sécurité basées sur l’analyse de fichiers.
Ce que ça change concrètement pour la détection
Un antivirus traditionnel scanne des fichiers. Quand l’attaque repose sur des commandes PowerShell exécutées en mémoire, il n’y a quasiment rien à scanner. Les artefacts sur disque sont réduits au minimum, parfois inexistants.
Les solutions EDR modernes tentent de compenser en surveillant les comportements : enchaînement d’appels système, élévation de privilèges inhabituelle, connexions réseau suspectes. La détection comportementale reste l’approche la plus adaptée à ce type de menaces, mais les retours varient selon les environnements et la qualité du paramétrage.
- Les commandes PowerShell légitimes et malveillantes se ressemblent syntaxiquement, ce qui génère des faux positifs difficiles à trier pour les équipes sécurité
- L’abus d’outils cloud natifs (AWS CLI, Azure Az) permet de pivoter entre environnements on-premise et cloud sans déclencher d’alerte réseau classique
- Les attaques combinant Living off the Land et vol d’identifiants créent une chaîne d’actions qui ressemble à une session administrateur normale
Malwares adaptatifs et modèles d’IA embarqués
La tendance la plus récente documentée en 2026 concerne les logiciels malveillants qui intègrent des modèles d’IA pour modifier leur comportement en temps réel. On ne parle plus de malware polymorphe au sens classique (qui change sa signature entre deux infections), mais de code capable d’interroger un modèle de langage pendant l’exécution pour adapter sa stratégie.
Concrètement, un malware de ce type peut reformuler ses messages de phishing en fonction de la cible, modifier ses techniques d’évasion selon les défenses détectées, ou choisir dynamiquement quel outil natif exploiter. Des variants malveillantes de modèles comme WormGPT réapparaissent régulièrement, construites sur des architectures open source détournées.
Techniques combinées : BYOVD et Process Ghosting contre les EDR
Le crypter Cruciferra, documenté en 2026, combine deux techniques pour neutraliser les EDR. Le BYOVD (Bring Your Own Vulnerable Driver) consiste à charger un pilote légitime mais vulnérable pour obtenir un accès noyau. Le Process Ghosting permet ensuite de lancer un processus malveillant à partir d’un fichier déjà supprimé du disque, rendant sa détection par scan fichier impossible.
Cette combinaison illustre la sophistication croissante des menaces : chaque couche de protection est ciblée par une technique spécifique, et l’ensemble forme une chaîne d’attaque cohérente qui vise explicitement les outils de sécurité avant de s’en prendre aux données de l’entreprise.
Ingénierie sociale augmentée : les attaques ClickFix manipulent l’utilisateur
Les protections techniques ne servent à rien quand c’est l’utilisateur lui-même qui exécute le code malveillant. Les campagnes ClickFix exploitent de faux CAPTCHA ou de fausses pages de vérification qui demandent à la victime de copier-coller une commande dans son terminal.
L’utilisateur devient le vecteur d’exécution, ce qui court-circuite toute la chaîne de détection. Le malware n’a pas besoin de contourner l’antivirus ou l’EDR puisque c’est un humain qui lance la commande avec ses propres droits.
- La commande copiée exécute généralement un script PowerShell qui télécharge la charge utile en mémoire, sans écriture sur disque
- Les pages de phishing imitent des services connus (vérification de navigateur, mise à jour système) avec un niveau de finition qui piège même des utilisateurs avertis
- Certaines variantes ciblent spécifiquement les navigateurs en interceptant le contenu du presse-papiers
Ce type d’attaque illustre une réalité opérationnelle : la sécurité ne peut plus reposer uniquement sur des outils de détection côté machine. La formation des utilisateurs et les politiques de restriction d’exécution (blocage de PowerShell pour les profils non administrateurs, par exemple) deviennent des mesures aussi stratégiques que le déploiement d’un EDR.
Les logiciels malveillants de 2026 ne cherchent plus la faille dans le pare-feu. Ils exploitent les désinstalleurs, les outils d’administration, les pilotes signés et la confiance des utilisateurs. Face à cette réalité, une stratégie de sécurité qui empile les couches sans vérifier leur résistance mutuelle laisse des angles morts exploitables. Tester régulièrement l’intégrité de ses propres défenses, pas seulement leur présence, reste la mesure la plus concrète à mettre en place.
