🧠 Quand la cyberattaque devient comportementale

Jusqu’ici, les attaques par ransomware suivaient un schéma bien connu : une pièce jointe piégée, un e-mail frauduleux, ou une faille réseau. Mais le groupe Interlock, actif depuis 2024, pousse le curseur plus loin avec une approche basée sur la manipulation comportementale de la victime.

Appelée FileFix, cette tactique est une variante évoluée des attaques dites “ClickFix”, dans lesquelles les utilisateurs sont amenés à déclencher eux-mêmes l’exécution de commandes malveillantes.

⚙️ Le scénario d’attaque FileFix : une sophistication inquiétante

1. Tout commence par un site compromis. Un script caché y a été injecté, souvent à l’insu du propriétaire.
2. L’utilisateur est invité à ouvrir un fichier pour “résoudre un problème” ou suivre une procédure dite “de réparation”.
3. En copiant un chemin dans l’Explorateur Windows, il déclenche sans le savoir une commande PowerShell ou JavaScript dissimulée.
4. Cette commande installe un cheval de Troie qui envoie les données sensibles vers l’extérieur.
5. En parallèle, un ransomware chiffre les fichiers, accompagné d’une menace de divulgation des données : c’est la double extorsion.

🚫 Pourquoi c’est particulièrement dangereux

• L’attaque ne repose pas sur une faille technique, mais sur une faille humaine.
• Les actions sont initiées depuis des outils Windows de confiance : pas d’alerte, pas d’antivirus déclenché.
• L’utilisateur pense exécuter une action bénigne, alors qu’il active volontairement le piège.

Cette méthode déjoue les barrières de sécurité classiques (pare-feu, antivirus, détection comportementale) en déplaçant l’action du côté de l’utilisateur.

🛡️ L’avis d’Ebitdata : former, anticiper, détecter

Cette campagne illustre un phénomène que nous observons de plus en plus : le retour en force de l’ingénierie sociale, combinée à des scripts techniques discrets et efficaces.

Chez Ebitdata, nous recommandons de :

• 🔒 Former les utilisateurs à ne jamais exécuter des procédures non sollicitées ou copiées-collées
• ⚙️ Surveiller les comportements anormaux sur les terminaux (ex. : exécutions PowerShell inattendues)
• 📂 Segmenter les données sensibles pour limiter les effets d’une éventuelle compromission
• 🧠 Documenter des scénarios d’attaque à fort impact utilisateur dans vos exercices de gestion de crise

🧬 Un groupe à suivre de près

Interlock, à l’origine de cette méthode, revendique déjà plus de 50 victimes en moins d’un an, dont des hôpitaux et des centres universitaires américains. Leur agilité à adapter de nouvelles techniques démontre une organisation bien structurée, à la frontière de l’attaque ciblée et du crime industriel.