Dans l’antre du Gentlemen’s Club : un nouveau syndicat de ransomware frappe usines et hôpitaux à travers le monde

Tout a commencé discrètement en août dernier : une poignée d’intrusions mystérieuses dans des usines et des cliniques, des données enfermées derrière des barreaux numériques, des notes de rançon signées d’une politesse glaçante. Mais à l’automne, « Gentlemen » était déjà un nom murmuré dans les cercles de cybersécurité de Séoul à São Paulo. Aujourd’hui, préviennent les chercheurs, ce nouveau venu s’est hissé parmi les menaces de ransomware les plus redoutables au monde - visant les artères vitales de l’industrie et de la médecine avec une efficacité implacable.

Selon l’ASEC sud-coréen, l’émergence de Gentlemen marque un nouveau chapitre dans la saga des ransomwares. Contrairement aux attaques bruyantes et dispersées d’autrefois, les campagnes de Gentlemen sont ciblées, sur mesure, et terriblement efficaces. Le malware du groupe, écrit en langage Go, est conçu pour n’opérer que dans des environnements soigneusement sélectionnés par ses créateurs - grâce à une vérification de mot de passe obligatoire qui déjoue analystes et bacs à sable.

Une fois à l’intérieur d’un réseau d’entreprise, Gentlemen désactive Windows Defender, arrête les services de sauvegarde et de base de données, et efface les journaux système - aveuglant les défenseurs avant de lancer son acte principal : le chiffrement des fichiers. Mais il ne s’agit pas d’un simple verrouillage. Le malware utilise un mélange de X25519 (un échange de clés Diffie-Hellman à courbe elliptique) et du chiffre de flux XChaCha20, générant une clé unique pour chaque fichier. Ce procédé garantit que, sans la clé privée des attaquants, la déchiffrement est pratiquement impossible - même si les forces de l’ordre saisissent les données chiffrées.

Les victimes reçoivent une note de rançon, les informant que leurs fichiers sont verrouillés et que leurs données confidentielles ont été volées. La menace : payer, ou voir leurs informations sensibles divulguées sur le dark web. Pour accentuer la pression psychologique, le groupe propose de déchiffrer gratuitement deux fichiers en guise de preuve qu’ils détiennent bien les clés du royaume numérique.

L’impact se fait déjà sentir. La société de cybersécurité industrielle Dragos a relié Gentlemen à une série d’attaques contre des entreprises manufacturières et de construction au troisième trimestre 2025, tandis que les secteurs de la santé et de l’assurance ont également été durement touchés. Le groupe sévit en Asie-Pacifique, en Amérique du Nord et du Sud, ainsi qu’au Moyen-Orient, sans montrer de signe de ralentissement.

Malgré leur ascension fulgurante, la véritable identité de Gentlemen reste obscure. Rien n’indique que le groupe exploite une plateforme Ransomware-as-a-Service, ni s’il s’agit d’une nouvelle marque d’un groupe connu ou d’un syndicat entièrement nouveau. Une chose est sûre : leur expertise technique et leur ambition mondiale en font l’un des adversaires les plus dangereux pour les infrastructures critiques aujourd’hui.

Alors que les organisations s’efforcent de se défendre, la campagne des Gentlemen rappelle crûment que le ransomware évolue plus vite que jamais. Dans cette nouvelle ère, vigilance, défense en profondeur et réaction rapide sont peut-être les seuls remparts entre la routine et une catastrophe.

WIKICROOK

• Double extorsion : La double extorsion est une tactique de ransomware où les attaquants chiffrent les fichiers et volent aussi des données, menaçant de les divulguer si la rançon n’est pas payée.
• Bring Your Own Vulnerable Driver (BYOVD) : Le BYOVD consiste à installer un pilote légitime mais vulnérable pour contourner les protections de sécurité ou obtenir un accès plus profond à un système informatique.
• XChaCha20 : XChaCha20 est un chiffre de flux rapide et sécurisé, idéal pour chiffrer de gros fichiers et des flux de données, réduisant les risques de réutilisation de nonce.
• X25519 : X25519 est une méthode Diffie-Hellman à courbe elliptique rapide et sécurisée, utilisée pour générer des clés de chiffrement partagées pour des communications sécurisées.
• Ransomware : Le ransomware est un logiciel malveillant qui chiffre ou verrouille des données, exigeant une rançon des victimes pour restaurer l’accès à leurs fichiers ou systèmes.