En Bref

• Warlock, alias Storm-2603/GOLD SALEM, a fait ses débuts en mars 2025 et est rapidement devenu l’une des 20 principales menaces de ransomware dans le monde.
• Le groupe revendique des violations de haut niveau, notamment chez les géants des télécoms Orange (France) et Colt (Royaume-Uni), et menace de nouvelles fuites via son propre portail de fuite de données.
• Warlock exploite des vulnérabilités de pointe, notamment un zero-day dans Microsoft SharePoint, et utilise à la fois des outils d’attaque classiques et ingénieux.
• Contrairement à d’autres gangs de ransomware, Warlock montre rarement les données volées, préférant miser sur des menaces laconiques et des ventes aux enchères pour faire pression sur les victimes.
• Sophos et Microsoft soulignent tous deux l’agilité technique du groupe et ses tactiques de négociation agressives, caractéristiques d’une nouvelle génération de cybercriminels.

Des Débuts Météoriques dans la Pègre du Ransomware

Imaginez un braqueur de banque qui, quelques mois après son arrivée en ville, ne se contente pas de forcer le coffre-fort mais organise aussi une vente aux enchères publique des biens volés. Voilà, en substance, l’histoire de Warlock - un collectif de ransomware sorti de l’ombre numérique début 2025 et qui n’a pas tardé à faire sentir sa présence sur la scène mondiale.

D’abord suivi par les chercheurs sous les noms de Storm-2603 et GOLD SALEM, Warlock a commencé ses opérations dans une relative discrétion. Mais dès septembre, le groupe lançait son propre “Warlock Client Data Leak Show”, un portail qui liste publiquement - et expose - plus de 60 victimes, allant de petites agences gouvernementales à des multinationales à travers les Amériques et l’Europe.

Cibles de Haut Vol et Méthodes Froides

La réputation de Warlock a explosé après une série d’attaques audacieuses en août 2025. Le groupe s’est vanté d’avoir compromis Orange, le géant français des télécoms, et Colt, un important fournisseur britannique de données, affirmant avoir volé un million de documents à ce dernier et même organisé une “vente aux enchères” du butin. Ils ont ensuite ajouté Star Alliance, le consortium aérien international, à leur liste de victimes - bien que l’organisation n’ait pas confirmé la violation.

Contrairement à certains groupes de ransomware, Warlock évite les fuites spectaculaires ou les comptes à rebours dramatiques. À la place, ils publient de brèves notes ou de simples mises à jour sur l’état de la rançon, cultivant une image de professionnalisme froid. Leur site accuse les victimes “d’irresponsabilité” et menace de tout révéler si les négociations échouent, tout en promettant de garder les données les plus sensibles sous scellés pour les cibles majeures - maniant subtilement les deux faces de l’extorsion.

Sophistication Technique : Mélange d’Anciennes Astuces et de Nouvelles Failles

L’arsenal technique de Warlock est aussi remarquable que son audace. Selon Sophos et Microsoft, le groupe écume les forums de hackers à la recherche de nouvelles vulnérabilités - en particulier dans les logiciels critiques pour les entreprises comme Veeam, ESXi et SharePoint. En juillet, Warlock a exploité une faille zero-day dans les serveurs SharePoint locaux, un bug déjà utilisé par le groupe chinois Salt Typhoon, et a déployé des outils personnalisés pour s’enfoncer profondément dans les réseaux.

Ils combinent des techniques classiques de hackers - comme l’utilisation de Mimikatz pour voler des mots de passe et PsExec pour se déplacer latéralement entre les ordinateurs - avec des outils furtifs de dissimulation du trafic tels que Velociraptor. Imaginez un cambrioleur qui non seulement force les serrures mais désactive aussi l’alarme et repart déguisé. Cette combinaison laisse les défenseurs perplexes et rend la détection difficile.

Impact Mondial et Perspectives

En moins d’un an, Warlock est devenu l’une des opérations de ransomware les plus actives, soulignant l’évolution du paysage des menaces. Leur mélange de compétences techniques et de guerre psychologique - ventes aux enchères publiques, menaces voilées et fuites sélectives - les distingue des gangs de ransomware d’hier.

Les experts en sécurité avertissent que, sauf si les organisations renforcent leurs défenses - en corrigeant rapidement les systèmes, en surveillant les surfaces d’attaque et en se préparant à réagir vite - la méthode Warlock continuera de hanter les réseaux d’entreprise. Comprendre leurs tactiques est la première étape pour limiter leur impact et reprendre le contrôle face à ces maîtres-chanteurs numériques.

WIKICROOK

• Ransomware : Le ransomware est un logiciel malveillant qui chiffre ou verrouille des données, exigeant un paiement des victimes pour restaurer l’accès à leurs fichiers ou systèmes.
• Zero : Une vulnérabilité zero-day est une faille de sécurité cachée, inconnue de l’éditeur du logiciel et sans correctif disponible, ce qui la rend très précieuse et dangereuse pour les attaquants.
• Mimikatz : Mimikatz est un outil qui extrait les mots de passe et les données d’authentification des ordinateurs Windows, souvent utilisé lors de tests de cybersécurité et par les hackers.
• Lateral Movement : Le mouvement latéral désigne le fait que des attaquants, après avoir pénétré un réseau, se déplacent latéralement pour accéder à d’autres systèmes ou données sensibles, étendant ainsi leur contrôle.
• Data Leak Portal : Un portail de fuite de données est un site web public où des hackers publient ou menacent de vendre des données volées, souvent pour faire pression sur les victimes afin qu’elles paient une rançon.