Qu'est-ce que le ransomware as a service (RaaS) ?

Le ransomware as a service (RaaS) est un modèle commercial de cybercriminalité dans lequel des développeurs de rançongiciels, appelés opérateurs, construisent et maintiennent des ransomwares et les louent à d'autres criminels, appelés affiliés, qui mènent les attaques effectives en échange d'une part des gains. C'est le miroir criminel du modèle légitime du software-as-a-service (SaaS) : au lieu que chaque attaquant écrive son propre malware, les opérateurs assurent le travail technique difficile, développer le rançongiciel, faire fonctionner l'infrastructure, héberger les portails de paiement et les sites de fuite, tandis que les affiliés se concentrent sur l'intrusion dans les cibles et le déploiement de la charge utile. Il en résulte une économie souterraine professionnalisée, avec abonnements, portails affiliés, tableaux de bord, avis utilisateurs et support 24h/24. En séparant le développement du déploiement, le RaaS abaisse considérablement la barrière technique à l'entrée, permettant à des personnes ayant peu ou pas de compétences en programmation de lancer des attaques de rançongiciel sophistiquées. Cette division du travail est l'une des principales raisons pour lesquelles les attaques par ransomware ont explosé en volume et en fréquence.

Ce qu'il faut retenir

Le RaaS est un modèle commercial SaaS criminel. Les opérateurs développent et louent des rançongiciels ; les affiliés les déploient et partagent la rançon.
Il abaisse la barrière à l'entrée. Les attaquants n'ont plus besoin d'écrire du code, ce qui permet à bien plus de personnes de lancer des attaques sophistiquées.
Les rôles sont spécialisés. Opérateurs, affiliés et courtiers d'accès initial (IAB) jouent chacun un rôle distinct, ce qui accélère les attaques.
Il est résilient par conception. L'arrestation d'un affilié ne neutralise pas l'opérateur, et les groupes changent d'identité pour échapper aux forces de l'ordre.
La double extorsion est désormais standard. Les affiliés volent les données avant de les chiffrer, puis menacent de les divulguer ; les sauvegardes seules ne suffisent plus.

Comment fonctionne le RaaS : opérateurs, affiliés et courtiers d'accès

L'écosystème RaaS repose sur la spécialisation, les responsabilités étant réparties entre des rôles distincts :

Opérateurs (développeurs) : Construisent et maintiennent le rançongiciel et l'ensemble de son back-end : outils de chiffrement, portails et tableaux de bord affiliés, traitement des paiements (généralement en cryptomonnaie), sites de fuite et plateformes de négociation avec les victimes. Ils recrutent et sélectionnent également les affiliés et leur fournissent support et mises à jour.
Affiliés : Les clients qui conduisent les attaques. Ils sélectionnent les cibles, obtiennent l'accès initial, se déplacent latéralement, exfiltrent des données et déploient le rançongiciel. Ils ne sont souvent pas des développeurs qualifiés ; ils s'appuient sur les outils de l'opérateur.
Courtiers d'accès initial (IAB) : Une troisième spécialité : des criminels qui s'introduisent dans les réseaux et vendent cet accès aux affiliés, leur permettant de sauter la phase de reconnaissance et de déployer immédiatement.

Les opérateurs font de la publicité sur les forums du dark web, mènent des campagnes de recrutement et sélectionnent leurs affiliés, investissant parfois des sommes considérables dans ce recrutement. Une fois qu'un affilié rejoint le programme, il reçoit non seulement le malware mais une véritable expérience de service : onboarding, documentation, mises à jour de fonctionnalités et support qui imitent un SaaS légitime.

Les modèles de revenus du RaaS

Les opérateurs RaaS monétisent leurs kits via plusieurs arrangements. Les affiliés choisissent en fonction de leur budget et de leur appétit pour le risque.

Modèle	Fonctionnement
Affilié / partage des profits	Le modèle le plus courant. Aucun coût initial ; l'opérateur prend une part de chaque rançon, souvent autour de 30 à 40 % (les arrangements varient largement).
Abonnement mensuel	Les affiliés paient un abonnement récurrent, parfois aussi peu que quelques dizaines de dollars par mois, pour accéder aux outils et au support.
Licence unique	Un forfait unique pour une utilisation illimitée du rançongiciel, généralement avec un support et des mises à jour limités ou inexistants.
Offres à paliers	Différents niveaux de service (comme les plans SaaS), les paliers supérieurs offrant une meilleure évasion, anonymisation ou des fonctionnalités supplémentaires.

Les paiements sont effectués en cryptomonnaie pour préserver l'anonymat. L'économie est attrayante pour les criminels : les kits peuvent coûter aussi peu qu'un modeste abonnement mensuel, tandis que les demandes de rançon atteignent régulièrement six ou sept chiffres. Un affilié n'a pas besoin que chaque attaque réussisse pour en tirer profit.

Le cycle de vie d'une attaque RaaS

Développement : L'opérateur construit et affine le rançongiciel et son infrastructure, en se concentrant sur le chiffrement fiable et l'évasion de la détection.
Recrutement : L'opérateur fait de la publicité sur les forums du dark web (comme RAMP, Exploit et XSS) et sélectionne les affiliés, exigeant parfois des antécédents prouvés ou des compétences spécifiques.
Accès initial : L'affilié s'introduit via le phishing, en exploitant des services exposés ou des vulnérabilités non patchées, en forçant des identifiants faibles, ou en achetant un accès auprès d'un IAB.
Déploiement : L'affilié se déplace latéralement, exfiltre les données sensibles et exécute le rançongiciel pour chiffrer les systèmes.
Extorsion : Une note de rançon dirige la cible vers un portail de négociation sur Tor. La double (voire triple) extorsion ajoute une pression via des menaces de fuite de données et d'autres tactiques.
Paiement et partage : Si la cible paie en cryptomonnaie, les gains sont répartis entre l'affilié et l'opérateur selon leur accord.

Pourquoi le RaaS est si dangereux et résilient

Le RaaS est plus menaçant que le ransomware traditionnel et autonome pour des raisons structurelles. Il passe à l'échelle : au lieu d'un seul groupe attaquant des cibles, de nombreux affiliés déploient le même rançongiciel en parallèle, élargissant considérablement la portée. Il est résilient : les rôles étant séparés, l'arrestation d'un affilié ne démantèle pas l'opérateur, et si un opérateur est perturbé, les affiliés passent simplement à un autre kit. Et il contourne les sanctions via le changement d'identité : les groupes se réorganisent sous de nouveaux noms pour échapper aux forces de l'ordre, comme lorsque Evil Corp, sous sanctions, a renommé son rançongiciel pour maintenir les flux de paiements.

Cette séparation des outils, de l'accès initial et de la charge utile rend également l'attribution véritablement difficile. Les personnes qui mènent une attaque ne sont souvent pas celles qui ont écrit le malware, ce qui nécessite un vrai travail de renseignement pour relier une campagne à un groupe précis.

Opérations RaaS notables

De nombreuses familles de ransomwares parmi les plus destructrices opèrent en RaaS. Parmi les exemples marquants :

Reveton (vers 2012) : Souvent considéré comme l'un des premiers précurseurs du RaaS, utilisant l'usurpation d'identité de forces de l'ordre pour extorquer les cibles.
REvil / Sodinokibi : Une opération très active, connue pour le modèle d'affiliation et des demandes de rançon très élevées, à l'origine de grandes attaques en 2021.
DarkSide : Identité de marque professionnalisée et « code de conduite » ; responsable de l'attaque Colonial Pipeline en 2021, avant de relancer sous le nom BlackMatter.
Conti : Fonctionnait comme une entreprise, avec des managers, une paie et des évaluations de performance, avant de se dissoudre.
LockBit : L'une des variantes RaaS les plus prolifiques pendant des années, responsable de milliers d'attaques avant d'être fortement perturbée.
Mallox (TargetCompany) : Un RaaS de longue date ciblant les serveurs MS-SQL non sécurisés ; l'équipe TDR de Sekoia dispose de recherches de première main à son sujet, issues d'une investigation sur un honeypot en direct.
Nouvelles opérations (RansomHub, Qilin, Akira) : Parmi les groupes les plus actifs en 2024 et 2025, illustrant la façon dont le marché se régénère constamment à mesure que les anciens groupes disparaissent.

Comment se défendre contre le RaaS

Parce que le RaaS est un rançongiciel conditionné pour une utilisation plus simple, les défenses correspondent aux fondamentaux de la résilience face aux ransomwares, appliqués rigoureusement :

Fermer les voies d'accès initial : Patcher les systèmes exposés sur internet, durcir ou supprimer les services exposés (RDP, VPN, bases de données) et appliquer des identifiants robustes avec l'authentification multifacteur (MFA) pour contrer le phishing, l'exploitation et la force brute sur lesquels s'appuient les affiliés.
Déployer la détection et la réponse comportementales : Utiliser un EDR/XDR pour détecter les comportements post-accès (mouvement latéral, préparation des données, suppression des clichés instantanés, chiffrement massif) plutôt que de s'appuyer sur des signatures pour une charge utile en perpétuelle évolution.
Maintenir des sauvegardes hors ligne et testées : Conserver des sauvegardes immuables ou hors ligne et s'exercer à la restauration, en notant toutefois que la double extorsion signifie que les sauvegardes seules ne préviennent pas la menace de fuite de données.
Surveiller l'exfiltration de données : Détecter les transferts sortants inhabituels qui précèdent le chiffrement dans les attaques à double extorsion.
Utiliser le renseignement sur les menaces : Traquer les opérations RaaS actives, les TTPs des affiliés et les IABs pour que la détection soit informée par la façon dont ces groupes opèrent réellement.

Éclairage expert : Traquer l'opération, pas seulement la charge utile

Le RaaS impose de repenser l'approche défensive. Parce que le même rançongiciel est déployé par de nombreux affiliés différents, chacun avec son propre savoir-faire, une détection construite uniquement autour de la charge utile échouera : la charge utile change, les affiliés varient et les opérateurs changent d'identité. Ce qui est bien plus durable, c'est le renseignement sur l'opération elle-même : qui sont les opérateurs et les affiliés, sur quels forums ils recrutent, quels courtiers d'accès initial les alimentent, et quelles techniques chaque affilié privilégie. La détection doit se concentrer sur les comportements de la chaîne d'attaque (accès initial, mouvement latéral, préparation des données, préparation du chiffrement), car ceux-ci persistent même quand la charge utile de marque mute.

L'équipe Threat Detection & Research de Sekoia surveille directement l'écosystème RaaS, en suivant l'activité de recrutement d'affiliés sur les forums de cybercriminalité comme RAMP, Exploit et XSS, et en publiant des analyses des programmes RaaS les plus importants. L'équipe produit également des recherches de première main sur des opérations spécifiques : son investigation sur le RaaS Mallox via un honeypot MS-SQL a identifié deux affiliés distincts et leurs savoir-faire respectifs, précisément le renseignement de niveau opérationnel que les signatures génériques de charge utile manquent. Ces recherches alimentent Sekoia Intelligence native, de sorte que les indicateurs et les TTPs des affiliés sont corrélés avec la télémétrie clients sur la plateforme AI SOC Sekoia et peuvent faire l'objet de recherches rétrospectives, tandis que la réponse automatisée peut contenir l'activité d'un affilié avant que le chiffrement ne commence. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia associe cela à la sensibilité en matière de conformité dont les cibles de double extorsion ont besoin. Défendez-vous contre le RaaS en traquant l'opération et en détectant les comportements, et non en attendant de reconnaître la charge utile.