Un groupe de rançongiciels offre aux hackers 80 % des rançons extorquées afin d’attirer des affiliés et de développer ses activités.
Connu sous le nom de Dark Project, ce service de rançongiciel en tant que service (RaaS) a été observé pour la première fois en juin 2026 et gérerait les négociations avec les victimes pour le compte de ses affiliés. Selon l’entreprise de renseignement sur les menaces Gurucul, le site public de divulgation du groupe recense 38 victimes présumées dans huit pays.
Cet arrangement permet aux affiliés de se concentrer sur la conduite des attaques, tandis que Dark Project prend en charge les négociations et le traitement des paiements. Pour les organisations, ce modèle montre comment les opérateurs de rançongiciels cherchent à faciliter la coordination et la mise à l’échelle des attaques.
Au cœur du modèle économique 80/20 des rançongiciels
Dark Project utilise une stratégie de double extorsion : les affiliés exfiltrent des fichiers sensibles avant de chiffrer les réseaux locaux, s’appuyant sur la menace d’une divulgation publique comme levier financier.
Dans le cadre du programme partenaire annoncé, les opérateurs de Dark Project conservent 20 % pour l’infrastructure, les rapports et les négociations avec les victimes, et reversent les 80 % restants aux affiliés. Le recrutement et les opérations suivent un processus en quatre étapes :
- Candidature : Les partenaires criminels potentiels contactent les opérateurs via le protocole de messagerie Tox.
- Intégration : Les affiliés approuvés reçoivent des identifiants de partenaire uniques, des guides opératoires et un accès à la plateforme.
- Déploiement : Les hackers déploient les charges utiles au moyen d’agents d’évaluation Windows fournis (aux formats EXE et BIN) et de kits d’ingénierie sociale.
- Règlement : Le groupe central gère les négociations de rançon, en promettant aux affiliés le versement de commissions en Bitcoin (BTC) dans les 24 heures suivant le règlement.
Répartition des cibles | Chiffre clé | Secteurs et régions notables |
| Premier pays | États-Unis (30 victimes/79 %) | Royaume-Uni, Allemagne, Brésil, Philippines |
| Premier secteur | Industrie manufacturière (12 victimes/32 %) | Santé (7), construction (4) |
| Pic des divulgations | Août 2026 (20 victimes recensées) | Récentes : Custom Bakehouse, Simplehuman |
Le tournant du RaaS : la réduction des frictions comme arme
Le versement agressif de 80 % par Dark Project reflète l’évolution de l’économie de la cybercriminalité. Alors que les coups de filet internationaux des forces de l’ordreperturbent les opérateurs historiques de rançongiciels, de nouveaux syndicats rivalisent férocement pour attirer les spécialistes de l’intrusion en réduisant au minimum les frictions pour les affiliés.
En centralisant les échanges avec les victimes, l’hébergement des données divulguées et les négociations, Dark Project permet aux affiliés techniques de se concentrer exclusivement sur l’accès initial et les mouvements latéraux.
Les défenseurs doivent toutefois relever une lacune opérationnelle : les affirmations du groupe concernant sa plateforme et ses calendriers de paiement annoncés n’ont pas été vérifiées par un traçage des transactions réalisé par un tiers, tandis que les publications sur les sites publics de divulgation servent souvent d’outils d’autopromotion plutôt que de preuves d’une compromission opérationnelle complète.
Ce que cela signifie pour les organisations et les utilisateurs finaux
Lorsque les opérateurs de RaaSabaissent les barrières à l’entrée pour les affiliés, les activités quotidiennes des entreprises sont exposées à des risques en cascade accrus :
- Perturbation critique des opérations : Le ciblage intensif des secteurs manufacturier et de la santé risque d’arrêter les chaînes d’assemblage physiques et de perturber les services médicaux aux patients.
- Exposition à une double extorsion : Comme les acteurs malveillants volent les données avant le déploiement, la conservation de sauvegardes fiables permet de restaurer les systèmes, mais ne peut empêcher la mise aux enchères en ligne des dossiers propriétaires des clients, de la propriété intellectuelle de l’entreprise ou des fichiers des employés.
- Propagation des identifiants : Les acteurs de Dark Project exploitent fréquemment des journaux de voleurs d’informations, des interfaces RDP (Remote Desktop Protocol) exposées et des passerelles VPN non corrigées pour obtenir un accès initial, mettant immédiatement en danger les identifiants internes de l’entreprise.
Les organisations peuvent réduire leur exposition en imposant une authentification multifacteur résistante au hameçonnage sur les services d’accès à distance, en corrigeant rapidement les systèmes exposés à Internet, en conservant des sauvegardes isolées et immuables, et en surveillant les transferts de données inhabituels ou les signes de préparation d’une attaque par rançongiciel.
Les sauvegardes restent essentielles à la récupération, mais elles ne peuvent empêcher les attaquants de menacer de divulguer les informations volées. La détection précoce des accès non autorisés et de l’exfiltration de données est donc tout aussi importante que la prévention du chiffrement.
Le modèle économique annoncé par Dark Project illustre comment les groupes de rançongiciels peuvent tenter d’étendre leur portée en sous-traitant les attaques à des affiliés. Pour les défenseurs, la priorité reste de limiter les accès et les possibilités dont ces affiliés ont besoin pour compromettre les réseaux d’entreprise.
À l’approche de la période des achats de fin d’année, les experts en cybersécurité mettent en garde les détaillants et les consommateurs contre la montée des risques de fraude liés aux fausses demandes de remboursement et aux arnaques aux cartes-cadeaux, qui peuvent entraîner des pertes financières et le vol d’informations sur les clients.