The Gentlemen ransomware : 5 signes d’une attaque en PME

Ce qu’il faut retenir

1. Environ 332 victimes publiées en cinq mois – Check Point classait The Gentlemen deuxième parmi les opérations RaaS observées. Ce classement reposait sur leurs sites de fuite début 2026.
2. L’accès initial reste souvent banal – des services vulnérables et des identifiants compromis suffisent parfois. Les équipements VPN mal protégés exposent directement le réseau.
3. Les outils légitimes masquent l’intrusion – PsExec, les scanners réseau et PowerShell peuvent servir à la reconnaissance. Ils facilitent ensuite le parcours du système.
4. La priorité est d’agir avant le chiffrement – surveillez les connexions et protégez l’administration. Conservez aussi une copie hors ligne ou immuable testée.

The Gentlemen ransomware : une menace active, pas invincible

The Gentlemen fonctionne comme un ransomware-as-a-service. Un opérateur fournit l’infrastructure et les outils. Des affiliés conduisent les intrusions. Cette organisation explique des méthodes variables d’une victime à l’autre. Elle interdit surtout de réduire le risque à un seul fichier malveillant.

Check Point Research recensait environ 332 victimes publiées pendant les cinq premiers mois de 2026. Ce chiffre place le groupe parmi les opérations les plus actives, mais il ne mesure pas toutes les attaques. Un site de fuite présente des déclarations criminelles, pas un registre officiel d’incidents.

Le point utile pour une PME est ailleurs. La chaîne d’attaque laisse des traces avant le blocage des fichiers. Un VPN utilisé depuis un pays inhabituel constitue un signal. Une découverte soudaine du réseau ou un outil distant sans ticket aussi.

Accès distants sécurisés : fermer la première porte

Les analyses décrivent surtout l’exploitation de services accessibles depuis internet. Elles relèvent aussi l’usage d’identifiants faibles, divulgués ou compromis. Les VPN, pare-feu et interfaces d’administration concentrent donc le risque. Ils donnent parfois un accès direct à un réseau interne avec peu de contrôles supplémentaires.

Une PME doit inventorier ces points d’entrée, supprimer ceux qui ne servent plus et appliquer rapidement les correctifs. L’authentification multifacteur doit protéger chaque accès distant et chaque compte d’administration. Les comptes partagés compliquent l’enquête et doivent disparaître.

Les journaux du VPN et du pare-feu doivent être conservés puis examinés. Recherchez les connexions nocturnes, les adresses inconnues, les échecs répétés et les volumes inhabituels. Une règle simple vaut mieux qu’une console jamais consultée.

Mouvement latéral : quand vos outils servent l’attaquant

Après l’entrée, les affiliés recherchent les contrôleurs de domaine, les serveurs et les hyperviseurs. Ils repèrent aussi les NAS et les sauvegardes. Kaspersky a observé SharpADWS, NetScan, Advanced IP Scanner et netsh pour cartographier ou écouter le réseau. PsExec et des scripts GPO peuvent ensuite distribuer ou lancer la charge sur plusieurs machines.

Cette méthode, dite living off the land, détourne des composants légitimes. Un antivirus fondé uniquement sur les signatures peut manquer le contexte. L’alerte vient alors de la séquence : compte inhabituel, exploration rapide, privilèges élevés puis exécution distante.

La segmentation limite ensuite la portée d’un compte volé. Un poste utilisateur ne devrait pas joindre directement l’administration des sauvegardes ou des hyperviseurs. Filtrez les flux entre zones et bloquez les protocoles inutiles. Cette mesure n’empêche pas l’intrusion, mais elle ralentit la découverte et la propagation.

Détection comportementale : surveiller la phase silencieuse

La reconnaissance offre une fenêtre de réaction. Centralisez au minimum les journaux du VPN, des contrôleurs de domaine, des hyperviseurs et des solutions de sécurité. L’ANSSI recommande précisément cette supervision des points sensibles et l’étude systématique des alertes EDR sur les serveurs critiques.

Définissez quelques scénarios compréhensibles. Un compte ouvre plusieurs sessions administratives, un poste contacte tous les serveurs ou Defender change de configuration. Chaque alerte doit avoir un responsable, un délai d’analyse et une procédure d’isolement.

Un EDR n’est pas magique. Il devient utile lorsque l’entreprise connaît ses outils autorisés, ses horaires d’administration et ses actifs critiques. Sans cette référence, l’anomalie reste noyée dans le bruit.

Préparez aussi la première heure d’incident. Isolez la machine suspecte sans l’éteindre automatiquement, préservez les journaux et prévenez le prestataire désigné. Ne lancez pas un nettoyage improvisé. Il peut supprimer les traces nécessaires pour comprendre l’accès initial et vérifier si d’autres systèmes restent compromis. Cette discipline réduit le temps perdu et protège la qualité de l’enquête.

Sauvegarde immuable : empêcher la destruction du recours

Avant le chiffrement, The Gentlemen peut désactiver les protections et effacer des traces. Il cherche aussi à réduire les possibilités de restauration. Microsoft et Kaspersky ont documenté des commandes visant Microsoft Defender. Kaspersky décrit aussi l’emploi de pilotes vulnérables pour arrêter certains produits de sécurité.

Une sauvegarde montée en permanence sur le réseau reste accessible à un compte compromis. Conservez donc une copie hors ligne ou immuable, protégée par des identifiants séparés. Testez sa restauration avec une durée mesurée. Une sauvegarde non testée est seulement une hypothèse.

L’ANSSI recommande de déconnecter du système d’information les sauvegardes critiques. La méthode 3-2-1-1-0 pour les PME formalise cette isolation et ajoute le contrôle des restaurations.

Ransomware PME : cinq contrôles prioritaires

1. Recenser les accès exposés et fermer chaque service inutile.
2. Imposer le MFA aux VPN, consoles cloud et comptes privilégiés.
3. Centraliser les journaux des accès distants, serveurs et annuaires.
4. Limiter l’administration aux comptes, postes et créneaux prévus.
5. Tester une restauration isolée avec un objectif de reprise validé.

Ces contrôles s’intègrent à un plan complet contre le ransomware en PME. Ils complètent aussi les cinq piliers du guide cybersécurité TPE-PME.

Pour la doctrine de référence, consultez les mesures cyber préventives prioritaires de l’ANSSI. Pour les tactiques propres au groupe, l’analyse de Kaspersky Securelist sur The Gentlemen détaille les outils observés.