2 stratégies de groupe ont suffi à bloquer un domaine entier, sans chiffrer un fichier

Un rançongiciel qui ne chiffre rien, est-ce encore un rançongiciel ? Le groupe PAYLOAD répond oui, et son mode opératoire vaut le détour : lors d’une attaque contre un industriel du Moyen-Orient en avril 2026, il a paralysé un domaine Windows en créant 2 stratégies de groupe dans Active Directory. Pas un fichier chiffré.

Ce que font les 2 GPO

La première fait tout le travail visible. Elle remplace le fond d’écran et l’écran de verrouillage par l’image de rançon, dépose des fichiers texte d’extorsion sur les bureaux et à la racine des lecteurs, modifie la bannière affichée à l’ouverture de session, et désactive le compte administrateur local par les paramètres de sécurité.

La seconde tient en une ligne : elle coupe le pare-feu Windows sur les 3 profils, domaine, privé et public. Autrement dit, la première annonce la couleur, la seconde ouvre la maison.

Pourquoi renoncer au chiffrement

Parce que le chiffrement est devenu le geste le plus surveillé de tous. Les protections modernes guettent précisément une avalanche d’écritures sur des milliers de fichiers. En diffusant deux objets parfaitement légitimes par le canal d’administration officiel du domaine, l’attaquant obéit à toutes les règles de la maison.

L’autre raison est économique. Le levier de l’extorsion ne repose plus sur les fichiers rendus illisibles, mais sur les données déjà sorties : l’analyse constate une exfiltration, suivie d’une publication sur un site de fuites. Une sauvegarde ne répare pas cela.

(Bonne nouvelle relative pour l’équipe d’astreinte : supprimer 2 GPO et forcer un gpupdate prend quelques minutes, là où un déchiffrement prend des jours. La mauvaise nouvelle tient dans la phrase précédente !)

Ce que ça change côté surveillance

• Journaliser la création et la modification des GPO, pas seulement les connexions et les exécutables.
• Alerter sur la désactivation du pare-feu par stratégie, qui n’a aucune raison légitime d’apparaître du jour au lendemain.
• Traiter la désactivation du compte administrateur local comme un événement de sécurité, pas comme une tâche d’administration ordinaire.

Ce que l’analyse ne prouve pas

Le récit vient d’un éditeur de sécurité, dont le métier est aussi de vendre la réponse à incident qu’il décrit. La victime n’est pas nommée, et aucun chiffre n’est donné : ni le nombre de machines touchées, ni la durée de l’interruption, ni le montant réclamé. Impossible, donc, de juger de l’ampleur réelle.

L’auteur pose lui-même deux limites honnêtes, et c’est tout à son crédit. Les capacités anti-forensiques prêtées au groupe proviennent de rétro-ingénierie publique, pas de traces relevées dans cet incident précis. Et l’absence de chiffrement peut aussi bien être une stratégie assumée qu’une attaque interrompue avant son terme. La thèse du rançongiciel sans chiffrement est séduisante, elle reste une interprétation.

En bref

• PAYLOAD a bloqué un domaine Windows avec 2 GPO, sans chiffrer aucun fichier.
• Une GPO affiche la rançon et désactive l’administrateur local, l’autre coupe le pare-feu sur 3 profils.
• Le levier de l’extorsion est l’exfiltration, pas le chiffrement.
• Surveiller les modifications de GPO devient au moins aussi utile que surveiller les fichiers.

Sources : analyse d’incident publiée par Securelist et reprise par IT-Connect, 22 septembre 2026.

Le Bien Heureux · Redaction Capibara · Mercredi 23 septembre 2026