Un outil furtif circule entre groupes de ransomware. Il désarme les antivirus, contourne les protections, s’améliore par usage. Sophos sonne l’alerte : la menace est désormais coopérative.

Depuis 2022, un programme malveillant conçu pour désactiver les protections informatiques – baptisé « EDR Killer » – est partagé, adapté et utilisé par plusieurs groupes de ransomware parmi les plus dangereux. Sophos, entreprise de cybersécurité, a récemment révélé l’ampleur de cette coopération souterraine entre acteurs malveillants. Ce « tueur d’antivirus », indétectable grâce au chiffrement HeartCrypt et signé avec des certificats numériques frauduleux, cible toutes les principales solutions de sécurité du marché. Il s’intègre en amont des attaques, neutralisant les défenses des victimes avant même que le ransomware n’agisse. Ce phénomène illustre un tournant stratégique dans la cybercriminalité : des ennemis qui partagent leurs outils comme s’ils constituaient un arsenal collectif contre les systèmes de défense.

Une bombe invisible glissée dans les chaînes d’attaque

Août 2025. Une équipe de réponse à incident s’interroge sur l’échec des systèmes de détection d’une entreprise britannique frappée par le ransomware Medusa. Tous les outils de sécurité avaient été désactivés sans alerte. Pas de signal, pas d’alarme, pas même une trace résiduelle dans les journaux système. Rien qu’un silence avant le chaos.

C’est dans cette zone d’ombre que s’est glissé le « EDR Killer », un outil autonome, insidieux, sophistiqué, capable de tuer silencieusement la majorité des solutions de cybersécurité utilisées par les entreprises : Microsoft Defender, Bitdefender, Sophos, McAfee, SentinelOne, Webroot, et bien d’autres.

Les équipes de Sophos, en enquêtant sur plusieurs attaques coordonnées depuis 2022, ont constaté un phénomène inquiétant : le même outil, utilisé par plusieurs groupes sans lien apparent. Medusa, Blacksuit, Qilin, DragonForce, INC. Des groupes parfois rivaux, souvent concurrents dans leurs méthodes, mais qui, ici, partageaient un même couteau numérique. Mieux encore, chacun d’eux utilisait une version adaptée du code. Preuve d’une circulation technique, non pas d’une simple copie.

Des mécanismes d’effacement et de camouflage maîtrisés

Le « EDR Killer » n’est pas une simple charge virale. Il est préparé comme une arme tactique. Il ne chiffre pas les données. Il ne vole rien. Il prépare le terrain.

En amont de l’attaque finale, il désactive les agents de surveillance, coupe les connexions aux services cloud de sécurité, et tue les processus critiques liés à la détection comportementale. Il le fait en mémoire, sans écrire de fichiers persistants, rendant son analyse post-mortem quasi impossible.

Pour échapper aux antivirus eux-mêmes, le binaire est obfusqué par HeartCrypt, un service commercial illégal fonctionnant selon le modèle « packer-as-a-service ». Il chiffre les exécutables, empêche la rétro‑ingénierie, et peut muter à chaque exécution, comme un virus biologique contournant les vaccins.

Mais le plus remarquable reste l’utilisation de certificats numériques volés ou expirés, qui permettent à l’outil d’installer des pilotes système avec les droits les plus élevés. Ainsi, les protections profondes du noyau Windows sont elles aussi désactivées, ouvrant la voie au déploiement du ransomware proprement dit.

Une convergence inquiétante entre acteurs criminels

L’enquête de Sophos ne s’est pas arrêtée à l’analyse technique. Très vite, un élément stratégique est apparu : les multiples versions de l’outil n’étaient pas identiques. Chaque groupe criminel semble avoir obtenu, modifié et adapté le code à ses propres chaînes d’attaque. Ce n’est pas un simple exécutable partagé, mais un projet logiciel, vivant, distribué.

Ce phénomène rappelle les logiques de coopération entre mafias numériques : partage de ressources, vente de services spécialisés, mutualisation de moyens. HeartCrypt, par exemple, est commercialisé sur les forums clandestins à des prix variant selon le niveau de personnalisation. Des criminels y vendent des solutions de chiffrement sur mesure, avec signature valide, support client, mises à jour hebdomadaires.

Ainsi, un opérateur ransomware peut commander un « EDR Killer » customisé, obfusqué, certifié, prêt à l’emploi. Il l’intègre ensuite dans sa chaîne d’exploitation. Cette industrialisation des moyens techniques marque une nouvelle étape dans l’économie souterraine du cybercrime, où l’optimisation opérationnelle prime sur l’exclusivité.

Une opération éclair : SimpleHelp comme point d’entrée

Un cas précis illustre la redoutable efficacité de ce schéma. En mai 2025, Medusa a exploité une vulnérabilité zero-day dans la plateforme de support à distance SimpleHelp. En quelques minutes, l’EDR Killer est injecté, les défenses abattues. Le ransomware prend alors le contrôle. Aucun antivirus ne s’est réveillé.

Le vecteur initial (SimpleHelp) était légitime. Le code était signé. Les protections désactivées proprement. Pour les victimes, la sidération a été totale. Pour les experts en sécurité, un rappel brutal : même les outils de gestion IT peuvent devenir des armes contre les réseaux qu’ils protègent.

L’incident révèle une évolution stratégique majeure dans l’univers du cybercrime. D’abord, on assiste à une désintermédiation des phases d’attaque : en désactivant les EDR au tout début de l’intrusion, les assaillants éliminent la première ligne de défense, celle qui agit en temps réel, réduisant à néant les capacités de réaction automatisée. La chaîne d’attaque devient silencieuse, plus rapide, plus létale.

Ensuite, cette affaire fournit la preuve concrète d’un partage d’outils entre groupes traditionnellement indépendants. Ce ne sont plus des tactiques uniques, mais des briques logicielles mutualisées, adaptées localement selon les cibles. Cette convergence suggère l’émergence d’un véritable marché noir modulaire où chaque groupe assemble son propre kit d’agression.

Par ailleurs, la dépendance croissante à des services criminels spécialisés, comme HeartCrypt, témoigne d’un écosystème structuré. Ces services d’obfuscation et de chiffrement opèrent selon des logiques commerciales classiques, avec catalogue, support, mises à jour. Cela rapproche de plus en plus les réseaux cybercriminels d’un modèle industriel, où la sophistication est achetée à la demande.

Enfin, cette dynamique pose un défi renouvelé au renseignement technique. Il ne suffit plus d’analyser des souches virales isolées : il faut désormais cartographier les flux technologiques, identifier les empreintes des fournisseurs, suivre les patterns d’obfuscation. La guerre n’est plus seulement contre un virus, mais contre une logique collaborative qui dépasse chaque attaque.

Que peut faire la défense face à cette menace mutante ?

Face à cette mutation du paysage numérique, la riposte ne peut être uniquement technique. D’abord, il est essentiel de renforcer la surveillance active des marchés clandestins, là où les outils comme HeartCrypt sont distribués, évalués, améliorés. L’enjeu est de comprendre les cycles de vie des outils, de détecter les variantes dès leur phase de test.

En parallèle, les acteurs de la cybersécurité doivent développer des mécanismes de détection comportementale capables d’identifier les symptômes d’un EDR Killer, même si celui-ci reste inconnu en signature. Cela suppose un changement de paradigme, passant de la reconnaissance de fichiers à l’analyse des effets systémiques.

Il devient également crucial de durcir la gestion des pilotes système. Trop souvent, des certificats numériques volés ou expirés sont encore tolérés par les systèmes d’exploitation. Réformer cette tolérance permettrait de réduire considérablement la surface d’attaque.

Enfin, la collaboration entre entreprises, y compris concurrentes, doit devenir une norme. Si un outil est partagé entre cybercriminels, il peut aussi être détecté collectivement. Les mécanismes de threat intelligence mutualisée, ouverts, intersectoriels, peuvent faire émerger une défense coordonnée à la hauteur d’une attaque elle-même collaborative.