Ransomware : vulnérabilité Cisco exploitée avant sa divulgation

Alerte Sécurité - Ransomware Interlock

Le ransomware Interlock est actuellement actif et a été utilisé dès le 26 janvier 2026 contre des équipements réseau Cisco. L'exploitation a précédé la divulgation publique de la vulnérabilité de 36 jours, créant une fenêtre d'exposition importante pour des dizaines voire des centaines d'environnements avant la disponibilité des correctifs officiels¹. Cette campagne combine accès réseau profond, exfiltration de données et chiffrement sélectif des systèmes. Il faut engager des mesures immédiates et coordonnées pour limiter la propagation et préserver les preuves forensic.

Les faits

Les premières intrusions liées à Interlock ont été détectées le 26 janvier 2026, et la vulnérabilité exploitée a été rendue publique le 4 mars 2026 avec des avis et correctifs diffusés par Cisco et les CERT nationaux² ^³. Entre ces deux dates, les acteurs ont eu le temps de cartographier les cibles, compromettre des comptes administratifs et localiser des sauvegardes avant le déploiement concret du rançongiciel.

Vecteur d'attaque et chaîne initiale

Point d'entrée - Exploitation distante d'une vulnérabilité dans le logiciel d'infrastructure Cisco permettant une escalade de privilèges et un contrôle administratif à distance³.
Phase initiale - Reconnaissance, création ou compromission de comptes administratifs, mouvements latéraux via équipements réseau compromis et collecte d'informations sur les sauvegardes et accès à distance² ^³.
Déploiement - Exfiltration préalable de données sensibles, chiffrement sélectif des systèmes critiques, puis publication de données en cas de non-paiement.

Description opérationnelle du rançongiciel

Interlock opère selon un schéma désormais répandu mais techniquement raffiné. Les opérateurs privilégient un chiffrement partiel pour maximiser l'impact tout en conservant des systèmes suffisamment opérationnels pour négocier. Ils utilisent des scripts d'automatisation et exploitent l'accès aux consoles réseau pour déployer des charges utiles et effacer ou corrompre des sauvegardes locales. Des preuves de compromission d'outils d'administration ont été observées, ce qui facilite la persistance et la reprise d'accès après nettoyage superficiel³.

Chronologie clé

26 janvier 2026 - Intrusions initiales attribuées à l'exploitation d'une vulnérabilité Cisco¹.
26 janvier - 4 mars 2026 - Activités latentes : compromission de comptes, cartographie interne et identification de sauvegardes¹.
4 mars 2026 - Vulnérabilité rendue publique et publication des correctifs par Cisco et alertes par les CERT² ^³.
Après publication - Hausse significative des scans et tentatives d'exploitation automatisées visant les systèmes non corrigés².

Actions à prendre immédiatement (ordres de priorité)

Identification des équipements - Dressez un inventaire détaillé des équipements Cisco et des versions logicielles exposées dans les 24 heures. Priorisez appareils exposés directement à Internet et ceux administrant des segments sensibles. Une visibilité rapide est la condition sine qua non de toute réponse efficace² ^³.
Isolation et limitation des accès - Restreignez immédiatement l'accès administratif aux seules adresses IP connues et aux comptes indispensables. Désactivez l'accès distant non nécessaire et supprimez ou verrouillez les comptes suspects jusqu'à enquête.
Application des correctifs - Si un équipement est vulnérable, planifiez une mise à jour dans les 72 heures pour les systèmes non critiques et organisez des fenêtres de maintenance contrôlées pour les systèmes critiques. Si le correctif ne peut être appliqué immédiatement, mettez en place des mesures compensatoires (filtrage IP, blocage des ports d'administration, ACL strictes)².
Renforcement de la surveillance - Activez la journalisation détaillée, centralisez les logs en dehors des réseaux compromis et configurez des alertes sur les connexions administratives hors horaire, la modification de configurations et l'exfiltration de fichiers. Augmentez la surveillance réseau sur les équipements Cisco et corrélez avec les événements d'authentification³.
Chasse aux indicateurs et forensic - Lancez des investigations forensiques sur tout accès administratif suspect entre le 26 janvier et le 4 mars, et conservez les preuves (logs, captures mémoire, images disque) en lecture seule. Priorisez la préservation des journaux réseau et des configurations d'équipement pour reconstituer la chaîne d'attaque² ^³.

Détection pratique et indicateurs

Cherchez les signes suivants : connexions administratives inhabituelles (horaires, origines IP), créations ou modifications de comptes sans justification, changement de configurations non planifiés, exfiltration inhabituelle de configurations ou de dumps, et suppression ou corruption des sauvegardes locales. Utilisez les indications techniques publiées par Cisco et les CERT pour corréler les artefacts observés avec des IoC connus² ^³.

Conséquences de l'inaction

Risque de double extorsion - La fuite de données sensibles entraîne des obligations légales, des notifications réglementaires et des coûts de gestion de crise qui peuvent dépasser 100 000 euros, incluant diagnostics, forensic et communication de crise¹.
Perturbations opérationnelles - Un retard dans l'application des correctifs peut entraîner des interruptions de service, des pertes de revenus et une perte de confiance des clients.
Persistance - Si l'accès persiste via des backdoors ou des comptes administratifs compromis, un nettoyage incomplet risque d'exposer à de nouvelles réintrusions même après correction apparente³.

Mesures organisationnelles et gouvernance

Activation du plan de réponse aux incidents - Constituez immédiatement une cellule incluant sécurité, IT, communication et juridique. Préparez les notifications réglementaires et les messages clients si des données à caractère personnel sont concernées.
Vérification des sauvegardes - Assurez-vous que des sauvegardes fiables et isolées existent, testez des restaurations sur des environnements segmentés avant toute opération de remédiation, et conservez plusieurs copies immuables si possible.
Communication - Limitez la diffusion d'information technique en externe. Coordonnez toute communication publique avec l'équipe juridique et le management pour éviter les déclarations prématurées qui pourraient nuire aux enquêtes.

Recommandations à moyen terme

Segmentation du réseau - Séparez strictement les réseaux d'administration des environnements de production afin de réduire la portée des compromissions.
Principe Zero Trust - Renforcez l'authentification multifacteur et réduisez les privilèges d'administration au minimum nécessaire. Mettez en place des contrôles d'accès granulaires et une surveillance continue des comptes à haut privilège.
Tests et exercices - Renouvelez régulièrement les exercices de réponse aux incidents, les tests de restauration des sauvegardes et les audits de configuration des appliances réseau.

Gardez toutes les équipes informées et prêtes à signaler le moindre comportement suspect. La combinaison de patching rapide, de mesures compensatoires et de chasse proactive aux indicateurs est la meilleure manière de limiter l'impact de cette campagne d'attaques.

Note urgente pour les décideurs

La fenêtre d'exploitation de 36 jours avant publication signifie que les organisations doivent supposer qu'une compromission profonde est possible si elles utilisaient des versions vulnérables d'équipements Cisco entre le 26 janvier et le 4 mars 2026¹. Priorisez l'inventaire, la protection des accès administratifs et la préservation des preuves. Contactez votre fournisseur, votre CERT national et vos partenaires forensic pour coordonner la réponse si vous détectez des signes de compromission² ^³.

Questions fréquentes

Qu'est-ce qui rend l'exploitation observée particulièrement préoccupante ?

La vulnérabilité exploitée a été utilisée en production 36 jours avant d'être rendue publique, ce qui a laissé une fenêtre durant laquelle de nombreuses installations ont pu être compromises sans correctif disponible¹. De plus, la compromission d'équipements réseau permet un contrôle étendu de la topologie et des communications, facilitant la persistance et la propagation³.

Comment vérifier rapidement si un équipement Cisco a été compromis ?

Vérifiez les connexions administratives anormales, les comptes créés ou modifiés sans justification, les changements de configuration non planifiés et les signes d'exfiltration des configurations ou des logs. Corrélez ces éléments avec les indicateurs publiés par Cisco et votre CERT, et lancez une enquête forensique si des anomalies sont trouvées² ³.

Que faire si un équipement critique ne peut pas être patché immédiatement ?

Appliquez des mesures compensatoires : restreignez les accès administratifs (whitelisting IP), segmentez le réseau pour couper les chemins d'administration non nécessaires, augmentez la journalisation et la surveillance, et planifiez une fenêtre de maintenance contrôlée pour appliquer le correctif dès que possible².

Payer la rançon résout-il le problème ?

Payer peut réduire la probabilité d'une publication immédiate des données mais n'offre aucune garantie de suppression des copies ni d'absence de portes dérobées. Le paiement finance les acteurs malveillants et ne protège pas contre de futures attaques. La priorité doit être la restauration via des sauvegardes fiables et la coordination avec les autorités et assurances.

Quelles mesures prévenir des attaques similaires à l'avenir ?

Mettre en place un cycle de mise à jour rigoureux pour les appliances réseau, renforcer la segmentation, appliquer le principe de moindre privilège pour l'administration, déployer EDR/XDR et conserver des sauvegardes isolées et testées. Maintenez une coordination active avec les fournisseurs et les CERT pour recevoir rapidement avis et correctifs² ³.