Le groupe LockBit a publié début août une mise à jour majeure de son ransomware-as-a-service, baptisée LockBit 4.0. La nouvelle variante a été utilisée dans des attaques contre 11 établissements hospitaliers en France, Allemagne et Pays-Bas entre le 5 et le 20 août 2026.
Vecteurs d'attaque identifiés
L'ANSSI et ses homologues européens ont publié un avis conjoint détaillant les vecteurs d'accès initial :
- VPN non patchés : exploitation de CVE-2026-2891, une vulnérabilité dans les VPN Fortinet non mise à jour
- Phishing ciblé (spear-phishing) sur les équipes RH et les secrétariats médicaux
- Credentials volés : utilisation de listes de credentials d'employés disponibles sur des forums criminels
Ce qui est nouveau dans LockBit 4.0
LockBit 4.0 chiffre maintenant les backups Veeam et les snapshots VMware avant de chiffrer les systèmes principaux. Cette évolution rend la restauration beaucoup plus longue même pour les organisations qui avaient des sauvegardes.
Le malware utilise également des certificats de signature de code volés à des éditeurs légitimes pour contourner les EDR (Endpoint Detection and Response).
Recommandations
- Appliquer immédiatement les patches Fortinet et Citrix récents
- Activer l'authentification multi-facteurs sur tous les accès VPN et RDP
- Tester les procédures de restauration depuis les backups hors ligne
- Segmenter les réseaux médicaux des systèmes administratifs
L'hôpital André-Mignot de Versailles, déjà victime d'une attaque ransomware en 2022, a confirmé avoir activé son plan de continuité d'activité après une tentative d'intrusion bloquée mi-août.
