Les EDR killers ne sont plus une curiosité réservée aux groupes APT. En ce premier semestre 2026, le CERT Santé français documente leur usage comme étape préparatoire quasi systématique avant le déploiement de charges malveillantes sur les systèmes hospitaliers. ESET confirme la tendance à l’échelle mondiale avec plus de cent variantes observées dans des attaques réelles. Ce basculement modifie la chaîne d’infection en profondeur et impose de repenser la protection des terminaux.
EDR killers : la neutralisation des défenses comme prérequis d’infection
Le schéma classique d’une attaque par ransomware ou cheval de Troie supposait que la charge utile devait contourner l’antivirus ou l’EDR. Nous observons désormais une inversion de logique : l’attaquant désactive l’EDR avant de déployer quoi que ce soit. La charge malveillante n’a plus besoin d’être furtive puisqu’elle opère sur un poste dont la couche de détection a été supprimée.
A voir aussi : Les dernières tendances et nouveautés à ne pas manquer pour organiser votre mariage
Les variantes d’EDR killers exploitent des pilotes Windows signés mais vulnérables (technique dite Bring Your Own Vulnerable Driver). Le binaire malveillant charge un driver légitime, obtient un accès noyau et termine les processus de l’agent de sécurité. L’opération prend quelques secondes et ne génère qu’un événement de chargement de pilote dans les journaux système.
Pour les équipes SOC, la parade passe par la surveillance des chargements de pilotes inhabituels, le durcissement de la politique de blocage des drivers vulnérables via la WDAC (Windows Defender Application Control) et le recours à des agents EDR dotés de mécanismes d’autoprotection noyau. Nous publions régulièrement sur les actualités du site Viruslab des analyses techniques de ces variantes dès leur apparition en conditions réelles.
A lire aussi : Découvrez les dernières actualités et conseils santé pour prendre soin de vous
Ransomware multi-vecteurs : trois groupes, trois méthodes industrialisées
La triple extorsion (chiffrement, exfiltration, menace de déni de service) est documentée depuis plusieurs années. Ce qui change en 2026, c’est l’industrialisation des chaînes d’attaque par des groupes structurés qui combinent exploitation de vulnérabilités zero-day, compromission de la supply chain logicielle et déploiement coordonné sur plusieurs filiales d’une même entreprise.
Trois profils opératoires se distinguent :
- Des groupes qui ciblent les éditeurs de logiciels métiers pour compromettre les mises à jour et toucher des centaines de PME en aval, sans interaction directe avec chaque victime.
- Des opérateurs qui achètent des accès initiaux sur des places de marché spécialisées, puis déploient un ransomware en moins de vingt-quatre heures, réduisant la fenêtre de détection à presque rien.
- Des affiliés qui combinent phishing ciblé et EDR killer pour pénétrer des réseaux d’entreprises du secteur santé ou industriel, où la tolérance à l’interruption de service est minimale.
Le point commun : chaque groupe investit dans l’automatisation. Les outils de latéralisation, d’exfiltration et de chiffrement sont packagés, versionnés et distribués comme des produits logiciels internes.
IA offensive et deepfakes : le phishing change d’échelle
L’utilisation de modèles de langage par les attaquants ne se limite plus à la génération de courriels de phishing grammaticalement corrects. Le rapport Check Point Research AI Security 2026 documente le passage de l’IA comme assistant à l’IA comme opérateur actif dans la chaîne d’attaque.
En pratique, nous voyons émerger des campagnes où un modèle génère dynamiquement le contenu du courriel en fonction du profil LinkedIn de la cible, adapte la langue et le registre, puis produit un fichier piégé dont le nom et l’apparence correspondent au secteur d’activité de l’entreprise visée. Le taux de clic sur ces campagnes dépasse significativement celui des campagnes de phishing classiques.
Les deepfakes vocaux ajoutent une couche supplémentaire. Des cas documentés en entreprise montrent des appels téléphoniques imitant la voix d’un dirigeant pour valider un virement ou autoriser l’installation d’un logiciel de maintenance à distance. La combinaison voix synthétique et courriel personnalisé par IA rend la détection humaine très difficile.
Les contre-mesures techniques incluent l’authentification multifacteur sur les validations financières, la vérification hors bande (rappel sur un numéro connu) et le déploiement de solutions de détection de contenu généré par IA sur les passerelles de messagerie.
Menace quantique et souveraineté numérique : préparer la cryptographie post-quantique
La menace quantique sur la cybersécurité n’est plus un sujet théorique réservé aux laboratoires. Les agences de sécurité recommandent aux entreprises de commencer dès maintenant l’inventaire de leurs actifs cryptographiques et la migration vers des algorithmes post-quantiques.
Le risque concret porte un nom : « harvest now, decrypt later ». Des acteurs étatiques collectent aujourd’hui des flux chiffrés (données de santé, secrets industriels, communications diplomatiques) en pariant sur la capacité future d’un ordinateur quantique à casser RSA ou les courbes elliptiques. Pour les entreprises manipulant des données à durée de vie longue, la fenêtre de migration se réduit.
Les standards NIST post-quantiques (ML-KEM, ML-DSA) sont publiés. L’enjeu pour les DSI est d’identifier les dépendances cryptographiques dans leurs applications métiers, leurs VPN, leurs certificats TLS et leurs systèmes de signature électronique. Un audit de crypto-agilité permet de cartographier les points de friction avant de planifier la transition.
Protection des PME et télétravail : des surfaces d’attaque toujours sous-estimées
Les PME restent les cibles privilégiées parce qu’elles cumulent des budgets de sécurité limités et une surface d’attaque élargie par le télétravail. Les appareils personnels connectés au réseau d’entreprise via VPN constituent un vecteur d’entrée que les solutions cloud seules ne couvrent pas.
Les mesures de protection qui font la différence sur ce segment :
- Segmenter le réseau pour isoler les postes en télétravail des ressources critiques, même sur un réseau plat de petite taille.
- Déployer une solution EDR managée plutôt qu’un antivirus classique, en vérifiant qu’elle intègre une protection anti-tampering résistante aux EDR killers documentés.
- Former les collaborateurs spécifiquement aux campagnes de phishing générées par IA, avec des exercices de simulation actualisés chaque trimestre.
- Mettre en place une sauvegarde hors ligne testée régulièrement, seule parade fiable contre un ransomware qui a neutralisé l’EDR.
La gestion des risques numériques pour les petites structures ne passe pas par l’accumulation d’outils, mais par la cohérence entre la politique de sécurité et les usages réels des collaborateurs. Un pare-feu mal configuré protège moins qu’un poste correctement durci avec un EDR autoprotégé.