VECT 2.0 : ransomware devenu wiper, fichiers détruits

Ce qui s'est passé

Le 28 avril, Check Point Research a publié une analyse détaillée du VECT 2.0 ransomware, une souche de ransomware-as-a-service apparue en décembre 2025 et rapidement diffusée auprès de ses affiliés. Les chercheurs y ont mis au jour une faille critique dans le moteur cryptographique du malware : au-delà de 131 072 octets, soit 128 Ko, celui-ci génère bien quatre nonces distincts pour chiffrer les différents segments du fichier, mais n'en conserve qu'un seul. Conséquence directe, même en possession de la clé de déchiffrement légitime, les victimes ne peuvent restaurer que le premier bloc de leurs données. Tous les fichiers volumineux — bases de données, sauvegardes, archives, machines virtuelles — sont donc irrémédiablement détruits. Dans les faits, la menace ne se comporte plus comme un rançongiciel, mais comme un wiper.

Concrètement, VECT découpe chaque fichier en quatre blocs et chiffre chacun avec un nonce aléatoire de 12 octets. Mais les quatre appels de chiffrement écrivent dans un seul et même buffer mémoire partagé, donc seul le quatrième nonce survit. Les trois premiers blocs deviennent indéchiffrables, même pour les opérateurs du ransomware. Le bug est identique sur les variantes Windows, Linux et ESXi.

The Hacker News rapporte que VECT vient d'annoncer un partenariat avec TeamPCP, le groupe d'attaque sur la chaîne logicielle responsable d'injections de malware dans Trivy, Checkmarx KICS, LiteLLM et Telnyx. Une combinaison particulièrement préoccupante puisqu'elle ouvre la voie à du ransomware via des composants open source légitimes.

Pourquoi c'est important

La distinction technique entre ransomware et wiper détermine totalement la réponse à incident. Avec un wiper, payer la rançon n'a aucun intérêt — les données sont perdues quoi qu'il arrive. Or VECT 2.0 se vend toujours comme un ransomware classique, ce qui peut induire les négociateurs en erreur. Pour les entreprises touchées, l'enjeu est immédiat : seules les sauvegardes hors ligne ou immuables permettent une restauration. La frontière des 128 Ko couvre la quasi-totalité des fichiers utiles en production : bases de données, machines virtuelles, archives, logs, documents bureautiques.

L'association avec TeamPCP ajoute une dimension supply chain redoutable. Les paquets compromis cités par les chercheurs — Trivy notamment, scanner de vulnérabilités très utilisé en CI/CD — sont présents dans des milliers de pipelines DevOps. Une infection en amont peut donc déclencher VECT sur des systèmes de production via des outils supposés les protéger.

Ce qu'il faut retenir

• Vérifier l'intégrité des sauvegardes hors ligne et tester la procédure de restauration pour les fichiers >128 Ko.
• Auditer les composants open source utilisés en CI/CD, notamment Trivy, Checkmarx KICS et LiteLLM, et vérifier les hashes des versions installées.
• Communiquer aux équipes IR : payer une rançon VECT 2.0 ne ramènera pas les données — la réponse doit privilégier l'isolation et la restauration.