C’est le groupe d’opérateurs derrière le ransomware « Lapsus $ » qui revendique l’attaque de site de presse au Portugal. Ils ont à leur actif l’offensive contre le ministère de la Santé en décembre, ils affirmaient détenir 50 téraoctets d’infos. Celui-là même qui prétend avoir mené une agression contre le dernier, et qui aurait accédé à environ 10 pétaoctets (PB) (l’équivalent de 10 000 téraoctets) d’informations. Comme précédemment, une demande de rançon devrait apparaître auprès des services concernés.
Parmi les informations consultées figurent des informations croustillantes à revendre sur le DarkWeb. Ainsi, le groupe derrière « Lapsus $ » aurait en sa possession les données personnelles des clients, les infrastructures de communication, les documents juridiques, les demandes d’écoute, le code source et les courriels. Le groupe réclame un échange avec un responsable de la firme Claro, afin d’obtenir une substantielle récompense afin d’effacer lesdites données suite à l’infection du 1er janvier 2022.
Dans le cas contraire, « Lapsus $ » divulguera les informations. Ils expriment détenir une infime partie des données concernant « les écoutes, les codes src, svn ». Dans son message, publié sur Telegram, l’organisation souligne que la fuite d’ordres juridiques et d’écoutes confidentielles « entraînerait de graves problèmes pour l’application de la loi ».
Le groupe affirme être l’auteur de celle menée contre des sites de presse au Portugal. Impresa, considéré comme le plus grand groupe de médias portugais et propriétaire du journal Expresso, de la chaîne Sociedade Independente de Comunicação (SIC). Le magazine Blitz, a confirmé ce qui s’est passé sur ses réseaux sociaux.
Le plus grand groupe de médias portugais indisponible suite à une attaque par ransomware. (Crédits : capture d’écran)
Dès potron-minet dimanche 2 janvier 2022, les différents sites web et profils de médias sociaux du groupe Impresa présentaient des problèmes. En accédant au site web d’Expresso, par exemple, une page reprenant exactement la même ligne que celle qui est apparue sur le site web du ministère brésilien de la Santé lors de l’événement de décembre s’est affichée, informant d’une attaque par ransomware. La seule l’information qui apparaît est la suivante : « Site temporairement indisponible. Nous reprendrons dès que possible. Suivez-nous sur les réseaux sociaux ». Le groupe de presse indique qu’il travaille avec les autorités compétentes, la police judiciaire et le centre national de cybersécurité du Portugal pour obtenir des réponses supplémentaires à cette attaque.
Quelque 150 personnes qui achetaient, ou vendaient de la drogue, ou des armes sur le DarkWeb ont été appréhendées dans le monde entier, lors de l’un des plus amples coups de filet à ce jour concernant la version profonde d’Internet, a annoncé Europol, mardi 26 octobre. La dernière opération d’Europol, GoldDust a permis d’arrêter pas moins de sept individus, mais pas des moindres dans l’Univers du ransomware, Sodinokibi/REvil.
Comme une pieuvre étend ses bras, l’opération « DarkHunTOR » « consistait en une série d’actions séparées, mais complémentaires en Australie, Bulgarie, France, Allemagne, Italie, aux Pays-Bas, en Suisse, au Royaume-Uni et aux États-Unis », précisait l’agence. Aux États-Unis, quelques 65 personnes ont été capturés légitimant, entre autres, 47 en Allemagne, 24 au Royaume-Uni, quatre en Italie et autant aux Pays-Bas. Plusieurs « constituaient des cibles d’importance » pour Europol. Les forces de l’ordre ont également saisi 26,7 millions d’euros en numéraire et monnaies électroniques ainsi que de la drogue, notamment 25 000 comprimés d’ecstasy, et 45 armes à feu.
150 suspects ont été arrêtés dans le cadre de l’opération #DarkHunTOR visant les vendeurs et les acheteurs de biens illicites sur le #darkweb. (Crédits : Europol)
Le 4 novembre 2021, les autorités roumaines ont capturé deux individus soupçonnés d’infections par codes malveillants en déployant le ransomware Sodinokibi/REvil. Ils seraient, selon Europol, responsables de 5 000 infections, et auraient empoché pas moins d’un demi-million d’euros de rançons. Depuis février 2021, les forces de l’ordre ont appréhendé trois autres affiliés de Sodinokibi/REvil, et deux suspects liés à « GandCrab ». Ce sont là quelques-uns des résultats de l’opération GoldDust, qui a impliqué 17 pays (Australie, Belgique, Canada, France, Allemagne, Pays-Bas, Luxembourg, Norvège, Philippines, Pologne, Roumanie, Corée du Sud, Suède, Suisse, Koweït, Royaume-Uni, États-Unis), Europol, Eurojust et INTERPOL. « Toutes ces arrestations font suite aux efforts conjoints des services répressifs internationaux pour identifier, mettre sur écoute et saisir une partie de l’infrastructure utilisée par la famille de ransomware Sodinokibi/REvil, qui est considérée comme le successeur de GandCrab. »
C’est l’infection de plus d’un million de victimes, et jusqu’à 1500 entreprises, par le ransomware « REvil/Sodinokibi » qui faisait la une des différentes presses, qu’elles soient en version papier, web, radiophonique ou télévisuelle, le 5 juillet 2021. (Crédits : DR)
Depuis 2019, plusieurs firmes planétaires ont été confrontées à de graves cyberattaques, à travers le ransomware Sodinokibi/REvil. Début octobre, un affilié de Sodinokibi/REvil a été arrêté à la frontière polonaise après l’émission d’un mandat d’arrêt international par les États-Unis. Ce ressortissant ukrainien est soupçonné d’avoir perpétré l’offensive Kaseya, pour laquelle Sodinokibi/REvil a demandé une rançon d’environ 70 millions d’euros. En février, avril et octobre 2021, les autorités sud-coréennes ont capturé trois affiliés impliqués dans les clans de ransomware GandCrab et Sodinokibi/REvil, qui ont fait plus de 1 500 victimes. Le 4 novembre 2021, c’est au tour des autorités koweïtiennes d’arrêter un autre affilié de GandGrab, « ce qui signifie qu’au total, sept suspects liés aux deux familles de ransomware ont été arrêtés depuis février 2021. Ils sont soupçonnés d’avoir attaqué environ 7 000 victimes au total ».
De GrandCrab à Sodinokibi/REvil
Un pic d’activité d’infections par ransomware avait été détecté lors des deux premiers trimestres 2020. « Il est lié à un groupe appelé GrandCrab, dont l’activité a été réduite depuis l’arrestation de son distributeur en Biélorussie en août 2020. Un deuxième pic a été constaté en juillet 2021, lié au groupe de ransomware Babuk, à l’origine d’une cyberattaque contre la police du District de Columbia aux États-Unis », explique Sud Ouest. En effet, les autorités biélorusses venaient de capturer une personne de 31 ans accusée d’avoir commercialisé le rançongiciel GandCrab. L’homme avait été arrêté à Gomel, une petite ville du sud-est de la Biélorussie, aux frontières de la Russie et de l’Ukraine.
Ce ressortissant ukrainien est soupçonné d’avoir perpétré l’attaque Kaseya. « On peut raisonnablement supposer que des milliers de petites entreprises pourraient potentiellement être impactées », affirmait en juillet 2021 à NBC News l’expert en sécurité John Hammond. (Crédits : Europol/Twitter)
Mais, l’agence européenne soutient une enquête menée par la Roumanie ciblant la famille de ransomwares GandCrab. Avec plus d’un million de victimes dans le monde, GandCrab était l’une des familles de ransomware les plus prolifiques sur Terre. Ces efforts conjoints ont abouti à la publication de trois outils de décryptage par le biais du projet No More Ransom. Cela a permis de sauver plus de 49 000 systèmes d’information et plus de 60 millions d’euros de rançons non payées à ce jour. L’enquête a parallèlement porté sur les affiliés de GandCrab, dont certains auraient évolué vers Sodinokibi/REvil. L’opération GoldDust s’est également appuyée sur les pistes de cette précédente enquête visant GandCrab, assure Europol.
Les outils mis à disposition pour les deux familles de ransomware ont permis plus de 50 000 décryptages, qui représentaient une rançon de 520 millions d’euros demandée par les cybercriminels. (Crédits : capture d’écran)
Actuellement, No More Ransom bénéficie d’outils de décryptage pour GandCrab (versions V1, V4 et V5 jusqu’à V5.2) et pour Sodinokibi/REvil. Les méthodes de décryptage de Sodinokibi/REvil ont aidé plus de 1400 entreprises à déchiffrer leurs réseaux, épargnant près d’un demi-milliard (0, 475) d’euros de pertes potentielles.
