Une opération conjointe de la police nationale et de la Guardia Civil a permis d’appréhender un hacker présumé. Le jeune homme de 18 ans est connu sous le pseudo de Natohub. Il serait responsable de plus de 40 cyberattaques contre des organisations stratégiques ibériques et internationales. L’enquête débute en 2022 pour finaliser son arrestation mardi 28 janvier 2025. De nombreux équipements informatiques sont saisis (en cours d’analyse), ainsi que des cryptomonnaies.
Arrêté dans sa ville de résidence, Calpe dans la province d’Alicante, le jeune homme est présumé être l’auteur de plus de 40 cyberattaques. Les faits qui lui sont reprochés sont les faits de découverte et de divulgation de secrets, d’accès illégal à des systèmes d’information, de dommages informatiques et de blanchiment d’argent. Les actions sont perpétrées contre le ministère de la Défense, la Fabrique nationale de la monnaie et du timbre (FNMT-RCM), la Generalitat Valenciana, la DGT et la Guardia Civil, entre autres. Les agents trouvent sur place une grande quantité de matériel informatique, lors de son arrestation.
« Natohub » placé en détention
Lors de la perquisition à son domicile, du matériel informatique en grande quantité est saisi. Il est en cours d’analyse par des spécialistes, explique le ministère de l’Intérieur espagnol. Il n’est pas exclu de trouver des preuves concernant d’autres actes.
« Natohub » possède plus de 50 comptes de cryptomonnaies avec différents types de cryptoactifs. Dans un souci de rester le plus invisible possible, il a changé de pseudo, à au moins trois reprises (Natohub, M100 ou DSF).
Il a volé et vendu des informations telles les bases de données de la Guardia Civil et de l’OTAN.
« Une enquête complexe et exhaustive menée par la police nationale et ses collègues des forces armées a abouti à l’arrestation de ce cybercriminel qui était dans le collimateur des agents depuis des mois », explique La Razón. Il est libéré après le règlement de sa caution et lui avoir retiré son passeport. (Crédits : Policia Nacional/Guardia Civil)
Au début de l’année 2024, la société — Medios de Prevención Externos Sur SL — en charge des examens médicaux des forces de l’ordre est attaquée. Les données volées sont vendues sur le Dark Web. Puis une nouvelle fois, les forces armées sont la cible d’une attaque cyber le 28 décembre 2024. Les données exfiltrées sont les courriels professionnels, leurs prénoms et noms, et leurs numéros d’identification (TIP), le RIO en France ; ce qui représente 160 000 identités.
Qui est « Natohub » ?
Si sa remise en liberté est effective, une enquête est en cours auprès du 54e tribunal de Madrid, mais son identité reste secrète le temps de l’instruction tout au moins. Qui est donc « Natohub » ? En mars 2020, le confinement est décrété partout en France comme en Espagne, suite à la pandémie de Covid-19. Connu sous les pseudonymes Natohub, M100 ou DSF, il commence à s’intéresser à la cybersécurité et aux systèmes d’information, il n’a que 13 ans.
Il acquiert, en autodidacte les connaissances nécessaires pour pénétrer des organisations internationales et nationales telles que l’OTAN et la Guardia Civil. Mais aussi les capacités à voler des données et informations sensibles puis à les vendre sur des forums dédiés. Bien que ses principales cyberattaques soient dirigées contre l’armée et les forces de l’ordre. Il n’y aurait aucune motivation idéologique.
Suite à la plainte auprès de la Policia Nacional, d’une association de guides touristiques, l’enquête débute en février 2024. Grâce à une trace oubliée sur un portail mal configuré, ils remontent le fil jusqu’à son arrestation. Il découvrent alors un étudiant de 18 ans ordinaire, dans un foyer familial ordinaire. (Crédits : La Razón)
Alors que TikTok est une menace pour la sécurité nationale des USA explique le sénateur John Tune, il n’est plus accessible le 19 janvier 2025, et rétablit le quelques heures après par le président Trump, pas encore investi. Sauf que ce réseau social est utilisé principalement sur smartphone. Récemment, des militaires français dévoilent, malgré eux des informations sensibles, à cause d’une application. Si l’ensemble des médias jettent l’opprobre sur les militaires français, ils ne sont pas les premiers ni les derniers. Néerlandais, Allemands, Américains, Russes, Israéliens… avant eux.
L’affaire semble détonante, voire explosive, cela dit elle est fâcheuse. Fournir des renseignements militaires à travers l’utilisation d’IoT ne devrait pas arriver… et pourtant. Comme l’explique Le Monde, « StravaLeaks : des dates de patrouilles des sous-marins nucléaires français dévoilées par l’imprudence de membres d’équipage ». L’application précise alors que « la Heatmap ne contient que des activités publiques et respecte tous les paramètres de confidentialité ». Des titres révélant cette affaire malheureuse sont nombreux. Mais est-ce la première fois sur le globe terrestre ?
Informations confidentielles divulguées
Les bases militaires et autres lieux stratégiques sont soumis à des protocoles stricts de sécurité. Il sera probablement renforcé très prochainement. Mais ce n’est pas la première et dernière fois que ce genre d’affaires existent. Si les révélations de 2024 font grand bruit, en 2018 se déroulent des fuites également à travers des applications, et une enquête approfondie. En 2022, l’exploitation de l’application Strava révèle l’emplacement de sites sensibles en Israël, tels l’emplacement précis des bases de l’armée de l’air, le quartier général du Mossad et les bases de renseignements militaires.
Dans chaque lieu stratégique, les employés montrent patte blanche. À travers scanners, système de reconnaissance faciale et équipes cynophiles, fouilles des voitures… Les téléphones portables et autres appareils électroniques y sont interdits.
L’enquête publiée fin octobre 2024 par le journal Le Monde affole les services de sécurité partout sur terre. « Les déplacements hautement confidentiels du président américain Joe Biden, de ses rivaux Donald Trump et Kamala Harris et d’autres dirigeants mondiaux peuvent être facilement suivis en ligne grâce à une application de fitness utilisée par leurs gardes du corps, a révélé une enquête du journal français Le Monde », indique Irish Independent.
Un triptyque du Monde dans lesquels Sébastien Bourdon, Antoine Schirer et Cellule Enquête vidéo dévoilent les dessous de l’affaire. Dans ce dernier volet, les traces numériques concernent des militaires de la base opérationnelle de L’île Longue, comme en 2018. Ce lieu hautement stratégique abrite la composante océanique stratégique de la dissuasion française, à savoir quatre sous-marins nucléaires lanceurs d’engins (SNLE). (Crédits : Jakub Zerdzicki/Pexels)
La base opérationnelle de l’île Longue protège en son sein les quatre SNLE : le Triomphant, le Téméraire, le Vigilant et le Terrible. Ils sont « admis au service actif respectivement en 1997, 1999 et 2004 et 2010 bénéficient des matériels les plus modernes ainsi que d’une discrétion acoustique accrue ». Ils emportent l’arme nucléaire, le M51.
Les indiscrétions malheureuses
En septembre 2017, Strava lance sa « Global Heatmap ». Elle cartographie l’ensemble des trajets empruntés par ses utilisateurs. Cerise sur le gâteau, plus un itinéraire est emprunté, plus son tracé est épais et lumineux. En 2018, le siteDe Correspondent à travers les quatre auteurs révèle une enquête minutieuse dont le titre est « voici comment nous avons trouvé les noms et les adresses des soldats et des agents secrets à l’aide d’une application de fitness simple ».
L’article met en lumière une problématique cruciale concernant la sécurité des données personnelles et les dangers liés à la géolocalisation. Les auteurs expliquent comment l’appli fitness Polar a permis de révéler les identités et les localisations de militaires, d’agents de renseignement… travaillant sur des sites hautement sécurisés.
Tout comme d’autres applis (de fitness), elle collecte et affiche publiquement les données de ses utilisateurs (parcours GPS, noms, photos, jusqu’à parfois les coordonnées).
Ils ont également repéré des membres de la NSA aux États-Unis et d’autres agents en poste dans des zones sensibles (Gao au Mali, Guantanamo Bay à Cuba, possible GRU à Moscou, le MI5, le GCHQ). Cette révélation montre que des informations critiques, qui devraient être protégées, sont accessibles à quiconque sait où chercher.
Les applications de fitness, comme d’autres outils IoT, capturent des volumes considérables de données sensibles, mais leur sécurité est souvent reléguée au second plan au profit de la facilité d’utilisation et de l’engagement utilisateur. Cet exemple démontre comment des données a priori anodines peuvent être exploitées pour des activités malveillantes ou de l’espionnage. (Crédits : Plann/Pexels)
Ils expliquent que « les coordonnées GPS pour ces sites sont incroyablement faciles à trouver — souvent en utilisant Google Maps, et sinon via Wikipédia ». Leurs recherches en fonction des données publiques laissent sans voix. Ils identifient « un inspecteur général de l’armée américaine qui fait des tours autour de Guantanamo Bay ; plusieurs soldats américains à l’aéroport international d’Erbil, dans le nord de l’Irak ; plusieurs soldats français à une base militaire à Gao (Mali) ; et un analyste américain qui s’occupe de Fort Meade dans le Maryland, où se trouve également la NSA. » Puis via Endomondo « trois sergents et un administrateur de système à Guantanamo Bay ; Conseiller auprès des chefs d’état-major interarmées au fort Meade ; et deux soldats à l’aéroport international d’Erbil ».
Le vol de 2,3 gigaoctets de données fait la une de la presse ibérique. L’opérateur Telefónica subit une cyberattaque, à travers sa messagerie interne : les « tickets ». L’entreprise confirme l’accès non autorisé aux systèmes d’information et indique qu’une enquête est en cours. De son côté, sur un forum, l’attaque est revendiquée par un groupe de quatre entités. Les pseudonymes sont Grep, Pryx et Rey (Greppy, Saint-Prypex, Rey). Ils seraient également membres du ransomware HellCat dont Schneider Electric est la victime en novembre 2024.
Une victime de plus sur la péninsule ibérique. Après LynxSpa par le ransomware Morpheus, The Hoff Brand SL par Everest, et Candelas y Asociados S.L par LockBit au mois de janvier, la multinationale espagnole de télécommunications reconnaît avoir subi une cyberattaque autour du 9 janvier 2025. Le géant de la télécommunication, fondé le 19 avril 1924, affiche environ 363 millions d’abonnées. Présente dans douze pays pour la téléphonie fixe, mobile, internet et télévision payante, et principalement en Europe et Amérique latine (Movistar, O2, vivo…), Telefónica emploie plus de 100 000 personnes.
Deux gigaoctets de données volées
Le géant de la télécommunication, Telefónica, subit une cyberattaque aux alentours du 9 janvier 2025. Le groupe d’individus extrait environ 2,3 Go de données, y compris des documents et des « tickets ». L’intrusion non autorisée dans les systèmes d’information s’effectue à l’aide d’informations d’identification d’employés compromises. Depuis Telefónica, bloque cette possibilité, après avoir réinitialisé les mots de passe desdits comptes.
« Nous avons été informés d’un accès non autorisé à un système de billetterie interne que nous utilisons à Telefónica. Nous enquêtons toujours sur l’étendue de l’incident, mais nous pouvons confirmer que les clients résidentiels n’ont pas été affectés. Dès le début, les mesures nécessaires ont été prises pour bloquer tout accès non autorisé au système. »
La confirmation n’intervient qu’après qu’une base de données Jira de Telefónica fait l’objet d’une fuite sur un forum de piratage. Quatre personnes sous les pseudonymes Grep, Pryx et Rey revendiquent l’intrusion.
« Pryx affirme ne pas avoir contacté l’entreprise ni tenté de l’extorquer avant de divulguer les données en ligne », explique BleepingComputer. (Crédits : Telefónica)
Les trois personnes à l’origine de cette attaque, Grep, Pryx et Rey, sont également membres du ransomware HellCat. Grep est aussi associé au ransomware HellDown. Le rançongiciel HellCat est vu pour la première fois en octobre 2024. Les victimes revendiquées et affichées par le groupe sont Carcareplan (Turquie), la municipalité de Blora (Indonésie), Pinger (USA), le Collège d’enseignement des affaires de Tanzanie, le ministère jordanien de l’Éducation et Schneider Electric en France.
Pour Schneider Electric c’est également par le système Atlassian Jira qu’il revendiquent avoir réussi à pénétrer l’infrastructure. Sur le site de fuite, ils expliquent que « Cette intrusion a compromis des données critiques, notamment des projets, des problèmes et des plugins, ainsi que plus de 400 000 lignes de données utilisateur, soit un total de plus de 40 Go de données compressées. »
(Crédits : capture d’écran/HellCat)
Se targuant que Schneider Electric refuse de payer la rançon demandée, plus de 40 Go de données sont publiquement disponibles au téléchargement. Depuis les données téléchargeables ne sont plus disponibles.
Il fête ses 35 ans d’existence, le 12 décembre 2024. Le premier ransomware ou rançongiciel date de la fin des années 80. Son but, par chiffrement de données : extorquer de l’argent. Le premier à se faire connaître est PC Cyborg Trojan, codé par Joseph Popp. Depuis les cyberattaques ne cessent de faire la une des journaux print ou web. Il n’est pas une société qui soit épargnée. Si l’année 2023 vit le paiement de un milliard en rançon, ce montant pourrait devenir astronomique dans le futur.
La population mondiale découvre depuis quelques années, vers 2008, un phénomène : les ransomwares ou rançongiciels. Depuis l’avènement des réseaux sociaux, tout est dit est son contraire. La première affaire internationale parlant de clef de déchiffrage moyennant une somme d’argent date du 11 décembre 1989.
Voyage dans le passé
Le virus du SIDA découvert par le Professeur Montagnier fait des ravages à travers le monde. Les années 80 voient une recrudescence de contamination par ce virus mortel. Pour comprendre l’étendue d’une contamination, il faut trouver le patient zéro, puis effectuer de la rétro-ingénierie. En 1989 éclate le scandale des disquettes connues sous le nom « AIDs Trojan ». Ce cheval de Troie est considéré comme le premier ransomware.
La Ketema & Associates distribue par voie postale, des disquettes (5 pouces 1/4) contiennent le code source d’un programme d’information et de prévention contre le sida.
Mais elle contenait également un autre programme. Ce dernier s’installe silencieusement. Il se met en ordre de marche après 90 redémarrages. Il chiffrait des informations sur le système d’information, et les données personnelles.
Puis un message exige 189 dollars pour obtenir la clef de déchiffrement. Elle est à régler sur un compte au Panama pour la société PC Cyborg. L’enquête nécessite l’intervention d’Interpol. Après plusieurs pistent, les inspecteurs s’orientent vers le Panama. Mais l’armée des États-Unis envahit le pays le 20 décembre 1989.
Le hasard n’existe pas. Les autorités aéroportuaires douillent les bagages d’une personne en transit à Amsterdam pour du Kenya se rendre aux États-Unis. La police saisit un tampon de la société PC Cyborg. Sans élément, le citoyen américain Joseph Popp poursuit son voyage.
(Crédits : Walter Koch/Wikipedia)
Il est arrêté le 2 février 1990 par le FBI près de Cleveland, puis extradé vers le Royaume-Uni où il est incarcéré à la prison de Brixton. Déclaré « public disgrace », il est inapte à être traduit devant la justice britannique. Il ne sera pas inquiété par la justice américaine, mais condamné par contumace en Italie. L’étude des disquettes et du chiffrement donnent lieu à des critiques. L’utilisation du chiffrement symétrique par le Dr Joseph Popp donnera naissance à la cryptographie asymétrique.
La naissance des programmes
La technologie célèbre ses 35 ans le 12 décembre 2024. Les balbutiements apparaissent dès 2004. Un individu cible les citoyens russes avec un programme connu sous « GPCode ». Il est le premier programme informatique nommé désormais « phishing ». L’arnaque à la promesse de carrière, ou offre d’emploi est née.
Puis les variants tels Archiveus, Krotten, Cryzip, MayArchive usent de clés de chiffrement de plus en plus grandes. Ensuite Reveton en 2012 et Cryptolocker en 2013. Sur les quatre derniers mois de l’année, CryptoLocker amasse plus de 4 millions de dollars. L’opération Tovar stoppe son déploiement. Evgeniy Bogachev, alias « lucky12345 » et « Slavik », est chargé par le FBI d’être le meneur de Gameover_Zeus et Cryptolocker.
Depuis des rançongiciels fleurissent ici et là. Mais différents types existent. Le chiffrant qui affecte l’ensemble des systèmes d’information contaminés. Les utilisateurs découvrent un fichier texte avec des instructions relatives au paiement en Bitcoins. Il existe également les bloquants, ceux qui sont dits de Master Boot Record (MBR), mais les chiffrements sont le plus courants. Certains sont célèbres : WannaCry, Petya,
(Crédits : Mohamed Hassan/Pixabay)
Les ransomwares, dans une liste non exhaustive, sont au nombre de 231. Certains stoppent leur activité, d’autres sont arrêtés par les forces de l’ordre et certains perdurent : Omega, 8Base, BlackLock, Akira, alphalocker, BianLian, blacksuit, BrainCipher, Ciphbit, Cl0p, Daixin Team, DarkVault, Dunghill, Arcus, Basta News, DragonForce, Embargo, Play News, RA World, RansomEXX v2, RansomHouse, Space Bears, ThreeAM, RanomHub, Medusa, KillSec, Cicada3301… et bien sûr LockBit 3.0 (annonçant la version 4.0).
Alors que l’opération policière « Cronos » permettait l’arrestation de plusieurs membres du Ransomware-As-A-Service (RAAS) LockBit 3.0, en octobre 2024, il semble renaître de ses cendres. Sur le site de fuite, le ransomware le plus prolifique et plus médiatique annonce une nouvelle venue le 5 février 2025. Le citoyen israélien Rostislav Panev, accusé d’avoir développer tout ou partie du rançongiciel LockBit risque l’extradition vers les États-Unis pour complot, fraude et cybercriminalité.
Le communiqué d’Europol en octobre 2024 ne laissait aucun doute. L’opération menée entre autres par Europol, l’agence britannique de lutte contre la criminalité (NCA) et le ministère de la Justice américain publiaient des développements liés à leur opération Cronos contre LockBit 3.0. Quatre interpellations s’en suivent.
Si l’opération ne l’extermine pas, « LockBit a perdu des affiliés, dont certains se sont probablement tournés vers d’autres fournisseurs de Ransomware-as-a-Service à la suite de l’opération Cronos ».
Le teasing effectué annonce une nouvelle version de leur ransomware, LockBit 4.0 pour le 3 février 2025. « Want a lamborghini, a ferrari and lots of titty girls? Sign up and start your pentester billionaire journey in 5 minutes with us », proposent-ils.
À travers cinq liens différents en .onion, il faut s’inscrire et verser 0.007896 bitcoin. Dans le même timing, une arrestation révélée par YNet News fait le gros titre. Rostislav Panev arrêté à son domicile, à Haïfa le 18 août 2024, est soupçonné d’avoir participé au développement du ransomware LockBit. (Crédits : capture d’écran/LockBit)
YNet News explique qu’entre 2019 et 2024, Rostislav Panev aurait été développeur de logiciels pour LockBit. Il aurait créé des outils dont l’un permettait d’imprimer des notes de rançon à partir de n’importe quelle imprimante connectée à un système infecté. Au cours de l’enquête, des lettres de rançon menaçantes prétendument utilisées par LockBit et des portefeuilles numériques liés aux paiements de Panev ont été trouvés à son domicile de Haïfa. De plus, une rémunération d’environ 230 000 dollars, versée en bitcoins, aurait été perçue.
La multiplication des cyberattaques de type ransomware n’est plus à démontrer. L’ensemble des fuites de données est monstrueux, que ce soit avec ou sans complicité interne. En Amérique du Sud, les institutions sont mises à mal. Les cyberattaques de type ransomware sont légion. Des données personnelles font surface, quelques années après l’incident. Les entreprises apprennent à leurs dépens, que tous les systèmes d’information de reviennent pas à la normal comme par enchantement.
Plusieurs organismes font les gros titres. Le vol de data, comme a subi Free, Boulanger… est légion. De plus en plus de fuites avec complicité interne voient le jour après enquête. Les victimes sont des banques, la chaîne de supermarché Coppel, la distribution d’électricité en Colombie Air-e, le CJEF du Mexique, le registre national des personnes en Argentine (RENAPER), jusqu’au groupe mexicain Bimbo.
L’argent n’a pas d’odeur
En mars 2024, l’institution Banco do Brasil subie une intrusion non autorisée de ses systèmes d’information. Plus de deux millions de données personnelles et financières sont volées. Des infractions financières sont commises pour un montant total de 40 millions d’euros. Suite à l’enquête, l’opération « Chave Master » est lancée.
L’opération est menée par la police civile de Rio de Janeiro avec le groupe d’action spécialisé dans la lutte contre la criminalité organisée du ministère public (GAECO/MPRJ). Les agents effectuent seize perquisitions contre onze individus, y compris des employés de l’entreprise.
Les malfaiteurs travaillent ensemble, selon les révélations de l’enquête en cours depuis décembre 2023. En huit mois, les suspects s’introduisent dans le système de sécurité de plusieurs succursales de l’institution Banco do Brasil (BB) telle Recreio dos Bandeirantes, Barra da Tijuca, Vila Isabel, Centro do Rio…
« À partir d’un accès illégal, les personnes impliquées ont effectué des transactions bancaires frauduleuses pour le compte de clients. En outre, ils ont enregistré des équipements, modifié les données d’enregistrement et modifié les données biométriques des titulaires de compte », relate CNN Brasil. BB explique que les investigations ont commencé à partir d’enquêtes internes révélant des irrégularités qui ont été communiquées aux autorités de police.
Plus au sud, c’est Interbank au Pérou qui communique le 30 octobre 2024 « la sécurité de nos clients est notre plus haute priorité. Nous avons identifié que certaines données d’un groupe de clients ont été révélées par un tiers sans notre autorisation. »
Selon l’enquête du site OjoPúblico, le cybercriminel m0riarty a volé des données sensibles de clients en usant d’identifiants internes pour accéder à un serveur de New Relic. Cette société américaine de technologie au service de l’institution financière, indique qu’en novembre 2023 un incident de sécurité eut lieu.
(Crédits : Tima Miroshnichenko/Pexels)
Des fichiers furent accessibles avant d’être retirés. Dans l’un d’entre eux est inscrit un script décrivant l’accès à la base de données, via identifiant et passphrase. Le bulletin de sécurité NR23-01 de New Relic évoque le rapport de l’enquête. Il est démontré que le cybercriminel connaissait la structure du serveur. Il avait donc préparé son action.
Des cibles mexicaines
En février 2024 au Mexique, le groupeBimbo fait l’objet d’un accès non autorisé. Le Ransomware Medusa est à l’origine de ce fait. Une rançon de 6,5 millions de dollars est exigée contre la non-divulgation des données. Le non-paiement, ce qui est préconisé par l’ensemble des forces combattant le cybercrime, voit la publication des données sur le site de fuite.
En avril, c’est la chaîne de services Coppel Stores qui fait les frais d’une cyberattaque de type ransomware. LockBit 3.0 affecte le bon fonctionnement de 1800 magasins, durant plus de trois mois dans l’ensemble du Mexique.
L’offensive met à mal tous les systèmes de magasin, les centres de distribution, les services de commerce électronique et la logistique des entreprises en plus des magasins et de l’application mobile.
(Crédits : Capture d’écran/Medusa)
Enfin le gouvernement mexicain, via le ransomware RansomHub est attaqué à travers le Consejería Jurídica del Ejecutivo Federal (CJEF). Le délai mentionne la date du 25 novembre 2024 avant divulgation. Depuis le dossier mentionnant les 313 GB de l’URL gob[.]mx a disparu du site de fuite. Rien n’indique le pourquoi du comment de cette disparition.
L’Argentin Renaper et le Colombien Air-e
Le 13 octobre 2021, le registre national des personnes (RENAPER) qui dépend du ministère de l’Intérieur argentin dépose plainte auprès du tribunal pénal n° 22. Une clé informatique utilisée pour afficher sur le réseau Twitter les images de 44 personnes. Le compte, suspendu depuis, s’identifie comme @aniballeaks.
Le 17 avril 2024, une base de données refait surface, car en vente. Elle n’est pas une nouvelle cyberattaque, mais une conséquence de celle de 2021. À l’époque 45 millions d’informations sont volées, documents d’identité, photos empreintes digitales.
Après EPS-Sanitas, Omegapro c’est le fournisseur d’eau et d’électricité EPM qui subit une cyberattaque en décembre 2022. La Colombie semble malheureusement coutumière du fait.
En septembre 2024, l’entreprise d’énergie, Air-E confirme être victime d’une cyberattaque de type ransomware. Rien n’est stipulé par la firme sur le retour possible ou probable de l’énergie. (Crédits : Geralt/Pixabay)
Seule, l’information de paiement des factures semble être intéressante. Pour le règlement, la compagnie invite ses utilisateurs à se déplacer dans les bureaux. La communication de l’entreprise souffre de clarté. Les documents relatifs aux paiements ne sont pas distribués. Elle rend l’information publique sans donner plus de détails sur le niveau d’impact et ses conséquences. Depuis, d’autres affaires judiciaires occupent l’entreprise.
Mikhail Pavlovich Matveev, est appréhendé par les forces de l’ordre russes. Célèbre programmeur et cybercriminel, il est poursuivi pour avoir conçu un programme pour chiffrer les données d’un système d’information, autrement dit un ransomware. Connu sous les pseudonymes Wazawaka, m1x, Boriselcin, unc1756, Uhodiransomwar et Orange, il est recherché par le FBI. Les autorités américaines offrent jusqu’à 10 millions de dollars pour les informations conduisant à son arrestation.
Mikhail Pavlovich Matveev est associé, selon l’acte d’accusation du FBI, à de nombreuses variantes de ransomware, à savoir Lockbit, Babuk et Hive. Vendredi 29 novembre 2024, le bureau du procureur à Kaliningrad qui n’a pas encore communiqué de détails sur l’identité de l’individu le décrit comme un « programmeur ».
« À l’heure actuelle, l’enquêteur a recueilli des éléments de preuve suffisants, l’affaire pénale avec l’acte d’accusation signé par le procureur a été renvoyée au tribunal central de district de la ville de Kaliningrad pour examen sur le fond », a déclaré le ministère russe de l’Intérieur dans un communiqué, relate Bleepingcomputer.
Les communiqués des autorités américaines indiquent qu’en juin 2020, il aurait avec LockBit déployé des ransomware sur le réseau d’un organisme des forces de l’ordre dans le comté de Passaic, dans le New Jersey.
En avril 2021, avec le ransomware Babuk, il aurait ciblé les systèmes du département de la police métropolitaine à Washington, D.C. et de l’attaque du Colonial Pipeline revendiqué par DarkSide.
(Crédits : FBI)
Puis en mai 2022, avec Hive, il est accusé d’avoir chiffré les données contenues dans les systèmes d’information d’une organisation de soins de santé dans le comté de Mercer, dans le New Jersey. Mikhail Pavlovich Matveev est inculpé en vertu de la partie 1 de l’article 273 du Code pénal de la Fédération de Russie, il risque jusqu’à quatre ans de prison. Le tribunal de Saint-Pétersbourg a rendu son verdict dans l’affaire des quatorze accusés dans l’affaire du ransomware REvil. Quatre membres du ransomware REvil écopent au mois d’octobre 2024, de peines allant de 4 ans et demi à 6 ans de réclusion criminelle.
Le spécialiste américain dans la fabrication de satellites de télécommunication, Maxar révèle un accès non autorisé de ses systèmes d’information en octobre 2024. Une ou plusieurs personnes se sont introduites et ont consulté des données personnelles d’employés. La firme compte environ 2600 salariés tout autour du monde. Le ou les pirates usent d’une adresse IP basée àHong-Kong. En juin 2023, des accès à un satellite militaire étaient vendus pour 15 000 dollars.
Dans une lettre adressée au Procureur général de Californie, Maxar confirme qu’un accès non autorisé eu lieu aux alentours du 4 octobre 2024. L’entreprise révèle avoir découvert la brèche une semaine plus tard, le 11 octobre. La note adressé au Procureur stipule que des mesures immédiates sont appliquées pour empêcher tout autre accès non autorisé au système.
La compagnie explique que le ou les pirates ont eu accès au nom, adresse personnelle, numéro de sécurité sociale, les informations de contact professionnel (téléphone, e-mail, lieu de travail…), le genre, le numéro d’employé et son titre, les dates de contrats, le supérieur hiérarchique et le département dans lequel la personne travaille. Maxar indique qu’aucune date de naissance et de coordonnées bancaires ne pas sont incluses dans ces fichiers consultés.
« Néanmoins, selon notre enquête, le pirate a probablement eu accès aux dossiers sur les systèmes pendant environ une semaine avant que cette action ne soit prise », déclare Maxar.
Les fuites de données sont désormais légion. De France Travail à Boulanger, en passant par Cultura, vos, nos, mes données se retrouvent sur la toile dans de mauvaises mains. Une fois compilé, l’ensemble des informations permet de faire tout ou presque. Connue sous le nom de « vip-v3 », elle renferme 95 millions de données compromises de citoyens français. Outre-Atlantique une enquête est en cours sur le vol de données personnelles de 77 099 clients du groupe américain Fidelity Investments.
En plein milieu du mois d’août 2024, Fidelity Investments, société américaine spécialisée dans la gestion d’actifs pour le compte de tiers, se retrouve dans le collimateur de cybercriminels. Leurs données ont été compromises, l’ensemble des portefeuilles représente une somme supérieure à 4 fois la dette publique de la France : 14 000 milliards de dollars d’actif.
Une fuite au pays de l’Oncle Sam
Un attaquant créée deux faux profils pour s’introduire. Selon le bureau du Procureur du Maine (Maine Attorney General), l’incident se serait déroulé entre le 17 et le 19 août 2024. Le rapport des violations est éloquent.
La multinationale emploie plus de 75 000 personnes dans 11 pays d’Amérique du Nord, d’Europe, d’Asie et d’Australie. La firme est l’un des plus grands gestionnaires d’actifs au monde, avec 14,1 milliards d’actifs sous administration et 5,5 milliards de dollars sous gestion.
« Nous avons détecté cette activité le 19 août et nous avons immédiatement pris des mesures pour mettre fin à l’accès. Une enquête a été rapidement lancée avec l’aide d’experts externes en matière de sécurité », déclare Fidelity dans le courrier1 adressé aux personnes concernées. (Crédits : capture d’écran/Maine.Gov)
La société déclare que « les noms, les numéros de sécurité sociale et les informations sur les permis de conduire étaient compromis », relate TechCrunch, mais les comptes clients ou les fonds de Fidelity ne seraient pas en danger. En mars, cette société faisait, déjà la douloureuse expérience de subir une violation des données de 28 000 clients2 détenant des assurances vie. Tout juste la moitié de personnes touchées par la cyberattaque du mois de mars 2024 contre l’établissement Bank of America.
95 millions de données de citoyens français
Ce qui devait arriver arriva ! À force de voir ici et là des fuites de données, un opérateur inconnu stocke des informations personnelles provenant de différentes violations de données françaises et les compile dans une base de données au nom évocateur « vip-v3 ».
« L’équipe de recherche de Cybernews, avec Bob Dyachenko, chercheur en cybersécurité et propriétaire du site WEB SecurityDiscovery [.] com, a découvert un serveur Elasticsearch ouvert contenant un trésor pour les cybercriminels », relate le site éponyme3 le 27 septembre 2024.
Le dossier en question contenait 95 350 331 documents provenant d’au moins 17 violations de données. Sa taille totale est de 30,1 Go. Le nombre d’habitants en France, selon l’INSEE au 1er janvier 2024, de 68 373 433 personnes.
Les noms de fichiers avec l’extension « .txt » sont plus ou moins explicites quant à la possible origine des fuites : Lyca scrappe, Pandabuy-Email, darty.com, discorde 1-2024, dvm, electro-depot.fr, db-vandb, Snapchat SQL, frsfr, go-sport.com-export, intersport-scrapped.fr, ldlc, corsegsm.com, pinterest, minecraft.fr-forum, sfr.fr, shadow.tech.
(Crédits : Capture d’écran/Cybernews)
« Étant donné que la base de données est accessible au public depuis une longue période, il est très probable que d’autres acteurs malveillants ont déjà copié les données et pourraient les utiliser pour des activités criminelles », explique CyberNews. Les conséquences d’une telle base de données sont des attaques de spearphishing de plus en plus personnalisés, des détournements de comptes en ingénierie sociale et bien d’autres.
Une base de 50 000 dossiers de l’opérateur RED de SFR
« Cher client, le 3 septembre dernier, SFR a détecté un incident de sécurité portant sur un outil de gestion de commandes de ses clients. Cet incident a entraîné un accès externe non autorisé à des données personnelles vous concernant », explique l’opérateur à ses clients.
Les particuliers comme professionnels sont touchés. « Un groupe de hackers/cybercriminels/jeunes débutants dans la cybercriminalité française a publié l’équivalent de 900 Mo de données de l’opérateur SFR », écrit SaxX.
Les données concernées sont : prénom, nom, coordonnées renseignées au moment de la commande (numéro de téléphone, adresse électronique et postale, adresse de livraison le cas échéant), données contractuelles (offre souscrite, contenu de la commande), IBAN, ainsi que le numéro d’identification du terminal et de la carte SIM (pour les commandes de terminal mobile). SaxX relate sur le réseau X qu’« ils ont l’air vraiment très jeunes et ne sont pas encore rompus au code la cybercriminalité. » Il se questionne sur la compromission de techniciens chez l’opérateur ou encore de stealers.
La société évolue, le monde cybercriminel aussi.
(Crédits : capture d’écran/SaxX/X)
L’hygiène numérique se doit d’être une norme. « Les jeunes générations sont particulièrement vulnérables : 52 % des membres de la génération Z et 46 % des milléniaux ont déclaré avoir subi des pertes à la suite d’escroqueries en ligne », écrit ITSocial. La cyberattaque du ransomware, RansomHouse sur l’université Paris Saclay est un possible exemple. Une piqûre de rappel avec les conseils aux usagers, et en cas de doute, un tour du côté de l’ANSSI pour lire un document fort intéressant : le guide d’hygiène informatique.
Une opération conjointe des différentes forces de l’ordre permet de nouvelles arrestations dans le monde du cybercrime. Quatre personnes sont donc détenues. Deux individus le sont sur le sol britannique, un en France et le dernier en Espagne. L’implication de douze pays mène à la capture d’un développeur, un administrateur d’un service d’hébergement (Bullet proof hosting), et deux pour leurs soutiens à l’activité d’un affilié à la franchise. La Guardia Civil met la main sur neuf serveurs de l’infrastructure, mais surtout un membre clé de l’organisation.
En début d’année, la coopération plaçait hors d’état de nuire 34 serveurs du RAAS (ransomware-as-a-service) LockBit. Actif depuis 2019, il est reconnu comme le rançongiciel le plus nocif et le plus prolifique, juste avant que le ransomPlay ne le détrône. Un coup d’arrêt du à l’opération Cronos. C’est le jeu perpétuel du chat et de la souris entre les personnels des forces de l’ordre et les opérateurs du ransomware LockBit 3.0.
Quatre nouvelles arrestations contre LockBit 3.0
Comme les poupées russes, l’empilement des affaires conduit irrémédiablement à une fin annoncée, à moins que l’hydre survienne à sa légende. L’opération Cronos continue depuis les premières révélations en début d’année, jusqu’à ce jour du 1er octobre 2024 où des déclarations tonitruantes s’affichent partout. Ce qui est sûr est que les arrestations récentes concernant les ransomware LockBit et Evil Corp marquent une nouvelle étape dans cette lutte contre la cybercriminalité.
La capture qui revêt une importance notable est effectuée sur le sol espagnol, à Madrid. Un résident de Dubaï de retour de vacances, est accusé d’être l’administrateur du Bullet Proof Hosting, et placé en détention. Les autorités espagnoles confisquent, au passage neuf serveurs qui feraient partie de l’infrastructure critique du ransomware LockBit.
De l’autre côté des Pyrénées, c’est un développeur présumé qui est arrêté. Outre-Manche deux individus incriminés d’avoir soutenu un affilié au ransomware LockBit sont également détenus.
D’ailleurs, un grand nombre de sanctions sont, d’ores et déjà émises à l’encontre d’un autre acteur, identifié par la National Crime Agency du Royaume-Uni comme « un affilié prolifique de LockBit et fortement lié à Evil Corp ». Evil Corp est une autre entité cybercriminelle soupçonnée d’être soutenue par le Kremlin et bien connue des autorités internationales.
« Ces actions font suite à la perturbation massive de l’infrastructure de LockBit en février, ainsi qu’à l’importante série de sanctions et d’actions opérationnelles qui ont eu lieu contre les administrateurs de LockBit en mai et les mois suivants », indique Europol dans son communiqué. (Crédits : mansurtlyakov1/Pixabay)
L’affilié de LockBit lié à Evil Corp a été identifié comme étant Aleksandr Ryzhenkov AKA « Beverley ». Il est le bras droit connu du dirigeant d’Evil Corp, Maksim Yakubets. « Beverley » est selon la NCA l’auteur de 60 cyberattaques du ransomware LockBit extorquant au passage 100 millions de dollars à minima. En outre, Europol a déclaré que quinze citoyens russes ont été sanctionnés par le Royaume-Uni, six par les États-Unis et deux par l’Australie — tous pour leur implication dans les activités criminelles d’Evil Corp. Par ailleurs, mardi 2 mai 2024, le ministère américain de la Justice a également dévoilé un acte d’accusation incriminant Ryzhenkov dans le cadre des attaques contre BitPaymer.
L’opération « Cronos » à l’épreuve du temps
Le leader du ransomware LockBit est identifié par l’acte d’accusation du ministère de la Justice américaine et la NCA : Dmitry Yuryevich Khoroshev, ressortissant russe de 31 ans. « Il n’y a pas de cachette pour les cybercriminels comme Dmitry Khoroshev, qui font des ravages dans le monde entier. Il était sûr qu’il pouvait rester anonyme, mais il avait tort », explicite Graeme Biggar, directeur général de l’ANC.
Tout débute par l’opération Cronos. L’action coordonnée entre police et justice débouche à une mise hors ligne de 34 serveurs, en Europe, aux États-Unis et en Australie, le 19 février 2024. Une faille PHP est exploitée à l’insu du groupe de cybercriminels.
Le CEO du ransomware expliquait qu’en raison de sa négligence personnelle et de son irresponsabilité, il n’avait pas mis à jour sa version de PHP à temps. Si bien que les forces de l’ordre réussissaient à pénétrer dans le cœur du système d’information.
Puis l’arrestation de deux cybercriminels en Ukraine portait un coup notable. Les deux individus en question se chargent du blanchiment des rançons obtenues. Sans oublier le hacker russe de 28 ans arrêté en Ukraine suspecté d’avoir collaboré avec les cybercriminels des gangs Lockbit et Conti.
Si bien que la police britannique déclare avoir démasqué et réprimé le ressortissant russe Dmitry Khoroshev AKA LockBitSupp, administrateur et développeur du groupe de ransomware LockBit. L’acte d’accusation américain abonde en ce sens et révèle d’autres co-auteurs présumés, et Europol affiche des sanctions à l’encontre de la tête créatrice. La pression change de camp. (Crédits : capture d’écran/NCA)
Lors de la probité de l’action, la NCA indique que « l’opération Cronos a réussi à perturber le groupe LockBit Ransomware-as-a-Service. […] LockBit souffre aujourd’hui d’une capacité opérationnelle réduite, d’un engagement moindre de ses affiliés et d’un nombre réduit d’attaques. (Ce n’est pas un bon semestre pour LockBit !) LockBit a perdu des affiliés, dont certains se sont probablement tournés vers d’autres fournisseurs de Ransomware-as-a-Service à la suite de l’interruption de l’opération Cronos ».
Sanctions contre Evil Corp et LockBit
Evil Corp est l’un des premiers groupes de cybercriminalité financière. Depuis ces débuts, l’entité met au point des programmes malveillants. Leurs méfaits engendrent des dommages considérables « à de nombreuses organisations et à de nombreux secteurs, notamment les soins de santé, les infrastructures nationales critiques et le gouvernement, des infrastructures nationales critiques et des gouvernements. » Connue sous le nom d’Indrik Spider, cette entité fut présidée dans sa grande majorité par son fondateur Maksim Yakubets AKA « Aqua ». Il la dirige avec son père Viktor, selon la NCA.
Les États-Unis, le Royaume-Uni ainsi que l’Australie introduisent des sanctions contre seize personnes soupçonnées de faire partie du gang. Hors mis le père et le fils, les autorités s’intéressent à Aleksander Ryshenkov. En plus d’œuvrer pour Evil Corp, il aurait également des liens avec LockBit.
Deux individus avait plaidé coupable en juillet 2024. Selon les documents judiciaires, Magomedovich Astamirov, 21 ans, ressortissant russe de la République de Tchétchénie, et Mikhail Vasiliev, 34 ans, ressortissant canadien et russe de Bradford (Ontario), étaient membres de LockBit. Leurs condamnations devraient être connues le 8 janvier 2025. (Crédits : capture d’écran/NCA)
« La Russie continue d’offrir un refuge aux cybercriminels, où des groupes tels que LockBit sont libres de lancer des cyberattaques contre les États-Unis, leurs alliés et partenaires », avait affirmé un porte-parole du département du Trésor américain. Les forces de l’ordre analysent en continu les données afin d’identifier les individus soupçonnés d’être impliqués dans le ransomware LockBit. « Une fois de plus, nous remercions Dmitry Khoroshev, alias LockBitSupp, de nous avoir permis de compromettre sa plateforme et de découvrir toutes ces données juteuses (cela occupe nos équipes !). »
Veni, vidi…
La pression est donc mise sur l’ensemble de la chaîne de production. Sur l’ancien site de fuite de LockBit détenu par l’opération Cronos, le discrédit change la donne. En effet la pertinence des propos jette l’opprobre sur les criminels. La NCA partage des informations dans le post « What we’ve learnt ». Les images d’illustrations démontrent sans ambiguïté « les fautes techniques sur la gestion des effacements des enregistrements, dans la base de données ».
Les mots comme les bits ont un poids.
« […] nous avons obtenu 2 500 clés de décryptage, tous les noms d’utilisateur des affiliés de LockBit, les adresses BTC liées aux paiements des victimes et aux versements à LockBitSupp, toutes les négociations par chat (qui nous ont aidés à montrer quels affiliés travaillaient ensemble), tous les détails de la construction de l’attaque et quel affilié a attaqué quelle victime, le code source de la plateforme, le nouveau logiciel malveillant de LockBit en cours de développement, et bien d’autres choses encore », enfonce la NCA.
« Nous comprenons parfaitement la plateforme et son mode de fonctionnement […] Comme vous pouvez le constater, nous en avons déjà identifié quelques-uns, mais ce n’est qu’un début. » Avant de marteler que « LockBit vous a laissé tomber. Affiliés, développeurs et blanchisseurs d’argent, nous sommes impatients de vous retrouver très bientôt… »
(Crédits : capture d’écran/NCA)
Comme pour dévoiler la magie des Matriochkas l’agence britannique explique que « Aleksandr Ryzhenkov, né le 26 mai 1993, a été démasqué comme étant le membre d’Evil Corp affilié à LockBit. C’est grâce aux données obtenues dans le cadre de l’opération Cronos que nous avons pu établir ce lien. Nous continuerons à exploiter ces données jusqu’à ce que nous ayons identifié beaucoup d’autres d’entre vous », conclut l’agence nationale de lutte contre la criminalité.
