Quelque 150 personnes qui achetaient, ou vendaient de la drogue, ou des armes sur le DarkWeb ont été appréhendées dans le monde entier, lors de l’un des plus amples coups de filet à ce jour concernant la version profonde d’Internet, a annoncé Europol, mardi 26 octobre. La dernière opération d’Europol, GoldDust a permis d’arrêter pas moins de sept individus, mais pas des moindres dans l’Univers du ransomware, Sodinokibi/REvil.
Comme une pieuvre étend ses bras, l’opération « DarkHunTOR » « consistait en une série d’actions séparées, mais complémentaires en Australie, Bulgarie, France, Allemagne, Italie, aux Pays-Bas, en Suisse, au Royaume-Uni et aux États-Unis », précisait l’agence. Aux États-Unis, quelques 65 personnes ont été capturés légitimant, entre autres, 47 en Allemagne, 24 au Royaume-Uni, quatre en Italie et autant aux Pays-Bas. Plusieurs « constituaient des cibles d’importance » pour Europol. Les forces de l’ordre ont également saisi 26,7 millions d’euros en numéraire et monnaies électroniques ainsi que de la drogue, notamment 25 000 comprimés d’ecstasy, et 45 armes à feu.
150 suspects ont été arrêtés dans le cadre de l’opération #DarkHunTOR visant les vendeurs et les acheteurs de biens illicites sur le #darkweb. (Crédits : Europol)
Le 4 novembre 2021, les autorités roumaines ont capturé deux individus soupçonnés d’infections par codes malveillants en déployant le ransomware Sodinokibi/REvil. Ils seraient, selon Europol, responsables de 5 000 infections, et auraient empoché pas moins d’un demi-million d’euros de rançons. Depuis février 2021, les forces de l’ordre ont appréhendé trois autres affiliés de Sodinokibi/REvil, et deux suspects liés à « GandCrab ». Ce sont là quelques-uns des résultats de l’opération GoldDust, qui a impliqué 17 pays (Australie, Belgique, Canada, France, Allemagne, Pays-Bas, Luxembourg, Norvège, Philippines, Pologne, Roumanie, Corée du Sud, Suède, Suisse, Koweït, Royaume-Uni, États-Unis), Europol, Eurojust et INTERPOL. « Toutes ces arrestations font suite aux efforts conjoints des services répressifs internationaux pour identifier, mettre sur écoute et saisir une partie de l’infrastructure utilisée par la famille de ransomware Sodinokibi/REvil, qui est considérée comme le successeur de GandCrab. »
C’est l’infection de plus d’un million de victimes, et jusqu’à 1500 entreprises, par le ransomware « REvil/Sodinokibi » qui faisait la une des différentes presses, qu’elles soient en version papier, web, radiophonique ou télévisuelle, le 5 juillet 2021. (Crédits : DR)
Depuis 2019, plusieurs firmes planétaires ont été confrontées à de graves cyberattaques, à travers le ransomware Sodinokibi/REvil. Début octobre, un affilié de Sodinokibi/REvil a été arrêté à la frontière polonaise après l’émission d’un mandat d’arrêt international par les États-Unis. Ce ressortissant ukrainien est soupçonné d’avoir perpétré l’offensive Kaseya, pour laquelle Sodinokibi/REvil a demandé une rançon d’environ 70 millions d’euros. En février, avril et octobre 2021, les autorités sud-coréennes ont capturé trois affiliés impliqués dans les clans de ransomware GandCrab et Sodinokibi/REvil, qui ont fait plus de 1 500 victimes. Le 4 novembre 2021, c’est au tour des autorités koweïtiennes d’arrêter un autre affilié de GandGrab, « ce qui signifie qu’au total, sept suspects liés aux deux familles de ransomware ont été arrêtés depuis février 2021. Ils sont soupçonnés d’avoir attaqué environ 7 000 victimes au total ».
De GrandCrab à Sodinokibi/REvil
Un pic d’activité d’infections par ransomware avait été détecté lors des deux premiers trimestres 2020. « Il est lié à un groupe appelé GrandCrab, dont l’activité a été réduite depuis l’arrestation de son distributeur en Biélorussie en août 2020. Un deuxième pic a été constaté en juillet 2021, lié au groupe de ransomware Babuk, à l’origine d’une cyberattaque contre la police du District de Columbia aux États-Unis », explique Sud Ouest. En effet, les autorités biélorusses venaient de capturer une personne de 31 ans accusée d’avoir commercialisé le rançongiciel GandCrab. L’homme avait été arrêté à Gomel, une petite ville du sud-est de la Biélorussie, aux frontières de la Russie et de l’Ukraine.
Ce ressortissant ukrainien est soupçonné d’avoir perpétré l’attaque Kaseya. « On peut raisonnablement supposer que des milliers de petites entreprises pourraient potentiellement être impactées », affirmait en juillet 2021 à NBC News l’expert en sécurité John Hammond. (Crédits : Europol/Twitter)
Mais, l’agence européenne soutient une enquête menée par la Roumanie ciblant la famille de ransomwares GandCrab. Avec plus d’un million de victimes dans le monde, GandCrab était l’une des familles de ransomware les plus prolifiques sur Terre. Ces efforts conjoints ont abouti à la publication de trois outils de décryptage par le biais du projet No More Ransom. Cela a permis de sauver plus de 49 000 systèmes d’information et plus de 60 millions d’euros de rançons non payées à ce jour. L’enquête a parallèlement porté sur les affiliés de GandCrab, dont certains auraient évolué vers Sodinokibi/REvil. L’opération GoldDust s’est également appuyée sur les pistes de cette précédente enquête visant GandCrab, assure Europol.
Les outils mis à disposition pour les deux familles de ransomware ont permis plus de 50 000 décryptages, qui représentaient une rançon de 520 millions d’euros demandée par les cybercriminels. (Crédits : capture d’écran)
Actuellement, No More Ransom bénéficie d’outils de décryptage pour GandCrab (versions V1, V4 et V5 jusqu’à V5.2) et pour Sodinokibi/REvil. Les méthodes de décryptage de Sodinokibi/REvil ont aidé plus de 1400 entreprises à déchiffrer leurs réseaux, épargnant près d’un demi-milliard (0, 475) d’euros de pertes potentielles.
Pour les remporter, il ne faut pas acheter un jeu de grattage, ni même un billet de tombola, ou encore participer à la Lotería de Navidad en Espagne. Comme dans les westerns spaghettis, répondre à un avis de recherche contre des malfaiteurs, par des renseignements. En effet, le Département d’État américain annonce une gratification numéraire pouvant croître jusqu’à 10 000 000 $, pour toute information menant à l’identification, ou à la localisation de toute personne occupant un poste clé au sein du groupe criminel, usant du RaaS connu sous le nom de « DarkSide ».
Une récompense pouvant aller jusques et y compris à 10 000 000 $, en outre, le ministère en octroie une autre jusqu’à 5 000 000 $, cette fois pour toute indication conduisant à l’arrestation, comme à la condamnation, ce dans n’importe quel pays, de tout individu ayant ou tenté participer à un incident lié au RaaS (Ransomware as a Service) DarkSide. L’affaire dite de Colonial Pipeline en mai 2021 a mis le feu aux poudres. L’infection par codes malveillants a abouti à la décision de la société de fermer de manière proactive et temporaire le pipeline de 5 500 miles qui transporte 45 % du carburant utilisé sur la côte est des États-Unis.
Le Département qui gère le programme de récompenses pour la criminalité transnationale organisée (TOCRP) est en étroite coordination avec ses partenaires fédéraux chargés de l’application de la loi. Dans le communiqué de presse, l’institution clame haut et fort que plus de 75 hors-la-loi transnationaux et grands trafiquants de stupéfiants ont été traduits en justice depuis 1986 grâce aux efforts conjoints avec le NRP (Programme de récompense des narcotiques). Le ministère se targue d’avoir versé plus de 135 millions de dollars à ce jour.
L’affiche délivrée par le bureau fédéral d’investigation, et le département de la justice américaine est sans ambiguïté. (Crédits : DR)
Une autre somme du même acabit est offerte envers un ressortissant colombien pour un système de corruption présumé. D’après l’acte d’accusation de dix-neuf pages, les cinq hommes auraient reçu 1,6 milliard de dollars du Venezuela et auraient transféré 180 millions de dollars par ou vers des comptes bancaires aux États-Unis. Les trois Colombiens et les deux Vénézuéliens font face à un chef d’accusation de conspiration en vue de commettre un blanchiment d’argent et à quatre de blanchiment d’argent. « À partir de 2015, Pulido et d’autres individus ont commencé à travailler pour obtenir ou conserver des contrats pour fournir de la nourriture au peuple vénézuélien. Pulido et ses co-conspirateurs auraient majoré le coût de production des boîtes de nourriture afin de réaliser un profit personnel sur leur production », peut-on lire dans le communiqué.
De DarkSide à REvil
REvil, connu également sous le nom de Sodinokibi, a été détecté pour la première fois en avril 2019. Il exploitait la vulnérabilité O-Day Oracle WebLogic. Les opérateurs développant et commercialisant ce ransomware ont déclaré « être d’anciens affiliés de GrandCrab ayant acheté le code source ». REvil est vendu en tant que RaaS sur les forums cybercriminels russophones par l’identité numérique « UNKN » depuis mai 2019, explique L’Usine Digitale. L’association avait disparu la veille de la fête nationale française avant de réapparaître début septembre. Il semble que cette fois, REvil n’est plus. Un acteur lié à REvil connu sous « 0_neday » annonçait la fin des activités. La motivation est extrêmement simple et compréhensible. Un un tiers non identifié dispose d’une copie de l’infrastructure du groupe, jusqu’aux clés privées des sites accessibles via Tor.
Gazouillé par Dmitry Smilyanets, de Recorded Future, et selon le cybermalfaiteur : « Le serveur était compromis et ils me cherchaient. Pour être précis, ils ont supprimé le chemin vers mon service caché dans le fichier torcc, et ont augmenté le leur pour que j’y aille. J’ai vérifié sur d’autres – ce n’était pas le cas. Bonne chance à tous, je m’en vais. » (Crédits : DR)
Selon le département américain du Trésor, les opérateurs derrière les ransomware ont capté à minima la cagnotte de cinq milliards de dollars en quelques années. Le conglomérat REvil était connu pour exiger des sommes très élevées afin de déchiffrer les données cryptées. Le record est de 70 millions de dollars américains. En juin 2021, le président américain Joe Biden menaçait son homologue russe Vladimir Poutine de conséquences s’il ne prenait pas de mesures contre les groupes de cybercriminels usant de codes malveillants depuis la Russie. Le gouvernement allemand d’Angela Merkel abordait aussi régulièrement cette même menace avec l’administration russe, selon le ministère des Affaires étrangères. Mais l’identification concrète de suspects est considérée comme extrêmement difficile.
Des sommes très importantes ont été saisies, avec du matériel informatique. Les auteurs « siphonnaient » de l’argent pour des pirates informatiques internationaux et, au cours de leur activité, ils ont « légalisé » ainsi des dizaines de millions de dollars. (Crédits : Police ukrainienne)
Pourtant et depuis plusieurs mois, l’Office fédéral de la police criminelle (BKA) et le Baden-Württemberg LKA (police de proximité) enquêtent sur le groupe REvil. Les forces de l’ordre allemandes auraient identifié l’un des opérateurs principaux, révèlent Die Zeit et BR24 dans deux articles publiés le 28 octobre 2021. Sur les réseaux sociaux, Nikolay K. (nom modifié) se présente comme un trader de cryptomonnaies, dont sa devise est « In Crypto we trust ». L’investigation permet de se faire une idée précise du comportement de l’homme en question : maison avec piscine près d’une grande ville du sud de la Russie, vacances de luxe à Dubaï et aux Maldives, un yacht à 1 300 euros par jour. Les enquêteurs pensent que cet homme serait l’un des cerveaux du célèbre logiciel malveillant REvil et de son prédécesseur présumé Gandcrab. Car « son train de vie luxueux est vraisemblablement financé par l’argent des extorsions – versé par les entreprises et les autorités victimes d’attaques de pirates informatiques ».
11 personnes arrêtées en Ukraine
La police ukrainienne a révélé l’arrestation d’un groupe usant de ransomware. Ces derniers auraient attaqué une cinquantaine d’entreprises en Europe comme en Amérique. La réclusion encourue est au maximum de douze années. « Les infractions pénales ont été découvertes par des officiers du département de cyberpolice, en collaboration avec la direction des enquêtes de la police nationale, des représentants du bureau du procureur général, avec la participation de collègues de l’Union européenne, de l’Union européenne, des forces de l’ordre de France, des États-Unis, des Pays-Bas et de Norvège », explique le communiqué en date du 29 octobre 2021.
Les individus ont produit et vendu des clés USB avec des virus, qui ont cassé les portefeuilles numériques des victimes et leur ont volé des cryptomonnaies. (Crédits : Police Ukrainienne)
Le groupe était composé de 11 membres. Deux d’entre eux distribuaient directement le logiciel malveillant, tandis que les autres assuraient le support des serveurs et aidaient à retirer l’argent obtenu par des moyens illégaux. Le cumul des sommes avoisinerait les 120 millions de dollars. Les pertes subies par les proies s’élèvent à 120 millions de dollars. Parmi les victimes figurent des entreprises de France, de Norvège, d’Allemagne, de Suisse, des Pays-Bas, du Royaume-Uni et des États-Unis. Ce sont vingt-huit perquisitions qui ont été effectuées dans la ville de Kiev, les régions de Volyn, Ternopil, Kharkiv, Zaporizhia et de Donetsk.
Le FSB à l’origine d’attaque contre des agences gouvernementales ukrainienne
L’information va faire grand bruit. Les experts en cybersécurité du SBU « ont identifié les pirates informatiques du célèbre groupe ARMAGEDON, responsables de plus de 5 000 cyberattaques contre des organismes gouvernementaux ukrainiens et des infrastructures critiques », indique le site Ukrinform. Il a été établi que ledit groupe fait partie du FSB, et que ce dernier « opérant depuis la Crimée occupée, ainsi que des traîtres qui ont pris le parti de l’ennemi lors de l’occupation de la péninsule en 2014 », rapportait le communiqué de presse de la SBU.
L’agence de sécurité ukrainienne a révélé l’identité des présumés coupables, ayant obtenu des preuves irréfutables de leur activité illégale, notamment des appels téléphoniques interceptés, « malgré le fait que le réseau utilisait des logiciels malveillants produits par le FSB, ainsi que des moyens d’anonymisation en ligne ». (Crédits : SBU)
Depuis l’annexion de la péninsule ukrainienne de Crimée par la Russie en 2014, l’éclatement du conflit armé dans l’est de l’Ukraine, entre forces ukrainiennes et séparatistes pro-russes, a fait depuis plus de 13 000 morts. Depuis sept années, les auteurs supposés, ci-dessus (demeurant innocent avant d’être reconnus responsables) auraient mené plus de 5 000 cyberattaques et poursuivi les tentatives d’infection de plus de 1 500 systèmes informatiques gouvernementaux. Les principaux objectifs du groupe dirigé par le FSB étaient les suivants :
Prendre le contrôle d’infrastructures critiques (centrales électriques, systèmes de chauffage et d’approvisionnement en eau)
Collecte de renseignements sur la sécurité, la défense et les opérations des agences gouvernementales
Mener des opérations psychologiques
Bloquer les systèmes d’information
Actuellement, cinq membres de l’organisation criminelle ont été accusés de haute trahison en vertu de l’art. 111 du Code pénal ukrainien. Selon les renseignements dont dispose le SBU, le groupe de hackers ARMAGEDON est un projet spécial du FSB, dont la cible principale était l’Ukraine. « Son travail était coordonné par le 18e centre (centre de sécurité de l’information) du FSB, basé à Moscou ». Une enquête plus approfondie, comprenant des examens médico-légaux, est en cours. Elle a pour finalité de traduire en justice les agents du FSB accusés d’espionnage, d’interférence non autorisée avec les systèmes informatiques et de création de logiciels ou de matériels malveillants.
