Alors que l’opération policière « Cronos » permettait l’arrestation de plusieurs membres du Ransomware-As-A-Service (RAAS) LockBit 3.0, en octobre 2024, il semble renaître de ses cendres. Sur le site de fuite, le ransomware le plus prolifique et plus médiatique annonce une nouvelle venue le 5 février 2025. Le citoyen israélien Rostislav Panev, accusé d’avoir développer tout ou partie du rançongiciel LockBit risque l’extradition vers les États-Unis pour complot, fraude et cybercriminalité.
Le communiqué d’Europol en octobre 2024 ne laissait aucun doute. L’opération menée entre autres par Europol, l’agence britannique de lutte contre la criminalité (NCA) et le ministère de la Justice américain publiaient des développements liés à leur opération Cronos contre LockBit 3.0. Quatre interpellations s’en suivent.
Si l’opération ne l’extermine pas, « LockBit a perdu des affiliés, dont certains se sont probablement tournés vers d’autres fournisseurs de Ransomware-as-a-Service à la suite de l’opération Cronos ».
Le teasing effectué annonce une nouvelle version de leur ransomware, LockBit 4.0 pour le 3 février 2025. « Want a lamborghini, a ferrari and lots of titty girls? Sign up and start your pentester billionaire journey in 5 minutes with us », proposent-ils.
À travers cinq liens différents en .onion, il faut s’inscrire et verser 0.007896 bitcoin. Dans le même timing, une arrestation révélée par YNet News fait le gros titre. Rostislav Panev arrêté à son domicile, à Haïfa le 18 août 2024, est soupçonné d’avoir participé au développement du ransomware LockBit. (Crédits : capture d’écran/LockBit)
YNet News explique qu’entre 2019 et 2024, Rostislav Panev aurait été développeur de logiciels pour LockBit. Il aurait créé des outils dont l’un permettait d’imprimer des notes de rançon à partir de n’importe quelle imprimante connectée à un système infecté. Au cours de l’enquête, des lettres de rançon menaçantes prétendument utilisées par LockBit et des portefeuilles numériques liés aux paiements de Panev ont été trouvés à son domicile de Haïfa. De plus, une rémunération d’environ 230 000 dollars, versée en bitcoins, aurait été perçue.
La multiplication des cyberattaques de type ransomware n’est plus à démontrer. L’ensemble des fuites de données est monstrueux, que ce soit avec ou sans complicité interne. En Amérique du Sud, les institutions sont mises à mal. Les cyberattaques de type ransomware sont légion. Des données personnelles font surface, quelques années après l’incident. Les entreprises apprennent à leurs dépens, que tous les systèmes d’information de reviennent pas à la normal comme par enchantement.
Plusieurs organismes font les gros titres. Le vol de data, comme a subi Free, Boulanger… est légion. De plus en plus de fuites avec complicité interne voient le jour après enquête. Les victimes sont des banques, la chaîne de supermarché Coppel, la distribution d’électricité en Colombie Air-e, le CJEF du Mexique, le registre national des personnes en Argentine (RENAPER), jusqu’au groupe mexicain Bimbo.
L’argent n’a pas d’odeur
En mars 2024, l’institution Banco do Brasil subie une intrusion non autorisée de ses systèmes d’information. Plus de deux millions de données personnelles et financières sont volées. Des infractions financières sont commises pour un montant total de 40 millions d’euros. Suite à l’enquête, l’opération « Chave Master » est lancée.
L’opération est menée par la police civile de Rio de Janeiro avec le groupe d’action spécialisé dans la lutte contre la criminalité organisée du ministère public (GAECO/MPRJ). Les agents effectuent seize perquisitions contre onze individus, y compris des employés de l’entreprise.
Les malfaiteurs travaillent ensemble, selon les révélations de l’enquête en cours depuis décembre 2023. En huit mois, les suspects s’introduisent dans le système de sécurité de plusieurs succursales de l’institution Banco do Brasil (BB) telle Recreio dos Bandeirantes, Barra da Tijuca, Vila Isabel, Centro do Rio…
« À partir d’un accès illégal, les personnes impliquées ont effectué des transactions bancaires frauduleuses pour le compte de clients. En outre, ils ont enregistré des équipements, modifié les données d’enregistrement et modifié les données biométriques des titulaires de compte », relate CNN Brasil. BB explique que les investigations ont commencé à partir d’enquêtes internes révélant des irrégularités qui ont été communiquées aux autorités de police.
Plus au sud, c’est Interbank au Pérou qui communique le 30 octobre 2024 « la sécurité de nos clients est notre plus haute priorité. Nous avons identifié que certaines données d’un groupe de clients ont été révélées par un tiers sans notre autorisation. »
Selon l’enquête du site OjoPúblico, le cybercriminel m0riarty a volé des données sensibles de clients en usant d’identifiants internes pour accéder à un serveur de New Relic. Cette société américaine de technologie au service de l’institution financière, indique qu’en novembre 2023 un incident de sécurité eut lieu.
(Crédits : Tima Miroshnichenko/Pexels)
Des fichiers furent accessibles avant d’être retirés. Dans l’un d’entre eux est inscrit un script décrivant l’accès à la base de données, via identifiant et passphrase. Le bulletin de sécurité NR23-01 de New Relic évoque le rapport de l’enquête. Il est démontré que le cybercriminel connaissait la structure du serveur. Il avait donc préparé son action.
Des cibles mexicaines
En février 2024 au Mexique, le groupeBimbo fait l’objet d’un accès non autorisé. Le Ransomware Medusa est à l’origine de ce fait. Une rançon de 6,5 millions de dollars est exigée contre la non-divulgation des données. Le non-paiement, ce qui est préconisé par l’ensemble des forces combattant le cybercrime, voit la publication des données sur le site de fuite.
En avril, c’est la chaîne de services Coppel Stores qui fait les frais d’une cyberattaque de type ransomware. LockBit 3.0 affecte le bon fonctionnement de 1800 magasins, durant plus de trois mois dans l’ensemble du Mexique.
L’offensive met à mal tous les systèmes de magasin, les centres de distribution, les services de commerce électronique et la logistique des entreprises en plus des magasins et de l’application mobile.
(Crédits : Capture d’écran/Medusa)
Enfin le gouvernement mexicain, via le ransomware RansomHub est attaqué à travers le Consejería Jurídica del Ejecutivo Federal (CJEF). Le délai mentionne la date du 25 novembre 2024 avant divulgation. Depuis le dossier mentionnant les 313 GB de l’URL gob[.]mx a disparu du site de fuite. Rien n’indique le pourquoi du comment de cette disparition.
L’Argentin Renaper et le Colombien Air-e
Le 13 octobre 2021, le registre national des personnes (RENAPER) qui dépend du ministère de l’Intérieur argentin dépose plainte auprès du tribunal pénal n° 22. Une clé informatique utilisée pour afficher sur le réseau Twitter les images de 44 personnes. Le compte, suspendu depuis, s’identifie comme @aniballeaks.
Le 17 avril 2024, une base de données refait surface, car en vente. Elle n’est pas une nouvelle cyberattaque, mais une conséquence de celle de 2021. À l’époque 45 millions d’informations sont volées, documents d’identité, photos empreintes digitales.
Après EPS-Sanitas, Omegapro c’est le fournisseur d’eau et d’électricité EPM qui subit une cyberattaque en décembre 2022. La Colombie semble malheureusement coutumière du fait.
En septembre 2024, l’entreprise d’énergie, Air-E confirme être victime d’une cyberattaque de type ransomware. Rien n’est stipulé par la firme sur le retour possible ou probable de l’énergie. (Crédits : Geralt/Pixabay)
Seule, l’information de paiement des factures semble être intéressante. Pour le règlement, la compagnie invite ses utilisateurs à se déplacer dans les bureaux. La communication de l’entreprise souffre de clarté. Les documents relatifs aux paiements ne sont pas distribués. Elle rend l’information publique sans donner plus de détails sur le niveau d’impact et ses conséquences. Depuis, d’autres affaires judiciaires occupent l’entreprise.
Mikhail Pavlovich Matveev, est appréhendé par les forces de l’ordre russes. Célèbre programmeur et cybercriminel, il est poursuivi pour avoir conçu un programme pour chiffrer les données d’un système d’information, autrement dit un ransomware. Connu sous les pseudonymes Wazawaka, m1x, Boriselcin, unc1756, Uhodiransomwar et Orange, il est recherché par le FBI. Les autorités américaines offrent jusqu’à 10 millions de dollars pour les informations conduisant à son arrestation.
Mikhail Pavlovich Matveev est associé, selon l’acte d’accusation du FBI, à de nombreuses variantes de ransomware, à savoir Lockbit, Babuk et Hive. Vendredi 29 novembre 2024, le bureau du procureur à Kaliningrad qui n’a pas encore communiqué de détails sur l’identité de l’individu le décrit comme un « programmeur ».
« À l’heure actuelle, l’enquêteur a recueilli des éléments de preuve suffisants, l’affaire pénale avec l’acte d’accusation signé par le procureur a été renvoyée au tribunal central de district de la ville de Kaliningrad pour examen sur le fond », a déclaré le ministère russe de l’Intérieur dans un communiqué, relate Bleepingcomputer.
Les communiqués des autorités américaines indiquent qu’en juin 2020, il aurait avec LockBit déployé des ransomware sur le réseau d’un organisme des forces de l’ordre dans le comté de Passaic, dans le New Jersey.
En avril 2021, avec le ransomware Babuk, il aurait ciblé les systèmes du département de la police métropolitaine à Washington, D.C. et de l’attaque du Colonial Pipeline revendiqué par DarkSide.
(Crédits : FBI)
Puis en mai 2022, avec Hive, il est accusé d’avoir chiffré les données contenues dans les systèmes d’information d’une organisation de soins de santé dans le comté de Mercer, dans le New Jersey. Mikhail Pavlovich Matveev est inculpé en vertu de la partie 1 de l’article 273 du Code pénal de la Fédération de Russie, il risque jusqu’à quatre ans de prison. Le tribunal de Saint-Pétersbourg a rendu son verdict dans l’affaire des quatorze accusés dans l’affaire du ransomware REvil. Quatre membres du ransomware REvil écopent au mois d’octobre 2024, de peines allant de 4 ans et demi à 6 ans de réclusion criminelle.
Le délai laissé au Gouvernement du Mexique par les opérateurs derrière le ransomware russophone RansomHub expire lundi 25 novembre 2024. Le groupe revendique avoir dérobé 313 GB de donnée. Les informations seraient de nature confidentielle, financière, assurantielle et contractuelle. Le site est d’ailleurs en maintenance. Ce n’est pas la première fois que le Mexique est la victime de cyberattaques. Déjà en 2022, les six téraoctets volés par les pirates informatiques, Guacamaya faisaient grand bruit.
Ce mercredi 20 novembre 2024 lors d’une conférence de presse, la présidente du Mexique, Claudia Sheinbaum déclare que l’institution enquête sur une cyberattaque présumée contre le bureau des affaires juridiques de son administration. De son côté, le ransomware RansomHub publie des documents sur son site de fuite.
La publication comme preuve de la cyberattaque est représentée par quatre fichiers sous format JPEG. Deux représentent une même liste de personnes avec prénom, nom du père et de la mère, l’adresse de courriel du Consejería Jurídica del Ejecutivo Federal (CJEF), le numéro de référence fiscale, le RFC (numéro d’imposition), une photo ainsi que leurs lieux de travail.
Le rôle du Consejería Jurídica del Ejecutivo Federal est l’examen et la validation des instruments juridiques qui sont soumis au Président des États-Unis mexicains, comme les arrêtés, les accords…
Deux autres documents sont joints. L’un est un accusé de réception de courrier daté du 2 janvier 2023. L’autre est une page de signature sur la fourniture de carburant pour les véhicules à moteur sur le territoire national au moyen d’un service de paiement électronique.
(Crédits : capture d’écran/RansomHub)
Le Mexique a déjà fait l’objet de fuite en 2022 par le groupe Guacamay. L’accès non autorisé sur un serveur du ministère de la Défense nationale (Sedena), à travers lequel sont extraits six téraoctets d’informations internes et confidentielles. Soit trois fois plus que les documents des Pandora Papers. Le ou les hackers auraient eu accès à des informations sur des personnalités criminelles, des transcriptions de communications, la surveillance de l’ambassadeur des États-Unis au Mexique, Ken Salazar mais aussi les problèmes de santé de l’ancien président, Andrés Manuel López Obrador.
Les fuites de données sont désormais légion. De France Travail à Boulanger, en passant par Cultura, vos, nos, mes données se retrouvent sur la toile dans de mauvaises mains. Une fois compilé, l’ensemble des informations permet de faire tout ou presque. Connue sous le nom de « vip-v3 », elle renferme 95 millions de données compromises de citoyens français. Outre-Atlantique une enquête est en cours sur le vol de données personnelles de 77 099 clients du groupe américain Fidelity Investments.
En plein milieu du mois d’août 2024, Fidelity Investments, société américaine spécialisée dans la gestion d’actifs pour le compte de tiers, se retrouve dans le collimateur de cybercriminels. Leurs données ont été compromises, l’ensemble des portefeuilles représente une somme supérieure à 4 fois la dette publique de la France : 14 000 milliards de dollars d’actif.
Une fuite au pays de l’Oncle Sam
Un attaquant créée deux faux profils pour s’introduire. Selon le bureau du Procureur du Maine (Maine Attorney General), l’incident se serait déroulé entre le 17 et le 19 août 2024. Le rapport des violations est éloquent.
La multinationale emploie plus de 75 000 personnes dans 11 pays d’Amérique du Nord, d’Europe, d’Asie et d’Australie. La firme est l’un des plus grands gestionnaires d’actifs au monde, avec 14,1 milliards d’actifs sous administration et 5,5 milliards de dollars sous gestion.
« Nous avons détecté cette activité le 19 août et nous avons immédiatement pris des mesures pour mettre fin à l’accès. Une enquête a été rapidement lancée avec l’aide d’experts externes en matière de sécurité », déclare Fidelity dans le courrier1 adressé aux personnes concernées. (Crédits : capture d’écran/Maine.Gov)
La société déclare que « les noms, les numéros de sécurité sociale et les informations sur les permis de conduire étaient compromis », relate TechCrunch, mais les comptes clients ou les fonds de Fidelity ne seraient pas en danger. En mars, cette société faisait, déjà la douloureuse expérience de subir une violation des données de 28 000 clients2 détenant des assurances vie. Tout juste la moitié de personnes touchées par la cyberattaque du mois de mars 2024 contre l’établissement Bank of America.
95 millions de données de citoyens français
Ce qui devait arriver arriva ! À force de voir ici et là des fuites de données, un opérateur inconnu stocke des informations personnelles provenant de différentes violations de données françaises et les compile dans une base de données au nom évocateur « vip-v3 ».
« L’équipe de recherche de Cybernews, avec Bob Dyachenko, chercheur en cybersécurité et propriétaire du site WEB SecurityDiscovery [.] com, a découvert un serveur Elasticsearch ouvert contenant un trésor pour les cybercriminels », relate le site éponyme3 le 27 septembre 2024.
Le dossier en question contenait 95 350 331 documents provenant d’au moins 17 violations de données. Sa taille totale est de 30,1 Go. Le nombre d’habitants en France, selon l’INSEE au 1er janvier 2024, de 68 373 433 personnes.
Les noms de fichiers avec l’extension « .txt » sont plus ou moins explicites quant à la possible origine des fuites : Lyca scrappe, Pandabuy-Email, darty.com, discorde 1-2024, dvm, electro-depot.fr, db-vandb, Snapchat SQL, frsfr, go-sport.com-export, intersport-scrapped.fr, ldlc, corsegsm.com, pinterest, minecraft.fr-forum, sfr.fr, shadow.tech.
(Crédits : Capture d’écran/Cybernews)
« Étant donné que la base de données est accessible au public depuis une longue période, il est très probable que d’autres acteurs malveillants ont déjà copié les données et pourraient les utiliser pour des activités criminelles », explique CyberNews. Les conséquences d’une telle base de données sont des attaques de spearphishing de plus en plus personnalisés, des détournements de comptes en ingénierie sociale et bien d’autres.
Une base de 50 000 dossiers de l’opérateur RED de SFR
« Cher client, le 3 septembre dernier, SFR a détecté un incident de sécurité portant sur un outil de gestion de commandes de ses clients. Cet incident a entraîné un accès externe non autorisé à des données personnelles vous concernant », explique l’opérateur à ses clients.
Les particuliers comme professionnels sont touchés. « Un groupe de hackers/cybercriminels/jeunes débutants dans la cybercriminalité française a publié l’équivalent de 900 Mo de données de l’opérateur SFR », écrit SaxX.
Les données concernées sont : prénom, nom, coordonnées renseignées au moment de la commande (numéro de téléphone, adresse électronique et postale, adresse de livraison le cas échéant), données contractuelles (offre souscrite, contenu de la commande), IBAN, ainsi que le numéro d’identification du terminal et de la carte SIM (pour les commandes de terminal mobile). SaxX relate sur le réseau X qu’« ils ont l’air vraiment très jeunes et ne sont pas encore rompus au code la cybercriminalité. » Il se questionne sur la compromission de techniciens chez l’opérateur ou encore de stealers.
La société évolue, le monde cybercriminel aussi.
(Crédits : capture d’écran/SaxX/X)
L’hygiène numérique se doit d’être une norme. « Les jeunes générations sont particulièrement vulnérables : 52 % des membres de la génération Z et 46 % des milléniaux ont déclaré avoir subi des pertes à la suite d’escroqueries en ligne », écrit ITSocial. La cyberattaque du ransomware, RansomHouse sur l’université Paris Saclay est un possible exemple. Une piqûre de rappel avec les conseils aux usagers, et en cas de doute, un tour du côté de l’ANSSI pour lire un document fort intéressant : le guide d’hygiène informatique.
Une opération conjointe des différentes forces de l’ordre permet de nouvelles arrestations dans le monde du cybercrime. Quatre personnes sont donc détenues. Deux individus le sont sur le sol britannique, un en France et le dernier en Espagne. L’implication de douze pays mène à la capture d’un développeur, un administrateur d’un service d’hébergement (Bullet proof hosting), et deux pour leurs soutiens à l’activité d’un affilié à la franchise. La Guardia Civil met la main sur neuf serveurs de l’infrastructure, mais surtout un membre clé de l’organisation.
En début d’année, la coopération plaçait hors d’état de nuire 34 serveurs du RAAS (ransomware-as-a-service) LockBit. Actif depuis 2019, il est reconnu comme le rançongiciel le plus nocif et le plus prolifique, juste avant que le ransomPlay ne le détrône. Un coup d’arrêt du à l’opération Cronos. C’est le jeu perpétuel du chat et de la souris entre les personnels des forces de l’ordre et les opérateurs du ransomware LockBit 3.0.
Quatre nouvelles arrestations contre LockBit 3.0
Comme les poupées russes, l’empilement des affaires conduit irrémédiablement à une fin annoncée, à moins que l’hydre survienne à sa légende. L’opération Cronos continue depuis les premières révélations en début d’année, jusqu’à ce jour du 1er octobre 2024 où des déclarations tonitruantes s’affichent partout. Ce qui est sûr est que les arrestations récentes concernant les ransomware LockBit et Evil Corp marquent une nouvelle étape dans cette lutte contre la cybercriminalité.
La capture qui revêt une importance notable est effectuée sur le sol espagnol, à Madrid. Un résident de Dubaï de retour de vacances, est accusé d’être l’administrateur du Bullet Proof Hosting, et placé en détention. Les autorités espagnoles confisquent, au passage neuf serveurs qui feraient partie de l’infrastructure critique du ransomware LockBit.
De l’autre côté des Pyrénées, c’est un développeur présumé qui est arrêté. Outre-Manche deux individus incriminés d’avoir soutenu un affilié au ransomware LockBit sont également détenus.
D’ailleurs, un grand nombre de sanctions sont, d’ores et déjà émises à l’encontre d’un autre acteur, identifié par la National Crime Agency du Royaume-Uni comme « un affilié prolifique de LockBit et fortement lié à Evil Corp ». Evil Corp est une autre entité cybercriminelle soupçonnée d’être soutenue par le Kremlin et bien connue des autorités internationales.
« Ces actions font suite à la perturbation massive de l’infrastructure de LockBit en février, ainsi qu’à l’importante série de sanctions et d’actions opérationnelles qui ont eu lieu contre les administrateurs de LockBit en mai et les mois suivants », indique Europol dans son communiqué. (Crédits : mansurtlyakov1/Pixabay)
L’affilié de LockBit lié à Evil Corp a été identifié comme étant Aleksandr Ryzhenkov AKA « Beverley ». Il est le bras droit connu du dirigeant d’Evil Corp, Maksim Yakubets. « Beverley » est selon la NCA l’auteur de 60 cyberattaques du ransomware LockBit extorquant au passage 100 millions de dollars à minima. En outre, Europol a déclaré que quinze citoyens russes ont été sanctionnés par le Royaume-Uni, six par les États-Unis et deux par l’Australie — tous pour leur implication dans les activités criminelles d’Evil Corp. Par ailleurs, mardi 2 mai 2024, le ministère américain de la Justice a également dévoilé un acte d’accusation incriminant Ryzhenkov dans le cadre des attaques contre BitPaymer.
L’opération « Cronos » à l’épreuve du temps
Le leader du ransomware LockBit est identifié par l’acte d’accusation du ministère de la Justice américaine et la NCA : Dmitry Yuryevich Khoroshev, ressortissant russe de 31 ans. « Il n’y a pas de cachette pour les cybercriminels comme Dmitry Khoroshev, qui font des ravages dans le monde entier. Il était sûr qu’il pouvait rester anonyme, mais il avait tort », explicite Graeme Biggar, directeur général de l’ANC.
Tout débute par l’opération Cronos. L’action coordonnée entre police et justice débouche à une mise hors ligne de 34 serveurs, en Europe, aux États-Unis et en Australie, le 19 février 2024. Une faille PHP est exploitée à l’insu du groupe de cybercriminels.
Le CEO du ransomware expliquait qu’en raison de sa négligence personnelle et de son irresponsabilité, il n’avait pas mis à jour sa version de PHP à temps. Si bien que les forces de l’ordre réussissaient à pénétrer dans le cœur du système d’information.
Puis l’arrestation de deux cybercriminels en Ukraine portait un coup notable. Les deux individus en question se chargent du blanchiment des rançons obtenues. Sans oublier le hacker russe de 28 ans arrêté en Ukraine suspecté d’avoir collaboré avec les cybercriminels des gangs Lockbit et Conti.
Si bien que la police britannique déclare avoir démasqué et réprimé le ressortissant russe Dmitry Khoroshev AKA LockBitSupp, administrateur et développeur du groupe de ransomware LockBit. L’acte d’accusation américain abonde en ce sens et révèle d’autres co-auteurs présumés, et Europol affiche des sanctions à l’encontre de la tête créatrice. La pression change de camp. (Crédits : capture d’écran/NCA)
Lors de la probité de l’action, la NCA indique que « l’opération Cronos a réussi à perturber le groupe LockBit Ransomware-as-a-Service. […] LockBit souffre aujourd’hui d’une capacité opérationnelle réduite, d’un engagement moindre de ses affiliés et d’un nombre réduit d’attaques. (Ce n’est pas un bon semestre pour LockBit !) LockBit a perdu des affiliés, dont certains se sont probablement tournés vers d’autres fournisseurs de Ransomware-as-a-Service à la suite de l’interruption de l’opération Cronos ».
Sanctions contre Evil Corp et LockBit
Evil Corp est l’un des premiers groupes de cybercriminalité financière. Depuis ces débuts, l’entité met au point des programmes malveillants. Leurs méfaits engendrent des dommages considérables « à de nombreuses organisations et à de nombreux secteurs, notamment les soins de santé, les infrastructures nationales critiques et le gouvernement, des infrastructures nationales critiques et des gouvernements. » Connue sous le nom d’Indrik Spider, cette entité fut présidée dans sa grande majorité par son fondateur Maksim Yakubets AKA « Aqua ». Il la dirige avec son père Viktor, selon la NCA.
Les États-Unis, le Royaume-Uni ainsi que l’Australie introduisent des sanctions contre seize personnes soupçonnées de faire partie du gang. Hors mis le père et le fils, les autorités s’intéressent à Aleksander Ryshenkov. En plus d’œuvrer pour Evil Corp, il aurait également des liens avec LockBit.
Deux individus avait plaidé coupable en juillet 2024. Selon les documents judiciaires, Magomedovich Astamirov, 21 ans, ressortissant russe de la République de Tchétchénie, et Mikhail Vasiliev, 34 ans, ressortissant canadien et russe de Bradford (Ontario), étaient membres de LockBit. Leurs condamnations devraient être connues le 8 janvier 2025. (Crédits : capture d’écran/NCA)
« La Russie continue d’offrir un refuge aux cybercriminels, où des groupes tels que LockBit sont libres de lancer des cyberattaques contre les États-Unis, leurs alliés et partenaires », avait affirmé un porte-parole du département du Trésor américain. Les forces de l’ordre analysent en continu les données afin d’identifier les individus soupçonnés d’être impliqués dans le ransomware LockBit. « Une fois de plus, nous remercions Dmitry Khoroshev, alias LockBitSupp, de nous avoir permis de compromettre sa plateforme et de découvrir toutes ces données juteuses (cela occupe nos équipes !). »
Veni, vidi…
La pression est donc mise sur l’ensemble de la chaîne de production. Sur l’ancien site de fuite de LockBit détenu par l’opération Cronos, le discrédit change la donne. En effet la pertinence des propos jette l’opprobre sur les criminels. La NCA partage des informations dans le post « What we’ve learnt ». Les images d’illustrations démontrent sans ambiguïté « les fautes techniques sur la gestion des effacements des enregistrements, dans la base de données ».
Les mots comme les bits ont un poids.
« […] nous avons obtenu 2 500 clés de décryptage, tous les noms d’utilisateur des affiliés de LockBit, les adresses BTC liées aux paiements des victimes et aux versements à LockBitSupp, toutes les négociations par chat (qui nous ont aidés à montrer quels affiliés travaillaient ensemble), tous les détails de la construction de l’attaque et quel affilié a attaqué quelle victime, le code source de la plateforme, le nouveau logiciel malveillant de LockBit en cours de développement, et bien d’autres choses encore », enfonce la NCA.
« Nous comprenons parfaitement la plateforme et son mode de fonctionnement […] Comme vous pouvez le constater, nous en avons déjà identifié quelques-uns, mais ce n’est qu’un début. » Avant de marteler que « LockBit vous a laissé tomber. Affiliés, développeurs et blanchisseurs d’argent, nous sommes impatients de vous retrouver très bientôt… »
(Crédits : capture d’écran/NCA)
Comme pour dévoiler la magie des Matriochkas l’agence britannique explique que « Aleksandr Ryzhenkov, né le 26 mai 1993, a été démasqué comme étant le membre d’Evil Corp affilié à LockBit. C’est grâce aux données obtenues dans le cadre de l’opération Cronos que nous avons pu établir ce lien. Nous continuerons à exploiter ces données jusqu’à ce que nous ayons identifié beaucoup d’autres d’entre vous », conclut l’agence nationale de lutte contre la criminalité.
Les dernières victimes de cyberattaques sur le sol ibérique sont la société Cortefiel (Tendam) et Alcampo (Auchan). L’Espagne fait l’amer constat d’avoir été la cible de 150 cyberattaques de natures importantes en 2023. L’une des plus grandes menaces est l’attaque cyber de type ransomware. L’importance est donc de militer pour l’octroi de moyens dans cette lutte. Pour que cela limite les cyberattaques, les fuites de données personnelles, tel que la compagnie de fourniture d’énergie Iberdrola et ses 850 000 clients ont subi.
Les cyberattaques sont désormais légion. Le nombre de groupes usant d’un ransomware se multiplie. Certains sont défavorablement connus tel LockBit, Ransomhub, Rhysida, Killsec, Qilin, Circada3301, Cactus, Akira, Bianlian, Play, BlackSuit… Les entreprises luttant contre ce fléau payent très cher cette expérience, certains en mettent la clef sous la porte, poussant le personnel à pointer à France Travail.
Medusa demande une rançon de 800 000 € à Cortefiel
La société Tendam qui possède Cortefiel, Hoss Intropia, Womensecret… confirme ce lundi 9 septembre 2024 avoir subi une cyberattaque. Le ransomware Medusa revendique et affiche sur son site de fuite le volume des données exfiltrées, la date butoir et le montant exigé.
« Au début de la matinée du 5 septembre, nous avons détecté un incident de sécurité sur les systèmes informatiques », communique un porte-parole.
La quantité colossale des informations, 724,59 GB touche l’Espagne, mais pas seulement. Le groupe a 1800 points de vente, du web au local. Elle possède des bureaux en Europe, au Mexique, mais également centres commerciaux au Bangladesh, Hong Kong et en Inde. L’ultimatum est fixé au 17 septembre 2024.
Cette société ibérique s’ajoute à la listen déjà longue des victimes de ce ransomware.
(Crédits : capture d’écran/Medusa)
À travers les cinq continents, les victimes se comptent. L’italien Pozzi, l’Éhpad Les Hortensias et la commune de Betton en France, mais aussi Banco Santander, Iberdrola. Ici encore, 850 000 clients voient leurs données se répandre sur le WEB.
Les chaînes d’approvisionnement d’Alcampo malmenées
C’est arrivé dans la nuit du dimanche 25 au lundi 26 août 2024 que l’incident se déroule. L’attaque se focalise sur les systèmes de commande des entrepôts. De ce fait, de nombreux produits venaient à manquer dans les magasins de la chaîne.
L’ouverture d’un nouvel entrepôt automatisé à San Fernando de Henares en juin faisait les titres de la presse ibérique en ce début d’année. C’est en période controversée du SARS-CoV-2 et des confinements que la vente en ligne faisait sa révolution. Ainsi, Alcampo signait en 2021 un accord avec la société britannique Ocado.
Le but est le développement du commerce en ligne. En début d’année le site FoodRetail révèle que le montant équivaut actuellement à 2,5 %. Antonio Valverde, directeur de Proximity Digital chez Alcampo déclarait : « Nous visons à ce que le commerce en ligne représente 13 % de nos ventes en 2027 ». (Crédits : Zarateman/Wikipedia)
Fin 2023, l’entreprise compte 79 hypermarchés, 323 supermarchés et 129 établissements franchisés, sans oublier les 52 stations-service. C’est pour cela qu’ils ne peuvent négliger l’importance de cette manne financière n’est pas mince. En 2023, la société prépara plus de 500 000 commandes, soit environ 26 millions d’articles. Alcampo a déclaré qu’à ce jour, rien n’indiquait qu’une quelconque fuite de données s’était produite. L’enquête est toujours en cours.
Le fournisseur d’accès à l’Internet Lagoon est victime d’une cyberattaque de type ransomware. L’offensive se serait déroulée dans la nuit de samedi à dimanche 18 août 2024. Le site du FAI est toujours hors service à l’heure actuelle. Les équipes techniques travaillent d’arrache-pied. Cette attaque vient confirmer le niveau des cyberattaques dans le monde. Mais c’est en particulier la somme totale que les victimes ont versée aux cybercriminels qui affolent les compteurs : 459,8 millions de dollars.
Les cyberattaques sont légion. Durant les JO de Paris2024, l’ANSSI a recensé 141 incidents de cybersécurité. Elles sont principalement des attaques DDoS bien gérées. En Nouvelle-Calédonie, il n’y a plus d’accès au site internet de Lagoon, et des victimes collatérales.
Lagoon hors service
Depuis lundi 19 août 2024, c’est le black-out, la panne complète : « Cyberattaque, le FAI Lagoon Offratel victime d’un rançongiciel », titre Radio Cocotier. Sport Eveil attitude explique que « notre opérateur internet LAGOON rencontre des difficultés et malheureusement nous ne sommes pas en mesure d’envoyer ou de recevoir des mails. » C’est le cas de nombreuses victimes collatérales.
Par un message sur Facebook, l’opérateur annonce à ses clients être victime d’attaque par ransomware. « Nous prenons cette situation très au sérieux et travaillons activement avec les autorités locales et nationales pour traiter cet incident. »
L’impact sur ses clients est en cours d’investigation. Ils sont à pied d’œuvre pour « rétablir nos services dans les plus brefs délais ». Le nom du gang de cybercriminels n’est pas connu.
Sur le deuxième point info, les courriels « @laggon.nc » ne sont plus accessibles. Mais il indique qu’il ne faut pas absolument pas débrancher le modem, ni l’éteindre.
Comme chaque entreprise victime, les lignes téléphoniques sont hors services. (Crédits : Capture d’écran/Lagoon Offratel)
Lorsque les hôpitaux sont victimes de cyberattaque, ils doivent faire face. Ils fonctionnent avec papier et crayon, pour maintenir l’offre de soins, jusqu’au rétablissement des dives systèmes d’information. Le FAI, Lagoon, indique que petit à petit, les clients recouvrent l’accès à l’Internet.
Près d’un demi-milliard de rançons
Comme explique Bill Toulas pour BleepingComputer, les victimes de ransomware ont versé 459 800 000 dollars lors du premier semestre. Si le paiement de rançons se maintient, la somme totale devrait établir un nouveau record. La comparaison avec 2023 s’appuie sur des attaques très médiatisées et préjudiciables. L’exploitation Cl0p du zero-dayMoveIT et l’exploitation par le groupe de ransomware ALPHV/BlackCat des propriétés hôtelières de Caesars, pour ne citer qu’eux.
L’année 2023 affiche un retour des ransomwares, mais c’est en particulier le total des rançons payées qui atteint des records. Selon Chainalysis, le montant des rançons payées passe de 220 millions de dollars en 2019 à 1,1 milliard en 2023.
Une entreprise du classement fortune 50 a versé 75 millions de dollars en 2024, cela fait suite à la cyberattaque du gang Dark Angels, selon le rapport de Zscaler. « 2024 devrait être l’année la plus lucrative à ce jour pour les paiements de ransomware, en grande partie parce que les souches mènent moins d’attaques très médiatisées, mais perçoivent des paiements importants », explique ChainAnalysis. Le rapport stipule aussi que les souches de ransomware les plus conséquentes ont sous-performé de 50,8 %. Ce qui est dû aux interventions des forces de Police (Alphv/BlackCat, Lockbit), avec une interruption temporaire ou définitive. (Crédits : MichaelWuensch/Pixabay)
La première partie du rapport continue en relevant que la rançon médiane versée est passée de 198 939 dollars au début de l’année 2023 à 1,5 million en juin 2024. Donc les groupes de cybercriminels « ciblent en priorité les grandes entreprises et les fournisseurs d’infrastructures critiques, qui pourraient être plus enclins à payer des rançons élevées en raison de leurs poches profondes et de leur importance systémique. » Moins d’attaque, mais plus ciblées, la chasse aux gros poissons (big game hunting), plus enclins à payer.
Une somme record pour le paiement d’une rançon. Elle est selon le rapport de Zscaler l’œuvre de l’organisation derrière Dark Angels. Une entreprise du classement Fortune 50 a versé 75 millions de dollars. L’attention de l’actualité se réfère aux groupes prolixes en contenus. Certains sont mis en lumière après les opérations des forces de l’ordre, d’autres en fonction des spécificités. Le ransomware Brain Cipher fait partie de la seconde catégorie. Ils sont crédités de la cyberattaque lors des JO de Paris2024, sur les musées.
Les différentes analyses et rapports montrent que l’année 2023 affiche un retour des ransomwares. C’est également le total des paiements qui atteint lui aussi des records. Selon Chainalysis, le montant des rançons payées passe de 220 millions de dollars en 2019 à 1,1 milliard en 2023. Après une hausse en 2020 (905 M$) et 2021 (983 M$), une chute significative est visible en 2022 (567 M$).
Le dernier et pas le moindre : Dark Angels
Le ransomware Dark Angels établit un nouveau record. Ils touchent une rançon de 75 millions de dollars (68,4 millions d’euros) en ce début d’année 2024. Ce groupe actif depuis mai 2022, a essuyé une tentative avortée sur la perception d’une rançon de 51 millions de dollars, en septembre 2023. Les différentes entités taisent le nom de l’entreprise victime. BleepingComputer rapporte que la société anonyme influente fait partie du classement Fortune 50. Bien que les différentes entités restent muettes, la multinationale pharmaceutique américaine Cencora est la seule compromise lors d’une cyberattaque, aux alentours du 21 février 2024.
Dans un article de Reuters, l’ampleur de la cyberattaque est revue à la hausse. La vente et la distribution de produits pharmaceutiques sur le sol des États-Unis représentent 20 % via Cencora.
Les clients de Cencora et sa filiale du groupe Lash, informent les procureurs généraux de la violation de données. Le 10 avril 2024, Cencora a confirmé que les données volées comportaient prénoms, noms, adresses, dates de naissance, diagnostics de santé et/ou des médicaments, des prescriptions. Sans la confirmation de l’entreprise, plus de deux douzaines de sociétés sont touchées (Abbot, Acadia pharmaceuticals Inc., Bayer Corporation, Pfizer Inc., Tolmar…).
Cyble Research Labs a identifié un nouveau ransomware en mai 2022. Des similitudes sont affichées avec le rançongiciel Babuk. À la différence des autres, Dark Angels semble créer une seule page par victime, qui est accessible à partir d’une adresse URL unique.
Leur évolution est considérable depuis leur émergence. L’attaque contre l’entreprise Johnson Controls « démontre leur approche sophistiquée, y compris l’utilisation du chiffrement AES-256, des mécanismes d’enregistrement détaillés et des arguments spécifiques pour la personnalisation », explique Avertium. (Crédits : capture d’écran/SentinelOne)
La cyberattaque du Grand Palais RMN attribué au ransomware Brain Cipher
L’offensive menée contre le Grand Palais Réunion des musées nationaux (RMN) touche une quarantaine d’établissements. Ce qui représente 36 boutiques-librairies d’autres musées et grands sites touristiques gérées par cet établissement, dont Versailles. Une enquête judiciaire est ouverte par le parquet de Paris pour « atteintes à un système de traitement automatisé de données ». Les investigations sont en cours.
Comme son confrère Dark Angels, Brain Cipher use d’un builder. Il utilise celui du ransomware LockBit 3.0, sans pour autant travailler pour la franchise. Il a depuis l’apparition de son site vitrine revendiqué la cyberattaque contre l’entreprise Caennaise Cyceron. Basé sur le campus EPOPEA, le centre de recherche abrite de nombreux laboratoires et équipements.
Plus au sud, c’est l’entreprise Fabamaq située au Portugal qui devrait voir ses données publiées sur le site vitrine de Brain Cipher. Le compte à rebours affiche un délai expirant le 31 août à 13 h, identiquement pour le groupe français Cyceron. L’entreprise portugaise est spécialisée dans le développement de jeux pour les casinos, tout comme les jeux de casinos en ligne. (Crédits : capture d’écran/BrainCipher)
Les jeux Olympiques de Paris 2024 mettent la capitale française sous les lumières des projecteurs. C’est l’événement sportif mondial attendu des dernières années. Il pourrait être aussi le plus exposé aux cyberattaques. Bien qu’il n’y ait pas besoin d’un tel événement pour que la France et ses entreprises soient ciblées. Des arrestations ont lieu en Espagne, avec trois personnes liées au groupe NoName057(16), un jeune de 17 ans qui échangeait données personnelles contre cryptomonnaie et au Royaume-Uni, un autre de 17 ans pour appartenance à Scattered Spider.
Alors que les jeux Olympiques de Paris 2024 ont commencé, malgré la densité des forces de l’ordre sur la capitale française, ils œuvrent encore partout ailleurs. En Espagne, comme en Angleterre ont eu lieu des arrestations.
Trois hacktivistes présumés de NoName057(16) arrêtés
La Guardia Civil arrête trois personnes en Andalousie à Séville, Huelva et au sein des îles Baléares à Manacor. Leurs domiciles perquisitionnés, du matériel informatique et divers documents d’intérêt ont été saisis.
Le trio d’individus est soupçonné d’avoir exercé des cyberattaques par déni de service distribué (DDoS). Les cibles sont des institutions stratégiques espagnoles, comme d’autres pays membres de l’OTAN.
Depuis le début du conflit armé entre l’Ukraine et la Russie, le groupe admet qu’il « répondra de manière proportionnée aux actions hostiles et ouvertement anti-russes des russophobes occidentaux », relate le manifeste fondateur.
L’entité mène des attaques DDoS contre des sites web d’organisations publiques comme privées. Ils visent notamment les secteurs gouvernementaux et infrastructures dites critiques. Tout ce qui est donc essentiel. (Crédits : interior.gob.es)
Ils usent de leur propre conception, DDoSia, pour les cyberattaques effectuées par le groupe NoName057 (16). Ainsi cet hacktivisme est dirigé vers les différents pays adoptant une position pro-Ukrainienne dans le contexte de ce conflit armé. Malgré l’arrestation des trois affidés présumés, les cyberattaque et revendication ne s’interrompent pas. « Another of our friends hacked the Spanish website of the Spanish company MONTAJES COFIVENT and mined the data😈 ». Avec à la clé 21 fichiers téléchargeables, dont treize semblent vides de la société ibérique Cofivent..
Les Mossos d’Esquadra arrêtent Alcasec à Madrid
Les Mossos d’Esquadra avec la Guardia Civil détiennent Alcasec, l’auteur présumé de cyberattaque de la compagnie Hola Luz en 2022. Son arrestation date du 18 juin 2024. L’intrusion non autorisée a eu lieu les 26 et 27 octobre 2022.
Le jeune homme est libéré il y a un an (2023), grâce à sa collaboration avec la justice. Il est l’auteur présumé du vol des données de 37 000 clients de l’entreprise Hola Luz. Données qu’il aurait ensuite vendues en échange de cryptomonnaies.
José Luis Huertas, 20 ans connu sous le pseudonyme d’Alcasec, est une troisième fois arrêté depuis ses seize ans en 2020.
Selon les forces de l’ordre, le suivi des paiements en cryptomonnaies a permis de découvrir son implication présumée dans la cyberattaque contre Hola Luz. Alcasec est d’ailleurs considéré comme un expert en cryptomonnaies. (Crédits : Mossos d’Esquadra)
Mis à la disposition de la justice espagnole le 19 juin 2024, le jeune homme est en détention provisoire dans l’attente de son procès. Il est soupçonné d’être derrière le moteur de recherche Udyat, l’Oeil d’Horus. Il permet d’obtenir des données personnelles et sensibles,
Scattered Spider, BlackCat et Quilin
Il y a presque un an, les casinos Caesar Palace et MGM Resorts aux États-Unis subissaient une cyberattaque. L’enquête a permis d’arrêter un suspect, en Angleterre. La police des West Midlands en collaboration avec le FBI détient un adolescent de 17 ans. « […] les chercheurs pensent que le groupe de pirates est composé d’adolescents et de jeunes adultes anglophones âgés de 16 à 22 ans », écrivait très justement Bleeping Computer.
« Nous avons arrêté un jeune homme de 17 ans originaire de Walsall en relation avec un groupe mondial de cybercriminalité en ligne, qui a ciblé de grandes organisations avec des ransomwares et a accédé à des réseaux informatiques », communique la police de West Midlands.
Microsoft affirme que Scattered Spider use du ransomware Qilin dans ses cyberattaques. En premier lieu, ils auraient utilisé le ransomware BlackCat avant Qilin. Ce dernier émerge la première fois en août 2022, sous le nom d’Agenda, puis rebaptisé un mois plus tard.
Le suspect a été placé en garde à vue. Il est soupçonné de chantage et d’infraction à la loi sur l’utilisation abusive de l’informatique (Computer Misuse Act). (Crédits : Linda78/Pixabay)
Le groupe cybercriminel Scattered Spider a ajouté le ransomware Qilin à ses outils et en use lors de ses attaques. « Au cours du deuxième trimestre de 2024, acteur de la menace motivé par des raisons financières, Octo Tempest, notre acteur de la menace de rançongiciel le plus étroitement suivi, a ajouté RansomHub et Qilin à leurs charges utiles de rançongiciel dans des campagnes », déclare Microsoft lundi 15 juillet 2024.
