Le Ministère de la Justice récupère un paiement de ransomware

Le ministère de la Justice US a annoncé qu’il était en mesure d’annuler les paiements de rançongiciels payés par des entreprises médicales du Kansas et du Colorado.

Le ministère de la Justice américain a annoncé une plainte déposée dans le district du Kansas pour confisquer la crypto-monnaie payée en rançon à des pirates qui seraient proches de la Corée du Nord. Les fonds saisis s’élèvent à un demi-million de dollars américains. L’argent proviendrait de prestataires médicaux basés au Kansas et au Colorado.

Grâce au signalement rapide et à la coopération d’une victime, les procureurs du FBI et du ministère de la Justice ont perturbé les activités d’un groupe parrainé par l’État nord-coréen. Le ransomware est connu sous le nom de Maui.

Ce code pirate est apparu en 2021. Contrairement au ransomware que nous voyons habituellement, Maui n’a jamais été vendu ou proposé à des affiliés en tant qu’outil de ransomware-as-a-service (RaaS). Il est développé et utilisé de manière privée. C’est pour cela que des experts estiment qu’il est soutenu par un État.

Corée du Nord derrière les attaques

Selon des documents judiciaires, en mai 2021, des pirates nord-coréens ont utilisé une souche de ce ransomware Maui pour chiffrer les fichiers et les serveurs d’un centre médical du district du Kansas. Après plus d’une semaine de blocage, l’hôpital du Kansas a payé environ 100 000 $ en Bitcoin pour retrouver l’usage de ses ordinateurs et de son équipement. Le centre médical du Kansas a informé le FBI et coopéré avec les forces de l’ordre, l’Agence Fédérale d’Investigation a pu identifier le rançongiciel nord-coréen et retracer la crypto-monnaie jusqu’aux blanchisseurs d’argent. La lessiveuse était basée en Chine.

Suivre l’argent

En avril 2022, le FBI a observé un versement d’environ 120 000 $ en Bitcoin sur l’un des comptes de crypto-monnaie saisis identifiés grâce à la coopération de l’hôpital du Kansas. L’enquête suivante a confirmé qu’un prestataire médical du Colorado venait de payer une rançon après avoir été piraté, toujours par le rançongiciel Maui. En mai 2022, le FBI a saisi le contenu de deux comptes de crypto-monnaie qui avaient reçu des fonds des prestataires de soins. Le district du Kansas a alors entamé une procédure pour confisquer les fonds des pirates et restituer l’argent volé aux victimes.

L’argent récupéré fait penser à l’affaire la plus connue dans ce sujet : Colonial Pipeline. Autre récupération, celle de l’Université de Maastricht aux Pays-Bas. Une cyberattaque, en décembre 2019, et une rançon de 197 000 euros en Bitcoin. Une partie de cette rançon a été récupérée en 2020. Le blanchisseur était basé en Ukraine. A l’époque, le prix du Bitcoin avait explosé et l’université avait récupéré 500 000 dollars.

Ces quelques affaires sont rares. Elles ne se produisent qu’en de rares occasions. Il reste évident de s’abstenir de payer des rançons. Cela ne garantit pas que vous récupérerez vos données, ni ne vous libère des coûts de récupération (renforcer votre système, assurance, stockages, Etc.), et cela vous marque comme cible d’attaques répétées comme nous avons pu le voir avec une grand constructeur de jouets, en décembre 2022.