Ransomware : arrestations et … nouveaux groupes

Les autorités des 4 coins de la planète ont réussi à faire taire plusieurs pirates informatiques, utilisateurs de ransomwares. Pendant ce temps, d’autres s’amusent sur des bateaux de luxe au large de la Turquie et de la Crimée ou créé de nouveaux groupes aux dizaines de victimes.

On ne peut que se féliciter des dernières actions des autorités judiciaires à l’encontre d’utilisateurs de ransomwares. Ukraine, Canada, Suisse, Allemagne … La police a mis la main sur des opérateurs de ransomwares, des « fournisseurs » de sites faillibles ou des « blanchisseurs » de cryptomonnaie. Bref, de quoi espérer un peu de calme pour les fêtes de fin d’année. Comme le dit l’adage « l’espoir fait vivre »… mais malheureusement les ransomwares aussi. Plusieurs groupes ont vu le jour ses dernières semaines et leur appétit ne cesse de croitre.  Un chiffre du département du Trésor américain montre à quel point le phénomène est important aujourd’hui : les pirates informatiques ont volé au moins cinq milliards de dollars en quelques années grâce à des ransomwares. Le groupe REvil, que le FBi semble avoir en parti démantelé avec une vraie coopération internationale, est connue pour ses exigences incroyablement élevées afin de décrypter à nouveau les données : le précédent record était de 70 millions de dollars américains. A noter que l’un des « boss » présumé de REvil roule en BMW surpuissante et ne quitte plus sa ville Russe. On comprend mieux l’appel à la coopération USA/Russie pour lutter contre cet amateur de vacances en Crimée !

BlackMatter

25 victimes, dont la société française La Martiniquaise, spécialisée dans les spiritueux ou encore le canadien Armour Transportation Systems. Spécialiste du transport de la côte Est Canadienne. Les pirates stockent les données sur plusieurs clouds, afin de rendre très compliqué la destruction des stockages.

Avos Locker

Le Canada, justement, la grande passion de nombreux groupes de rançonneurs. Le pays est connu pour avoir des entreprises préférant payer le silence des pirates. Les pirates d’Avos, par exemple, affichent ces derniers jours pas moins d’une dizaine de Cousins du Grand-Nord : Memory Express ; Amphenol Canada ; Société de transport de l’Outaouais ; Whitefish River First Nation ou encore le spécialiste de l’or, Troilus Gold. Une fois encore, c’est le pillage total des cibles par les hackers malveillants : ressources humaines, clients …

Conti

Le plus « vieux » actifs de ces groupes, CONTI, reste aussi le plus actif et gourmands. Plus de 150 victimes connues, rien que pour le mois d’octobre. Ici aussi, le Canada est en tête de gondole avec, par exemples : Beedie, Major Wire, Nakisa, SPF Precut, Agence Goodwin, Office Star Products. Conti affiche un tableau de chasse qui dépasse les « anciens » du milieu comme Maze avec plus de 600 victimes connues et mises en pâtures dans le darkweb.

Parmi les victimes, la société JVC Kenwood. Son exemple est intéressant à suivre.

Une société de cybersécurité a voulu se faire de la publicité sur ce cas et à fourni, à une rédaction, des captures écrans de la discussion de CONTI avec JVC Kenwood. « Nous avons constaté que notre chat avec JVC Kenwood, que nous avons frappé il y a une semaine, a été rapporté aux journalistes. Malgré ce qui est dit dans l’article, les négociations se déroulaient conformément à une opération commerciale normale. Cependant, comme la publication a eu lieu au milieu des négociations, nous avons décidé de mettre fin aux négociations et de publier les données« .

Bilan, CONTI menace de diffuser les données en cas de révélation dans la presse. Même quand l’entreprise a payé la rançon : « Si cela se produit après que la rançon a déjà été payée par la cible qui a partagé nos discussions, nous viderons les fichiers de quelqu’un d’autre en guise de représailles.« 

Grief, LockBit 2.0, Spook et compagnie

Quatrième groupe très présent, Grief, et une cinquantaine de victimes en quelques semaines. LockBit 2.0 et ses quelques 300 victimes directes (227 publiques) dont l’aéroport croate Rijeka International Airport. Le dernier « Ghost » malveillant de ce mois d’octobre, le groupe Spook. Fait intéressant, ils ont disparu il y a quelques jours alors qu’il n’a à peine que deux mois de vie (aperçu la première fois par votre serviteur fin août 2021). Ils affichaient, le 19 octobre, plusieurs dizaines de victimes, dont le groupe hôtelier de luxe français « Paris Society » ou encore le spécialiste des experts comptables NeoFidelys. Spook semble partager (en plus des idées nauséabondes, Ndr) des hommes et du code des familles de ransomware Prometheus et Thanos.

Je finirai avec Everest. Ce groupe exploite et commercialise des données tirées de ransomwares gérés par des « partenaires« . Ce groupe, soi-disant mort, semble avoir survécu à Halloween et annonce proposer des informations concernant un accès à un site du gouvernement américain. « Un grand nombre de passeports, de documents fiscaux, de dossiers judiciaires … » Everest explique commercialiser un accès administrateur.