Les actions contre les pirates du ransomware continuent de s’enchaîner. Après le démantèlement de l’infrastructure de REvil la semaine dernière et l’arrestation de deux gros bonnets en début du mois, les forces de l’ordre de huit pays, dont la France, ont de nouveau frappé. Le 26 octobre dernier, elles ont arrêté une douzaine de personnes en Ukraine en Suisse, suspectées d’avoir lancées des attaques de ransomware et fait plus de 1800 victimes dans 71 pays, pour un préjudice évalué à plus de 100 millions d’euros, selon un porte-parole de la police judiciaire. Parmi ces victimes figurent des infrastructures critiques et de grandes entreprises comme Norsk Hydro, société danoise spécialisée dans la production d’aluminium.
Les policiers ont pu saisir 52 000 dollars en cash, cinq voitures de luxe et du matériel informatique. Selon un communiqué d’Europol, les suspects étaient visiblement des affiliés de trois services de ransomware, à savoir Dharma, MegaCortex et LockerGoga. Ce dernier est connu pour avoir infecté la société française Altran en janvier 2019. On ne sait pas si les personnes arrêtées sont les auteurs de ce méfait, mais il se trouve que c’est la police française qui était à l’initiative de cette enquête en septembre 2019.
A découvrir aussi en vidéo :
Considérées comme des acteurs importants dans le milieu, les douze personnes arrêtées occupaient des rôles différents. Certains prenaient en charge la pénétration du réseau de la victime, avec des techniques comme le phishing, la force brute ou l’injection SQL. D’autres réalisaient les mouvements latéraux au sein de l’organisation, avec des outils tels que TrickBot, Cobalt Strike ou PowerShell Empire. Les pirates analysaient l’infrastructure de leurs victimes de façon méticuleuse pendant parfois des mois, afin de maximiser l’impact du ransomware. Les rançons étaient toujours en bitcoin et blanchies au travers de services spécialisés, capables de brouiller l’origine de la cryptomonnaie (« mixing services »).
Source : Europol, police norvégienne