Ils étaient les chasseurs, ils sont désormais les chassés. Le vent a tourné pour les cybercriminels de LockBit, visés en début de semaine par une importante opération policière internationale. Mardi midi, les polices anglaises, américaines et européennes – le Canada, le Japon, la Nouvelle-Zélande, la Suisse et l’Ukraine était également impliqués – se sont même permis de faire un pied de nez particulièrement féroce au gang de rançongiciel, la franchise mafieuse numéro un du moment, en détournant son site web consacré aux fuites de données.
Comme l’explique Europol, l’opération Cronos, son nom, a permis de perturber de manière importante les capacités de ce groupe criminel. La National Crime Agency, la police anglaise, a ainsi pris le contrôle de l’infrastructure technique de LockBit. Résultat, il est désormais possible de déchiffrer des fichiers qui auraient été verrouillés par le gang en se rendant notamment sur le site de l’initiative “No More Ransom”.
Deux arrestations
Les policiers – en France, les gendarmes de l’unité nationale cyber sont à la manœuvre – ont réussi également à saisir 34 serveurs et à geler plus de 200 comptes de crypto-monnaies liés à l’organisation criminelle. A la demande de la justice française, deux suspects ont enfin été arrêtés en Pologne et en Ukraine.
Le groupe criminel est visé depuis septembre 2020 par une enquête des gendarmes. Elle avait été ouverte par le parquet de Paris. Dans un décompte de juin 2023, le célèbre gang, qui avait par exemple ciblé Voyageurs du Monde ou l’hôpital de Corbeil-Essonnes, était jugé responsable de 11% des attaques par rançongiciel suivies par l’Anssi depuis 2020, soit un total de 69 raids.
La France avait déjà réussi à obtenir l’arrestation au Canada à l’automne 2022 de Mikhail Vasiliev, un hacker soupçonné d’être l’un des affiliés de LockBit. Ce dernier, visé également par une demande d’extradition américaine, vient tout juste de plaider coupable devant la justice canadienne.
Des affiliés historiques
Après la saisie du site de LockBit, deux autres suspects viennent d’être désignés par la justice américaine. Artur Sungatov et Ivan Kondratyev, deux ressortissants russes, sont soupçonnés d’être derrière de nombreuses attaques menées par LockBit aux Etats-Unis.
Un représentant du FBI a précisé à Cyberscoop qu’il s’agissait d’affiliés de la première heure du gang – Kondratyev serait “Bassterlord”, selon l’accusation, un internaute qui avait par exemple revendiqué une intrusion chez le géant de l’électronique TSMC. Au total, cinq personnes soupçonnées d’être liées au gang sont actuellement poursuivies par la justice américaine.
Certes, on ignore où vivent les deux Russes visés par le nouvel acte d’accusation. S’ils résident dans leur pays, il est peu probable qu’ils soient extradés. Mais après ce coup d’éclat policier, la réputation du groupe cybercriminel, qui pourrait relancer rapidement un nouveau site vitrine, vient d’en prendre un coup. Et s’il est probable que d’autres franchises mafieuses comblent rapidement le vide, les cybercriminels vont avoir besoin d’un peu de temps pour relancer leurs extorsions.
Suites à attendre
Car d’autres arrestations pressenties dans les mois qui viennent pourrait à nouveau rebattre les cartes. Comme l’a rappelé Europol, “une grande quantité de données sont désormais en possession des forces de l’ordre”. Ces dernières devraient donner un important coup de pouce aux investigations visant à identifier les dirigeants du gang, ses développeurs, ses affiliés, ou encore ses banquiers dédiés au blanchiment.
Une page du site saisi par les polices laisse par exemple entendre que l’identité de LockBitSupp, le leader du gang, pourrait être dévoilée dans la semaine, ou tout au moins faire l’objet d’une forte récompense. De même, les affiliés tentant de se connecter au panel d’administration voyaient un message policier s’affichant, ce dernier soulignant que des correspondances privées étaient désormais en possession des forces de l’ordre, relevait le compte X de chercheurs en sécurité informatique VX-Underground.
LockBit était apparu en septembre 2019. Alors connu sous le nom d’ABCD Ransomware, il était devenu en quelques années la franchise numéro un de cette industrie criminelle. Une position au sommet qui flattait l’ego de ce gang aux allures de start-up, à la fois avide de notoriété et d’innovation. Les cybercriminels avaient par exemple lancé un programme de bug bounty.
Assez classiquement, LockBit louait son infrastructure contre un pourcentage, généralement 25%, des rançons obtenues. Le gang rançonnait ses victimes grâce à une double ou une triple extorsion – un chiffrement des fichiers, une menace de divulgation des données volées et des attaques en déni de service. Selon le décompte de la justice américaine, les cybercriminels auraient visé plus de 2000 victimes et obtenu plus de 120 millions de dollars de rançon, causant au passage des milliards de dollars de dégâts.