Un homme soupçonné d’être développeur pour le groupe Lockbit, considéré il y a encore un an comme l’un des acteurs majeurs de la cybercriminalité, a été arrêté à la demande des autorités françaises, ont annoncé mardi 1er octobre la Grande-Bretagne et Europol.
Les autorités britanniques ont également interpellé deux personnes soupçonnées de complicité avec Lockbit tandis qu’un quatrième homme a été arrêté en Espagne ; neuf serveurs y ont également été saisis par les autorités. Ce dernier est soupçonné d’avoir hébergé une partie de l’infrastructure technique de Lockbit et d’être l’administrateur d’un service « bulletproof » – c’est à dire un hébergeur ne se pliant pas aux réquisitions judiciaires.
Les groupes spécialisés dans le rançongiciel s’introduisent dans les réseaux informatiques d’entreprises, collectivités et hopitaux pour y déployer un logiciel paralysant la plupart de leurs machines, proposant aux victimes de récupérer leurs fichiers en échange d’une rançon. Ces pirates font en outre souvent planer la menace de la publication en ligne de documents confidentiels dérobés au moment de l’attaque.
De tous les groupes usant de ce mode opératoire, Lockbit s’est imposé, ces dernières années, comme l’un des plus virulents. Le gang a ainsi été identifié derrière de nombreuses attaques à but crapuleux en France, dont celle ayant visé l’hôpital de Corbeil-Essonnes en 2022. Au plus fort de sa capacité de nuisance, le groupe avait démultiplié sa force de frappe en recrutant plus d’une centaine d’affiliés, des pirates menant des attaques pour le compte du « vaisseau-mère » en échange d’une infrastructure technique considérée comme de haut vol.
Des sanctions contre le groupe Evil Corp
En février, les autorités de onze pays dont la France avaient déjà dévoilé l’opération Cronos, une série d’actions visant Lockbit et ayant mené, à l’époque, à la saisie d’une partie de l’infrastructure technique des pirates et infligé un revers sévère aux administrateurs. Les autorités américaines avaient également identifié et dévoilé les actes d’inculpation de deux affiliés présumés du groupe, Artur Sungatov et Ivan Kondratyev.
En mai, Cronos avait ensuite permis d’identifier « LockBitSupp », fondateur et cerveau présumé du groupe, connu pour ses prises de bec sur les forums de discussion cybercriminels et sa confiance en lui débordante. Les autorités américaines, australiennes et britanniques le suspectent alors d’être le citoyen russe Dmitry Khoroshev. Visé par un acte d’inculpation américain, il aurait empoché, depuis les premières actions de Lockbit en 2019, plus de 100 millions de dollars du fait de ses activités criminelles.
Publiquement, « LockBitSupp » a toujours nié être la personne identifié par les autorités, tout en reconstruisant petit à petit l’infrastructure du groupe. Si Lockbit est toujours actif et revendique régulièrement de nouvelles victimes, il est largement soupçonné de gonfler ses chiffres, agrégeant notamment à son tableau de chasse des victimes d’attaques anciennes.
Mardi, les autorités britanniques, australiennes et américaines ont également annoncé une série de sanctions visant les membres présumés d’Evil Corp, un gang cybercriminel russe rendu célèbre pour ses attaques menées avec des logiciels malveillants comme Dridex ou encore Zeus. Les enquêteurs ont découvert qu’un membre haut placé d’Evil Corp, Aleksandr Ryzhenkov, avait également agi en tant qu’affilié de Lockbit. Et ce alors qu’Evil Corp est soupçonné d’avoir entretenu des relations fortes avec les autorités russes.