Les agences mondiales d'application de la loi démantèlent les services de cybercriminalité Cracked and Nulled

Le 9 janvier 2024, les autorités policières internationales ont annoncé la perturbation et le démantèlement des places de marché cybercriminelles Cracked et Nulled dans le cadre de l'opération Talent, un effort coordonné impliquant le Department of Justice américain Department of Justice, Europol et des agences d'Italie, d'Australie, de France, d'Allemagne, de Grèce, d'Italie, de Roumanie et d'Espagne. 

Ces plateformes, qui fonctionnent depuis des années, facilitent la vente illégale d'identifiants de connexion volés, de logiciels piratés, d'outils de piratage et de données financières, attirant ainsi des millions de cybercriminels dans le monde entier. À lui seul, Cracked comptait plus de quatre millions d'utilisateurs enregistrés, ce qui en faisait l'une des plus grandes places de marché illicites pour les produits liés à la cybercriminalité. Les services répressifs se sont attachés à cibler non seulement les plateformes elles-mêmes, mais aussi l'infrastructure sous-jacente, les administrateurs et les réseaux financiers qui les maintiennent opérationnelles.

‍

"Les forces de l'ordre allemandes et nos partenaires continueront à travailler pour protéger les gens contre les acteurs de la cybercriminalité", a déclaré Jana Ringwald, procureur principal chargé de la cybercriminalité au bureau du procureur général de Francfort, en Allemagne, à TRM. "Les autorités allemandes, américaines et Europol ont joué un rôle majeur dans le démantèlement, mais celui-ci n'aurait peut-être pas été possible sans l'aide des autorités italiennes et les contributions de l'Espagne, de la Grèce et de la Roumanie.

Les forces de l'ordre ont saisi plusieurs domaines liés à Cracked et Nulled, coupant ainsi l'accès aux places de marché. Ces domaines hébergeaient d'énormes quantités de données volées et d'outils de piratage illicites, ce qui en faisait des nœuds essentiels de l'écosystème cybercriminel mondial. Les services répressifs ont eu recours à des ordonnances judiciaires et à des mandats internationaux pour obliger les hébergeurs à fermer ces sites, empêchant ainsi les cybercriminels de poursuivre leurs activités. 

Certains des serveurs saisis contenaient des historiques détaillés de transactions, des enregistrements d'utilisateurs et des journaux de communication cryptés, fournissant aux autorités des preuves essentielles pour les enquêtes en cours. L'opération a également comporté des perquisitions physiques et des investigations numériques afin d'obtenir des informations supplémentaires sur les administrateurs des places de marché et leurs opérations financières.

Cracked et Nulled fonctionnaient de la même manière que d'autres services de cybercriminalité. Les services de cybercriminalité, comme Cracked et Nulled, opèrent par l'intermédiaire de réseaux et de forums clandestins, offrant des outils et des compétences illicites à des clients payants, souvent dans le cadre d'un modèle de Cybercrime-as-a-Service (CaaS). Ces services permettent même à des personnes peu qualifiées de lancer des cyberattaques sophistiquées.

Ces services sont commercialisés sur des forums de cybercriminalité, des places de marché du darknet et des applications de messagerie cryptées telles que Telegram et Discord, les transactions étant principalement effectuées en crypto-monnaies. Contrairement aux marchés du darknet, qui se concentrent sur la vente de biens physiques et numériques, les services de cybercriminalité fournissent des capacités d'attaque et des outils de fraude, souvent sur la base d'un abonnement ou par le biais d'accords de partage des bénéfices. Les organismes d'application de la loi, notamment le FBI et Europol, ciblent de plus en plus ces opérations par le biais d'infiltrations, d'analyses de la blockchain et de saisies d'infrastructures, mais l'économie de la cybercriminalité continue d'évoluer, les criminels s'adaptant en décentralisant leurs opérations et en passant à des technologies plus difficiles à tracer.

L'opération FBI contre Qakbot, un botnet sophistiqué actif depuis 2008 et utilisé par de nombreux groupes de Rançonlogiciel , dont Conti, ProLock et REvil, est l'une des plus importantes opérations menées récemment dans l'écosystème de la cybercriminalité. Qakbot a infecté des centaines de milliers d'ordinateurs dans le monde entier, agissant comme un courtier d'accès initial qui a permis aux cybercriminels de prendre pied dans les réseaux compromis, permettant ainsi d'autres déploiements de Rançonlogiciel et des fraudes financières. 

En août 2023, les forces de l'ordre des États-Unis et des partenaires internationaux ont réussi à infiltrer l'infrastructure de Qakbot, redirigeant les ordinateurs infectés par des logiciels malveillants vers des serveurs FBI et démantelant efficacement le botnet. Dans le cadre de cette opération, les autorités ont saisi environ 8,6 millions d'USD en crypto-monnaies illicites, perturbant ainsi les opérations financières des groupes cybercriminels qui s'appuient sur les services de Qakbot. Ce démantèlement a démontré l'efficacité croissante de la combinaison des techniques traditionnelles d'application de la loi avec l'blockchain intelligence et la criminalistique numérique, montrant que même les réseaux de cybercriminalité les plus ancrés sont vulnérables aux efforts coordonnés d'application de la loi à l'échelle mondiale.

Pour en savoir plus, lisez l'étude de cas approfondie de TRM avec le FBI sur le démantèlement de Qakbot ici.

Outre les démantèlements d'infrastructures, les forces de l'ordre ont ciblé les réseaux financiers qui soutenaient Cracked et Nulled, en gelant les fonds illicites et en traçant les transactions à travers les systèmes bancaires traditionnels et les canaux de crypto-monnaies. Les enquêteurs ont utilisé des outils de blockchain intelligence pour suivre les flux d'actifs numériques et identifier les portefeuilles dans lesquels les cybercriminels ont stocké le produit de transactions illicites. Les autorités ont également travaillé avec les processeurs de paiement et les institutions financières pour saisir les fonds et bloquer les transactions futures liées à ces places de marché. Cette stratégie a effectivement paralysé la capacité de Cracked et Nulled à opérer, garantissant que même si les sites étaient déplacés, ils n'auraient pas les ressources financières nécessaires pour se reconstruire. Europol et ses partenaires ont simultanément procédé à des arrestations, des interrogatoires et des analyses médico-légales afin d'identifier et d'appréhender les principales figures impliquées dans la gestion des plateformes.

Le dernier Crypto Crime Report de TRM souligne que si le pourcentage global du volume de crypto-monnaies illicites reste inférieur à 1 % du total des transactions, les places de marché du darknet, les acteurs du Rançonlogiciel et les syndicats de cybercriminels continuent d'évoluer. L'utilisation croissante de monnaies privées comme Monero et l'adoption de techniques de blanchiment entre chaînes posent de nouveaux défis aux enquêteurs. La saisie de Cracked et Nulled marque une victoire importante dans la lutte actuelle contre la cybercriminalité financière, démontrant la capacité croissante des services répressifs internationaux à traquer, perturber et démanteler des réseaux cybercriminels sophistiqués en coordonnant des actions de répression à l'échelle mondiale, en tirant parti de la criminalistique numérique avancée et en supprimant les ressources financières qui soutiennent ces opérations.