Comment les groupes Rançonlogiciel s'appuient sur des données bon marché (volées) pour lancer des campagnes d'extorsion

Lockbit, le syndicat de Rançonlogiciel le plus prolifique au monde, a reçu 91 millions de dollars de rançons depuis 2020, selon un avis conjoint publié en juin 2023 par l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA). Rien qu'au cours des six derniers mois, ses victimes apparentes ont été le Royal Mail britannique, un fournisseur de SpaceX, près de 9 millions de clients de MCNA Dental, le plus grand assureur dentaire américain, et, début juin, le plus grand fabricant de fermetures à glissière au monde.

Analyse par TRM Labs indique que Lockbit et d'autres grands groupes de Rançonlogiciel qui extorquent des millions à leurs victimes s'appuient sur des données volées achetées à bas prix sur des places de marché en ligne spécialisées, qui traitent souvent exclusivement en crypto-monnaies. Sur ces plateformes, un identifiant de compte piraté de "bonne qualité" peut être acheté pour seulement 10 USD.

L'analyse par TRM de l'activité sur la chaîne montre qu'en février 2023, peu avant de pénétrer dans MCNA Dental, Lockbit a effectué deux dépôts relativement modestes à Russian Market - un vendeur sur le darknet de ce que l'on appelle les "stealer logs", qui comprennent des informations volées sur le navigateur web, y compris des données stockées et certains détails de l'appareil. Compte tenu de l'importance des dépôts, ces paiements auraient pu permettre à Lockbit d'acquérir les données de plus de 100 comptes compromis. 

Ce paiement indique que LockBit est susceptible d'acheter des données compromises sur des marchés en ligne tiers tels que Russian Market pour mener à bien ses activités malveillantes. 

Comme le montre le graphique ci-dessous, une adresse de paiement LockBit, qui a reçu des paiements de victimes de rançons, envoie des fonds à deux adresses : une adresse d'affilié et une adresse de développeur. Un affilié de Rançonlogiciel est une entité qui loue l'accès aux plateformes de Rançonlogiciel(RaaS). Un développeur de Rançonlogiciel développe et maintient le logiciel malveillant.

La répartition observée dans cet échange, où l'affilié reçoit 80 % des fonds et le développeur les 20 % restants, est typique des relations développeur/affilié. Dans ce cas, l'adresse de l'affilié envoie des fonds à Russian Market afin de réapprovisionner le compte.

Russian Market, qui a été lancé en 2022, offre aux utilisateurs la possibilité de commander à l'avance des informations d'identification volées pour une organisation spécifique. Les clients qui maintiennent un solde minimum de 1 000 USD sur leurs comptes sur la plateforme ont la possibilité de soumettre une liste de domaines qu'ils souhaitent cibler. Ils recevront alors des notifications préalables concernant la disponibilité des journaux associés à ces domaines. Un accès anticipé aux logs relatifs aux domaines spécifiés est accordé à ces clients avant que les logs ne deviennent accessibles à l'ensemble du marché. Ce service n'est assorti d'aucune garantie, mais il permet aux cybercriminels de passer d'attaques opportunistes à des attaques plus ciblées. En novembre 2022 et janvier 2023, LockBit a effectué des transactions dont les montants sont supérieurs ou égaux au solde minimum requis, ce qui indique une utilisation du service.

L'enquête de TRM sur la chaîne montre que LockBit a envoyé des fonds à Russian Market chaque mois depuis novembre 2022, vraisemblablement pour acheter des données. En novembre 2022 et janvier 2023, LockBit a effectué des transactions avec des montants supérieurs ou égaux au solde minimum requis indiquant l'utilisation du service.

À la suite du démantèlement de Genesis Market, une place de marché en ligne accessible uniquement sur invitation qui vendait des identifiants de comptes volés, Russian Market a connu un regain de popularité. Les forums du dark web bruissent de discussions sur les autres sources d'achat de logs après la disparition de Genesis. 

Actuellement, Russian Market et 2easyShop sont les principaux concurrents sur le marché. Cependant, 2easyShop a acquis une mauvaise réputation auprès des cybercriminels qui, selon des forums populaires de cybercriminalité, accusent le site d'activités d'escroquerie . Selon ces forums, le piètre service clientèle de 2easyShop et la mauvaise qualité des données rendent les journaux achetés invalides, ce qui confère un avantage commercial à Russian Market dans le sillage du démantèlement de Genesis. 

Depuis la disparition de Genesis, Russian Market fait l'objet d'une attention particulière et a été mentionné à de nombreuses reprises sur les forums de cybercriminalité. En outre, on a constaté une augmentation des canaux Telegram dédiés qui facilitent la vente de produits similaires. En fait, le démantèlement de Genesis a déclenché un effet Hydra, dans lequel l'élimination d'une entité entraîne l'émergence de multiples autres. Une chose est sûre, tant qu'il y aura une demande de la part des acteurs du Rançonlogiciel , nous continuerons à assister à une prolifération d'entreprises qui les servent et qui se battent pour obtenir des parts de marché.

Le 15 juin 2023, le ministère américain de la justice a annoncé l' inculpation de Ruslan Magomedovich Astamirov, un ressortissant russe, pour son implication dans le déploiement de nombreux LockBit Rançonlogiciel et d'autres cyberattaques. Selon la plainte, les acteurs de LockBit ont exécuté plus de 1 400 attaques contre des victimes aux États-Unis et dans le monde entier, émettant plus de 100 millions de dollars de demandes de rançon et recevant au moins des dizaines de millions de dollars en paiements effectifs de rançon effectués sous forme de bitcoins. Dans un cas au moins, les services répressifs ont pu retracer une partie du paiement de la rançon d'une victime à une adresse en monnaie virtuelle contrôlée par Astamirov.

Cette annonce fait suite à l'inculpation de LockBit dans deux autres affaires du district du New Jersey. En novembre 2022, le ministère a annoncé l'inculpation de Mikhail Vasiliev, qui possède la double nationalité russe et canadienne et qui est actuellement détenu au Canada dans l'attente de son extradition vers les États-Unis. En mai 2023, DOJ a annoncé l'inculpation de Mikhail Pavlovich Matveev, pour sa participation présumée à des conspirations distinctes visant à déployer des variantes de LockBit, Babuk et Hive Rançonlogiciel contre des victimes aux États-Unis et à l'étranger.

Cette affaire est un autre excellent exemple de coopération et de coordination au niveau fédéral, étatique et mondial entre le DOJ États-Unis, le FBI, la police de Jersey City, la police de l'État du New Jersey, l'IRS Investigation, le Centre européen de lutte IRS cybercriminalité d'Europol, Eurojust, l'Agence nationale de police du Japon, le Commandement du cyberespace de la Gendarmerie nationale de France, la National Crime Agency et la South West Regional Organized Crime Unit du Royaume-Uni, la Kantonspolizei Zürich de Suisse, le Landeskriminalamt Schleswig-Holstein et le Bundeskriminalamt d'Allemagne, et l'Autorité de police suédoise de Suède.

‍

‍