Pleins feux sur KillNet : Le groupe cybercriminel qui collecte des fonds pour la guerre de la Russie en Ukraine

KillNet est un groupe cybercriminel pro-russe qui opère depuis 2021. Au départ, KillNet s'est présenté comme un groupe MaaS (Malware-as-a-Service) proposant des services d'attaques par déni de service (DDoS), qui ciblent les sites web en les surchargeant de requêtes. Bien que ces attaques n'affectent pas la confidentialité ou l'intégrité des données, elles constituent une menace importante pour les opérations quotidiennes des victimes et entraînent souvent des pertes financières et de réputation.

Après l'invasion de l'Ukraine par la Russie en février 2022, le champ d'action de KillNet s'est élargi de deux manières essentielles. KillNet a commencé à utiliser les crypto-monnaies pour collecter des fonds destinés à l'effort de guerre russe. Il a également commencé à cibler des entités gouvernementales et des infrastructures critiques dans les pays qui s'opposaient à l'invasion, par le biais d'attaques DDoS contre la Lituanie, la Pologne, le Japon, la Norvège, la République tchèque, la Moldavie et les États-Unis, entre autres.  

L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) décrit KillNet comme une "menace importante pour les infrastructures critiques américaines". TRM a également trouvé des preuves sur la chaîne que KillNet a interagi avec Bitzlato - la bourse de crypto-monnaie que le Department of Justice et le ministère américain du Trésor ont accusé de blanchiment d'argent en janvier pour avoir facilité le financement illicite de la Russie.

Voici les cinq points essentiels à connaître sur KillNet :

1. KillNet sollicite des dons en crypto-monnaie sur Telegram 

KillNet est très présent sur Telegram - avec près de 100 000 adeptes en janvier 2023 - qu'il utilise pour solliciter des dons en crypto-monnaies pour les forces russes combattant en Ukraine. Les portefeuilles de crypto-monnaies attribués à KillNet - où les donateurs étaient invités à envoyer des fonds pour soutenir la Russie - ont accumulé plus de 280 000 USD depuis l'invasion de l'Ukraine en février 2022.        

KillNet sollicite des dons dans diverses crypto-monnaies, notamment BTC, Monero, USDT et Ethereum. Une enquête plus approfondie a permis d'identifier que KillNet a converti des crypto-monnaies en près de 35 000 USD par l'intermédiaire d'échanges situés en Europe de l'Est, connus pour leurs faibles exigences en matière de connaissance du client (KYC). 

‍2. KillNet prétend utiliser les dons pour fournir de l'équipement aux troupes russes combattant en Ukraine

KillNet soutient vocalement les opérations militaires de la Russie en Ukraine et prétend fournir du matériel aux troupes. Par exemple, en octobre 2022, Killnet a publié des photos qui semblent montrer des forces spéciales russes utilisant des jumelles télémétriques données par le groupe et étiquetant les munitions avec la mention "KillNet" pour montrer leur reconnaissance. 

3. KillNet a des liens avec un important marché pro-russe du darknet.

KillNet s'est associé à Solaris, un marché du darknet (DNM) qui a également exprimé son soutien au gouvernement russe après être arrivé sur la scène au début du mois de mai 2022 , un mois seulement après la chute d'Hydra Market. Solaris était devenu l'un des plus grands marchés russophones du darknet, mais il a été considérablement affaibli à la suite d'une attaque présumée d'un DNM rival.

Bien que la nature exacte de la relation entre KillNet et Solaris ne soit pas claire, TRM a constaté que près de 50 000 USD ont été envoyés directement à KillNet à partir d'une adresse associée à Solaris en octobre 2022. 

Entre-temps, KillNet a prétendu mener des cyberattaques contre un rival connu de Solaris. Le 19 août 2022, KillNet a déclaré sur Telegram qu'il avait attaqué RuTor, un forum qui fournit un soutien au concurrent de Solaris, OMG!OMG ! Market, un concurrent de Solaris. Selon le message, RuTor a ensuite payé 15 000 USD à KillNet pour mettre fin à l'attaque DDoS. L'analyse de la chaîne par TRM corrobore ces affirmations.

En outre, dans un message Telegram publié le 14 octobre 2022 par KillMilk - un membre du groupe KillNet opérant sous ce pseudonyme - le groupe reçoit un soutien important de la part de Solaris. 

‍

4. KillNet a prêté serment d'allégeance au gouvernement russe

La rhétorique de KillNet est truffée d'appels à la violence contre l'Ukraine et de soutien à la guerre que mène la Russie. Le 22 septembre 2022, KillMilk, membre de KillNet, a confirmé le soutien du groupe au gouvernement russe. KillMilk a déclaré au podcast russe "ZakonnyVopros" (Rus. Законный вопрос) : 

"Nous avons rejoint la mission russe après le début de l'opération militaire spéciale*. Tout ce que nous avons fait depuis le premier jour, c'est pour aider notre pays. C'est peut-être la seule chose qui nous différencie des autres. Bien que nous soyons considérés comme des criminels dans d'autres pays, nous sommes des héros pour notre pays car nous sommes aux côtés de la Russie.*Note de l'éditeur: De nombreux partisans de l'État russe évitent de faire référence à l'invasion de l'Ukraine et utilisent plutôt le terme d'"opération militaire spéciale". 

Cependant, KillNet nie être financé par le gouvernement russe.

5. KillNet revendique des attaques visant la sécurité nationale des États-Unis

Outre son soutien à l'armée russe et ses affiliations au DNM, KillNet semble également être à l'origine de cyberattaques contre les États-Unis et leurs alliés. Au cours du seul mois d'octobre 2022, KillNet a revendiqué les attaques suivantes contre des entités américaines :

• 3 octobre 2022 : Le National Geospatial-Intelligence Agency (NGA), une agence de soutien au combat au sein du département de la défense des États-Unis, spécialisée dans la collecte, l'analyse et la distribution de renseignements géospatiaux à l'appui de la sécurité nationale.
• 5 octobre 2022 : Sites web des gouvernements des États de l'Alabama, de l'Alaska, du Connecticut, du Delaware, de la Floride, de Hawaï, de l'Idaho, de l'Indiana, du Kansas, du Colorado, du Kentucky et du Mississippi.
• 10 octobre 2022 : Plusieurs aéroports américains, dont l'aéroport international de Los Angeles (LAX), l'aéroport O'Hare de Chicago (ORD) et l'aéroport international Hartsfield-Jackson d'Atlanta (ATL).

Le 11 octobre 2022, le groupe a suggéré que ses prochaines victimes pourraient être les terminaux maritimes et les installations logistiques, le secteur des soins de santé, les transports publics, les bourses, les systèmes de commerce en ligne, etc.

‍Qu'est-ce quiattend KillNet et les groupes similaires ?

L'invasion de l'Ukraine par la Russie a provoqué un changement important dans l'écosystème cybercriminel. De nombreux groupes pro-russes, tels que KillNet, ont de plus en plus adopté Telegram, notamment pour collecter des fonds en crypto-monnaies afin de soutenir l'effort de guerre. 

Alors que la guerre en Ukraine s'éternise, des groupes tels que KillNet pourraient voir leur nombre augmenter de manière significative et devenir plus agressifs. L'identification des crypto-actifs et des services impliqués dans le soutien de ces activités est essentielle pour évaluer et atténuer la menace.