Les États-Unis, le Royaume-Uni et l'Australie ciblent les serveurs Zservers et les affiliés de LockBit

Aujourd'hui, l'Office of Foreign Assets Control (OFAC) du ministère américain du Trésor, en coordination avec le ministère australien des affaires étrangères et du commerce et le Foreign, Commonwealth & Development Office du Royaume-Uni, a annoncé des sanctions à l'encontre de Zservers, un fournisseur de services d'hébergement à l'épreuve des balles basé en Russie, pour son rôle dans le soutien des attaques de LockBit Rançonlogiciel . Les désignations concernent plusieurs employés et administrateurs de Zservers, ainsi que la société de façade britannique de Zservers, XHOST Internet Solutions LP.

LockBit est l'une des variantes de Rançonlogiciel les plus largement déployées et a été à l'origine de cyberattaques majeures, dont la violation, en novembre 2023, du courtier américain de l'Industrial Commercial Bank of China. Zservers a joué un rôle essentiel dans la facilitation des opérations de LockBit en fournissant une infrastructure spécialisée conçue pour échapper à la détection des forces de l'ordre et aux défenses de cybersécurité.

Zservers a également pris en charge d'autres variantes de Rançonlogiciel , notamment Dharma, Hive, VoidCrypt et Venus Rançonlogiciel. 

Sites d'hébergement à l'épreuve des balles

Un site d'hébergement à l'épreuve des balles (BPH ) est un service d'hébergement web qui fournit une infrastructure conçue pour échapper à la détection et aux efforts de démantèlement des forces de l'ordre. Ces hébergeurs se présentent souvent comme tolérant les activités illégales ou contraires à l'éthique, offrant une protection contre les saisies de domaine, les plaintes en justice et la surveillance de la cybersécurité.

Les hébergeurs à l'épreuve des balles sont connus pour leur résistance aux actions des forces de l'ordre. Ils ignorent généralement les rapports d'abus émanant des autorités et des entreprises de cybersécurité, ce qui permet aux cybercriminels de poursuivre leurs activités sans interruption. Nombre de ces services opèrent dans des juridictions où la répression de la cybercriminalité est faible, ce qui complique la tâche des autorités internationales lorsqu'il s'agit de les faire fermer.

L'anonymat est une autre caractéristique clé des sites d'hébergement à l'épreuve des balles. Ces fournisseurs acceptent souvent les paiements en crypto-monnaies et n'exigent que peu ou pas de vérification de la part des clients, ce qui rend difficile la traçabilité des personnes qui utilisent leurs services. Lorsque les serveurs sont signalés ou mis sur liste noire, les opérateurs d'hébergement à l'épreuve des balles réaffectent rapidement de nouvelles adresses IP ou relocalisent les services dans différentes juridictions pour éviter d'être fermés.

Ces services d'hébergement sont largement utilisés par les cybercriminels pour des activités telles que les opérations de Rançonlogiciel , les campagnes de phishing, la distribution de logiciels malveillants, les réseaux de zombies et les marchés du darknet. Les groupes de Rançonlogiciel , par exemple, utilisent l'hébergement à l'épreuve des balles pour exploiter des serveurs de commande et de contrôle qui gèrent les infections de Rançonlogiciel . Les opérations d'hameçonnage et de fraude s'appuient sur ces services pour héberger des sites bancaires frauduleux, des opérations d'usurpation d'identité et des campagnes de vol d'informations d'identification. Les botnets, qui lancent des attaques par déni de service distribué (DDoS), utilisent souvent un hébergement à toute épreuve pour rester en ligne même après avoir été identifiés par les chercheurs en cybersécurité. Les marchés du Darknet qui facilitent la vente de drogues, d'armes et de données volées dépendent également de ces services d'hébergement pour poursuivre leurs activités.

Zservers, le fournisseur d'hébergement basé en Russie sanctionné aujourd'hui par l'OFAC, a été identifié comme l'un des principaux facilitateurs des affiliés de LockBit Rançonlogiciel . Les enquêtes ont montré que Zservers louait des adresses IP, des serveurs et des outils de mise en réseau qui ont été utilisés dans les attaques de Rançonlogiciel . Les administrateurs de Zservers ont également facilité les transactions en crypto-monnaie pour soutenir ces opérations cybercriminelles.

En sanctionnant Zservers et ses administrateurs, les autorités internationales s'attaquent à l'infrastructure qui permet aux groupes de Rançonlogiciel de prospérer. Cette action reflète un effort croissant pour démanteler les réseaux de soutien aux cybercriminels, plutôt que de se concentrer sur les pirates individuels.

Zservers : Un outil essentiel pour les attaques de Rançonlogiciel

Zservers, dont le siège se trouve à Barnaul, en Russie, a activement commercialisé les services BPH sur des forums cybercriminels, offrant aux affiliés de LockBit l'accès aux adresses IP, aux serveurs et aux outils de mise en réseau utilisés pour lancer des attaques Rançonlogiciel . L'hébergement à l'épreuve des balles est un type de service d'hébergement Internet qui offre une plus grande indulgence à l'égard des activités criminelles ou illicites. Ces services sont conçus pour résister aux efforts de démantèlement des forces de l'ordre et des entreprises de cybersécurité, ce qui les rend idéaux pour les cybercriminels qui ont besoin d'héberger des logiciels malveillants, des sites d'hameçonnage, des serveurs de commande et de contrôle et d'autres contenus illégaux.

En 2022, les autorités canadiennes ont découvert qu'un affilié de LockBit utilisait une adresse IP louée par Zservers pour contrôler le logiciel malveillant Rançonlogiciel . En 2023, un cybercriminel russe a acheté des adresses IP à Zservers, probablement pour les utiliser comme serveurs de chat de LockBit afin de coordonner les opérations de Rançonlogiciel . Zservers a l'habitude de réattribuer rapidement de nouvelles adresses IP aux affiliés de LockBit lorsque les précédentes ont été signalées par les victimes ou les forces de l'ordre.

Dans le cadre de cette action, l'OFAC a également désigné deux ressortissants russes, Alexander Igorevich Mishin et Aleksandr Sergeyevich Bolshakov, qui sont administrateurs de Zservers. Mishin et Bolshakov ont sciemment fourni un soutien d'infrastructure à LockBit et dirigé des transactions en monnaie virtuelle pour soutenir les opérations de Rançonlogiciel .

‍Unerépression internationale coordonnée contre le Rançonlogiciel

Les sanctions prises aujourd'hui s'inscrivent dans le prolongement des récentes mesures d'application internationales visant l'écosystème du LockBit Rançonlogiciel .

Février 2024 : Démantèlement de l'infrastructure de LockBit

En février 2024, une opération conjointe de la National Crime Agency britannique, du Department of Justice, du FBI et d'Europol a perturbé l'infrastructure centrale de LockBit. Cette opération a conduit à la saisie de serveurs et de sites web contrôlés par LockBit, réduisant ainsi leur capacité à mener de nouvelles attaques. L'opération a également permis d'identifier les affiliés de LockBit et leurs transactions financières sur la chaîne. TRM Labsa estimé que les adresses contrôlées par les administrateurs et les affiliés de LockBit ont reçu plus de 200 millions d'USD de transactions en bitcoins depuis 2022, et que plus de 110 millions d'USD n'ont pas encore été dépensés sur la chaîne.

Mai 2024 : Identification du leader de LockBit

En mai 2024, les États-Unis et le Royaume-Uni ont sanctionné conjointement Dmitry Yuryevich Khoroshev, le leader identifié de LockBit, opérant sous le pseudonyme "LockBitSupp". Le Department of Justice a publié un acte d'accusation à l'encontre de Khoroshev, l'accusant de conspiration en vue de commettre une fraude, d'extorsion et de blanchiment d'argent. Le département d'État américain a annoncé une récompense financière pour toute information conduisant à son arrestation.

Les conclusions de TRM Labs' 2025 Crypto Crime Report

Les sanctions à l'encontre de Zservers interviennent dans un contexte de forte augmentation des attaques de Rançonlogiciel et de changement des tactiques de blanchiment. Selon TRM Labsle Rançonlogiciel reste l'une des cybermenaces à la croissance la plus rapide, avec 5 635 attaques signalées publiquement en 2024, contre 5 223 en 2023.

Les groupes de Rançonlogiciel exigent des paiements records, notamment une rançon de 75 millions de dollars versée au groupe Dark Angels Rançonlogiciel en mars 2024. Les mélangeurs traditionnels de crypto-monnaies sont remplacés par des ponts entre chaînes, qui permettent aux criminels de transférer des fonds entre plusieurs chaînes de blocs afin d'échapper à la détection. De nouveaux groupes de Rançonlogiciel , dont Brain Cipher, dAn0n, DragonForce, Fog, Funksec, RansomHub, Sarcoma et Trinity, sont apparus, ciblant des secteurs critiques tels que les soins de santé et les infrastructures gouvernementales.

Une stratégie plus large pour lutter contre la cybercriminalité

L'action d'aujourd'hui s'inscrit dans le cadre d'un effort international plus large visant à perturber les réseaux de Rançonlogiciel en ciblant non seulement les attaquants eux-mêmes, mais aussi l'infrastructure et les facilitateurs financiers qui les soutiennent.

"Les acteurs duRançonlogiciel et d'autres cybercriminels s'appuient sur des fournisseurs de services réseau tiers tels que Zservers pour mener leurs attaques contre les infrastructures critiques américaines et internationales", a déclaré Bradl Smith, sous-secrétaire d'État au Trésor chargé du terrorisme et du renseignement financier. "L'action trilatérale menée aujourd'hui avec l'Australie et le Royaume-Uni souligne notre détermination collective à perturber tous les aspects de cet écosystème criminel, où qu'il se trouve, afin de protéger notre sécurité nationale".

Avec 2,2 milliards de dollars dérobés lors de piratages liés aux cryptomonnaies en 2024, les autorités redoublent d'efforts pour perturber les réseaux cybercriminels. En sanctionnant des fournisseurs d'infrastructure tels que Zservers, les gouvernements s'efforcent de couper les lignes de vie techniques et financières qui permettent aux groupes de Rançonlogiciel de prospérer.