(AFP) Le démantèlement annoncé jeudi d’un des principaux réseaux d’attaques au rançongiciel au monde, baptisé Hive, a souligné à quel point le piratage informatique à des fins financières est devenu une industrie ultra-efficace et spécialisée.
Dans le monde de la cybercriminalité, Hive s’était imposée comme une entreprise de services louant des logiciels et des méthodes prêt à l’emploi à des opérateurs cherchant à racketter leurs cibles. Selon Ariel Ropek, directeur du renseignement en cybermenace chez Avertium – une société de sécurité informatique -, la structure permettait même à des criminels dotés de faibles compétences informatiques de se mettre aux rançongiciels. Sur le dark web, les fournisseurs de services en rançongiciels font ouvertement la publicité de leurs produits. “C’est vraiment un modèle commercial aujourd’hui“, affirme M. Ropek. D’un côté figurent les courtiers en accès initial, qui se spécialisent dans le piratage de systèmes informatiques institutionnels ou d’entreprises, et vendent ensuite cet accès aux opérateurs de rançongiciels.
Une opération de rançongiciel aussi “clé en main” que possible
Mais ces opérateurs dépendent bien souvent de prestataires comme Hive (“Ruche”, en anglais) pour créer le programme malveillant qui permettra la demande de rançon, et pour contourner les mesures de sécurité. Une fois insérés au sein des systèmes informatiques d’une institution ou d’une entreprise, ces programmes vont généralement geler par cryptage les données de la cible. Pour récupérer ses données, la victime devra payer.
Un développeur de services en rançongiciels, comme Hive, offre un service intégral aux opérateurs en échange d’une grande partie de la rançon, affirme Ariel Ropek. “Leur but est de rendre l’opération de rançongiciel aussi clé en main que possible“, dit-il.
Une fois le rançongiciel implanté et activé, la cible reçoit un message lui expliquant comment correspondre et combien payer pour obtenir le déverrouillage des données. La demande de rançon peut être de quelques milliers à plusieurs millions de dollars, en fonction de l’assise financière de la cible. La victime va généralement tenter de négocier le montant sur le portail de Hive dédié à ses cibles – en vain le plus souvent.
L’entreprise de cybersécurité Menlo Security a publié l’an dernier les échanges entre une cible et le “service commercial” de Hive, sur ce portail. Lorsque cette cible a offert de manière répétée une fraction des 200 000 dollars demandés, Hive a d’abord gardé une position ferme, insistant que la cible pouvait se permettre de débourser une telle somme, avant de finalement réduire la demande à 50 000 dollars.
D’autres opérateurs se sont fait une spécialité de récolter l’argent
Si une entreprise refuse de payer, les développeurs du système se replient sur un plan B : ils menacent de publier ou de vendre les données confidentielles. Hive maintenait ainsi un site web séparé, HiveLeaks, pour publier les données. D’autres opérateurs se sont fait une spécialité de récolter l’argent et de s’assurer que tous les acteurs obtiennent leur part de la rançon. Enfin, des “mixeurs” de cryptomonnaies permettent de blanchir l’argent ainsi obtenu.
Le démantèlement annoncé jeudi de Hive ne représente finalement qu’un revers modeste pour l’industrie des services en rançongiciels: de nombreux autres spécialistes similaires à Hive continuent d’opérer. La menace la plus importante se nomme Lockbit, qui vient de frapper coup sur coup au Royaume-Uni un hôpital pédiatrique et le groupe postal Royal Mail. En novembre, le ministère de la Justice américain avait estimé que Lockbit avait fait plus de 1 000 victimes et récolté des dizaines de millions de dollars en rançons. Et il ne sera pas compliqué pour les opérateurs de Hive de recommencer, estime Ariel Ropek. “C’est un processus assez simple d’installer de nouveaux serveurs, de générer de nouvelles clés de cryptage – avec généralement une nouvelle image de marque“, souligne-t-il.
58 victimes françaises identifiées en France
En France “58 victimes ont été identifiées” et 26 d’entre elles ont déposé plainte, a indiqué dans un communiqué la sous-direction de lutte contre la cybercriminalité (SDLC) de la police judiciaire. Le conseil départemental de Seine-Maritime est l’une des “principales victimes françaises à avoir déposé plainte“, précise la SDLC.
La collectivité normande avait été victime en octobre d’une “attaque informatique d’ampleur“. Les services publics départementaux avaient dû fonctionner un temps en “mode fortement dégradé“. Après avoir obtenu une clé de déchiffrement du rançongiciel auprès du FBI, la police française et l’Agence nationale de la sécurité des systèmes d’information (Anssi) avaient accompagné la remise en marche du système d’information du département en “seulement un mois“. Sans le déchiffreur, cela “aurait pris beaucoup plus de temps“, a souligné auprès de l’AFP Nicolas Guidoux, chef de la SDLC.
Ce type d’attaque entraîne des “préjudices non négligeables, en terme d’exploitation – quand par exemple vous perdez votre fichier client pendant plusieurs jours“, a-t-il détaillé. Sans compter tout le “coût de remédiation pour réparer le système d’information”.
Avec le démantèlement de Hive, “on a pu récupérer bon nombre d’éléments et on va continuer à travailler avec les différents pays partenaires“, notamment pour “poursuivre le travail d’identification des individus derrière cette infrastructure“, a ajouté M. Guidoux.
