Ransomwares : la vague déferle sur fond de querelles intestines
![ransomwares vague querelles](https://www.silicon.fr/wp-content/uploads/2021/05/ransomwares-vague-querelles.jpg)
Après l’épisode Colonial Pipeline, des déchirures se manifestent dans le milieu cybercriminel au sujet des ransomwares. Comment les expliquer ?
Les ransomwares, symboles d’une querelle des Anciens et des Modernes chez les cybercriminels ? Ils sont en tout cas devenus, dans l’esprit commun, la vitrine de ce milieu. Si ce n’est comme la plus tangible des menaces, tout du moins comme la plus retentissante. L’attaque contre Colonial Pipeline en témoigne. Non seulement par ses conséquences sur l’activité de l’entreprise, mais aussi par l’onde de choc qu’elle a déclenchée bien au-delà.
L’affaire est remontée jusqu’à Washington. Entre autres mesures, le président Biden a signé un ordre exécutif destiné à renforcer la cybersécurité du pays. Principaux axes : la coopération public-privé, la sécurisation de la chaîne de développement logiciel et la standardisation des procédures de réponse. Parallèlement, un vent de panique s’est emparé des automobilistes. Le prix moyen du gallon d’essence (3,8 litres) a dépassé les 3 $ à la pompe. Une première depuis octobre 2014.
Officiellement, l’assaut est survenu le 7 mai. Il aura fallu huit jours à Colonial Pipeline pour restaurer pleinement son infrastructure. Quant à savoir s’il y a eu paiement d’une rançon, les informations sont contradictoires. Une somme en particulier fait l’objet de spéculations : 5 millions de dollars. Les polices d’assurance ransomwares de Colonial Pipeline, souscrites auprès d’un bouquet d’assureurs dont AXA, couvriraient largement ce montant.
As we previously reported, Colonial Pipeline initiated the restart of pipeline operations at approximately 5 p.m. ET on Wednesday, May 12. Since that time, we have returned the system to normal operations, delivering millions of gallons per hour to the markets we serve. pic.twitter.com/UJG7SqUxSQ
— Colonial Pipeline (@Colpipe) May 15, 2021
AXA pris dans la vague
Du côté d’AXA, on s’était distingué début mai sur le volet ransomware. Le groupe avait décidé de ne plus payer les rançons de ses clients. Plus précisément en France, pour tout nouveau contrat d’assurance cyber.
Le revoilà sous les projecteurs, cette fois en tant que victime. Ce dimanche, il a confirmé, après des révélations dans la presse, l’irruption d’un ransomware au sein de sa division Asia Assistance. Au rang des filiales touchées figurent Hong Kong, la Malaisie, les Philippines et la Thaïlande. Leurs sites web respectifs ont été – et, pour certains, sont encore – inaccessibles. Vraisemblablement à cause d’un DDoS synchronisé pour pousser à la négociation.
À la baguette, semble-t-il, le groupe Avaddon, connu pour employer cette technique. Assurant avoir volé 3 To de données dont des contrats, des infos bancaires, des pièces d’identité et des rapports médicaux, il a donné un ultimatum de 10 jours à AXA. Ce dernier déclare pour le moment des accès indésirables à « certaines données » traitées par un partenaire en Thaïlande.
Tensions internes
Avaddon fait partie des opérateurs de RaaS (ransomwares as a service = proposés à la location) qui ont annoncé modifier leurs règles de fonctionnement après ce qu’il s’est passé aux États-Unis. Il a en particulier interdit formellement à ses « clients » de s’en prendre au secteur public, à la santé, à l’éducation et aux organisations à but non lucratif.
Also Avaddon: pic.twitter.com/Qyzb7ON8fL
— elhacker.NET (@elhackernet) May 14, 2021
Chez ceux qui n’ont pas changé leurs règles, on a parfois tout de même choisi de faire profil bas. Probablement pour éviter tout bannissement d’Exploit et de XSS. Les administrateurs de ces forums russophones de référence du milieu cybercriminel ont mis le holà sur les ransomwares. Ils en interdisent désormais la promotion, les considérant comme « toxiques ».
…and top active Russian-language forum Exploit bans ransomware & locker business officially due to the « unnecessary attention »…
Bravo!
I feel like it is yet another New Year’s gift!
As from my RSAC presentation in 2017, ransomware is an « [i]intellectual [d]eath” by INC. » https://t.co/vYV174SpGG pic.twitter.com/U5un1WFkbl
— Vitali Kremez (@VK_Intel) May 14, 2021
Une résistance n’a pas tardé à s’organiser. Les « déçus », parmi lesquels le groupe REvil, ont tenté de rallier la communauté pour lancer un DDoS contre Exploit et XSS. D’autres ont rappelé, dans les grandes, lignes, n’avoir « ni dieu ni maître »… et annoncé de « grands projets ».
⚡️
XSS Forum leadership just offered an official statement – RaaS are retaliating with attempts to bring the forum down 🧨
Translation
⬇️⬇️⬇️ pic.twitter.com/9zhZCnFGzG
— Yelisey Boguslavskiy (@y_advintel) May 16, 2021
New blog from Babuk skid ransomware gang: « Hello world 4 ».
« We announce the development of […] huge platform for independent leaks, we have no rules and bosses »
« these are not girls […] these are really strong guys »
🤦♂️
« Another loud leak awaits you within a week »
Great…
😫 pic.twitter.com/FlqeU5qhnp— MalwareHunterTeam (@malwrhunterteam) May 15, 2021
L’étincelle DarkSide
Ces événements ne découlent pas tant de la situation aux USA que de l’arrêt des activités de DarkSide. C’est-à-dire du collectif dont le ransomware a servi à cibler Colonial Pipeline. Les affiliés en ont eu connaissance le 13 mai. On leur a expliqué que des forces de l’ordre avaient perturbé une partie de l’infrastructure. Le blog et le CDN de DarkSide y sont passés. Tout comme les serveurs de paiement… et les fonds qu’ils hébergeaient.
After DarkSide lost access to their public servers, they officially closed down their RaaS program according to a message sent to affiliates and seen by @Intel471Inc.
Lire aussi : Cybersécurité : la quête de législations harmoniséesBelow is the full note sent to affiliates: pic.twitter.com/rWiE4oBPPJ
— BleepingComputer (@BleepinComputer) May 14, 2021
De tels désaccords entre cybercriminels sont-ils de l’ordre du « conflit générationnel » ? Certains observateurs perçoivent ce phénomène. La crise Covid l’aurait exacerbé. Avec, en point d’orgue, les attaques de ransomwares contre le secteur de la santé ; les codes de la « vieille garde » contrastant, en la matière, avec l’impunité des « jeunes loups ».
Ransomwares : vers une économie à deux vitesses ?
Dans cette dernière catégorie, on pourrait mettre les créateurs de Conti. Leur ransomware vient de frapper le système de santé irlandais. Découverte vendredi matin, l’attaque a entraîné une désactivation préventive de SI à grande échelle. L’accueil des patients reste perturbé dans de nombreux établissements. Il est même parfois totalement suspendu. Notamment en radiologie.
There is a significant ransomware attack on the HSE IT systems. We have taken the precaution of shutting down all our our IT systems in order to protect them from this attack and to allow us fully assess the situation with our own security partners.
— HSE Ireland (@HSELive) May 14, 2021
Vaccination appointments continue as planned at our centres today.
Staff are doing everything to avoid any delays, but remember that our teams are working without email access.
Thanks to all staff for their hard work and to the public for their patience@HSELive #HoldFirm pic.twitter.com/0ZEE736UWR
— CorkKerryCommunityHealthcare (@CorkKerryCH) May 16, 2021
Les premiers éléments de revendication font état de 740 Go de données dérobés. La rançon s’élèverait à 19,999 millions de dollars.
On aura noté une autre victime de marque qui s’est signalée vendredi : Toshiba. La cible : l’une de ses filiales, touchée dans plusieurs régions d’Europe dont la France. La cause : apparemment DarkSide. Le nom de Toshiba apparaît en tout cas sur des versions archivées de son « site vitrine », avec quelques documents publiés pour l’exemple. Dont des passeports.
Illustration principale © lolloj – Shutterstock