Le dernier ransomware de DarkSide a-t-il été le résultat d’un risque mal calculé ?
Au cours de cette année, DarkSide, un groupe de pirates informatiques russes a attiré l’attention du département d’État américain.
En mai 2021, DarkSide était responsable d’une attaque de ransomware sur Colonial Pipeline, extorquant 5 millions de dollars pour ne pas avoir divulgué les données qu’ils avaient sur le réseau du Pipeline. Ceci est considéré comme l’une des principales attaques de ransomware contre l’infrastructure américaine à ce jour.
Ce que nous savons sur le DarkSide, c’est qu’ils :
- Fonctionner en tant que Ransomware en tant que service (Raas)
- Obtenez leur rançon en Bitcoin
- Le département d’État des États-Unis a décerné un prix de 10 millions de dollars pour des informations qui permettraient de trouver les dirigeants du groupe.
En quoi le service Raas concerne-t-il ? L’utilisation de Bitcoin entraînera-t-elle la chute de DarkSide ?
Comment se fait-il que le Département d’État américain soit impliqué dans cette affaire ?
Découvrons.
Qu’est-ce qui rend le ransomware en tant que service particulièrement dangereux ?
Le ransomware en tant que service (Raas) est une souche d’attaques de ransomware qui donne aux gens ordinaires des outils pour mener des cyberattaques.
Comme pour d’autres types de ransomware, l’auteur utilise des logiciels malveillants pour accéder au réseau d’une victime. Une fois qu’ils ont accordé l’accès aux données sensibles, ils demandent une rançon.
Raas fonctionne comme un logiciel appelé affilié, ce qui signifie que les utilisateurs peuvent l’acheter sur des forums clandestins et l’utiliser pour créer des attaques de ransomware.
Qu’est-ce qui rend cela dangereux ?
Vous n’avez pas besoin d’être un pirate informatique pour extorquer des entreprises avec Raas. N’importe qui, même les personnes peu ou pas compétentes, peut acheter un affilié et cibler quelqu’un avec une attaque de ransomware.
L’attaque Pipeline a été le résultat d’un ransomware en tant qu’attaque de service. Quelqu’un a acheté l’affilié et l’a utilisé pour attaquer le Pipeline.
Cela pourrait être un signe que DarkSide perd le contrôle de ses services. Ou qu’ils sont blâmés pour l’attaque dont ils ne sont pas responsables. À savoir, ils prétendent qu’ils ne sont pas politiques et que leurs attaques de ransomware sont exclusivement à des fins monétaires. Dans le passé, DarkSide affirmait ne pas cibler les gouvernements, les hôpitaux et les organisations à but non lucratif.
Pourquoi le groupe DarkSide veut-il Bitcoin pour les ransomwares ?
Le groupe DarkSide négocie ses services exclusivement contre Bitcoin. Au fil des ans, Bitcoin est devenu une devise par défaut pour les activités illégales.
De nombreuses personnes associent la popularité des crypto-monnaies telles que Bitcoin au paiement des activités illicites du dark web. Il s’agit d’un mode de paiement introuvable et anonyme.
En réalité, les transactions Bitcoin sont transparentes. Selon le site officiel de Bitcoin :
« Toutes les transactions Bitcoin sont publiques, traçables et stockées en permanence dans le réseau Bitcoin. »
Cela a déjà permis au FBI de récupérer 2,3 millions de dollars de crypto-monnaie auprès de DarkGroup en juin 2021.
On estime que DarkSide a déjà reçu pour 90 millions de dollars de Bitcoin de ses diverses victimes (y compris le Pipeline).
Pourquoi la récompense délivrée par le Département d’État des États-Unis est-elle si élevée ?
En novembre 2021, le Département d’État américain a déclaré qu’il offrait 10 millions de dollars pour des informations permettant d’identifier les dirigeants de DarkSide.
Pour le FBI, l’information est une monnaie plus précieuse que le Bitcoin, mais il ne réserve de lourdes récompenses que pour les cas majeurs. Le groupe DarkSide a fait partie de plusieurs cas de ransomware très médiatisés qui se sont produits cette année, mais le FBI n’est intervenu qu’après l’attaque du Pipeline. Cette attaque de ransomware a attiré l’attention du département d’État américain car elle ciblait l’une des infrastructures énergétiques critiques aux États-Unis.
S’ils n’avaient pas attaqué le pipeline, il est probable que le gouvernement ne se concentrerait pas autant sur leur activité. Cependant, le groupe DarkSide est composé de cybercriminels russes qui ciblent leurs rivaux, c’est-à-dire pour la plupart de riches entreprises américaines. Outre le pipeline, ils ont également ciblé Brenntag (une société allemande de distribution de produits chimiques) et Toshiba Tec. Corp.
La Russie n’interfère pas avec leurs activités car DarkSide ne cible pas les entreprises russes afin d’éviter l’application de la loi russe.
Si les États-Unis n’utilisent pas leurs ressources pour les traduire en justice, il est possible que personne d’autre ne le fasse.
Les Raas démocratisent les cyberattaques
Les attaques de ransomware sont dangereuses et causent des dommages durables à leurs cibles, à la fois leur réputation et leurs finances. C’est pourquoi les victimes sortent généralement leur portefeuille Bitcoin et paient la rançon demandée.
Se conformer aux conditions des pirates est une arme à double tranchant. Les cibles pourraient retrouver l’accès à leurs données et balayer l’incident sous le tapis. Tout en payant la rançon, ils autonomisent financièrement des groupes ou des criminels et leur donnent des ressources pour attaquer d’autres entreprises et organisations.
Les attaques Raas qui tombent entre de mauvaises mains (si l’on peut même affirmer qu’il existe des personnes justes pour être des criminels) sont particulièrement dangereuses car elles démocratisent les cyberattaques, en donnant à quiconque les moyens de demander une rançon.
La forte implication du Département d’État américain dans cette affaire et la traçabilité des transactions Bitcoin sont susceptibles de mettre fin à l’activité de DarkSide et d’envoyer un message à des organisations similaires qui opèrent en utilisant Raas. Mais là encore, seul le temps nous le dira.
Image: Pixabay
