DarkSide, le groupe de hackers à l'origine de la récente attaque de ransomware Colonial Pipeline, a reçu un total de 90 millions de dollars en paiements de rançon Bitcoin avant de fermer la semaine dernière, selon une nouvelle étude.Colonial Pipeline a été victime de l'une des attaques de ransomware les plus médiatisées de son histoire, qui a entraîné la fermeture d'une artère vitale utilisée pour acheminer l'essence, le diesel et le kérosène des raffineries de la côte du Golfe du Mexique vers les points de distribution de la côte Est. Les opérateurs du ransomware Darkside seraient responsables de l'attaque. La société d'informatique Secureworks estime que les criminels basés en Russie (qu'elle a baptisé Gold Waterfall) opèrent depuis le mois d'août de l'année dernière sous la forme d'une opération d'affiliation basée sur des commissions, et qu'ils sont une émanation de la célèbre équipe de ransomware Revil. « Darkside ransomware semble avoir été créé indépendamment de REvil ou GandCrab, mais présente plusieurs similitudes architecturales qui suggèrent que l'auteur de Darkside est familier à ces familles », indique Secureworks dans un compte rendu de recherche.
Colonial Pipeline aurait versé près de 5 millions de dollars en bitcoins au groupe de pirates qui l'a forcé à fermer ses systèmes de manière proactive, conduisant les automobilistes de certains États américains à se ruer sur les stations-service.
Une fois qu'ils ont reçu le paiement, les pirates ont fourni à l'opérateur un outil de déchiffrement pour restaurer son réseau informatique désactivé. L'outil était si lent que la société a continué à utiliser ses propres sauvegardes pour aider à restaurer le système, a déclaré l'une des personnes au courant des efforts de la société.
DarkSide exploite ce que l'on appelle un modèle commercial de « ransomware en tant que service », ce qui signifie que les pirates développent et commercialisent des outils de ransomware et les vendent à d'autres criminels qui effectuent ensuite des attaques. Le ransomware est un type de logiciel malveillant conçu pour bloquer l'accès à un système informatique. Les pirates exigent un paiement de rançon – généralement une cryptomonnaie – en échange de la restauration de l'accès.
Selon une annonce, qui a été examinée par les sociétés de cybersécurité Intel 471 et Recorded Future, le groupe a écrit : « Il y a quelques heures, nous avons perdu l'accès à la partie publique de notre infrastructure ». Les actifs perdus comprennent le blog du groupe, qui est hors service depuis jeudi, son serveur de paiement, qui recevait des fonds en cryptomonnaies de la part des victimes, et le réseau de diffusion de contenu (CDN) des données volées.
Le communiqué de DarkSide précise également que « le service d'assistance à l'hébergement ne fournit aucune information, sauf à la demande des autorités chargées de l'application de la loi ». « Quelques heures après le retrait, les fonds du serveur de paiement (les nôtres et ceux des clients) ont été envoyés à une adresse inconnue », a écrit "Darksupp", l'opérateur de DarkSide, dans le message en langue russe. L’opérateur a déclaré qu'ils allaient délivrer des outils de déchiffrement à tous leurs affiliés pour les cibles qu'ils ont attaquées, et a promis de compenser toutes les obligations financières en suspens d'ici le 23 mai 2021.
Dans la même publication, Darksupp indique que le groupe cesse toutes les opérations de son programme de ransomware, qui était loué à d'autres cybercriminels pour être utilisé. « Au vu de ce qui précède et en raison de la pression exercée par les États-Unis, le programme d'affiliation est fermé. Restez en sécurité et bonne chance », ajoute la publication, selon la traduction en anglais de la société de sécurité Intel471.
Ces déclarations suggèrent que les forces de l'ordre ont saisi l'infrastructure informatique du groupe et ses revenus en cryptomonnaies. Le jour même où Darksupp a déclaré avoir perdu l'accès, le président Biden a déclaré que les États-Unis « prendraient des mesures pour perturber » la capacité du groupe de ransomware à opérer. Biden a également appelé la Russie – où les services de renseignement américains pensent que le groupe DarkSide est basé – à traquer les attaquants. « Nous avons été en communication directe avec Moscou au sujet de l'impératif pour les pays responsables de prendre des mesures décisives contre ces réseaux de ransomware », a déclaré le président américain.
Dans un billet de blog publié mardi, Elliptic a déclaré que DarkSide et ses affiliés avaient empoché au moins 90 millions de dollars en paiements de rançon bitcoin au cours des neuf derniers mois de 47 victimes. Le paiement moyen des organisations était probablement de 1,9 million de dollars, a déclaré Elliptic.
« Au total, un peu plus de 90 millions de dollars en paiements de rançon Bitcoin ont été effectués à DarkSide, provenant de 47 portefeuilles distincts. Selon DarkTracer, 99 organisations ont été infectées par le malware DarkSide – ce qui suggère qu'environ 47 % des victimes ont payé une rançon et que le paiement moyen était de 1,9 million de dollars.
« Le graphique ci-dessous montre la valeur totale et le nombre de paiements de rançon effectués à DarkSide au cours des neuf derniers mois. Le mois de mai devait être un mois record, jusqu'à ce que DarkSide cesse ses opérations le 13 mai et que son portefeuille Bitcoin soit vidé ».
« DarkSide est un exemple de "Ransomware as a Service" (RaaS). Dans ce modèle d'exploitation, le malware est créé par le développeur du ransomware, tandis que l'affilié du ransomware est responsable de l'infection du système informatique cible et de la négociation du paiement de la rançon avec l'organisation victime. Ce nouveau modèle commercial a révolutionné les ransomwares, les ouvrant à ceux qui n'ont pas la capacité technique de créer des logiciels malveillants, mais qui sont prêts et capables de s'infiltrer dans une organisation cible.
« Tout paiement de rançon effectué par une victime est ensuite partagé entre l'affilié et le développeur. Dans le cas de DarkSide, le développeur prendrait 25 % pour les rançons inférieures à 500 000 dollars, mais cela diminue à 10 % pour les rançons supérieures à 5 millions de dollars. Cette division du paiement de la rançon est très claire à voir sur la blockchain, les différentes actions étant destinées à séparer les portefeuilles Bitcoin contrôlés par l'affilié et le développeur. Au total, le développeur DarkSide a reçu des bitcoins d'une valeur de 15,5 millions de dollars (17 %), les 74,7 millions de dollars restants (83 %) allant aux différents affiliés ».
Bitcoin a acquis une réputation pour son utilisation dans des activités criminelles, car les personnes effectuant des transactions avec la cryptomonnaie n'ont pas à révéler leur identité. Cependant, le grand livre numérique qui sous-tend le bitcoin est public, ce qui signifie que les chercheurs peuvent retracer où les fonds sont envoyés.
Le piratage de Colonial Pipeline faisait partie d'une série d'attaques de ransomwares qui ont fait les gros titres la semaine dernière. Une division du conglomérat japonais Toshiba a déclaré que son unité européenne avait été piratée, attribuant l'attaque à DarkSide, tandis que le service de santé irlandais a également été touché par une attaque de ransomware. Mercredi, le président Joe Biden a signé un décret visant à renforcer les défenses américaines en matière de cybersécurité.
Le décret de 34 pages intitulé "Executive Order on Improving the Nation's Cybersecurity" (décret sur l'amélioration de la cybersécurité de la nation) vise à moderniser les défenses de cybersécurité de l'infrastructure du gouvernement fédéral, à créer un guide normalisé de réponse aux incidents et à améliorer la communication entre les fournisseurs de services et les forces de l'ordre.
En résumé, le décret ordonnera au gouvernement d'effectuer les actions suivantes :
- exiger des fournisseurs de services IT (technologie de l'information) et OT (technologie opérationnelle), y compris les fournisseurs d'hébergement en cloud, qu'ils partagent les informations sur les menaces et les brèches de cybersécurité dont ils ont connaissance et qu'ils suppriment les problèmes contractuels qui empêchent le partage de ces informations ;
- moderniser les services informatiques du gouvernement fédéral, notamment en passant à une architecture de confiance zéro, en exigeant une authentification multifactorielle, le chiffrement des données au repos et en transit, et en élaborant des directives de sécurité strictes sur l'utilisation des services en cloud ;
- améliorer la sécurité de la chaîne d'approvisionnement en élaborant des lignes directrices, des outils et des meilleures pratiques pour vérifier et garantir que les logiciels essentiels ne sont pas altérés par des acteurs malveillants lors d'attaques de la chaîne d'approvisionnement. Dans le cadre de cette initiative, le gouvernement fédéral créera un programme de type "energy star" qui montrera que les logiciels ont été développés en toute sécurité ;
- créer un « comité d'examen de la cybersécurité » composé de membres du gouvernement fédéral et du secteur privé qui se réunira après un cyberincident important pour évaluer l'attaque, formuler des recommandations et partager les informations confidentielles pertinentes avec les forces de l'ordre ;
- créer un guide standardisé pour toutes les agences gouvernementales afin de répondre aux brèches et aux cyberattaques ;
- améliorer la détection et la correction des vulnérabilités et des brèches de cybersécurité sur les réseaux gouvernementaux en déployant une solution centralisée de détection et de réponse aux points d'extrémité et en partageant les informations intergouvernementales.
Source : Elliptic
Voir aussi :
Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger, plusieurs autres agences gouvernementales et organisations privées seraient également touchées Au moins 30 000 organisations US ont été piratées via des failles dans Microsoft Exchange, des correctifs ont été publiés mais l'attaque continuerait sur les serveurs non patchés Malgré le correctif de Microsoft dans son serveur de messagerie Exchange, le gouvernement US met en garde contre la "menace active qui continue de se développer", et appelle à l'action Le piratage de SolarWinds pourrait être bien pire que ce que l'on craignait au départ, les fédéraux essayant toujours de savoir si ce n'était que de l'espionnage ou quelque chose de plus sinistre 
Envoyé par Stan Adkens
