Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Dans le secteur de la cybersécurité, nous avons pris l'habitude d'analyser méticuleusement les schémas d'attaque, de faire de la rétro-ingénierie sur les logiciels malveillants et de rassembler des fragments de preuves pour comprendre nos adversaires. Mais il est rare que nous puissions jeter un coup d'œil derrière le rideau pour voir comment les acteurs de la menace opèrent au jour le jour. La récente fuite de 190 000 messages de chat du groupe de ransomware Black Basta offre précisément cela - une fenêtre brute et non filtrée sur un monde généralement caché.
Et quelle fenêtre révélatrice !
Les auteurs de fuites deviennent les auteurs de fuites
Il y a une certaine justice poétique à ce que les opérateurs de ransomware - des groupes qui ont bâti leur empire criminel sur le vol et l'exposition des données sensibles d'autrui - voient leurs propres communications privées diffusées sur les sites de partage de fichiers et les canaux Telegram. Black Basta, un groupe responsable du cryptage de systèmes, de l'exfiltration de données sensibles et de la demande de rançons élevées, se trouve maintenant dans la position inconfortable que ses victimes ne connaissent que trop bien : exposé.
Les messages, qui s'étendent de septembre 2023 à septembre 2024, ont été publiés par une entité se faisant appeler ExploitWhispers, dont l'identité reste inconnue. La fuite a coïncidé avec l'interruption inexpliquée du site web obscur de Black Basta, qui est resté hors ligne depuis lors, ce qui laisse penser que les dégâts pourraient aller au-delà de la simple gêne.
Mais au-delà de l'ironie, ce qui est vraiment frappant dans cette fuite, c'est la façon dont elle démolit la conception populaire selon laquelle les acteurs de la menace sont des collectifs de pirates informatiques opérant dans des sous-sols peu éclairés.
Pas seulement des pirates informatiques : Une entreprise criminelle d'entreprise
Si vous vous attendiez à des journaux de discussion remplis de discussions chaotiques, d'humour juvénile ou de planification désorganisée, les messages de Black Basta offrent un contraste saisissant. Ce qui apparaît plutôt, c'est l'image d'une organisation très structurée avec des départements spécialisés, des hiérarchies claires et des processus d'affaires sophistiqués qui seraient familiers à de nombreuses entreprises légitimes.
Les communications divulguées révèlent l'existence d'équipes spécialisées dans différents aspects de l'opération criminelle :
- Spécialistes du développement d'exploits axés sur l'armement des vulnérabilités
- Équipes d'optimisation de l'infrastructure assurer la résilience opérationnelle
- Experts en ingénierie sociale élaborer des scripts persuasifs et des méthodologies d'attaque
- Spécialistes de la négociation s'occupent des discussions avec les victimes au sujet de la rançon
- Le personnel d'encadrement superviser l'ensemble de l'opération
Il ne s'agit pas d'une bande de pirates en pagaille, mais d'une société criminelle dont les structures départementales reflètent celles d'entreprises légitimes. Lorsque les acteurs de la menace ont discuté du paiement de 200 000 dollars pour un exploit zero-day du pare-feu Juniper, la réponse désinvolte de l'un des membres, qui a déclaré qu'il s'agissait d'un "juste prix", révèle non seulement une sophistication technique, mais aussi un sens aigu des affaires et une compréhension de la dynamique du marché dans l'économie souterraine.
L'efficacité impitoyable de la cybercriminalité industrialisée
Ce qui est peut-être le plus troublant, c'est de voir à quel point ces opérations sont exécutées de manière méthodique. Prenons, par exemple, l'approche du groupe en matière d'ingénierie sociale - un domaine que l'on imagine souvent improvisé et opportuniste.
Dans un message révélateur, un responsable de Black Basta donne des instructions : "La fille doit appeler les hommes. Le gars doit appeler les femmes". Il ne s'agissait pas d'un biais aléatoire, mais d'une exploitation calculée de modèles de confiance qui, selon eux, maximiseraient les taux de réussite. Le message poursuit en expliquant que 500 appelants potentiels ont été sélectionnés pour cette tâche, et qu'en fin de compte "seuls 2 ou 3 étaient compétents", avec quelques autres en renfort. L'une des interlocutrices était apparemment si efficace qu'un appel sur cinq aboutissait à un accès à distance.
Ce niveau de sélection, de formation et de suivi des performances serait impressionnant dans une organisation commerciale légitime. Dans une entreprise criminelle, il fait froid dans le dos.
De même, lors d'une discussion sur l'exploitation d'une vulnérabilité critique dans Exim (un serveur de messagerie à code source ouvert comptant des millions d'installations), un membre a écrit d'urgence : "Nous devons l'exploiter dès que possible", puis a donné des conseils techniques détaillés fondés sur des attaques antérieures contre des serveurs Microsoft Exchange. L'approche méthodique de l'exploitation des vulnérabilités révèle une opération qui combine l'urgence avec l'expérience et la connaissance institutionnelle.
La réflexion stratégique dans la salle du conseil criminel
Les messages donnent également un aperçu de la manière dont ces groupes organisent stratégiquement des attaques de grande envergure. Lorsqu'ils ont ciblé Ascension, un prestataire de soins de santé dont la violation a touché 5,6 millions de personnes, les membres de Black Basta ont procédé à une évaluation minutieuse des risques et à une planification stratégique.
Selon les chercheurs qui ont analysé la fuite, Black Basta était conscient de la surveillance accrue à laquelle il serait soumis de la part des forces de l'ordre en s'attaquant au secteur de la santé. En réponse, ils ont stratégiquement recadré leurs demandes en proposant de déverrouiller les systèmes critiques en guise de "geste de bonne volonté", tout en maintenant les demandes de rançon pour les données des patients volées. Cette approche calculée a été conçue pour atténuer les réactions négatives potentielles tout en garantissant le paiement.
Cela révèle une compréhension approfondie des relations publiques, des environnements réglementaires et de la gestion des risques - des domaines d'expertise que l'on associe généralement aux conseils d'administration des entreprises, et non aux entreprises criminelles.
L'avertissement que nous ne pouvons ignorer
Lorsque les forces de l'ordre démantèlent des groupes de ransomware, les annonces publiques se concentrent généralement sur les chefs d'accusation, l'infrastructure saisie et, éventuellement, l'estimation des dommages financiers. Ce que l'on voit rarement, c'est une vue détaillée du fonctionnement quotidien de ces organisations.
Cette fuite met fin à toute illusion réconfortante. L'inconfortable vérité est que nombre de ces organisations criminelles fonctionnent avec des niveaux d'efficacité, de spécialisation et de réflexion stratégique qui rivalisent avec ceux des entreprises légitimes. Elles disposent de processus de recrutement, de programmes de formation, d'indicateurs de performance et même de ce qui semble être une gestion institutionnelle des connaissances.
Pour les défenseurs, il s'agit là d'un rappel à l'ordre qui devrait faire réfléchir. Nous ne sommes pas confrontés à des opportunistes désorganisés, mais à des entreprises criminelles professionnelles dotées de :
- Ressources financières importantes (prêts à payer des centaines de milliers d'euros pour des exploits uniques)
- Expertise spécialisée dans plusieurs domaines
- Des processus opérationnels efficaces
- Capacités de prise de décision stratégique
- Pratiques d'optimisation des performances
Lorsque les défenseurs mettent en œuvre des mesures de sécurité avec désinvolture ou retardent l'application de correctifs essentiels, ils ne jouent pas contre des pirates amateurs qui espèrent avoir de la chance, mais contre des adversaires très organisés qui disposent de processus reproductibles, d'équipes expérimentées et des ressources nécessaires pour exploiter la moindre faiblesse.
La course aux armements dans laquelle nous sommes engagés
La professionnalisation de la cybercriminalité signifie que les défenseurs doivent réagir en conséquence. Des mesures de sécurité tièdes et des approches axées sur la conformité sont tout à fait insuffisantes face à des adversaires qui consacrent à leurs attaques un tel niveau d'attention et de ressources.
Les organisations doivent reconnaître qu'elles participent à une course aux armements contre les criminels :
- Disposer de guides détaillés pour la négociation avec les victimes
- Rechercher en permanence de nouvelles vulnérabilités dans des dizaines de technologies.
- affiner méticuleusement leurs approches d'ingénierie sociale
- Maintenir une sécurité opérationnelle disciplinée
- Adapter leur tactique en fonction des profils cibles et des secteurs d'activité
Ce niveau de maturité de l'organisation et des processus signifie que les défenseurs ne peuvent plus se permettre d'être réactifs. Lorsqu'une vulnérabilité critique est découverte dans un logiciel comme Exim, les organisations n'ont pas le luxe d'avoir des cycles de correctifs tranquilles - elles font la course contre des adversaires qui reconnaissent immédiatement l'opportunité et se mobilisent pour l'exploiter "dès que possible".
Se regarder dans le miroir
La révélation la plus gênante de la fuite de Black Basta est peut-être la façon dont elle nous oblige à affronter une dure réalité : dans de nombreux cas, ces entreprises criminelles font preuve d'une efficacité, d'une spécialisation et d'une discipline qui surpassent celles des organisations de sécurité qui les défendent.
Alors que les entreprises légitimes se débattent souvent avec les principes de base de la sécurité - corriger les vulnérabilités critiques, mettre en place une authentification à plusieurs facteurs ou organiser une formation efficace de sensibilisation à la sécurité - ces groupes criminels ont mis au point des opérations finement ajustées et optimisées pour l'exploitation.
L'appel à l'action ne saurait être plus clair : les défenseurs doivent égaler et dépasser ce niveau d'organisation et d'efficacité, sous peine de se retrouver dépassés par des adversaires qui considèrent la cybercriminalité non pas comme un passe-temps ou un projet secondaire, mais comme une opération commerciale professionnelle, avec toute la discipline et la réflexion stratégique que cela implique.
La fuite de Black Basta ne se contente pas d'exposer un seul groupe criminel, elle expose la dure réalité de ce à quoi nous sommes confrontés. Cette révélation constitue à la fois un avertissement et une occasion de revoir fondamentalement notre approche de la défense à une époque où nos adversaires opèrent moins comme des pirates informatiques et davantage comme des sociétés criminelles.
Source et remerciements à Dan Goodin, Senior Security Editor, qui a écrit l'article sur Ars Technica dont cet article s'inspire largement.
