Des imposteurs d’ours fantaisistes sont en train d’extorsion de piratage

Les attaques de ransomware déchirer les réseaux d’entreprise peut mettre des organisations massives à genoux. Mais même si ces hacks atteignent de nouveaux sommets de popularité – et de nouveaux creux éthiques – parmi les attaquants, ce n’est pas la seule technique que les criminels utilisent pour secouer les entreprises victimes. Une nouvelle vague d’attaques repose plutôt sur l’extorsion numérique – avec un côté d’usurpation d’identité.

Mercredi, la société de sécurité Web Radware a publié des notes d’extorsion qui avaient été envoyées à diverses entreprises à travers le monde. Dans chacun d’eux, les expéditeurs sont censés appartenir aux pirates informatiques du gouvernement nord-coréen Lazarus Group, ou APT38, et aux pirates informatiques russes soutenus par l’État Fancy Bear ou APT28. Les communications menacent que si la cible n’envoie pas un nombre défini de bitcoins – généralement équivalant à des dizaines, voire des centaines de milliers de dollars – le groupe lancera de puissantes attaques de déni de service distribuées contre la victime, frappant l’organisation avec une lance à incendie. du trafic indésirable stratégiquement dirigé pour le mettre hors ligne.

Ce type d’extorsion numérique – donnez-nous ce que nous demandons et nous ne vous attaquerons pas – a refait surface à plusieurs reprises au cours de la dernière décennie. Mais ces derniers mois, les criminels ont tenté de capitaliser sur la peur des attaques très médiatisées d’États-nations, combinées aux angoisses liées à la montée des attaques de ransomwares, pour tenter de gagner de l’argent supplémentaire.

«Comme un bon vendeur, ils donnent suite au premier message pour convaincre la victime de payer avant de se donner la peine d’exécuter une attaque», explique Pascal Geenens, directeur du renseignement sur les menaces chez Radware. «Bien sûr, ces criminels préféreraient l’argent facile et ne pas avoir à passer par le processus de lancer une attaque. Cependant, si les acteurs de la menace veulent garder leur campagne crédible, ne pas attaquer n’est pas une option.

Bien que les attaques ne semblent pas cibler certaines régions en particulier, Radware a constaté que les pirates avaient tendance à se faire passer pour le groupe Lazarus lorsqu’ils tentaient d’extorquer de l’argent à des organisations financières, et comme Fancy Bear lorsqu’ils menaçaient des victimes de la technologie et de la fabrication.

Dans un autre exemple récent, des chercheurs de la société de sécurité Intel471 ont rapporté mardi que des pirates se faisant passer pour le groupe Lazarus avaient envoyé une lettre d’extorsion à la société de change Travelex fin août. Les attaquants ont exigé 20 bitcoins (plus de 200000 dollars à l’époque) et ont déclaré que la rançon augmenterait de 10 Bitcoin pour chaque jour écoulé après la date limite initiale. Travelex avait déjà subi une attaque de ransomware dommageable le soir du Nouvel An et aurait a payé 2,3 millions de dollars aux pirates pour déchiffrer les données.

«C’est un petit prix pour ce qui se passera lorsque tout votre réseau tombera en panne», a écrit les DDoSers d’extorsion dans leur courrier électronique à Travelex. « Est-ce que ça vaut le coup? Tu décides! »

Travelex n’a pas payé la rançon cette fois, et a plutôt résisté à une attaque DDoS que les pirates ont lancée comme une sorte de coup de semonce, puis un deuxième barrage. «Ceux qui sont derrière cela ont probablement pensé que Travelex devait être une cible souple en fonction de ce qui s’était passé au début de l’année», déclare Greg Otto, chercheur chez Intel471. «Mais pourquoi frapperiez-vous une entreprise qui a probablement déployé des efforts pour renforcer sa sécurité? Je comprends la logique, mais je pense aussi qu’il y a des trous dans cette logique. Travelex n’a pas retourné une demande de WIRED pour un commentaire sur la tentative d’extorsion d’août.

Les attaques d’extorsion DDoS n’ont jamais été particulièrement rentables pour les escrocs, car elles n’ont pas l’urgence viscérale de quelque chose comme un ransomware, lorsque la cible est déjà entravée et peut être désespérée de restaurer l’accès. Et bien que cela ait toujours été une faiblesse de la stratégie, les menaces sont potentiellement encore moins puissantes maintenant que les services de défense DDoS robustes sont devenus répandus et relativement peu coûteux.