Qui a voulu la peau de LockBit, prestataire majeur de la cybercriminalité mondiale? Son intenable fondateur russe est-il libre, détenu, mort? A quel jeu trouble se livre le Kremlin avec les cyber-escrocs, aux confins entre dark web et monde réel?
Le 7 mai dernier, LockBit a été victime d'un craquage de son système et du vol d'une partie de ses données. Une humiliation pour l'ex-numéro un mondial du rançongiciel, ces logiciels malveillants qui pénètrent dans le système d'une entreprise, pillent ses contenus et permettent d'extorquer de l'argent à ses propriétaires.
Sur son site est apparu un message moqueur: «Don't do crime, crime is bad, xoxo from Prague» (Ne commettez pas de crime, le crime, c'est mal. Bisous de Prague). Depuis, dans le petit monde de la cyber threat intelligence (renseignement sur la menace cyber, CTI), l'anecdote fait ricaner et réfléchir. Car LockBit a été un grand prestataire de services, indispensable à ses «affiliés», les rançonneurs eux-mêmes. Il fournissait notamment:
Comme un intermédiaire qui fournirait passeports, armes à feu et voiture à un groupe terroriste. Sauf que la transaction se règle en cryptomonnaies et qu'il n'y a ni patronyme, ni visage apparent, ni contact physique.
Damien Bancal, expert en cybercriminalité depuis plus de 30 ans, pose le décor. Une crise comme celle-là secoue le milieu tout entier et provoque une multitude de commentaires et de dialogues, sur internet ou sur le dark, qui «permettent d'entrevoir les manipulations auxquelles ils (réd: LockBit et les autres groupes) se livrent ou dont ils font l'objet, qu'elles soient financières, techniques ou géopolitiques», explique-t-il à l'AFP.
En 2023, LockBit était à l'origine de 44% des attaques par rançongiciel dans le monde, selon l'expert. Pourchassé par les polices occidentales, il subit une première vague d'arrestations, coordonnée par Londres et Washington, dans une dizaine de pays en février 2024, qui écorne sa crédibilité.
En France, la section de lutte contre la cybercriminalité du parquet de Paris a ouvert une enquête contre LockBit, ainsi que plusieurs dossiers distincts impliquant des affiliés et des membres d'autres groupes cybercriminels.
Rien qu'en 2024, la section a été saisie de plaintes sur 450 attaques par rançongiciels, parmi lesquels LockBit était le groupe le plus actif. «LockBit, c'était vraiment une marque», confirme le parquet de Paris.
La toute récente intrusion sauvage – et étrangement non revendiquée – dans le système de la bête à moitié morte a fini de l'achever. Vincent Hinderer, en charge de la CTI chez Orange Cyberdéfense (OCD) explique:
Son activité persiste tant bien que mal. Mais l'observation des discussions en ligne, négociations et portefeuilles de monnaie virtuelle montrent des «attaques avec des petites rançons, donc un retour sur investissement relativement faible».
Dans l'univers de la cybercriminalité, les rapports de force peuvent basculer en l'espace d'un double-clic. «Certains groupes obtiennent une position dominante puis tombent en désuétude», explique Vincent Hinderer. «Conti était leader, puis LockBit, puis RansomHub. Aujourd'hui, d'autres reprennent le leadership».
«On peut faire un parallèle avec l'antiterrorisme», admet un fonctionnaire français de la cyberdéfense, sous couvert de l'anonymat:
Vendredi, Europol et Eurojust ont revendiqué un nouveau coup de filet. Vingt mandats d'arrêt visant «en grande majorité des ressortissants russes», selon le parquet général de Francfort et la police fédérale allemande. 300 serveurs mis hors service, dont 50 se trouvaient en Allemagne. Saisie de 3,5 millions d'euros en cryptomonnaies.
Deuxième certitude: l'Etat russe joue un jeu complexe avec ces gangs. Le fonctionnaire français en cyberdéfense décrit ainsi la «porosité avec les services de l'Etat» de cette «mafia 3.0».
La fuite des données de LockBit, abondamment commentée par la communauté des cyber-observateurs , a permis d'apprendre qu'un de ses affiliés avait attaqué une ville russe de 50 000 habitants.
Mauvaise pioche: son fondateur, un certain Dimitri Khorochev, vit en Russie. Or, «on n'attaque pas dans son propre pays si on ne veut pas avoir de soucis judiciaires», résume Vincent Hinderer.
LockBit a immédiatement proposé à la municipalité attaquée un logiciel de décryptage, comme un antidote au poison qui la rongeait. Mais ce dernier n'a pas fonctionné. «C'est remonté au FSB qui a réglé le problème» en catimini, assure le fonctionnaire français.
La même source évoque aussi le cas de Maxime Yakubets, membre du groupe Evil Corp, recherché par Washington et qui affiche sans vergogne une somptueuse collection de voitures de luxe, avec des immatriculations dont certaines lettres sont réservées en principe aux fonctionnaires de haut rang.
A leader of what was once the world’s most harmful cyber crime group has been unmasked and sanctioned by the UK, US and Australia, following an NCA-led international disruption campaign.#Cronos @FBI @Europol
— National Crime Agency (NCA) (@NCA_UK) May 7, 2024
Full story ➡️ https://t.co/ECxlgOTH5E pic.twitter.com/iYz4w2jheK
Quant à Khorochev, sa tête est mise à prix pour 10 millions de dollars par le département d'Etat américain. En avril 2024, le site du ministère affichait la photo de ce Russe fringant de 32 ans, visage fin et regard acéré. Mais son poids, sa taille, la couleur de ses cheveux et de ses yeux étaient décrits comme inconnus. Le département d'Etat précise:
Une somme qui, selon les experts, ne représente que sa seule part du butin, soit 20% des volumes dégagés par les intrusives opérations de ses affiliés. Le jeune trublion est, de fait, sous sanction du Trésor américain.
On le sait grandiloquent, provocateur, égocentré, comme lorsqu'il offre de l'argent à qui tatouera son logo sur son corps, ou à qui trouvera une faille dans son serveur. Pour le reste, mystère absolu. «Tant qu'il ne sort pas de Russie, il ne sera pas arrêté», tranche l'expert du secteur privé. Mais «on n'est pas sûr qu'il soit vivant».
Toutes les sources interrogées par l'AFP décrivent le comportement ambivalent des autorités russes, entre surveillance en bride courte, laxisme calculé et manipulation politique. «L'Etat russe laisse faire les groupes, il est très content de cette forme de harcèlement continu» auquel les cybercriminels se livrent, assure le même expert. Surtout lorsqu'ils ciblent l'Ukraine ou des pays occidentaux.
Damien Bancal cite le cas de Sodinokibi, un groupe de pirates informatiques, aussi connu sous le nom de REvil, démantelé en janvier 2022. Il raconte:
Depuis, l'invasion russe en Ukraine est passée par là, et «plus personne ne coopère avec qui que ce soit».
Interrogé par l'AFP lundi sur l'existence d'une demande officielle par Washington d'informations sur Dimitri Khorochev, le porte-parole du Kremlin Dmitri Peskov a déclaré ne disposer d'«aucune information». Selon lui, «des contacts existent entre les services spéciaux (russe et américain, ndlr). Mais on ne peut pas parler pour l'heure d'une coopération d'ampleur». De fait, Moscou tire largement profit de ces extorsions.
Outre l'argent liquide et les cryptomonnaies, «ce sont des dizaines, si ce n'est des centaines de millions d'informations, qui ont été volées aux entreprises par des groupes de rançongiciels», explique Damien Bancal.
En novembre 2024 est entrée en vigueur une loi russe permettant l'usage de cryptomonnaies comme moyen de contournement des sanctions occidentales, tout en encadrant strictement leur fabrication. Le texte prévoit que seules des entreprises inscrites dans un registre spécial ont le droit d'en produire massivement.
Mais la répression est à géométrie variable. En août dernier, un cybercriminel russe a été rendu à son pays lors d'un échange de prisonniers avec plusieurs pays occidentaux. Et si la justice russe juge régulièrement des hackeurs à des peines de prison, Damien Bancal suppute un rapport de force loin du strict cadre légal:
Les criminels jouent le jeu, contraints et forcés, parfois satisfaits de servir la patrie en étant passés «du bon côté de la force».
Le fondateur de LockBit, Dimitri Khorochev – ou quiconque se ferait passer pour lui – essaye pour sa part de rester debout. Il a d'abord minimisé l'importance des données piratées le 7 mai. Et offert une récompense à qui l'aiderait à retrouver son tourmenteur.
«Donnez des infos sur lui, qui il est — je paierai si l'info est authentique», a-t-il écrit sur son site. En attendant, bon baisers de Prague.
