Le créateur de la ransomware phobos va enfin être jugé

[Omnous_Luminae]

Un ressortissant russe, prétendument impliqué dans l'administration du ransomware Phobos, a comparu devant un tribunal aux États-Unis après avoir été extradé de Corée du Sud.
L'homme, Evgenii Ptitsyn, 42 ans, aurait participé au développement de Phobos et supervisé la vente, la distribution et les opérations liées au ransomware, selon un acte d'accusation rendu public par le Département de la Justice des États-Unis (DoJ).
À partir de novembre 2020, l'acte d'accusation affirme que Ptitsyn a conspiré avec d'autres pour créer et proposer Phobos sous le modèle du ransomware-as-a-service (RaaS). Les affiliés utilisaient Phobos pour chiffrer les données des victimes et exiger des paiements de rançon.
La vente et la distribution du ransomware étaient coordonnées via un site Web basé sur Tor, tandis que le modèle RaaS était promu sur des forums cybercriminels du dark web et des plateformes de messagerie.
Selon le DoJ, les affiliés de Phobos ont ciblé plus de 1 000 organisations aux États-Unis et à l'étranger, extorquant plus de 16 millions de dollars à leurs victimes.
Après avoir accédé au réseau d'une victime, souvent à l'aide de données d'identification volées, les attaquants copiaient les fichiers d'intérêt avant de déployer Phobos pour chiffrer les données. Les victimes devaient payer une rançon pour obtenir les clés de déchiffrement, sous peine de voir leurs données volées rendues publiques.
Toujours selon le DoJ, les affiliés de Phobos payaient des frais aux administrateurs du modèle RaaS, comme Ptitsyn. Ces paiements étaient dirigés vers des portefeuilles de cryptomonnaie uniques à chaque affilié, puis transférés vers un portefeuille contrôlé par Ptitsyn.
Ptitsyn fait face à 13 chefs d'accusation, notamment pour fraude électronique et complot en vue de commettre une fraude électronique, complot en matière de fraude et abus informatiques, piratage informatique et extorsion. Il risque jusqu'à 20 ans de prison pour chaque accusation de fraude électronique, 10 ans pour piratage informatique et 5 ans pour extorsion.
En mars de cette année, la CISA, le FBI et le MS-ISAC ont publié une alerte conjointe sur Phobos, avertissant les secteurs gouvernementaux, éducatifs, des services d'urgence, de la santé et autres infrastructures critiques des attaques continues du ransomware.


Sources :
https://www.justice.gov/opa/pr/phobos-ra...me-charges
https://www.securityweek.com/russian-pho...ted-to-us/
https://malpedia.caad.fkie.fraunhofer.de...win.phobos

[EnZ0]

En février 2024, une variante nommée Backmydata a notamment paralysé environ 100 établissements de santé en Roumanie. Cette attaque illustre la menace persistante que représente Phobos pour les infrastructures critiques.

Cette arrestation est un coup dur pour la cybercriminalité organisée, et tant mieux. Le modèle RaaS (Ransomware-as-a-Service) de Phobos, qui permettait à des affiliés de mener des attaques moyennant une commission, a malheureusement prouvé son efficacité redoutable. Les montants des rançons, bien que variables selon les sources (entre 5000$ et 38000$), montrent l'ampleur du problème.

La complexité technique de Phobos, notamment son utilisation de Smokeloader pour le déploiement furtif et sa capacité à manipuler les API pour contourner les défenses réseau, témoigne du niveau de sophistication atteint par ces groupes criminels.

Cette affaire rappelle l'importance cruciale de la coopération internationale dans la lutte contre la cybercriminalité. Pour les professionnels de l'IT que nous sommes, elle souligne aussi la nécessité de maintenir une vigilance constante et d'appliquer rigoureusement les mesures de sécurité recommandées.