La cybercriminalité en demi-teinte : quand la cyberattaque tourne mal

Chiffrement faible, usurpations d’identité absurdes, courriels sans virus en pièce jointe… Nous avons l’habitude d’entendre parler des erreurs commises par les utilisateurs, mais les cybercriminels ne sont pas infaillibles non plus.

Il n’y a pas de déshonneur à envoyer un courriel et à oublier la pièce jointe. Cela nous est arrivé à tous. Et cela se reproduira. Mais que cela arrive à un cybercriminel, dont le gagne-pain dépend de ses prouesses informatiques, frise la justice poétique. Comme le confirme Hervé Lambert, responsable mondial des opérations consommateurs chez Panda Security, l’omission de joindre le virus n’est qu’une des nombreuses erreurs commises par ces mécréants : « Des erreurs humaines, autant que vous pouvez en imaginer et plus encore ». Dans l’imaginaire populaire, la maladresse des utilisateurs, constamment pointés du doigt comme le maillon faible de la cybersécurité, contraste avec l’aura de légende qui entoure le hacker encapuchonné qui n’utilise qu’un ordinateur pour déclencher des cataclysmes. L’un n’est pas si inepte et l’autre si extraordinaire.

Que ce soit par manque d’expérience ou en raison de la faillibilité humaine, les cybercriminels commettent quotidiennement des erreurs qui les font tomber dans les filets des antivirus et même des forces de l’ordre. « Ils utilisent tous des stratégies pour se cacher, mais le jour où ils dérapent, ils sont exposés et c’est à ce moment-là qu’on peut les attraper ou savoir qui ils sont », explique Jordi Serra, professeur à la Faculté d’informatique, multimédia et télécommunications de l’UOC. « Je me souviens de cas où des commentaires sont placés dans le code du malware pour continuer plus tard et ne sont pas supprimés (ceux-ci peuvent donner des indices sur l’identité des auteurs ou de leurs collaborateurs), ou encore d’attaques qui sont vues en direct afin de pouvoir interagir avec les cybercriminels… ».

Il y a des bévues à tous les niveaux. Un exemple récent et plus avancé techniquement est Prometheus, un virus ransomware qui est devenu actif au début de l’année. Ses créateurs se sont présentés comme faisant partie de REvil, les pirates informatiques qui ont mis en péril les oléoducs et les réserves de carburant dans le sud-est des États-Unis. Mais cette version n’a pas convaincu les experts : les logiciels malveillants de ce dernier sont considérés comme faisant partie des plus avant-gardistes, tandis que ceux de Prometheus sont plutôt un méli-mélo – ou, ironiquement, un monstre de Frankenstein des temps modernes – fabriqué à partir des restes d’autres virus, dont Thanos, un ransomware qui circulait sur les forums du dark web au début des années 2020. Et dans la cybercriminalité, comme dans la vie, les ratés coûtent cher. Les chercheurs d’IMB Security X-Force ont découvert une faille dans son système de cryptage qui permet de récupérer les fichiers infectés sans avoir besoin de mots de passe.

« Il arrive trop souvent qu’un bug bien fait soit transformé en variantes. Ceux qui savent le faire, le font très bien. Mais dans le secteur de la cybercriminalité, il y a beaucoup de gens qui sont beaucoup moins bien informés », explique M. Lambert. Pour compenser le manque d’expertise, ces criminels mènent la cyberguerre à coups de canon : ils passent d’attaques spécifiques et adaptées au réseau à infecter à des campagnes d’infection de masse qui augmentent leurs chances de succès. « Lutter contre la cybercriminalité n’a jamais été facile, mais maintenant c’est plus difficile car il y a beaucoup de démocratisation et beaucoup de volume, et en plus les sanctions sont très faibles », poursuit l’expert. Dans le cas de Prometheus, le coût de l’erreur a été l’échec de l’attaque et la perte consécutive de la possibilité de percevoir une rançon pour les fichiers cryptés.

Graham Ivan Clark, qui a piraté en 2020 130 comptes Twitter de personnalités telles que Barack Obama et Elon Musk, a payé un prix plus élevé pour sa maladresse. Les autorités ont identifié l’adolescent de l’époque et ses deux collaborateurs grâce à leur performance « extrêmement négligée » : ils ont utilisé les adresses IP de leur propre domicile et fourni leurs documents d’identité pour la création des comptes en bitcoins sur lesquels ils espéraient récolter les fruits de l’attaque. « Nous avons construit la paranoïa que tous les cyber-méchants sont des as de l’informatique et ce n’est pas vrai. Il y en a de toutes sortes. Comme dans la vie réelle, il y a des gens qui peuvent ouvrir une boîte avec trois alarmes différentes et des bombes fumigènes et d’autres qui peuvent juste utiliser un marteau et un ciseau », dit Lambert.

Ce n’est pas qu’ils perdent leurs facultés. En 2016, une triste bévue a mis fin à ce qui aurait pu être un vol d’un milliard d’euros dans une banque du Bangladesh. Comme le rapporte Reuters, les attaquants ont infiltré les systèmes de la banque et ont volé ses identifiants de transfert de paiement. Ils ont ensuite bombardé la Federal Reserve Bank of New York de demandes de transfert d’argent du compte de la banque bangladaise vers d’autres comptes aux Philippines et au Sri Lanka. Au début, ça a marché. Quatre transferts d’une valeur de quelque 81 millions de dollars ont été exécutés, mais dans le cinquième, le nom de l’ONG bénéficiaire, qui n’existait pas, était écrit Shalika Fandation au lieu de fondation. La bévue a attiré l’attention des opérateurs qui, en voyant ce qui se passait, ont arrêté la transaction et celles qui étaient en cours.

Les fautes de frappe sont un genre en soi. Heureusement, ils sont nombreux dans les tentatives de phishing et peuvent nous donner des indices pour savoir si nous avons affaire à un courriel aux intentions douteuses. Mais ils ne sont pas le seul signe d’une fuite. « Je ne suis pas le plus beau mec du monde et on continue à m’envoyer des déclarations d’amour sur les réseaux sociaux. Je ne suis pas l’homme le plus riche du monde et on me demande sans cesse si je veux collecter de l’argent en Afrique, en Inde ou au Népal. Nous recevons des contributions de toutes parts et il est parfois très difficile de ne pas tomber dans le clic », explique Mme Lambert. Son conseil est d’être vigilant et, si vous êtes touché, de le signaler. « Nous voyons le cybercriminel comme intouchable et ce n’est pas forcément le cas.