Dans ce podcast spécial Northsec, David Décary-Hétu présente une recherche fascinante sur les négociations entre groupes de ransomware et leurs victimes, basée sur l’analyse d’archives de conversations réelles accessibles publiquement sur ransomware.li.

Les ransomwares représentent aujourd’hui la plus grande menace pour les infrastructures critiques selon le gouvernement canadien. Ces attaques ont évolué vers des stratégies multiples : chiffrement des données, exfiltration d’informations sensibles, et même la “triple extorsion” où les attaquants menacent de nouvelles attaques ou de déni de service si la rançon n’est pas payée. Cette évolution a naturellement mené à des négociations complexes entre criminels et victimes.

L’analyse révèle que les groupes de ransomware effectuent des recherches approfondies sur leurs cibles avant de formuler leurs demandes. Ils examinent les documents financiers volés pour connaître les soldes bancaires, les polices d’assurance cyber, et adaptent leurs exigences en conséquence. Cette approche leur permet de contrer efficacement les arguments de pauvreté des victimes en citant des chiffres précis : “À la fin du dernier trimestre, vous aviez 460 millions dans votre compte bancaire.”

Cette connaissance détaillée des capacités financières des victimes leur donne un avantage considérable dans les négociations, particulièrement lorsqu’ils peuvent invoquer l’existence d’une assurance cyber en déclarant que “cela ne vous coûtera absolument rien”.

Malgré leur préparation minutieuse, les cybercriminels adoptent une approche similaire à celle de “vendeurs de voitures usagées”, privilégiant le volume de transactions. La recherche montre qu’ils sont remarquablement flexibles sur les prix, acceptant généralement environ 50% de leur demande initiale, parfois même seulement 20%.

Cette flexibilité suggère que leur modèle économique repose davantage sur la multiplication des paiements que sur l’obtention du montant maximal de chaque victime. La première leçon qui en découle est claire : ne jamais accepter la première offre et toujours négocier.

Lorsque les victimes résistent ou prétendent disposer de sauvegardes, les attaquants déploient un éventail de menaces sophistiquées. Ils promettent de nouvelles attaques dès la restauration des systèmes, des campagnes de déni de service continues, ou encore la divulgation d’informations compromettantes aux clients et partenaires.

Dans un cas particulièrement révélateur, des attaquants ont menacé de dénoncer des pratiques de délit d’initié aux autorités compétentes si leur victime vendait ses actions tout en cachant l’attaque subie. Cette approche montre une compréhension fine des enjeux réglementaires et réputationnels auxquels font face les entreprises.

De manière quasi-commerciale, les groupes criminels promettent des “services après-vente” incluant la suppression garantie de toutes les données de leurs serveurs et, plus surprenant encore, des rapports de vulnérabilités pour aider leurs victimes à éviter de futures attaques.

L’analyse révèle cependant que ces rapports sont standardisés et contiennent des recommandations basiques : ne pas cliquer sur des liens suspects, activer l’authentification à deux facteurs, maintenir les systèmes à jour. Ces conseils, bien qu’utiles, relèvent de l’hygiène cybernétique élémentaire et suggèrent que ces “services” constituent davantage un argument de vente qu’une véritable valeur ajoutée.

Un aspect particulièrement intrigant concerne les considérations géopolitiques de certains groupes. Un cas documenté montre des attaquants s’excusant auprès d’une victime ayant une filiale en Arménie, considérant cette région comme faisant partie de la zone d’influence russe où ils ne souhaitent pas opérer. Ils ont même fourni gratuitement l’outil de déchiffrement avec des excuses.

Cette observation soulève la question fascinante de savoir si la création stratégique de filiales dans certains pays pourrait constituer une forme de protection contre ces attaques, à l’instar des mécanismes automatiques qui détectent les claviers cyrilliques pour éviter les systèmes russes.

Du côté des victimes, plusieurs stratégies récurrentes émergent de l’analyse. La minimisation constitue l’approche la plus commune : les organisations se présentent systématiquement comme de petites entités sans moyens, même lorsqu’il s’agit d’entreprises importantes. Un centre d’hébergement pour sans-abri prétendant ne pas avoir d’argent a finalement versé 125 000 dollars de rançon.

Les tentatives de création de liens personnels avec les attaquants constituent une autre stratégie fascinante, évoquant potentiellement le syndrome de Stockholm. Les victimes partagent leurs difficultés internes, décrivent des environnements de travail chaotiques, ou mentionnent les dangers personnels qu’elles acceptent de courir pour obtenir des cryptomonnaies.

La temporisation représente également une tactique courante, les entreprises cherchant à gagner du temps pour évaluer leurs alternatives, comprendre l’étendue des dégâts et potentiellement restaurer leurs systèmes sans payer.

L’examen du contenu réellement volé révèle une réalité souvent décevante. Contrairement aux attentes, la plupart des données divulguées consistent en documents administratifs banals, anciennes sauvegardes, et fichiers personnels d’employés sans intérêt stratégique.

L’exemple du Blue Leak, impliquant 250 gigaoctets de documents de services de police, illustre cette réalité : malgré des heures d’analyse, peu d’informations véritablement compromettantes ont été identifiées, principalement des manuels de formation et des présentations statistiques.

Cette recherche remet en question les statistiques alarmantes souvent citées, notamment celle affirmant que 60% des PME attaquées ferment dans l’année suivante. L’observation empirique suggère que les entreprises continuent généralement leurs opérations après une attaque, et que les consommateurs maintiennent leurs habitudes d’achat même après des violations de données majeures, comme l’illustre le cas de Home Depot.

Un aspect méconnu mais crucial concerne le rôle des négociateurs professionnels, souvent mandatés par les compagnies d’assurance. Ces intermédiaires spécialisés développent des relations avec les différents groupes criminels, créant une forme d’écosystème professionnel autour de ces négociations.

Cette professionnalisation soulève des questions importantes sur l’efficacité de ces services et leur impact sur les montants finalement versés, un domaine qui mériterait des recherches approfondies.

Cette recherche, rendue possible par la mise à disposition publique de ces archives sur ransomware.li, offre des insights précieux pour les professionnels de la cybersécurité. Elle permet aux organisations de mieux se préparer à d’éventuelles négociations en comprenant les tactiques employées de part et d’autre.

L’importance de cette recherche académique ne peut être sous-estimée car elle fournit aux défenseurs des outils concrets pour gérer ces situations critiques, alimentant ainsi la réflexion stratégique du secteur.

La poursuite de ces travaux, enrichie par de nouveaux cas comme celui de LockBit récemment compromis, promet d’apporter des éclairages supplémentaires sur l’évolution de cet écosystème criminel en constante mutation, confirmant que les ransomwares demeurent une menace majeure nécessitant une vigilance et une préparation continues.