L'ombre de REvil : traque internationale des architectes d'une cybermenace systémique

Le modèle RaaS et son impact économique

L'organisation des groupes GandCrab et REvil illustre un modèle de criminalité hautement structuré, reposant sur un modèle dit de RaaS qui a permis une scalabilité exceptionnelle des attaques. Les instigateurs fournissaient aux affiliés des logiciels de chiffrement et des outils de vol de données en échange d'une répartition des gains. Les données d'enquête établies par les services allemands révèlent que 130 affaires de chantage en bande ont été constatées, conduisant à 25 paiements de rançons établis. Le montant total versé s'élève à 1,9 million d'euros.

Cependant, le préjudice économique global dépasse largement ces sommes. Les autorités allemandes ont établi que « le préjudice économique global dépasse les 35,4 millions d'euros ». Ce chiffre intègre non seulement les rançons, mais aussi les coûts liés à l'arrêt d'activité, à la reconstruction des systèmes et aux pertes d'exploitation.

La stratégie de « double extorsion » a été systématiquement utilisée : « des données ont été spoliées et la menace de leur publication a été faite en cas de non-paiement ». Ce modèle a été appliqué avec une efficacité redoutable contre des cibles variées, allant des PME aux grandes institutions publiques, comme en témoigne l'incidence sur les théâtres nationaux du Wurtemberg.

Évolution tactique et attaques par la chaîne d'approvisionnement

Dès 2019, l'analyse forensique suggérait une continuité opérationnelle entre GandCrab et REvil (Sodinokibi), bien que les tactiques d'infection aient évolué pour accroître la surface d'attaque. Initialement, le groupe exploitait des vulnérabilités non corrigées sur des déploiements Oracle WebLogic. Cependant, les vecteurs de propagation se sont élargis pour inclure l'exploitation de services d'administration à distance (RDP).

Mais une évolution majeure s'est produite avec l'attaque contre Kaseya VSA en juillet 2021. L'exploitation de la vulnérabilité CVE-2021-30116 a permis aux attaquants de compromettre des prestataires de services managés (PSM), dont plus de 30 aux États-Unis et en Europe, et d'atteindre simultanément des milliers de machines.

Une demande de rançon initiale de 45 000 dollars par machine avait alors été formulée, totalisant une exigence de paiement d'environ 70 millions de dollars pour l'ensemble des hôtes compromis. Cette méthode de rebond avait permis aux attaquants de frapper avec une rapidité et une ampleur inédites, surpassant les capacités de réponse traditionnelle des équipes de sécurité internes.

L'intervention russe

Les arrestations opérées par les autorités russes contre des membres du groupe REvil en janvier 2024 avaient suscité des analyses nuancées concernant leur impact réel sur la menace. Les experts de la sécurité et l'écosystème du cybercrime considéraient majoritairement cette action comme une opération de communication politique, motivée par les tensions géopolitiques, notamment la situation en Ukraine. Selon l'analyste Yelisey Boguslavskiy, alors chez AdvIntel, « les interpellations visent principalement des membres de bas niveau ou des affiliés déjà inactifs, laissant l'infrastructure de commandement et le noyau dur du groupe intact ».

Les inculpations portaient en outre sur le blanchiment d'argent plutôt que sur l'extorsion directe, ce qui tendait à confortait l'hypothèse d'un contrôle étatique sur l'écosystème local sans intention de démanteler totalement la franchise. L'implication de certains arrêtés dans des affaires antérieures, comme l'attaque contre Colonial Pipeline, suggérait qu'il s'agissait bien d'acteurs de second plan.