Avec l‘attaque de Colonial Pipeline, le gang Darkside a concentré une attention rare sur son activité cybercriminelle. L’attention médiatique a propulsé son coup d’éclat en tête des journaux ; l’attention des autorités a mené à un arrêt — au moins provisoire — de son activité ; l’attention des chercheurs a quant à elle conduit à l’écriture de plusieurs articles de recherche sur ses opérations.
Le dernier rapport en date, repéré par The Record Media et le Bleeping Computer le 18 mai, est celui d’Elliptic, une entreprise spécialisée dans le suivi des manipulations de cryptomonnaies. Le fondateur Tom Robinson et ses équipes ont retracé sur la blockchain tous les paiements de rançons récupérés par Darkside.
Darkside a arrêté son activité le 13 mai, menacé par les forces de l’ordre.. // Source : Star Wars, épisode VI : le retour du jedi
Car oui, les transactions en bitcoin sont publiques, ce qui permet à n’importe qui de les observer. Mais faut-il savoir ou déduire à qui appartiennent les adresses impliquées dans l’échange, car cette information n’est pas publique. Autrement dit, les résultats d’Elliptic ne sont pas exhaustifs, ce sont plutôt des estimations fines.
Le bilan financier de Darkside estimé par les chercheurs le place parmi les plus grosses organisations rançongiciels, alors qu’il paraissait en retrait des gang les plus connus comme Ryuk ou REvil. Sur les 9 derniers mois, Darkside aurait récolté un montant estimé de 90 millions de dollars en bitcoin, sur plus de 47 adresses différentes. Il aurait piégé au moins 99 victimes et 47% d’entre elles auraient cédé à la demande de rançon. « Le paiement moyen était de 1,9 million de dollars », en déduit Tom Robinson.
15,5 millions dans la poche du gang, le reste pour ses affiliés
Darkside était un « ransomware-as-a-service », c’est-à-dire que les développeurs du rançongiciel se contentaient de le fournir à des sortes de sous-traitants (appelés « affiliés ») qui se chargeaient de lancer les cyberattaques. En cas de paiement de la rançon, le noyau du gang gardait entre 10 et 25% du montant, et redistribuait le reste à ses affiliés, responsables de la plus grosse partie du travail. Elliptic estime donc que Darkside a gardé 15,5 millions de dollars sur les 90 millions de dollars payés par les victimes.
The Record Media précise que Elliptic ne s’est pas contenté d’estimer les gains de Darkside, il aurait aussi réussi à retracer les opérations de cryptomonnaies jusqu’à leur point de conversion en monnaie traditionnelle. L’entreprise veut mettre cette information à disposition des enquêteurs, qui pourraient s’en servir dans le but d’identifier les membres du gang et leurs affiliés.
Abonnez-vous gratuitement à Artificielles, notre newsletter sur l’IA, conçue par des IA, vérifiée par Numerama !
