Selon une étude publiée hier par la Cyber Threat Alliance (CTA), les recettes provenant du ransomware CryptoWall 3.0 tomberaient toutes dans la poche d’un seul et même groupe de cybercriminels. Le programme malveillant infecte les ordinateurs, crypte les fichiers et les victimes doivent payer une rançon pour retrouver l’accès à leurs fichiers. La dernière campagne aurait rapporté 325 millions de dollars aux attaquants.

Ce constat a été fait par le CTA, un groupe créé l’an dernier pour étudier les menaces émergentes, qui compte parmi ses membres Intel Security, Palo Alto Networks, Fortinet et Symantec. CryptoWall fait partie de cette famille de ransomwares qui représente un danger croissant pour les entreprises et les utilisateurs grand public. Si un ordinateur est infecté, ses fichiers sont cryptés avec un chiffrement fort. D’autant que les solutions de recours n’existent pas. La meilleure défense reste une bonne sauvegarde des fichiers, à condition qu’ils restent à l’abri des assaillants. Sinon, une seule option : accepter la perte des données ou payer une rançon, qui peut varier de 500  à 10 000 dollars.

Des attaques organisées par vagues

Le CTA s’est intéressé à la dernière version du malware CryptoWall 3.0, apparu plus tôt cette année. Pour récupérer leurs données, les victimes doivent verser leur rançon en Bitcoins sur un compte contrôlé par les assaillants. Les transactions étant enregistrées dans un registre public connu sous le nom de blockchain, il est normalement possible de les suivre. Mais, pour compliquer la tâche des chercheurs en sécurité, l’adresse du compte Bitcoin change à chaque victime. Les fonds sont ensuite répartis entre plusieurs comptes dont la piste est difficile à suivre.

Les cybercriminels organisent leurs attaques contre les ordinateurs par vagues, chaque vague étant identifiée par un ID de campagne. C’est équivalent à la méthode utilisée pour suivre les campagnes de marketing sur Internet. Même si les chercheurs ont eu du mal à retracer le chemin des bitcoins à travers le réseau complexe de comptes, ils ont pu découvrir « qu'un certain nombre de comptes primaires avaient été partagés entre les campagnes, ce qui viendrait confirmer que toutes les campagnes, indépendamment de son ID, sont exploitées par la même entité », a écrit le CTA.

Un modèle d’affaire très lucratif

Une campagne, identifiée par l’ID « crypt100 », qui a infecté plus de 15 000 ordinateurs dans le monde, a rapporté au moins 5 millions de dollars aux assaillants. Au total, d’après son décompte, le CTA estime que CryptoWall 3.0 a pu générer jusqu’à 325 millions de dollars. « Si l'on regarde le nombre de victimes qui payent une rançon après avoir été infectées par CryptoWall 3.0, il est clair que le modèle d'affaires est très lucratif et continue à drainer des revenus importants vers ce groupe », a écrit le CTA. Le rapport ne propose aucune hypothèse sur la localisation des membres du groupe. Mais CryptoWall 3.0 comporte un indice dans son code : si le malware détecte qu'il tourne sur un ordinateur de Biélorussie, Ukraine, Russie, Kazakhstan, Arménie ou Serbie, il se désinstalle automatiquement.