Arrestation d'un complice de Lazarus, sanctions contre le secteur informatique russe et autres développements en matière de cybersécurité

Nous avons rassemblé les nouvelles les plus importantes du monde de la cybersécurité pour la semaine.

Un Russe arrêté en Argentine pour avoir blanchi des crypto-monnaies pour Lazarus

La police fédérale argentine a arrêté à Buenos Aires un citoyen russe de 29 ans accusé de blanchiment de cryptomonnaies pour le compte de divers criminels, dont les pirates informatiques nord-coréens Lazarus. La société de cybersécurité TRM Labs a contribué à identifier le coupable.

Selon La Nacion, l'accusé blanchissait des fonds via des échanges et des mixeurs de cryptomonnaies, puis convertissait les actifs en monnaie fiduciaire. Des gens avec des sacs venaient tous les jours à son appartement.

Entre autres choses, une partie des 100 millions de dollars volés au pont inter-chaînes Horizon par les pirates de Lazarus à l'été 2022 a transité par la Russie.

L'enquête a établi qu'au 18 décembre 2023, le défendeur avait acheté plus de 1,3 million d'USDT contre des roubles russes et effectué 2 463 transferts de crypto-monnaie via Binance Pay pour un total de plus de 4,5 millions de dollars.

Il était sous surveillance depuis novembre 2023. L'attaquant changeait d'appartement tous les mois. Les informations fournies par la bourse Binance ont permis d'établir sa dernière localisation.

Tous les appareils électroniques, deux portefeuilles de crypto-monnaie contenant des actifs d'une valeur de 121 000 $, ainsi que 15 millions de dollars en espèces ont été saisis dans l'appartement.

Les experts ont identifié le créateur du Styx Stealer, qui vide les portefeuilles Bitcoin

Les chercheurs de Check Point ont pu localiser et démasquer le développeur du malware Styx Stealer, qui cible les mots de passe, les informations système, les saisies automatiques des navigateurs, les données Telegram, Discord et les portefeuilles cryptographiques. Les marques vulnérables incluent Armory, Atomic, Bytecoin, Coinomi, Jaxx, Electrum, Exodus et Guarda.

Vous êtes intéressé par la manière dont les cybercriminels sont exposés ? Nos dernières recherches révèlent une défaillance majeure de l'OpSec de la part du développeur de Styx Stealer, qui a conduit à des informations cruciales qui ont démasqué les pirates informatiques derrière Styx Stealer et l'une des campagnes de l'Agent Tesla. https://t.co/yLUdOJEcjs

— Recherche Check Point (@_CPResearch_) 16 août 2024

Styx Stealer est distribué par abonnement avec paiement en cryptomonnaie. Les spécialistes de Check Point ont suivi huit portefeuilles associés au pirate. En seulement deux mois, d'avril à juin, ils ont reçu un total d'environ 9 500 dollars en différentes cryptomonnaies.

Le créateur du malware était un pirate informatique turc nommé Sty1x. Il a divulgué des données personnelles lors du débogage du voleur à l'aide d'un jeton de bot Telegram fourni par un membre de la campagne de spam Agent Tesla.

Les chercheurs ont eu accès à son compte Messenger, à son courrier électronique et à ses contacts. Ils ont également identifié 54 clients qui utilisaient le logiciel malveillant.

Les États-Unis ajoutent des sociétés russes spécialisées dans la sécurité informatique à leur liste de sanctions

OFAC Les sanctions ont été étendues à 400 personnes morales et physiques russes.

La publication « Durova's Code » a noté que la liste comprenait un grand nombre d'entreprises liées à l'informatique et à la cybersécurité :

• Atoll;
• Diasoft;
• Conformité numérique;
• Service de sécurité numérique;
• Institut de recherche en intelligence artificielle;
• Cyberservice;
• Basalte;
• Rutech TD;
• Bureau d'études des communications radio de Vladimir ;
• Centre des technologies financières;
• Doux Plus;
• Systèmes d’alimentation radioélectrique;
• Ligne radio;
• MTS ROUGE;
• tube cathodique;
• Logiciel CRT.

Des sanctions ont également été imposées à plus d’une centaine d’entreprises de Chine, des Émirats arabes unis, de Turquie et de Suisse qui ont permis à la Fédération de Russie de contourner les restrictions précédemment imposées.

Toyota confirme que les données de ses clients ont été divulguées par une tierce partie

Un utilisateur surnommé ZeroSevenGroup a publié une archive gratuite contenant 240 Go de données prétendument obtenues à la suite d'un piratage d'une filiale du constructeur automobile Toyota aux États-Unis. L'attaquant affirme que le fichier contiendrait des informations sur les employés et les clients de l'entreprise, ainsi que des contrats et des informations financières.

Selon Bleeping Computer, les fichiers ont été volés, ou du moins créés, le 25 décembre 2022. Cela peut indiquer qu'ils ont été obtenus à partir d'une sorte de serveur de sauvegarde.

Dans un commentaire à la publication, Toyota a confirmé l'incident chez un tiers anonyme, qui a indirectement affecté ses clients. Toutes les victimes bénéficient de la coopération et d'une assistance si nécessaire.

Les responsables de l'entreprise ont souligné que les systèmes de Toyota Motor North America « n'ont pas été directement piratés ou compromis ».

Un membre du groupe d'extorsion russe Karakurt inculpé aux États-Unis

Le ministère américain de la Justice a inculpé Denis Zolotarev, citoyen letton de 33 ans, de blanchiment d'argent, de fraude électronique et d'extorsion au sein du groupe russe Karakurt.

Le gang a commencé à opérer à la mi-2021, en volant des données sans utiliser d’outils de cryptage.

D'après le dossier, Zolotarev utilisait le pseudonyme Sforza_cesarini et agissait en tant que négociateur. Il est lié à au moins six affaires d'extorsion contre des organisations américaines entre août 2021 et novembre 2023. L'une de ces entreprises a versé à Karakurt une rançon de plus de 1,3 million de dollars.

L'auteur a été identifié grâce au suivi des cryptomonnaies, à l'analyse des communications et aux données de Rocket.Chat obtenues grâce à un mandat d'arrêt. Zolotarev a été arrêté en décembre 2023 en Géorgie et extradé vers les États-Unis au début du mois.

Roskomnadzor a expliqué la panne à grande échelle des messageries comme une attaque DDoS, mais n'a pas convaincu les experts

Le 21 août, des résidents russes se sont plaints d'un problème majeur d'accès à Telegram, aux messageries WhatsApp et à un certain nombre d'autres services, notamment Discord, Skype, Facebook Messenger, AnyDesk, GitHub, Wikipedia, Steam, Cloudflare et Yandex Cloud.

Dans un commentaire à Forbes, les représentants de Roskomnadzor ont nommé la raison de l'échec DDoS– une attaque contre des opérateurs russes. Cependant, les experts doutent de la déclaration de l'agence.

« Comment a-t-il été possible d’organiser une attaque DDoS contre tous les opérateurs de la Fédération de Russie ? […] « Et comment expliquer alors que ce sont les messageries instantanées et quelques autres ressources qui ont planté, alors que le reste (y compris le VPN, soit dit en passant) fonctionnait ? RKN ment », a écrit Mikhaïl Klimarev, l'auteur de la chaîne Telegram « ZaTelecom ».

Le 23 août, des pannes ont touché Telegram, WhatsApp et Viber. Klimarev suggère que les autorités ont commencé à tester la technologie pour bloquer les messageries instantanées.

Également sur ForkLog :

Que lire le week-end ?

Top 10 des éléments gênants de l'industrie de la cryptographie que nous ne voudrions pas mentionner lors de la prochaine conférence en ligne ForkLog 100x.