Le FBI perturbe les opérations de cybercriminalité en effaçant les programmes malveillants de centaines de milliers d'ordinateurs

Le FBI a discrètement effacé les programmes malveillants de plus de 700 000 ordinateurs à travers le monde ces derniers jours, a annoncé mardi l'agence, dans le cadre d'une opération visant à éliminer une composante majeure de l'écosystème de la cybercriminalité.

Le but de l'opération était de perturber un botnet de longue date, un réseau d'ordinateurs reliés entre eux par les mêmes programmes malveillants, appelé Qakbot. Qakbot est un outil polyvalent qui est depuis longtemps disponible à la location pour les cybercriminels qui l'utilisent pour obtenir un premier accès aux ordinateurs ou aux fichiers des victimes.

Les botnets s'appuient souvent en grande partie sur le piratage et l'exploitation d'ordinateurs appartenant à des personnes ou à des entreprises qui n'ont généralement aucune idée que leurs appareils travaillent au noir en tant que complices des cybercriminels. Il est rare et souvent juridiquement compliqué, mais ce n'est pas sans précédent, que le FBI persuade un tribunal de le laisser expulser des pirates informatiques des ordinateurs des victimes à leur insu.

Le FBI a obtenu l'autorisation du tribunal pour procéder à l'opération le 21 août, selon une copie du mandat. Des agents ont procédé au piratage de l'infrastructure informatique centrale de Qakbot quatre jours plus tard, a annoncé le FBI, et l'ont forcé à dire aux ordinateurs de son botnet d'arrêter d'écouter Qakbot.

Keith Jarvis, chercheur principal à la société de cybersécurité Secureworks d'Atlanta, qui surveillait le botnet et son démantèlement, a déclaré que la plupart des ordinateurs infectés par Qakbot avaient probablement été réparés efficacement dans les premières heures de l'opération du FBI.

Lors d'un appel aux médias après l'annonce, un responsable du FBI qui a demandé à ne pas être identifié a déclaré que le FBI avait développé un outil de suppression particulier pour l'opération. Les victimes ne seront pas informées que leurs appareils ont été réparés ou qu'ils ont été compromis, a-t-il déclaré.

Cependant, le FBI a donné les noms et adresses e-mail de certaines des personnes ayant été piratées à Have I Been Pwned, un site Internet qui permet à chacun de vérifier si elles apparaissent dans certaines violations majeures de données. Have I Been Pwned a ajouté mardi 6,4 millions de comptes de messagerie liés à Qakbot à sa base de données.

Le communiqué du FBI indique que les forces de l'ordre de France, d'Allemagne, des Pays-Bas, du Royaume-Uni, de Roumanie et de Lettonie ont participé au démantèlement de Qakbot. Le responsable du FBI a refusé de dire si quelqu'un avait été arrêté ou si des gouvernements étaient impliqués dans les opérations cybercriminelles.

Bradley Duncan, chercheur chez Palo Alto Networks, a déclaré que même si certains des plus grands gangs de cybercriminalité utilisent Qakbot pour infecter des entreprises, des écoles et des hôpitaux avec des ransomwares perturbateurs, il est peu probable que l'action du FBI se traduise par une réduction majeure des cyberattaques. Les pirates informatiques disposent de bien d’autres moyens d’entrer par effraction, a-t-il déclaré.

« Même si toute perturbation est bonne, la perturbation causée par Qakbot pourrait ne pas avoir d'impact majeur sur les opérations des ransomwares », a déclaré Duncan.

Kevin Collier est un journaliste qui couvre la politique en matière de cybersécurité, de confidentialité et de technologie pour NBC News.