Le Dark Web continue de gagner en dynamisme parmi les cybercriminels. Serdar Günal Rütsche, chef du département Cybercrime à la police cantonale de Zurich, connaît bien la complexité des enquêtes dans le Darknet. J’ai voulu moi-même découvrir dans les profondeurs du Darknet vers où se dirige l’écosystème criminel autour du commerce des services de malware, quelles tendances se dessinent sur les places de marché et quels risques cette dynamique représente pour les entreprises. Ces dernières semaines, je me suis plongé dans les forums du réseau Onion. D’une part, j’étais curieux de savoir ce qui se discute actuellement dans les forums de hackers, d’autre part, je voulais voir à quel point il est devenu facile d’obtenir et de proposer des services étranges ou dangereux issus du Darknet.
Le test pratique
Je lance le navigateur Firefox modifié. Mon premier arrêt est toujours « The Hidden Wiki » : un très long annuaire de liens pour accéder à différentes pages du Darknet. Comme on le sait, tous les liens ne mènent pas toujours à destination. Ce qui est inquiétant : le site Dark Web « Rent-A-Hacker », qui existe depuis ce qui semble être dix ans, est toujours actif. L’offre de services a simplement un peu changé : alors qu’il y a quelques années, le piratage de comptes e-mail et Facebook pour quelques centaines d’euros était au centre, de plus en plus de cybercriminels vantent désormais dans les forums leurs compétences en ingénierie sociale, qu’un script kiddie peut quasiment ajouter comme un « pack tout-en-un » pour quelques centaines de dollars afin d’atteindre un objectif précis.
Les places de marché plus récentes pour drogues et malwares cherchent aussi à gagner la confiance des utilisateurs avec plus de sécurité et des serveurs plus rapides. Source : Darknet
Le modèle commercial « as a Service »
Les comptes PayPal compromis semblent être particulièrement en vogue ces derniers temps. Que ce soit des cookies de session ou une combinaison avec un cheval de Troie supplémentaire : des offres pour compromettre dix comptes PayPal d’une valeur de 250 à 500 dollars chacun circulent déjà à partir de 150 dollars sur un marché du Darknet. Le paiement s’effectue alors en cryptomonnaies, par exemple en Bitcoin. Le modèle criminel « as-a-Service » est parfois enrichi de services comme des tableaux de bord supplémentaires incluant des informations sur les montants des paiements et les attaques réussies. Le paquet Ransomware-as-a-Service adapté peut donc être configuré individuellement même par des débutants sans beaucoup de connaissances.
Note en marge : Je remarque que sur de plus en plus de places de marché du Darknet, vendeurs et acheteurs peuvent laisser des évaluations détaillées sur les offres. Cette observation est confirmée par un rapport de sécurité Darkweb de HP, selon lequel 92 % de toutes les places de marché disposent désormais d’un service de résolution des litiges.
Outre les petits sites statiques Tor, de nombreux forums de discussion peuplent la chambre noire d’Internet. On peut citer un forum semblable à « Reddit » nommé « Dread », qui compterait environ 12 000 utilisateurs. On y discute de guides de hacking professionnels ainsi que d’annonces ou de fermetures de places de marché. En plus de guides très détaillés sur les exploits Zero Day sous Windows, le transport de drogues illégales est négocié dans ce forum basé sur l’inscription.
Il existe également des forums spécifiques à certains pays comme « XSS », où il s’agit (comme le nom l’indique) de Cross-site Scripting et de vulnérabilités web. Le forum a pour but de proposer des exploits, des vulnérabilités Zero Day et des bases de données d’identifiants. Divers groupes de ransomware recherchent aussi très précisément certaines compétences de développeurs.
En général, on peut dire que le Dark Web abrite au moins trois principales menaces cybernétiques :
Vol de biens et d’identité : les hackers vendent toujours principalement des identifiants volés sur les places de marché du Dark Web pour profiter eux-mêmes de leurs efforts. Les failles de sécurité peuvent être exploitées à des fins financières, d’espionnage politique ou industriel, ou pour le vol de propriété intellectuelle.
Les chevaux de Troie d’accès à distance (RAT) sont régulièrement discutés dans les forums souterrains. L’anonymat donne aux groupes de hackers la liberté de planifier plusieurs cibles potentielles ou de chercher de nouveaux auteurs de malwares pour une « tâche ».
Les failles Zero-Day et les applications web non corrigées : les vulnérabilités dans les applications web et autres services en ligne font partie des menaces les plus fréquentes exploitées par les attaquants pour divers objectifs.
Enquêtes complexes pour la police
« Les autorités pénales suisses disposent de ressources limitées, qui peuvent être utilisées de manière ciblée selon des priorités », déclare Serdar Günal Rütsche, chef du département Cybercrime à la police cantonale de Zurich, à la question de savoir dans quelle mesure le travail sous couverture est possible dans la lutte contre les groupes de ransomware par rapport à d’autres délits dans le Darknet. Chaque année, plusieurs procédures pénales sont menées contre des groupes de ransomware, des pédocriminels et des trafiquants de drogue.
Les enquêtes autour des différentes possibilités d’anonymisation sont souvent très complexes et exigeantes, indique la police cantonale. Elle est capable de réagir à tout moment à tous les événements avec des mesures appropriées. Cela nécessite cependant un développement constant des méthodes d’enquête et une grande coopération des autorités pénales opérant dans le monde entier.
Cependant, les autorités pénales réussissent régulièrement à démanteler des réseaux de gangs. Ainsi, la plateforme Darknet Kingdom Market, sur laquelle circulaient plus de 42 000 offres criminelles, a récemment été fermée avec succès.
Quelles tendances du Darknet attendre en 2024 ?
La cybercriminalité en tant que produit ou service est clairement en vogue. Le modèle « as-a-Service » avec des packs de services complets pour des objectifs spécifiques gagne en popularité, à l’image du monde des affaires traditionnel. Pour les script kiddies, il est toujours « plus sûr » d’acheter d’abord un accès via des services de hacking déjà existants plutôt que de laisser eux-mêmes des traces.
La gamme des services criminels dans le Dark Web s’élargit généralement. Un échantillon a montré qu’environ neuf exploits connus sur dix proposés sur les places de marché sombres sont déjà vendus pour moins de dix dollars US, alors que les prix des exploits (encore non publics) peuvent atteindre plusieurs milliers de dollars US.
Les analystes de sécurité de Check Point ont trouvé l’année dernière dans le Dark Web plus de chatbots IA basés sur des modèles de langage étendu (LLM), comme ceux utilisés par ChatGPT. Par exemple, WormGPT est spécialisé dans le phishing piloté par IA, notamment le Business Email Compromise. Un autre exemple est FraudGPT, un chatbot IA qui, pour quelques centaines de dollars par mois, est censé inciter les utilisateurs à divulguer des informations confidentielles.
Il pourrait y avoir une augmentation des empires du Darknet provenant d’autres pays comme « XSS ». Le syndicat russe de cybercriminalité « Hydra », avant sa fermeture en avril 2022, représentait selon les estimations du département américain de la Justice 80 % de toutes les cryptomonnaies avec une valeur nette de plus de 5,2 milliards de dollars US.
De plus en plus en vogue : les offres d’ingénierie sociale, même dans les forums de hackers plus anciens connus (Source : Darknet)
Conclusion
Face à la spécialisation croissante des services dans le Darknet, il est conseillé d’adopter une gestion responsable des données personnelles et des comptes, ainsi qu’une authentification multi-facteurs. Cela est particulièrement vrai pour la sécurisation des accès à distance tels que VPN (RDP), Citrix, mais aussi pour les partenaires contractuels et les fournisseurs. Les systèmes ou logiciels en fin de vie (EOL) doivent être arrêtés, renouvelés ou placés dans des segments réseau séparés. Pour contrer la cybercriminalité de plus en plus professionnelle, une combinaison de différentes mesures de sécurité est nécessaire, telles que la sécurité des mails, la segmentation réseau, l’EDR (ou XDR), la gestion des vulnérabilités et les tests d’intrusion.
Un scan continu du Dark Web à la recherche de données pertinentes pour l’entreprise, comme les domaines e-mail, les adresses IP publiques ou les détails de cartes de crédit, peut être assuré par des services de surveillance du Dark Web pour les entreprises disposant de données particulièrement sensibles. Un tel service détecte précocement les fuites liées aux incidents de ransomware et fouille les forums du Dark Web, les sites Onion ainsi que les liens de bases de données et de cloud à la recherche d’informations suspectes. Par exemple, une carte de crédit volée peut être bloquée à temps. De plus, ces services identifient parfois aussi des lettres imitant des domaines d’entreprise.
Liens complémentaires
www.avantec.ch/services/cyber-defense-center
www.avantec.ch/loesungen/avantec-newcomers
www.tec-bite.ch/windows-forensik-goldschuerfen-im-digitalen-raum
www.tec-bite.ch/erhoehung-der-cyber-resilience-cybersecurity-vorfaelle-richtig-trainieren
www.tec-bite.ch/die-herausforderungen-bei-einem-siem
L’article Les tendances du Darknet 2024 est paru en premier sur Tec-Bite.
Bien-être au travail
Conseils carrière
Frontaliers