Trois jours sous le déluge. La Norvège vient d’encaisser la plus grosse cyberattaque jamais dirigée contre ses services publics en ligne, revendiquée par le collectif pro-russe Server Killers en représailles au soutien d’Oslo à l’Ukraine. Le portail d’identité qui ouvre l’accès à l’ensemble des démarches administratives du pays a tenu, de justesse.
Derrière ce type d’offensive, un écosystème de volontaires recrutés sur Telegram et rémunérés en cryptomonnaies, dont Europol démonte les rouages transaction par transaction.
Points clés
Le collectif pro-russe Server Killers revendique la plus grosse attaque DDoS jamais subie par Digdir, l’agence numérique de l’État norvégien
Les représailles suivent l’annonce par Jonas Gahr Støre de 85 milliards de couronnes (9,2 milliards de dollars) d’aide à l’Ukraine
Le projet DDoSia de NoName057(16) rémunère ses volontaires en Toncoin selon les chercheurs de Sekoia
L’opération Eastwood d’Europol a produit deux interpellations, sept mandats d’arrêt et plus de cent serveurs mis hors service
Trois jours de saturation sur le portail d’identité norvégien
Digdir, l’agence publique chargée de numériser et de simplifier les services de l’État norvégien, opère l’infrastructure qui permet à un citoyen de se connecter avec un identifiant unique à des centaines de guichets administratifs, de la déclaration d’impôts au dossier de santé.
C’est cette porte d’entrée qui a été prise pour cible depuis lundi, sous un flux de requêtes calibré pour l’asphyxier.
« C’est la plus grosse attaque contre les solutions de Digdir que nous ayons jamais connue.»
Are Kvistad, porte-parole de l’agence norvégienne de la numérisation (Digdir), auprès de l’Associated Press
Le mode opératoire porte un nom : le déni de service distribué, ou DDoS. Rien à voir avec une intrusion classique. Aucune donnée n’est dérobée, aucun serveur n’est compromis. Les attaquants mobilisent des milliers de machines pour noyer leur cible sous un trafic artificiel jusqu’à ce qu’elle cesse de répondre aux utilisateurs légitimes. Malgré l’intensité, Digdir assure avoir maintenu ses services accessibles « pratiquement tout le temps ». Les autorités norvégiennes n’avaient pas réagi à la revendication au moment de la publication.
Une « cyberguerre » déclarée après les milliards promis à Kiev
Sur Telegram, Server Killers a revendiqué l’offensive et annoncé avoir déclaré la « cyberguerre » à la Norvège après la reconduction de la coopération de sécurité entre Oslo et Kiev. Le message a été largement repris par la presse norvégienne, qui relie le collectif, directement ou indirectement, à de précédentes attaques dans le pays et ailleurs en Europe.
Dimanche, en visite à Kiev, le premier ministre Jonas Gahr Støre a annoncé 85 milliards de couronnes norvégiennes, soit environ 9,2 milliards de dollars, inscrits au budget de l’État de l’an prochain en faveur de l’Ukraine. Troisième année consécutive. Les deux pays ont également acté un approfondissement de leur coopération sur les drones et les technologies de guerre modernes.
La Norvège avait déjà connu pire qu’un portail saturé. Des pirates y avaient pris le contrôle du système commandant à distance une vanne de barrage et l’avaient ouverte pour augmenter le débit d’eau, avant de diffuser sur Telegram une vidéo de trois minutes du panneau de contrôle, signée d’un groupe cybercriminel pro-russe. Au Danemark, les autorités ont attribué à Z-Pentest une « attaque destructrice » contre un opérateur d’eau, et à NoName057(16) une offensive contre des sites danois à l’approche des élections locales. Deux collectifs liés à l’État russe, selon Copenhague.
Des volontaires recrutés et payés en Toncoin
C’est ici que la crypto entre en scène, et pas du côté que l’on imagine. NoName057(16), figure centrale de la galaxie hacktiviste pro-russe, opère depuis des années un projet baptisé DDoSia : un logiciel que n’importe quel sympathisant installe pour prêter la bande passante de sa machine, avec classements, badges et primes à la clé. Les chercheurs de Sekoia, qui suivent l’infrastructure du groupe, ont documenté des rémunérations versées en Toncoin aux contributeurs les plus actifs. Une sous-traitance de la nuisance, gamifiée et payée au rendement.
Ce choix a un coût pour les attaquants. En effet, chaque versement laisse une empreinte publique et définitive sur un registre que n’importe qui peut consulter, là où des espèces ou un circuit bancaire opaque n’auraient rien laissé d’exploitable aux enquêteurs.
L’opération Eastwood, coordonnée par Europol et Eurojust, a abouti à deux interpellations, sept mandats d’arrêt et vingt-quatre perquisitions dans douze pays, avec plus d’une centaine de serveurs mis hors service. Le Trésor américain a de son côté sanctionné l’hébergeur Aeza Group, spécialiste du bulletproof hosting, ces prestataires qui accueillent sciemment des contenus illégaux et ignorent les réquisitions, en identifiant nommément une adresse crypto rattachée à ses activités.
Europol est allé jusqu’à notifier directement plus d’un millier de participants à DDoSia, via l’application qu’ils utilisaient, pour leur signifier qu’ils étaient identifiés et passibles de poursuites. Les serveurs changent d’hébergeur, les canaux Telegram se dupliquent, les pseudonymes se renouvellent. Les transactions qui ont rémunéré les volontaires, elles, restent lisibles.
