NoName057(16) : l’expansion rapide d’un collectif hacktiviste pro-russe
Par Julien D.
Julien D. est analyste de la menace cyber depuis juin 2022, chez Sysdream, la division cybersécurité de Hub One. Comme tant d’autres de ses collègues, pour Julien, la cybersécurité est plus qu’un travail, c’est une véritable passion ! A tel point que Julien décide d’approfondir le sujet en s’intéressant à la psychologie des acteurs malveillants pour comprendre leurs comportements. Formé en intelligence économique, Julien se concentre surtout aujourd’hui sur la protection de l’information des organisations. Pour mieux appréhender ce volet défensif, Julien approfondit ses connaissances en s’intéressant aux sujets politiques, culturels et géoéconomiques, qui lui permettent d’avoir une vision globale des faits de société et de mieux appréhender les potentielles intrusions. Côté technologique, avec Julien, nous ne sommes jamais loin de son métier puisque son attrait va pour le logiciel Maltego, un outil de collecte d’informations qui permet l’exploration de données sur un sujet choisi. On ne se refait pas !
Et elles sont complexes ! Elles impliquent la collaboration de milliers de bénévoles[2], recrutés sur le dark web, ainsi que des membres clés qui coordonnent les cyberattaques. NoName057(16) a également adopté une méthode de recrutement particulière en rémunérant ses bénévoles de manière tout à fait spécifique.
Pour parfaire son organisation, le groupe a même créé un canal sur lequel il invite ses bénévoles à afficher des captures d’écrans et des vidéos de leurs DDoS (requêtes envoyées avec le client DDoSia).
Capture d’écran publiée dans le canal par l’un des bénévoles
Lors des entretiens avec les chercheurs en sécurité de Radware, des détails intrigants sur NoName057(16) ont été dévoilés, tels que le montant du budget quotidien du groupe, utilisé pour le versement de ses paiements ainsi que la découverte de jetons cryptés CryptoBot. La mise en lumière de ces informations a alors permis la révélation des mécanismes internes de cette insurrection numérique.
Lorsqu’il leur fut demandé de préciser quelle était la structure organisationnelle de NoName057(16), les chercheurs étaient incapables d’apporter des preuves concrètes sur le nombre réel de membres principaux ou sur leur hiérarchie. Au vu, de ce qu’ils ont pu apercevoir, ils supposent que le groupe fonctionne de manière horizontale, avec quelques membres principaux chargés de tâches spécifiques, notamment la gestion de leur bot DDoSia.
NoName057(16) utilise divers canaux de communication, principalement Telegram, pour coordonner ses opérations. Il communique en russe sur leur chaîne Telegram principale, mais en a également créé une version anglaise pour attirer l’attention internationale. Un groupe Telegram dédié au « Projet DDoSia » est utilisé pour fournir des instructions et du soutien à l’ensemble des bénévoles.
Surveillance des attaques réalisées par DDoSia (Source : CERT-SysDream)
L’un des aspects les plus intrigants de NoName057(16) est sans doute son modèle de rémunération. Les bénévoles sont récompensés en pièces TON, une crypto-monnaie, via CryptoBot. Les paiements sont basés sur le nombre d’attaques effectué par un bénévole par rapport à l’ensemble des attaques réalisées en une journée donnée, ainsi que sur le budget alloué par les opérateurs du groupe. Ce modèle financier évolue constamment, ce qui rend difficile l’estimation du revenu des participants.
Capture d’écran des discussions liées au paiement (Photo : Radware)
NoName057(16) demeure un acteur clé dans ce paysage et continue de représenter une menace sérieuse, comme en témoignent ses opérations persistantes et ses réponses aux allégations qui pourraient le lier à d’autres groupes. La lutte contre de telles menaces reste un défi, mais des enquêtes comme celle-ci nous rapprochent d’une meilleure compréhension et d’une défense plus efficace contre les acteurs malveillants de l’univers numérique.
Fiche technique :
- Date de création : mars 2022
- Spécialité : DDoS
- Motivation : Géopolitique
- Caractéristiques : menace communautaire
- Secteurs préférés : organisations étatiques
SysDream vous accompagne dans la gestion du risque cyber de votre système informatique. Nous mettons à votre disposition (que vous soyez client ou non) une équipe d’experts spécialisés dans la réponse aux incidents et l’investigation numérique pour contenir un incident de sécurité informatique, y remédier et enquêter sur les sources de l’attaque.
N’ATTENDEZ PAS D’ÊTRE ATTAQUÉS ! Contactez-nous
https://sysdream.com/audit-conseil/ris-reponse-incidents-securite/
[1] https://cybernews.com/cyber-war/new-undercover-intel-noname-russian-hacktivist-operations/
[2] Individus qui s’impliquent volontairement et sans rémunération financière dans les activités du groupe, en l’occurrence, dans le cadre de leurs opérations de cyberattaques. Ces bénévoles agissent de leur propre gré, sans contrainte légale ou financière, pour soutenir les objectifs du groupe NoName057(16) en contribuant à la réalisation d’attaques DDoS et à d’autres activités liées à la cybercriminalité. Ils participent volontairement à ces opérations en fournissant leurs ressources, leurs compétences techniques ou leur temps, parfois dans l’espoir de recevoir des paiements ou des récompenses en retour.