Attribution des Noms des Groupes de Cybercriminalité : Un Enjeu Complexe
Les noms des acteurs de la menace, tels que LockBit, Fancy Bear ou BlackCat, peuvent sembler simples et offrir l’impression d’une identité clairement définie. Cependant, dans le domaine du renseignement sur les menaces, ces noms ne racontent que rarement l’intégralité de leur histoire. Certains sont choisis par les attaquants eux-mêmes, tandis que d’autres sont attribués par des chercheurs, des éditeurs de solutions de sécurité, des gouvernements ou des bases de données publiques. Un même nom peut désigner une marque de ransomware, une identité hacktiviste, ou encore un cluster d’activité observé à travers divers incidents.
Cette distinction est cruciale pour les professionnels de la sécurité. Confondre les identités créées par les attaquants avec les étiquettes attribuées par les chercheurs peut conduire à une stimation de la certitude des équipes, à des omissions de liens entre différents alias, ou à une focalisation excessive sur le nom plutôt que sur le comportement qu’il représente.
Qui a le Pouvoir de Nommer un Acteur de la Menace ?
L’attribution d’un nom à un acteur de la menace est généralement motivée par une volonté de visibilité ou une démarche d’investigation. Les groupes cherchant l’attention peuvent se présenter publiquement via des sites de fuite de données, des chaînes Telegram, des notes de rançon ou des forums cybercriminels. Cette recherche de notoriété est fréquente parmi les groupes de ransomware et les collectifs hacktivistes, car elle sert leurs objectifs en tant qu’outil de communication, de recrutement ou d’intimidation.
En revanche, les noms attribués par les chercheurs sont basés sur l’observation d’activités malveillantes récurrentes à travers différentes victimes, environnements, ou techniques. Ces étiquettes permettent de relier les incidents, de comparer les observations et de communiquer les risques aux équipes de défense.
Quand le Nom Devient une Marque
Pour les groupes de ransomware, un nom peut revêtir une valeur commerciale significative. Il permet de se faire reconnaître par les victimes, les affiliés, et les médias. Un nom mémorable peut renforcer la crédibilité d’un groupe dans une économie criminelle concurrentielle. De plus, la réputation d’un groupe peut accentuer la pression lors des négociations, car les victimes peuvent craindre les conséquences d’une attaque déjà exécutée.
Les groupes hacktivistes, quant à eux, utilisent leurs noms pour renvoyer à une cause, une idéologie ou une cible, cherchant ainsi à gagner en visibilité publique. Le nom devient alors un vecteur de message politique ou social.
Noms Attribués par les Chercheurs et Clusters d’Activité
Les noms attribués par les chercheurs servent à transformer des indices épars en éléments concrets que les équipes de défense peuvent suivre. Un nom peut être basé sur des infrastructures récurrentes, des outils partagés, des familles de malwares, ou des tactiques spécifiques. Cela permet aux analystes de relier de nouvelles observations à des activités antérieures, tout en communiquant ces conclusions aux équipes de défense.
De plus, les différents éditeurs peuvent utiliser des systèmes de nommage variés, ce qui peut conduire à une certaine confusion dans le paysage du renseignement sur les menaces.
Des exemples tels qu’APT29 illustrent la complexité du nommage, où un même cluster d’activité peut accumuler plusieurs étiquettes provenant de diverses sources, rendant la compréhension des acteurs de la menace d’autant plus difficile.
Source : Journal du Net
