Une opération internationale des forces de l’ordre a démantelé des éléments clés d’un réseau de malware lié au groupe de cybercriminalité basé en Russie connu sous le nom d’Evil Corp.

Les autorités des Pays-Bas, du Canada, des États-Unis et d'Allemagne ont saisi plus de 100 serveurs et noms de domaine utilisés par le botnet SocGholish. Les autorités ont également désinfecté près de 15 000 sites web compromis qui avaient été utilisés pour diffuser des logiciels malveillants.

La police néerlandaise a déclaré avoir supprimé des malwares et des backdoors de milliers de sites WordPress infectés et avoir alerté les propriétaires de ces sites de ces intrusions. Également connu sous le nom de «FakeUpdates», SocGholish est actif depuis 2018 et se propageait via de faux invites de mise à jour de navigateur ou de logiciel sur des sites web légitimes. Une fois téléchargé, ce malware permet aux attaquants d’installer des outils malveillants additionnels sur les appareils des victimes.

Le botnet aurait été utilisé pour faciliter des attaques par ransomware, servant de point d'entrée pour des groupes tels que DoppelPaymer, WastedLocker, Hades, LockBit et RansomHub. Le groupe cybercriminel Evil Corp a été sanctionné par les États-Unis en 2019 en lien avec le malware bancaire Dridex, qui, selon les autorités, a causé plus de 100 millions de dollars de pertes financières à l'échelle mondiale.

Selon Europol, l'opération, baptisée «Operation Endgame», a neutralisé deux souches de logiciels malveillants de vol d'informations, StealC et Amadey, également utilisées pour déployer et charger des logiciels malveillants.

Parallèlement, le service de renseignement du Canada a obtenu un mandat judiciaire lui permettant d’accéder à des serveurs infectés, des routeurs domestiques et des appareils de l’Internet des objets (IoT) situés au Canada afin de perturber deux botnets exploités à l'étranger.

L’autorisation a permis au SCRS de modifier, de dégrader ou de supprimer les données relatives aux botnets et de déconnecter les appareils compromis des réseaux malveillants. Les cibles comprenaient des serveurs canadiens, des routeurs SOHO (petits bureaux et bureaux à domicile) et des appareils grand public tels que les sonnettes Ring, les caméras de sécurité, les smart TVs et autres appareils connectés au Wi-Fi. Il n’est pas encore clair si l’opération autorisée par le tribunal était liée au démantèlement du botnet SocGholish.

La police espagnole arrête un suspect dans le cadre d'une enquête sur une violation de base de données gouvernementale

La Police Nationale espagnole a arrêté un jeune homme à Madrid pour avoir prétendument accédé à des bases de données gouvernementales restreintes via un outil logiciel illégal lié à un hacker espagnol non identifié.

Cette arrestation s’inscrit dans le cadre de l’opération «Borraska», une enquête en cours portant sur le vol non autorisé d’informations personnelles issues des bases de données de l’administration publique. Selon les autorités, le suspect faisait partie d’un petit groupe ayant eu accès à un outil spécialisé permettant d’effectuer des recherches en temps réel dans des dossiers gouvernementaux sensibles.

La police a effectué cinq arrestations à ce jour, dont celle du cerveau présumé, un pirate informatique déjà condamné pour des cyberattaques contre d'importantes organisations publiques et privées. Le parquet l’accuse d’avoir volé et vendu des volumes importants de données sensibles.

L’administrateur de Market0Day arrêté et inculpé aux États-Unis

Un ressortissant algérien accusé d’avoir exploité des plateformes en ligne de marché noir facilitant la cybercriminalité et la fraude financière a été arrêté et extradé aux États-Unis. Abdellah Belmili, 26 ans, aussi connu en ligne sous les pseudonymes «Dila Belmili» et «SPOX», a été inculpé pour complot en vue de commettre une fraude bancaire, une infraction passible d’une peine maximale de 30 ans de prison.

Belmili gérait la place de marché Market0Day qui aurait vendu des biens et services illicites, notamment des identifiants bancaires volés, des informations de compte compromises, des outils de malware et des services liés au hameçonnage.

Les autorités affirment que Belmili a promu la marketplace et fourni un support client via sa chaîne Telegram. Après que des clients se sont plaints fin 2020 de ne pas avoir reçu leurs achats, Belmili aurait annoncé qu’il ne dirigeait plus Market0Day et aurait lancé à la place une nouvelle plateforme appelée «Spoxy[.]us», qu’il présentait comme un service d’envoi de SMS en gros volume, souvent utilisé dans les campagnes de hameçonnage.

Les procureurs affirment que ce schéma visait de grandes institutions financières, notamment American Express, Bank of America, JPMorgan Chase, Wells Fargo et plusieurs banques au Royaume-Uni. Les autorités estiment qu’environ 900 000 $ ont été déposés sur des comptes contrôlés par Belmili entre janvier 2020 et janvier 2023.

Dans une action sans rapport avec celle-ci, les autorités américaines ont saisi des infrastructures liées à ce que les responsables décrivent comme l'un des plus grands marchés criminels en ligne au monde, supposément utilisé pour des cyber-escroqueries et d'autres activités illégales. Le compte de cloud computing saisi hébergeait des systèmes backend exploités par des filiales du groupe Huione, basé au Cambodge, qui, selon les autorités, ont joué un rôle clé dans le soutien des opérations de ce marché.

Des membres présumés de Scattered Spider plaident coupables pour la cyberattaque contre TfL ayant coûté 39 millions de livres sterling

Deux hommes ont reconnu leur implication dans une cyberattaque majeure contre Transport for London (TfL), l'organisme public qui supervise la majeure partie du réseau de transport de Londres. L'attaque a causé d'importantes perturbations pendant plusieurs mois et a entraîné des pertes d'environ 39 millions de livres sterling.

Thalha Jubair et Owen Flowers ont plaidé coupables d'avoir conspiré pour commettre des actions non autorisées contre TfL, en violation du Computer Misuse Act. La cyberattaque de 2024 a perturbé les opérations de TfL pendant environ trois mois, affectant près de 10 millions de clients. Les attaquants ont accédé à des données personnelles sensibles, notamment celles stockées dans le système de remboursement Oyster de TfL. Cet incident a également forcé TfL à suspendre les demandes de cartes Oyster avec photo utilisées par les enfants et les jeunes.

Flowers a par ailleurs reconnu avoir tenté de pirater les systèmes informatiques des prestataires de soins de santé américains Sutter Health et SSM Healthcare Corporation.

Les deux suspects ont été arrêtés en septembre 2024 dans le cadre d’une enquête conjointe avec la police de la City de Londres. Les autorités ont saisi plusieurs appareils électroniques, dont des ordinateurs portables et des disques durs. La condamnation est prévue ultérieurement.

Dans une affaire distincte, un homme a été condamné à quatre ans de prison pour avoir aidé des criminels à envoyer de faux messages texte sur les téléphones des particuliers. Le groupe utilisait un dispositif SMS blaster pour envoyer des messages d'arnaque semblant provenir du HMRC. La police londonienne a établi que Di Li avait contribué à mettre en place l'opération et à assister un autre homme utilisant le dispositif. Il a été reconnu coupable et emprisonné.

Obtenir une démonstration

ImmuniWeb peut vous aider à prévenir les violations de données et à respecter les exigences réglementaires.

Un troisième hacker condamné dans l'affaire DraftKings

Un ressortissant américain de 21 ans a été condamné à 18 mois de prison pour son implication dans une cyberattaque ciblant les comptes clients de DraftKings en 2022. Nathan Austad, alias «Snoopy», a plaidé coupable en décembre 2025 pour complot en vue d'intrusion informatique. Il a reconnu avoir aidé à pirater environ 60 000 comptes DraftKings.

L’attaque contre la plateforme de fantasy sports et de paris sportifs DraftKings a eu lieu en novembre 2022 et a utilisé la technique du «credential stuffing», qui exploite les mots de passe faibles ou réutilisés. Les pirates ont ajouté des méthodes de paiement à environ 1 600 comptes et ont volé quelque 600 000 dollars.

Austad faisait partie des personnes inculpées dans le cadre de cette affaire. Selon le parquet, il vendait l’accès à des comptes volés via des places de marché en ligne et sa propre boutique. En plus de sa peine de prison, Austad a été soumis à trois ans de surveillance. Il a également été condamné à payer plus de 1,3 million de dollars à titre de restitution et près de 464 000 dollars à titre de confiscation.

D'autres membres du groupe ont également été condamnés, notamment Joseph Garrison, qui a reçu 18 mois de prison, et Kamerin Stokes, qui a été condamné à 30 mois.