Quelqu’un prétendant travailler avec l’un des gangs de rançongiciels les plus notoires dit qu’il en a marre de la façon dont l’argent de l’extorsion est divisé et qu’il a divulgué une multitude de fichiers du gang sur un forum de pirates informatiques.

Les fichiers, publiés sur un forum fréquenté par des cybercriminels russophones et examinés par NBC News, comprennent de nombreux manuels d’instructions appartenant prétendument à Conti, un groupe de pirates informatiques russophones qui a attaqué plusieurs hôpitaux, dont des chaînes de soins de santé aux États-Unis et en Irlande. système national, le Health Service Executive.

Dans un guide étape par étape, écrit en russe, les membres apprennent comment identifier et pirater les victimes à l’aide de Cobalt Strike, un logiciel qui comprend un certain nombre de programmes de piratage connus. Bien que conçu pour que les défenseurs testent leurs propres systèmes, Cobalt Strike est devenu un populaire outil pour les pirates informatiques.

Le guide indique aux membres que la première étape consiste à utiliser Google pour rechercher les revenus d’une entreprise cible potentielle. Les pirates informatiques sont ensuite chargés de trouver les comptes des employés qui disposent des privilèges administratifs de l’entreprise et de savoir comment utiliser ces informations pour déployer un ransomware qui chiffrerait l’ensemble de leur réseau afin de le garder en otage contre une rançon.

La fuite semble authentique, a déclaré Allan Liska, analyste de ransomware à la société de cybersécurité Recorded Future, car elle décrit les attaques comme provenant des mêmes serveurs que son entreprise déjà suivis comme Conti. Certains des fichiers montrent les adresses IP utilisées par Conti pour les attaques Cobalt Strike, que Recorded Future avait déjà vues.

Les pirates ransomware ont attaqué des écoles, des hôpitaux et des entreprises américains en toute impunité, déclenchant une action internationale. Mais les gangs de ransomwares sont souvent des entreprises informelles qui peuvent se retourner les uns contre les autres. La fuite montre à quel point les opérations de Conti sont apparemment sous-traitées des principaux membres de gangs à des pirates informatiques affiliés, une relation qui peut se détériorer.

« Ce qui m’intéresse à ce sujet, c’est à quel point c’est scénarisé », a déclaré Liska.

Le pirate informatique qui a divulgué les informations est un affilié actif du ransomware Conti depuis des mois, a déclaré Liska.

Dans son article sur la fuite des fichiers, l’utilisateur, dont le rôle dans l’opération de Conti a été de trouver des vulnérabilités dans les réseaux de victimes potentielles, s’est plaint que ceux au sommet du gang prenaient un pourcentage trop important de l’argent de l’extorsion.

« Ils recrutent des drageons et se partagent l’argent », a écrit l’internaute en russe.