En décembre 2021, Google (en anglais) a intenté une poursuite civile contre deux hommes russes soupçonnés d’être responsables de l’exploitation Glupteba, l’un des plus grands et des plus anciens botnets d’Internet. Les défendeurs, qui ont d’abord poursuivi une stratégie de contre-poursuite contre Google pour ingérence délictuelle dans leur activité tentaculaire de cybercriminalité, ont ensuite effrontément proposé de démanteler le botnet en échange d’un paiement de Google. Le juge dans l’affaire n’a pas été amusé, a trouvé pour le demandeur et a ordonné aux défendeurs et leur avocat américain pour payer les frais juridiques de Google.

Une diapositive d’une conférence donnée en septembre 2022 par Luca Nagy, chercheur chez Google. https://www.youtube.com/watch?v=5Gz6_I-wl0E&t=6s

Glupteba est un rootkit qui vole des mots de passe et d’autres identifiants d’accès, désactive les logiciels de sécurité et tente de compromettre d’autres périphériques sur le réseau victime, tels que les routeurs Internet et les serveurs de stockage multimédia, pour les utiliser pour relayer le spam ou tout autre trafic malveillant.

Collectivement, les dizaines de milliers de systèmes infectés par Glupteba chaque jour alimentent un certain nombre de grandes entreprises cybercriminelles : les propriétaires du botnet vendent les données d’identification qu’ils volent, utilisent le botnet pour placer des publicités perturbatrices sur les ordinateurs infectés et exploitent des crypto-monnaies. Glupteba loue également des systèmes infectés en tant que « proxys », dirigeant le trafic tiers via les appareils infectés pour dissimuler l’origine du trafic.

En juin 2022, KrebsOnSecurity a montré comment les services proxy de logiciels malveillants RSOCKS et AWMProxy dépendaient entièrement du botnet Glupteba pour de nouveaux proxys, et que le fondateur d’AWMProxy était Dmitri Starovikov — l’un des hommes russes nommés dans le procès de Google.

Google a poursuivi Starovikov et 15 autres défendeurs « John Doe », alléguant des violations de la loi sur les organisations corrompues et influencées par le racket (RICO), de la loi sur la fraude et les abus informatiques, de la loi sur les marques et la concurrence déloyale et de l’enrichissement sans cause.

En juin, Google et les défendeurs nommés ont convenu que l’affaire se déroulerait comme une action sans jury parce que Google avait retiré sa demande de dommages-intérêts – ne demandant qu’une injonction pour arrêter les opérations du botnet.

Les accusés, qui travaillaient pour une entreprise russe appelée «Valtron» qui a également été nommé dans le procès, a déclaré à Google qu’ils étaient intéressés par un règlement. Les défendeurs ont déclaré qu’ils pourraient potentiellement aider Google en mettant le botnet hors ligne.

Une autre diapositive de la conférence de septembre 2022 du chercheur de Google Luca Nagy sur Glupteba.

Mais le tribunal a exprimé sa frustration que les défendeurs ne soient pas disposés à consentir à une injonction permanente, et en même temps n’ont pas été en mesure d’expliquer pourquoi une injonction leur interdisant de se livrer à des activités illégales poserait un problème.

« Les accusés ont insisté sur le fait qu’ils n’étaient pas engagés dans une activité criminelle et que toute activité présumée dans laquelle ils étaient engagés était légitime », a écrit la juge Denise Cote de la Cour de district des États-Unis. « Néanmoins, les défendeurs ont résisté à l’entrée d’une injonction permanente, affirmant que l’utilisation par Google de l’injonction préliminaire avait perturbé leurs opérations commerciales normales. »

Alors que les défendeurs ont déclaré qu’ils avaient la capacité de démanteler le botnet Glupteba, au moment de la découverte – l’étape d’un procès où les deux parties peuvent exiger la production de documents et d’autres informations pertinentes pour leur affaire – l’avocat des défendeurs a déclaré au tribunal que ses clients avaient été licenciés par Valtron à la fin de 2021. et n’avaient donc plus accès à leurs ordinateurs portables de travail ou au botnet.

L’avocat des accusés – avocat de la défense de la cybercriminalité basé à New York Igor Litvak – a déclaré au tribunal qu’il avait appris pour la première fois le licenciement de ses clients par Valtron le 20 mai, un fait que la juge Côté a trouvé « troublant » compte tenu des déclarations qu’il a faites au tribunal après cette date selon lesquelles ses clients avaient toujours accès au botnet.

Le tribunal a finalement suspendu le processus de découverte contre Google, affirmant qu’il y avait des raisons de croire que les défendeurs avaient demandé la découverte uniquement « pour savoir s’ils pouvaient contourner les mesures prises par Google pour bloquer le logiciel malveillant ».

Le 6 septembre, Litvak a envoyé un courriel à Google pour lui dire que ses clients étaient prêts à discuter d’un règlement.

Les parties ont tenu un appel le 8 septembre, au cours duquel Litvak a expliqué que les défendeurs seraient disposés à fournir à Google les clés privées pour les adresses Bitcoin associées au botnet Glupteba, et qu’ils promettraient de ne pas s’engager dans leur activité criminelle présumée dans l’avenir (sans aucun aveu d’acte répréhensible) », a écrit le juge.

« En échange, les défendeurs recevraient l’accord de Google de ne pas les signaler aux forces de l’ordre, et un paiement de 1 million de dollars par défendeur, plus 110 000 dollars en honoraires d’avocat », a poursuivi le juge Cote. Les défendeurs ont déclaré que, bien qu’ils n’aient pas actuellement accès aux clés privées, Valtron serait disposé à leur fournir les clés privées si l’affaire était réglée. Les défendeurs ont également déclaré qu’ils pensaient que ces clés aideraient Google à fermer le botnet Glupteba.

Google a rejeté l’offre des défendeurs comme étant exorbitante et l’a signalée aux forces de l’ordre. Le juge Côté a également conclu que Litvak était complice des efforts des défendeurs pour induire le tribunal en erreur et lui a ordonné de se joindre à ses clients pour payer les frais juridiques de Google.

« Il est maintenant clair que les défendeurs ont comparu devant cette Cour pour ne pas procéder de bonne foi pour se défendre contre les réclamations de Google, mais avec l’intention d’abuser du système judiciaire et des règles de découverte pour tirer profit de Google », a écrit le juge Cote.

Litvak a déposé une motion de réexamen (PDF), demandant au tribunal d’annuler les sanctions prises contre lui. Il a dit que son objectif était de ramener l’affaire devant les tribunaux.

« Le juge a eu complètement tort d’imposer des sanctions », a déclaré Litvak dans une interview accordée à KrebsOnSecurity. « Dès le début de l’affaire, elle a agi comme si elle avait besoin de protéger Google de quelque chose. Si le tribunal ne décide pas d’annuler les sanctions, nous devrons nous adresser au Second Circuit (Cour d’appel) et obtenir justice là-bas.

Dans Une déclaration sur la décision de la Cour, Google a déclaré que cela aurait des ramifications importantes pour la criminalité en ligne, et que depuis ses attaques techniques et juridiques sur le botnet l’année dernière, Google a observé une réduction de 78% du nombre d’hôtes infectés par Glupteba.

« Alors que les opérateurs de Glupteba ont repris leurs activités sur certaines plates-formes et appareils IoT non Google, le fait de braquer les projecteurs juridiques sur le groupe rend moins attrayant pour d’autres opérations criminelles de travailler avec eux », peut-on lire dans un article de blog de l’avocat général de Google. Halimah DeLaine Prado et vice-président de l’ingénierie Royal Hansen. « Et les étapes [Google] ont eu l’année dernière pour perturber leurs opérations ont déjà eu un impact significatif.

Un rapport de l’équipe polonaise d’intervention en cas d’urgence informatique (CERT Orange Polksa) a révélé que Glupteba était la plus grande menace de logiciels malveillants en 2021.