Ransomware : 12 ans de prison requis en Suisse contre un développeur lié à LockerGoga, MegaCortex et Nefilim

L’accusation : dix entreprises ciblées et plus de 130 millions de francs de dommages

Les procureurs suisses ont requis une peine de 12 ans de prison contre un développeur ukrainien de 52 ans, jugé devant le Tribunal de district de Zurich. Les autorités n’ont pas rendu son identité publique.

L’homme est accusé d’avoir joué un rôle central dans une opération internationale de ransomware associée aux familles LockerGoga, MegaCortex et Nefilim. Selon l’accusation, il aurait été le principal développeur d’un groupe criminel non identifié, spécialisé dans la compromission de réseaux d’entreprise, le vol de données et le chiffrement des systèmes afin d’obtenir des paiements de la part des victimes.

Les attaques reprochées auraient eu lieu entre décembre 2018 et mai 2020. Elles auraient directement touché dix entreprises en Suisse et dans d’autres pays, entraînant des pertes supérieures à 130 millions de francs suisses, soit environ 160 millions de dollars.

Cette estimation inclut à la fois les pertes de revenus liées à l’interruption des activités et les dépenses engagées pour reconstruire les infrastructures, les systèmes et les données. Elle ne correspond donc pas uniquement aux éventuelles rançons versées, mais à l’impact économique global attribué aux attaques.

Parmi les entreprises citées dans la procédure figurent Stadler Rail, constructeur suisse de trains, Crealogix, spécialisée dans les logiciels bancaires, et Meier Tobler, active dans le domaine des technologies du bâtiment.

Le rôle technique reproché dans l’opération criminelle

La procédure décrit une chaîne d’attaque en plusieurs étapes. Les agresseurs auraient obtenu accès aux réseaux d’entreprise, dérobé des informations, puis chiffré les systèmes et les données, les rendant inutilisables pour les organisations touchées.

Cette combinaison permet d’accroître la pression exercée sur la victime. Le chiffrement interrompt les activités quotidiennes, tandis que le vol de données offre aux extorqueurs un moyen de pression supplémentaire : les informations peuvent être utilisées pour menacer de les publier ou d’imposer d’autres conséquences.

Le rôle attribué à l’accusé serait celui de développeur principal. L’accusation ne le présente pas seulement comme un exécutant ayant accès aux réseaux, mais comme une personne impliquée dans la création ou la gestion des outils utilisés lors des intrusions. Le dossier judiciaire ne fournit toutefois pas de détails sur le code, les techniques d’accès initial, les vulnérabilités exploitées ou les méthodes précises d’exfiltration.

Les trois familles de malwares citées sont associées à des campagnes de ransomware connues pour avoir ciblé des organisations de différents secteurs. Dans le dossier suisse, leur utilisation aurait causé des dommages dans les secteurs industriel, financier et technologique.

La procédure évalue à plus de 130 millions de francs les pertes liées aux dix attaques reprochées. L’opération internationale dans son ensemble aurait causé des dommages se chiffrant en centaines de millions de dollars, mais on ignore quelle part de ce montant peut être directement attribuée aux faits examinés par le tribunal de Zurich.

La défense nie le développement du malware

L’accusé rejette les accusations d’avoir développé des ransomwares ou participé à des cyberattaques. Il affirme que le code source retrouvé sur ses appareils provenait d’un client du secteur de la cybersécurité pour lequel il travaillait comme consultant.

Cette ligne de défense vise à distinguer la possession du code de son utilisation criminelle effective. La conservation d’outils ou d’échantillons de malware peut en effet s’expliquer par des activités professionnelles d’analyse, de réponse aux incidents ou de recherche en sécurité. Dans ce cas précis, il appartiendra au tribunal de déterminer si la présence du code est compatible avec le travail déclaré par l’accusé ou si elle révèle une implication opérationnelle dans les attaques.

La défense a également contesté la fiabilité des preuves numériques. Les avocats soutiennent que les enquêteurs n’ont pas conservé une documentation complète des données saisies lors des perquisitions.

La question porte sur la traçabilité des éléments de preuve : pour qu’un fichier, un appareil ou une donnée de journal puisse être utilisé devant un tribunal, il faut documenter sa saisie, sa conservation et son analyse. D’éventuelles lacunes peuvent affecter sa valeur probante, notamment lorsque l’accusation établit un lien entre du code, des appareils et des activités criminelles.

Selon les informations disponibles, on ignore quels fichiers ont précisément été saisis, quelles métadonnées ont été examinées ou quelles procédures forensiques ont été appliquées.

Une possible coordination et les limites des liens avec la Russie

L’accusation affirme qu’un autre hacker ukrainien, Oleksandr Ieremenko, opérant depuis Moscou, coordonnait les attaques menées par l’accusé en Suisse.

Les procureurs ont cité le témoignage d’une source en Ukraine selon laquelle Ieremenko aurait bénéficié de la protection du Service fédéral de sécurité russe, le FSB. Ieremenko serait mort après une chute d’une fenêtre à Moscou en 2022. Il n’a pas été possible d’établir s’il s’agissait d’un accident, d’un suicide ou d’un homicide.

La procédure n’a toutefois présenté aucune preuve de liens directs entre l’accusé et les services de renseignement russes. La protection dont aurait bénéficié Ieremenko ne suffit donc pas, à elle seule, à démontrer l’existence d’une relation entre l’accusé et les autorités russes.

Cette distinction est importante dans une affaire qui combine criminalité informatique transnationale, infrastructures réparties dans plusieurs pays et soupçons visant des acteurs basés en Russie. Le tribunal devra déterminer quels éléments sont directement imputables à l’accusé et lesquels relèvent du contexte plus large de l’enquête.

Une enquête multinationale lancée après les attaques contre Zurich

La procédure fait suite à une enquête ouverte après des attaques de ransomware visant des entreprises zurichoises en 2019. L’enquête s’est ensuite élargie avec la participation des autorités de Suisse, de France, des Pays-Bas, de Norvège, d’Ukraine et des États-Unis.

La coopération a impliqué des pays concernés par les infrastructures, les victimes, les suspects ou les traces numériques répartis entre plusieurs juridictions. Dans ce type d’opération, les serveurs, comptes, appareils et flux financiers peuvent se trouver dans différents États, ce qui nécessite des demandes d’entraide judiciaire et des investigations coordonnées.

L’accusé est détenu depuis octobre 2021. L’accusation a également requis son expulsion de Suisse pour une durée de 12 ans ainsi que la restitution de 1,8 million de francs suisses, soit environ 2,2 millions de dollars, considérés comme les produits d’activités criminelles.

Le verdict est attendu en septembre. Jusqu’à la décision définitive, les responsabilités décrites dans la procédure restent des allégations de l’accusation et ne constituent pas une condamnation.

La procédure comprend également des accusations liées à des contenus pédopornographiques

En plus des infractions liées au ransomware, l’accusé doit également répondre d’accusations concernant des contenus d’abus sexuels sur mineurs.

Lors d’une perquisition, les enquêteurs auraient découvert dans un conteneur chiffré près de 7 000 images et plus de 500 vidéos représentant des abus sexuels sur mineurs. Des documents de la Cour suprême fédérale confirment que ces accusations font partie de la procédure pénale.

Le contenu n’est décrit que dans la mesure nécessaire pour comprendre l’ampleur des accusations. Sa présence ouvre un volet judiciaire distinct de l’opération de ransomware et de l’évaluation des dommages économiques subis par les entreprises.

Pour les responsables de la sécurité des infrastructures d’entreprise, cette affaire ne fournit ni correctifs, ni outils de détection, ni indicateurs techniques ou procédures de confinement spécifiques. Aucune version vulnérable d’un logiciel ni technique d’intrusion unique à corriger n’a été rendue publique. Il s’agit avant tout d’une affaire d’attribution judiciaire d’une opération criminelle et d’établissement des responsabilités individuelles.