Un opérateur du ransomware Conti condamné à quatre ans de prison aux États-Unis

Une peine de prison après une arrestation et une extradition depuis l’Irlande

Un tribunal américain a condamné le ressortissant ukrainien Oleksii Oleksiyovych Lytvynenko à quatre ans de prison pour sa participation aux activités du ransomware Conti.

La condamnation a été rapportée le 11 septembre 2026, même si sa date exacte n’a pas été communiquée. Âgé de 44 ans, Lytvynenko a plaidé coupable en juin 2026 et encourait une peine maximale de 20 ans.

Les descriptions de la condamnation diffèrent légèrement. L’affaire a été présentée comme une fraude électronique, mais aussi comme une entente en vue de commettre une fraude électronique. Les faits sous-jacents sont toutefois cohérents selon les différentes sources disponibles : Lytvynenko a contribué à compromettre des entreprises, contrôlé des informations volées, envoyé des demandes d’extorsion et développé des malwares utilisés lors d’attaques menées avec Conti.

La police nationale irlandaise, An Garda Síochána, l’a arrêté à son domicile de Cork en juillet 2023, à la demande des États-Unis. Lytvynenko, qui avait auparavant vécu en Irlande, a passé plusieurs années dans une prison irlandaise alors qu’il contestait son extradition.

Il a finalement été transféré aux États-Unis, une source situant l’extradition à la fin de l’année 2025. Les poursuites se sont donc poursuivies longtemps après que Conti a cessé d’opérer sous son nom d’origine.

Lytvynenko associait développement de malwares et attaques de terrain

Selon son plaidoyer de culpabilité, Lytvynenko a rejoint l’organisation Conti en septembre 2021. Les procureurs ne l’ont pas décrit comme un simple affilié achetant des accès ou déployant un ransomware fourni par d’autres acteurs.

Ses responsabilités couvraient apparemment plusieurs étapes d’une intrusion. Il travaillait au sein d’une équipe dirigée par un autre conspirateur de Conti, a participé à des attaques contre au moins 12 entreprises et conservait des données volées appartenant à huit victimes américaines et quatre victimes situées à l’étranger.

Il rédigeait également des notes de rançon. Ces messages constituaient le volet extorsion du modèle économique de Conti : ils mettaient les organisations compromises sous pression pour les inciter à payer en bitcoins afin de récupérer l’accès à leurs systèmes et d’empêcher la publication de leurs informations.

Lytvynenko a par ailleurs écrit du code pour un « loader ». Ce composant n’a pas reçu de nom distinct et aucun hash, nom de fichier ou autre indicateur technique n’a été rendu public.

Un loader fournit généralement un mécanisme initial d’exécution ou de livraison pour d’autres logiciels. Dans ce cas, les autorités l’ont décrit comme un code capable d’installer ou de lancer le malware et les outils nécessaires à la conduite d’une attaque.

Ce rôle dans le développement est important. Il place Lytvynenko non seulement au contact des victimes, mais aussi au cœur de l’infrastructure technique permettant l’exécution de payloads ultérieurs.

Ses activités présumées comprenaient notamment :

• Développer des outils malveillants.
• Soutenir des intrusions sur des réseaux.
• Stocker et contrôler des informations exfiltrées.
• Faciliter l’exécution de malwares supplémentaires.
• Participer au déploiement de ransomwares.
• Envoyer des demandes d’extorsion aux victimes.

Les éléments recueillis par les enquêteurs indiquaient également que ses activités liées aux ransomwares s’étaient poursuivies après l’arrêt de Conti. On ignore quand elles ont pris fin et quelle opération il aurait ensuite soutenue. Les autorités ne l’ont pas rattaché à un groupe successeur précis de Conti.

Conti associait chiffrement et menace de divulgation de données

Conti fonctionnait comme une entreprise pratiquant la double extorsion. Ses membres pénétraient dans les réseaux des victimes, dérobaient des données sensibles, chiffraient les systèmes, puis exigeaient le paiement d’une rançon en cryptomonnaie.

Le chiffrement créait une pression opérationnelle immédiate en empêchant l’accès aux fichiers, aux appareils et aux services de l’entreprise. Le vol de données constituait un second moyen de pression : même les organisations capables de restaurer leurs systèmes à partir de sauvegardes pouvaient être menacées de divulgation publique.

L’opération a ciblé plus de 1 000 organisations dans le monde, notamment des établissements de santé, des organismes publics, des entreprises et des entités d’importance vitale. De 2020 à 2022, les attaques ont touché 47 États américains, le district de Columbia, Porto Rico et 31 pays étrangers.

Le FBI estimait qu’en janvier 2022, les victimes associées à Conti avaient versé plus de 150 millions de dollars. D’autres évaluations attribuent au moins ce montant à l’opération sur l’ensemble de sa période d’activité, mais aucun chiffre définitif concernant les revenus n’a été communiqué.

L’affaire Lytvynenko représente une part plus réduite et attribuable individuellement de cette campagne. Les procureurs ont affirmé qu’il avait personnellement porté préjudice à au moins 12 entreprises, ce qui correspond aux données relatives aux huit victimes américaines et aux quatre victimes étrangères qui auraient été sous son contrôle.

L’identité des organisations n’a pas été rendue publique. Le montant qui leur a été demandé, le fait qu’elles aient ou non payé et la nature des données volées restent également inconnus.

La fermeture de Conti a dispersé ses membres dans l’économie des ransomwares

Conti est issu de l’opération de cybercriminalité Ryuk en 2020 et entretenait des liens étroits avec l’organisation à l’origine du malware TrickBot. Le syndicat au sens large était associé à plusieurs outils et services malveillants, dont le ransomware Conti, TrickBot et BazarBackdoor.

Son organisation interne est devenue plus visible après l’invasion à grande échelle de l’Ukraine par la Russie, en février 2022. La direction de Conti a publiquement soutenu Moscou, après quoi un initié ukrainien présumé a divulgué des conversations internes et des documents opérationnels.

Ces révélations ont exposé des informations sur le personnel, les pratiques de gestion et les activités offensives. Associées à la pression exercée par les autorités, elles ont contribué à l’arrêt de Conti en 2022.

La fermeture du groupe n’a pas éliminé ses capacités. Ses membres et son infrastructure se sont dispersés dans l’écosystème de la cybercriminalité, d’anciens éléments étant largement associés à des opérations telles que BlackCat, Black Basta, ZEON, Hive, Quantum, BlackByte, Karakurt et Silent Ransom Group.

Aucun élément ne relie publiquement Lytvynenko à l’une de ces organisations. Les enquêteurs ont seulement établi que sa participation à des activités liées aux ransomwares s’était poursuivie après la fin de l’opération Conti d’origine.

Cette distinction est importante, car les groupes de ransomwares abandonnent fréquemment une marque sans mettre fin à leurs activités criminelles. Les opérateurs peuvent transférer leurs accès, leurs connaissances en matière de malwares, leur expérience de la négociation et leurs relations liées au blanchiment d’argent vers des projets portant un nouveau nom.

Les poursuites se poursuivent des années après les attaques

Les poursuites engagées contre Lytvynenko s’inscrivent dans une campagne plus vaste visant les réseaux Conti et TrickBot.

Sept personnes associées à TrickBot et Conti ont été sanctionnées en février 2023, après que les divulgations ContiLeaks et TrickLeaks ont exposé des informations internes. En septembre 2023, les États-Unis et le Royaume-Uni ont sanctionné et inculpé neuf ressortissants russes associés à des attaques contre plus de 900 victimes.

Quatre autres participants présumés de Conti ont été inculpés dans un acte d’accusation distinct rendu public en septembre 2023. Les autorités ukrainiennes ont ensuite arrêté un autre membre présumé à Kyiv en 2024.

En mai 2025, l’Office fédéral allemand de police criminelle, le Bundeskriminalamt, a identifié Vitaly Nikolaevich Kovalev comme un dirigeant présumé de TrickBot et de Conti. Ce Russe de 36 ans aurait opéré sous le pseudonyme « Stern ».

Ces actions sont distinctes de l’affaire Lytvynenko. Les informations publiques ne permettent pas d’établir que ces accusés ou ces personnes sanctionnées ont travaillé directement avec lui lors des 12 intrusions qui lui sont attribuées.

Son arrestation illustre néanmoins la longue exposition judiciaire à laquelle sont confrontés les membres de groupes de ransomwares. La distance géographique et l’abandon d’une marque criminelle n’empêchent pas nécessairement une identification, une extradition et des poursuites ultérieures.

Les défenseurs doivent traquer les signes antérieurs au chiffrement

Aucun indicateur propre aux victimes n’a été publié dans le cadre de la condamnation. Aucun hash de malware, domaine, adresse IP, nom de fichier, règle de détection ou vulnérabilité ne peut être utilisé directement par les défenseurs.

L’affaire met plutôt en évidence des comportements susceptibles d’apparaître plus tôt dans la chaîne d’attaque. Les équipes de sécurité doivent surveiller les installations de logiciels inexpliquées, les processus enfants suspects et les loaders qui récupèrent ou exécutent des payloads secondaires.

Les dispositifs de protection doivent également couvrir le vol de données, et pas uniquement le chiffrement par ransomware. Les points de détection utiles comprennent notamment la création inhabituelle d’archives, les transferts volumineux vers des services externes, les accès non autorisés au stockage cloud et la mise en attente de données dans des répertoires rarement utilisés par les processus métier légitimes.

Les organisations qui enquêtent sur une activité potentiellement liée à Conti doivent préserver la télémétrie des endpoints, les journaux d’authentification, les logs réseau et les éléments relatifs aux communications d’extorsion. Les jeux de données volés et les comptes en ligne réutilisés peuvent relier un même opérateur à plusieurs victimes ou révéler la poursuite de l’activité sous le nom d’un autre groupe.

Les sauvegardes restent indispensables à la reprise, mais elles ne neutralisent pas une menace de divulgation. Les plans de réponse doivent donc couvrir la restauration des systèmes, l’évaluation juridique, les obligations liées à une violation de données et la communication avec les parties concernées.

Lorsque les éléments recueillis laissent penser à des liens avec Conti, TrickBot, BazarBackdoor ou des activités apparentées liées aux ransomwares, les victimes devraient envisager de se coordonner rapidement avec les autorités. Dans l’affaire Lytvynenko, la coopération internationale entre les autorités irlandaises et américaines a transformé les éléments issus d’une marque de ransomware disparue en arrestation, extradition, plaidoyer de culpabilité et peine de prison.