Un professionnel de la cybersécurité basé au Canada a été arrêté aux États-Unis la semaine dernière, soupçonné d'être impliqué dans les activités de ShinyHunters, notamment l'intrusion du groupe dans les systèmes du FBI. Selon SecurityWeek, le directeur du FBI, Kash Patel, a annoncé l'arrestation un vendredi. La Gendarmerie royale canadienne a indiqué à CBS News qu'elle est au courant qu'un Canadien a été arrêté aux États-Unis dans le cadre de l'affaire ShinyHunters.
Qui a été arrêté et ce qui lui est reproché
Les autorités n'ont pas officiellement identifié le suspect. Le New York Times et le blogueur Brian Krebs rapportent qu'il s'agit d'Edward Dubrovsky, un Canadien spécialisé dans la réponse aux rançongiciels. Les documents judiciaires, tels que décrits par SecurityWeek, orthographient le nom de famille « Dobrovsky ».
Selon cette version, il a été arrêté par le FBI après s'être rendu à Philadelphie pour une conférence. Il semble lié à CyberSteward, une société basée à Toronto qui propose des services de négociation en cas de rançongiciel. Son profil LinkedIn mentionnerait des fonctions de direction dans deux entreprises de cybersécurité nord-américaines, qui ne sont pas nommées. Il serait également l'auteur de Cyber Extortion: Strategic Response.
Les documents judiciaires font état de deux chefs d'accusation :
- complot en vue de menacer de compromettre la confidentialité d'informations dans l'intention d'extorquer de l'argent ;
- entrave au commerce par la menace.
Le dossier aurait été transféré au district est du Texas, où l'enquête du FBI sur ShinyHunters serait menée. Selon les sources de Krebs, des dirigeants d'autres sociétés de négociation en cas de rançongiciel pourraient aussi être poursuivis dans cette affaire. Il s'agit toutefois d'une affirmation non confirmée.
Patel a qualifié cette arrestation de la plus récente « en quelques jours » concernant ce réseau. Il a déclaré que le FBI travaille à démanteler le groupe et à suivre de nouvelles pistes, et qu'il collaborera avec des partenaires pour perturber « ce qui reste » de ShinyHunters et de ses complices, « où qu'ils opèrent ».
L'intrusion au FBI
ShinyHunters, un groupe d'extorsion, affirme avoir accédé au site d'offres d'emploi du FBI et à d'autres systèmes. Il dit avoir obtenu des informations sur presque tous les agents et candidats. Il s'agit des affirmations du groupe. Il présente l'attaque comme une riposte à un rapport du FBI, publié plus tôt dans l'année, qui alertait les organisations sur les activités de ShinyHunters.
Le FBI donne une autre version du point d'entrée. Il attribue l'intrusion à l'absence de correctifs, de la part d'un sous-traitant, sur des logiciels Oracle PeopleSoft vulnérables, selon SecurityWeek. Le rapport ne mentionne ni CVE, ni version affectée, ni correctif.
La source ne décrit le rôle présumé du suspect dans cette intrusion que de manière hypothétique. Elle ne précise pas quelle part il aurait prise.
Troisième arrestation en quelques semaines
SecurityWeek compte cette arrestation comme la troisième liée à ShinyHunters en quelques semaines :
- 15 septembre : un membre clé présumé a été arrêté aux Pays-Bas. Article précédent portait sur le volet néerlandais de l'enquête.
- 28 septembre : un autre membre clé présumé aurait été arrêté en Jordanie et coopérerait, selon les informations, avec le FBI.
État du groupe
Fin septembre, ShinyHunters aurait affirmé que ses opérations et son infrastructure n'étaient pas touchées, et il a exhorté ses victimes à payer. Les déclarations que le groupe avait adressées au FBI et aux victimes ont ensuite été retirées de son site web hébergé sur Tor. Au moment de la rédaction de l'article de SecurityWeek, le site ne serait plus accessible.
Les organisations qui utilisent Oracle PeopleSoft, ou qui s'appuient sur des sous-traitants qui l'utilisent, peuvent tirer une leçon concrète de l'explication du FBI : vérifier que l'application des correctifs sur ces systèmes est à jour, y compris chez les prestataires tiers.
