Un Iranien plaide coupable pour les attaques ransomware RobbinHood et risque 30 ans de prison
Un ressortissant iranien a plaidé coupable pour son implication dans l'opération de ransomware RobbinHood, utilisée pour pirater des réseaux, voler des données et crypter des appareils de villes et organisations américaines dans le but d'extorquer des millions de dollars sur une période de cinq ans. Selon le ministère américain de la Justice et une inculpation rendue publique, Sina Gholinejad, 39 ans, alias "Sina Ghaaf", et ses complices ont déployé le ransomware RobbinHood sur des réseaux piratés entre janvier 2019 et mars 2024. Les attaques visaient des gouvernements locaux, des prestataires de soins de santé et des organisations à but non lucratif, cryptant les fichiers et exigeant des rançons en Bitcoin en échange d'un décripteur et pour éviter des fuites de données.
Parmi les victimes figuraient les villes de Baltimore, Greenville (Caroline du Nord), Gresham (Oregon) et Yonkers (New York), ainsi que des organisations comme Meridian Medical Group et Berkshire Farm Center. Gholinejad et ses complices accédaient souvent aux réseaux des victimes en utilisant des comptes administrateur ou des vulnérabilités, déployaient le ransomware manuellement et exigeaient des paiements via des sites Tor sur le dark web. Cependant, ce n'est qu'en mai 2019 que le gang RobbinHood a gagné en notoriété après avoir perturbé les systèmes informatiques de Baltimore pendant des semaines.
Le gang de ransomware a également mené des vols de données dans des campagnes ultérieures, utilisant les données volées et la menace de fuites comme levier supplémentaire contre les victimes. RobbinHood se distinguait à l'époque pour avoir utilisé un pilote Gigabyte légitime mais vulnérable (gdrv.sys) dans des attaques "Bring Your Own Vulnerable Driver" pour désactiver les logiciels antivirus. Cela permettait aux cybercriminels de lancer leur encrypteur de ransomware sans interférence des logiciels de sécurité.
Les notes de rançon laissées sur les appareils dirigeaient les victimes vers des sites Tor pour négocier les rançons. L'inculpation décrit comment les attaquants utilisaient des serveurs privés virtuels en Europe, des VPN et des mélangeurs de cryptomonnaies pour échapper aux forces de l'ordre. Gholinejad a plaidé coupable devant un tribunal fédéral de Caroline du Nord et risque désormais une peine maximale de 30 ans de prison pour conspiration en vue de commettre une fraude, intrusion informatique, extorsion et blanchiment d'argent.
