Les consultants en sécurité conviennent que cette décision ralentira brièvement les attaques de phishing, mais il est moins clair combien de temps durera ce ralentissement.
Une répression mondiale des forces de l’ordre a saisi l’infrastructure au service du groupe massif de phishing-as-a-service (PhaaS) Kratos, ce qui a également entraîné l’arrestation d’un « développeur et administrateur technique » anonyme de Kratos en Indonésie.
L’effort a été géré par les forces de l’ordre allemandes et a impliqué des agences des États-Unis, d’Indonésie et d’autres pays.
Bien qu’un communiqué allemand affirme que l’infrastructure de Kratos « a été complètement désactivée » et que « les campagnes de phishing soutenues par Kratos ne peuvent plus être menées », les analystes et les consultants en cybersécurité se demandent dans quelle mesure l’activité de phishing en entreprise en résultera et combien de temps cela durera.
« Une saisie de serveur et une seule arrestation à l’étranger suppriment l’infrastructure, et non la propriété intellectuelle », a déclaré Frank Dickson, vice-président du groupe pour la sécurité chez IDC. « Les kits PhaaS sont régulièrement clonés, dupliqués et revendus, et les 1 800 clients de Kratos n’ont pas disparu. Ils ont simplement perdu un fournisseur dans un marché où les fournisseurs sont remplacés rapidement. »
Il a ajouté : « saisir plus de 200 serveurs et arrêter le développeur retire un fournisseur majeur de ce créneau spécifique. Cela ne touche pas l’économie du phishing au sens large. Pour chaque cafard que vous écrasez, il y en a une centaine que vous ne voyez pas. »
Noah Kenney, consultant principal chez Digital 520, adopte un point de vue encore plus pessimiste, affirmant qu’il n’y aura peut-être même pas de ralentissement majeur du phishing à court terme.
« Ce qui différencie cela du démantèlement d’un botnet ou d’un ransomware, c’est que les personnes qui organisaient les attaques n’ont jamais fait partie de l’organisation. Kratos n’était qu’un fournisseur », a déclaré Kenney. « Les 1 800 clients qui l’ont acheté ont toujours leurs listes de cibles, leur infrastructure d’envoi et tout accès qu’ils avaient déjà établi. L’outil est devenu inutilisable, mais les personnes qui ont phishing contre vos employés la semaine dernière travaillent toujours et recherchent un remplaçant qui existe déjà. Les entreprises ne devraient pas interpréter cela comme une baisse (probable) du volume de menaces. «
Une chose sur laquelle la communauté de la sécurité semble être d’accord est que Kratos était un acteur majeur dans l’espace lucratif PhaaS. Mais il est impossible de déterminer précisément le pourcentage d’activité PhaaS contrôlée par Kratos, étant donné que Kratos a vendu ses kits à d’autres. Les chercheurs en sécurité ne sont même pas d’accord sur ce qu’ils devraient appeler les kits Kratos.
« Microsoft suit ce kit sous le nom de SneakyLog, d’autres le lient à Sneaky 2FA et KnowBe4 conteste entièrement la lignée. Lorsque l’industrie de la sécurité ne peut pas s’entendre sur le nom d’un kit, c’est parce que le changement de nom et la revente sont continus plutôt que quelque chose qui se produit après un raid », a déclaré Kenney. « Ce qui a réellement changé cette fois-ci, c’est l’arrestation et (l’arrêt des) serveurs. Mettre en place un nouvel hébergement n’est qu’un week-end de travail, mais remplacer un développeur qui a compris comment maintenir un adversaire dans le proxy intermédiaire stable et évasif à grande échelle est plus difficile. »
Dickson d’IDC a ajouté que la plus grande valeur du retrait réside dans les informations glanées sur les serveurs saisis.
« Kratos opérait dans la catégorie des adversaires du milieu, générant de fausses pages de connexion Microsoft 365 convaincantes qui récoltaient des jetons de session et dépassaient MFA, la technique exacte derrière une grande partie des activités de compromission de la messagerie professionnelle des deux dernières années », a-t-il déclaré. « J’adorerais voir ce que les forces de l’ordre font avec la liste de clients. Cela, mon ami, c’est de l’or. »
Quoi qu’il en soit, Assaf Morag, chercheur en cybersécurité chez Flare, a qualifié la répression allemande de « symbolique », compte tenu de la portée de Kratos dans les cercles de phishing.
Il a fait valoir que la nature même des logiciels rend pratiquement impossible leur arrêt de manière significative.
« Même s’il s’agit d’une infrastructure malveillante, il s’agit toujours d’un logiciel, et les pratiques modernes de développement et de déploiement permettent une reconstruction ou une réplication relativement rapide », a-t-il déclaré. « La demande va probablement se déplacer vers des fournisseurs concurrents, permettant à l’écosystème de se rétablir même si cette opération particulière a été perturbée. »
Pieter Arntz, chercheur en intelligence malveillante chez Malwarebytes, convient que la répression est perturbatrice mais pas définitive.
« Cela semble être plus qu’une saisie de site Web de routine. Le rapport fait état d’une plate-forme PhaaS avec une infrastructure centralisée, des clients de type abonnement et des outils de vol de session Microsoft 365 / de contournement MFA, donc la suppression du backend nuira probablement à de nombreux affiliés en aval à la fois. En ce sens, il s’agit d’une perturbation significative de l’écosystème de phishing, et pas seulement d’une campagne », a déclaré Arntz.
Mais, a-t-il ajouté, « un changement de marque ou une réémergence partielle est plausible, ce qui est le modèle historique des opérations PhaaS. Même si l’infrastructure de base disparaît, le code, les listes de clients et le savoir-faire des opérateurs peuvent survivre ».
Cela signifie que les clients et les affiliés peuvent passer à d’autres kits de phishing, a-t-il déclaré. Il est donc probable que le retrait entraînera une baisse temporaire de l’activité spécifique à Kratos, mais probablement pas une réduction durable du phishing global.
Flavio Villanustre, RSSI du groupe LexisNexis Risk Solutions, a également conclu que l’impact de cette répression sera de courte durée.
« Pour chaque organisation criminelle démantelée, dix nouvelles surgissent de nulle part. À moins d’un effort international coordonné de plusieurs pays, il s’agit d’un exercice de démolition », a-t-il déclaré. « Ce sont tous des individus faiblement connectés et s’apparentant à une hydre de Lerne, avec deux têtes qui poussent chaque fois que vous en coupez une. Leurs dirigeants émergent de leurs lignes de manière organique, sans véritable centre de contrôle. Cela rend presque impossible l’élimination complète de ces organisations criminelles. »
