Le butin impressionnant de cinq pirates accusés d’appartenir au gang Scattered Spider

La justice américaine dévoile enfin ses cartes contre le redoutable gang de cybercriminels Scattered Spider. Le parquet de Los Angeles vient en effet de présenter les poursuites judiciaires contre cinq hommes d’une vingtaine d’années. Quatre Américains, dont on ne sait pas grand-chose pour le moment, ont ainsi été inculpés en Californie par un grand jury fédéral. Ahmed Elbadawy, un Texan de 23 ans, est surnommé « AD » sur la toile. Âgé de 20 ans, Noah Urban, « Sosa » ou « Elijah », vit, lui, à Palm Coast, en Floride. Evans Osiebo, qui a le même âge, est de Dallas. Enfin, Joel Evans, alias « joeleoli », 25 ans, réside en Caroline du Nord.

Quant au cinquième suspect, le Britannique Tyler Buchanan, il est détenu actuellement en Espagne. Selon le journaliste Brian Krebs, « Tylerb » aurait pris le large du Royaume-Uni après l’agression de sa mère à son domicile. Des intrus auraient menacé de le brûler avec un chalumeau s’il ne donnait pas les clés de ses portefeuilles de cryptomonnaie. Le FBI a réussi à remonter à eux en suivant les transactions en crypto-monnaie ou en se penchant sur des enregistrements de noms de domaine destinés à des opérations de hameçonnage. Si le quintet est reconnu coupable, ils encourent chacun une peine pouvant aller jusqu’à vingt-deux ans de prison.

-US charges five Scattered Spider members. -Four from the US, one from the UK. -Three seem to be under arrest (if I tracked them correctly) www.justice.gov/usao-cdca/pr…— Catalin Cimpanu (@campuscodi.risky.biz) 20 novembre 2024 à 22:05

Jusqu’à 22 ans de prison pour chaque hacker

Ces poursuites étaient très attendues. Cela fait deux ans que les audacieux cybercriminels de Scattered Spider sèment la terreur. Le bureau fédéral d’investigation américain avait même signalé son désarroi face à une organisation cybercriminelle aux contours flous, ressemblant davantage à un gang de rue qu’à une organisation structurée, mais très destructrice : les dégâts du piratage de l’opérateur de casinos MGM Resorts, il y a plus d’un an, avaient été évalués à 100 millions de dollars. Ce rocambolesque hack ne semble toutefois pas visé dans l’acte d’accusation.

Les poursuites judiciaires confirment toutefois des analyses précédentes sur le groupe. Les cybercriminels de Scattered Spider sont bien devenus des maîtres du hameçonnage et du SIM-Swapping, cette façon de détourner une ligne téléphonique en récupérant la carte SIM associée. Les cinq accusés sont en effet soupçonnés d’avoir piraté une douzaine d’entreprises de la tech, des télécoms et de la crypto pour pouvoir ensuite braquer près d’une trentaine de particuliers. Scattered Spider s’intéressait notamment, signale le journaliste américain Brian Krebs, au gestionnaire de mots de passe LastPass, aux spécialistes du marketing MailChimp et Twilio, à Okta, un fournisseur d’identité numérique, ou encore à l’opérateur T-Mobile.

Un butin de onze millions de dollars

Par exemple, en juin 2022, les hackers sont accusés d’avoir trompé la vigilance d’un employé avec un faux message d’avertissement indiquant la désactivation de son VPN. Autre variante, quelques mois plus tard, avec la préparation d’un SMS de phishing signalant un prétendu changement de mot de passe et appelant le destinataire à cliquer sur un lien s’il n’était pas à l’origine de l’action. Une ruse pour mettre la main sur des identifiants, des données volées qui étaient rapatriées vers un canal Telegram grâce à un programme écrit par Joel Evans.

Mettre un pied dans ces entreprises pouvait valoir visiblement de l’or, en témoigne l’incroyable butin d’environ onze millions de dollars reproché aux cinq accusés. La moitié de cette somme a été empochée au cours d’un seul braquage à 6 millions de dollars, commis en septembre 2021. Selon l’accusation, ce juteux hold-up aurait été commis par « AD » et un complice. Ces derniers auraient réussi à mettre la main sur la messagerie et les portefeuilles cryptos de la victime. Des braquages de comptes crypto qui se sont enchaînés jusqu’en janvier 2023.

Il est toutefois peu probable que les hackers, s’ils sont bien dans le coup, ne se soient arrêtés là. La fin de ce type de vol suggère plutôt une reconversion vers d’autres activités plus lucratives. Les experts s’étaient alarmés du pont jeté entre les cybercriminels anglophones immatures de Scattered Spider et les groupes russophones spécialisés dans le rançongiciel. Une alliance surprenante révélée au grand jour avec le hack des casinos de Las Vegas en septembre 2023.