Les hacktivistes pro-islamistes du « Soudan anonyme » sont probablement un front pour l'opération Killnet de la Russie

Un groupe apparemment pro-islamique qui a touché de nombreuses cibles en Europe avec des attaques par déni de service distribué (DDoS) au cours des derniers mois pourrait en fait être un sous-groupe du Collectif hacktiviste russe connu sous le nom de Killnet.

Le groupe, qui se fait appeler "Anonymous Sudan", a revendiqué la responsabilité des récentes attaques DDoS contre des cibles en France, en Allemagne, aux Pays-Bas et en Suède. Toutes les attaques étaient apparemment en représailles à une activité anti-islamique perçue dans chacun de ces pays. Les attaques contre le gouvernement suédois et les entités commerciales, par exemple, ont suivi un incident de brûlage du Coran à Stockholm. La même raison, ou une raison similaire, a été le déclencheur d'attaques DDoS contre des agences gouvernementales néerlandaises et d'une attaque contre Air France, où le groupe - en rupture de caractère - a volé des données sur le site Web de la compagnie aérienne plutôt que de les DDoSer.

Liens Killnet anonymes du Soudan

Des chercheurs de Trustwave, qui ont suivi Anonymous Sudan au cours des derniers mois, ont déclaré cette semaine qu'il existe des preuves suggérant que le groupe est une façade pour Killnet. Dans un rapport, Trustwave a déclaré que ses chercheurs n'ont pas été en mesure de confirmer si Anonymous Sudan est en fait basé au Soudan ou si l'un de ses membres est originaire de ce pays. Les messages Telegram du groupe sont en russe et en anglais, et d'autres télémétries indiquent plutôt qu'au moins certains de ses membres sont d'Europe de l'Est.

Tout comme avec Killnet, toutes les cibles d'Anonymous Sudan se trouvaient dans des pays qui se sont opposés à l'invasion de l'Ukraine par la Russie et/ou ont aidé cette dernière d'une manière ou d'une autre. Sa menace la plus récente – le 24 mars – visant à attaquer des cibles en Australie s'inscrit dans le même schéma, tout comme une attaque DDoS contre le fournisseur israélien de cybersécurité Radware.

Tout comme Killnet, Anonymous Sudan a principalement utilisé des attaques DDoS pour envoyer son message aux cibles visées. Et Killnet et Anonymous Sudan ont tous deux fait des déclarations sur leurs chaînes Telegram respectives qui se connectent officiellement l'une à l'autre. En janvier, par exemple, Anonymous Sudan a affirmé avoir aidé Killnet dans une attaque DDoS contre le service fédéral de renseignement allemand, a déclaré Trustwave.

La raison pour laquelle Anonymous Sudan se présenterait comme un groupe pro-islamique plutôt que comme un groupe pro-russe allié à – ou peut-être une partie de – Killnet reste floue, selon les chercheurs de Trustwave. "Le Soudan anonyme a été extrêmement actif en s'attribuant le mérite des attaques via sa chaîne Telegram, mais les détails concernant le véritable raisonnement derrière ses efforts restent flous."

Un collectif hacktiviste bruyant

Killnet lui-même est un groupe hacktiviste bruyant qui, dans les mois qui ont suivi l'invasion de l'Ukraine par la Russie, a frappé, ou prétendu frapper, de nombreuses organisations à travers le monde dans les attaques DDoS. Le groupe a décrit les attaques comme des représailles contre le soutien des États-Unis à l'Ukraine dans la guerre - et en effet, toutes ses victimes se sont trouvées dans des pays qui se sont ralliés à l'Ukraine. Jusqu'à présent, la plupart de ses attaques ont visé des organisations en Europe. Mais en février, Killnet a lancé Attaques DDoS contre plus d'une douzaine de grands hôpitaux américains, y compris Stanford Health, Michigan Medicine, Duke Health et Cedar-Sinai. En octobre dernier, le groupe a lancé Attaques DDoS contre plusieurs aéroports américains, y compris l'aéroport international de Los Angeles (LAX), Chicago O'Hare et l'aéroport international Hartsfield-Jackson d'Atlanta.

Killnet a présenté ces attaques comme des incidents majeurs. Mais les experts en sécurité et les organisations de victimes elles-mêmes ont caractérisé le groupe comme une menace de gravité moyenne au pire, mais qui ne peut cependant être ignorée. À la suite des attaques de Killnet contre des hôpitaux américains, par exemple, l'American Health Association (AHA) a décrit les attaques de Killnet comme ne causant généralement pas beaucoup de dégâts, mais pouvant parfois perturber les services pendant plusieurs jours.

La chercheuse en sécurité de Trustwave SpiderLabs, Jeannette Dickens-Hale, caractérise la menace que Anonymous Sudan présente de la même manière. 

"Sur la base des récentes attaques DDoS d'Anonymous Sudan, de sa connexion et de la similitude des techniques tactiques et des procédures (TTP) avec Killnet, il semble que le groupe ait un niveau de sophistication faible à moyen", dit-elle. "Killnet, commodément tout comme Anonymous Sudan, lance principalement des attaques DDoS et menace d'extorsion avec des données qu'ils peuvent ou non avoir." 

Trustwave SpiderLabs évalue que Killnet a le même niveau de menace. L'attaque récente d'Anonymous Sudan contre Air France et la menace de vendre ses données – qu'il peut ou non avoir en fait – pourraient indiquer une escalade de la motivation et du type d'attaque, dit Dickens-Hale.

Lancement des « Black Skills » de Killnet

Les tentatives incessantes de Killnet pour obtenir un soutien pour ses efforts – principalement par le biais d'allégations exagérées de ses succès – sont une autre chose sur laquelle les chercheurs surveillent. Flashpoint cette semaine, par exemple, a rapporté avoir observé le leader de Killnet "Killmilk" annonçant le création d'une équipe privée de piratage militaire appelé "compétences noires".

Le fournisseur de sécurité a estimé que la description de Black Skills par Killmilk était une tentative de positionner Killnet comme l'équivalent cybernétique de l'opération mercenaire russe du groupe Wagner. Plus tôt en mars, Killnet a également annoncé une offre DDoS-as-a-service appelée "Black Listing" que Flashpoint a perçue comme une autre tentative du collectif de se tailler une identité plus formelle. 

"Black Skills/Black Listing semble être une tentative de Killnet de s'établir en tant qu'identité d'entreprise", ont conclu les chercheurs de Flashpoint. "Selon nos renseignements, le nouveau groupe sera organisé et structuré, avec des sous-groupes s'occupant de la paie, des relations publiques et du support technique, des tests d'intrusion, ainsi que de la collecte de données, de l'analyse, des opérations d'information et des résultats contre les cibles prioritaires."

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• Platoblockchain. Intelligence métaverse Web3. Connaissance Amplifiée. Accéder ici.
• La source: https://www.darkreading.com/attacks-breaches/pro-islam-anonymous-sudan-hacktivists-front-russia-killnet-operation