TL;DR : L’essentiel
- Une archive de messages privés issue du forum cybercriminel RAMP dévoile le fonctionnement du bureau de recrutement du groupe de ransomware Conti, actif entre novembre 2021 et mai 2022.
- Le canal d’embauche soumettait les candidats à un questionnaire technique écrit en huit points, évaluant leur capacité à contourner des défenses précises et à effacer les sauvegardes.
- Le service de recrutement a fermé ses portes le 23 mai 2022 en rejetant les dernières candidatures, peu avant le démantèlement définitif des infrastructures de l’organisation criminelle.
Le groupe de ransomware Conti a géré un véritable bureau de recrutement professionnel sur le forum russophone RAMP pour sélectionner des spécialistes d’intrusion et des courtiers d’accès, comme le détaille Ransomnews. L’administrateur de ce compte dédié échangeait avec les postulants à travers des discussions privées structurées, proposant un partage des rançons fixé à 80% pour l’attaquant et 20% pour l’organisation. Sur plusieurs dizaines de profils ayant sollicité ce bureau, une dizaine a reçu une épreuve technique écrite standardisée avant toute collaboration opérationnelle.
Ce questionnaire éliminatoire reprenait directement la méthodologie offensive des manuels internes de l’organisation. L’épreuve exigeait des candidats qu’ils détaillent pas à pas la prise de contrôle d’un réseau d’entreprise, l’élévation de privilèges sur Active Directory, ainsi que l’extraction des données avant le chiffrement des serveurs VMware ESXi. Les postulants devaient également expliquer comment neutraliser des solutions de sécurité reconnues comme CrowdStrike, SentinelOne par exemple et exploiter des failles de serveurs d’authentification.
Les échanges du canal de recrutement ont diminué au printemps 2022, après la fuite massive de conversations internes consécutive à l’alignement public de la faction sur les intérêts russes. Malgré la réponse négative définitive envoyée aux candidats le 23 mai 2022, plusieurs membres ont continué à déposer des candidatures spontanées jusqu’en mars 2023 devant un guichet devenu alors inactif.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Pour approfondir le sujet
Extradition d’un Ukrainien impliqué dans le ransomware Conti vers les États-Unis
Un suspect ukrainien du ransomware Conti extradé vers les États-Unis, illustrant la coopération internationale face à une cybermenace ayant frappé des infrastructures mondiales. Lire la suite
Le premier ransomware autonome piloté par une IA passe à l'action
Le premier ransomware autonome piloté par une IA capable d'attaquer des serveurs sans aide humaine marque une rupture historique pour la cybersécurité. Lire la suite
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
