Une opération mondiale cible le réseau de cybercriminalité pro-russe NoName057(16)
infohightech ·
Entre le 14 et le 17 juillet, une opération internationale conjointe, baptisée Eastwood et coordonnée par Europol et Eurojust, a ciblé le réseau de cybercriminalité NoName057(16). Les autorités policières et judiciaires de Tchéquie, de France, de Finlande, d'Allemagne, d'Italie, de Lituanie, de Pologne, d'Espagne, de Suède, de Suisse, des Pays-Bas et des États-Unis ont mené des actions simultanées contre les auteurs et les infrastructures du réseau de cybercriminalité pro-russe. L'enquête a également bénéficié du soutien de l'ENISA, ainsi que de la Belgique, du Canada, de l'Estonie, du Danemark, de la Lettonie, de la Roumanie et de l'Ukraine. Les entités privées ShadowServer et abuse.ch ont également apporté leur concours au volet technique de l'opération.
Ces actions ont entraîné la perturbation d'une infrastructure d'attaque composée de plus d'une centaine de systèmes informatiques à travers le monde, tandis qu'une grande partie du serveur central du groupe a été mise hors ligne. L'Allemagne a émis six mandats d'arrêt contre des délinquants résidant en Fédération de Russie. Deux d'entre eux sont accusés d'être les principaux instigateurs des activités de « NoName057(16) ».
Au total, les autorités nationales ont émis sept mandats d'arrêt, visant notamment six ressortissants russes pour leur implication dans les activités criminelles de « NoName057(16) ». Tous les suspects sont recherchés au niveau international et, dans certains cas, leur identité est publiée dans les médias. Cinq profils ont également été publiés sur le site web « Most Wanted » de l'UE .
Les autorités nationales ont contacté plusieurs centaines d'individus soupçonnés de soutenir le réseau cybercriminel. Les messages, partagés via une application de messagerie populaire, informent le destinataire des mesures officielles soulignant la responsabilité pénale de ses actes en vertu des législations nationales. Les individus agissant pour le compte de NoName057(16) sont principalement des sympathisants russophones qui utilisent des outils automatisés pour mener des attaques par déni de service distribué (DDoS). Agissant sans encadrement formel ni compétences techniques pointues, ils sont motivés par l'idéologie et la récompense.
Résultats globaux de l'opération Eastwood
- 2 arrestations (1 arrestation provisoire en France et 1 en Espagne)
- 7 mandats d'arrêt émis (6 par l'Allemagne et 1 par l'Espagne)
- 24 recherches de logement (2 en Tchéquie, 1 en France, 3 en Allemagne, 5 en Italie, 12 en Espagne, 1 en Pologne)
- 13 personnes interrogées (2 en Allemagne, 1 en France 4 en Italie, 1 en Pologne, 5 en Espagne)
- Plus de 1 000 supporters, dont 15 administrateurs, ont été informés de leur responsabilité légale via une application de messagerie
- Plus de 100 serveurs perturbés dans le monde
- Une grande partie de l'infrastructure principale de NoName057(16) est mise hors ligne
NoName057(16) Tentatives de perturbation DDoS en faveur de la Russie
Les criminels associés au réseau de cybercriminalité NoName057(16) ciblaient principalement l’Ukraine, mais ont désormais déplacé leur attention vers les pays qui soutiennent l’Ukraine dans sa défense actuelle contre la guerre d’agression russe, dont beaucoup sont membres de l’OTAN.
Les autorités nationales ont signalé plusieurs cyberattaques liées aux activités criminelles de NoName057(16). En 2023 et 2024, le réseau criminel a participé à des attaques contre les autorités suédoises et des sites web de banques. Depuis le début des enquêtes en novembre 2023, l'Allemagne a connu 14 vagues distinctes d'attaques ciblant plus de 250 entreprises et institutions.
En Suisse, plusieurs attaques ont également été perpétrées en juin 2023, lors d'un message vidéo ukrainien adressé au Parlement commun, et en juin 2024, lors du sommet de la paix pour l'Ukraine à Bürgenstock. Plus récemment, les autorités néerlandaises ont confirmé qu'une attaque liée à ce réseau avait été menée lors du dernier sommet de l'OTAN aux Pays-Bas. Ces attaques ont toutes été neutralisées sans interruption notable.
Coordination centrale pour cibler le réseau de cybercriminalité pro-russe
Europol a facilité l'échange d'informations et soutenu la coordination des activités opérationnelles, servant de plateforme de communication entre les autorités nationales et les agences de l'UE. À cette fin, Europol a organisé plus de 30 réunions en ligne et hors ligne, ainsi que deux sprints opérationnels. Europol a également facilité la coopération avec des partenaires privés, qui ont proposé leur assistance avant et après l'opération. L'Agence a fourni un soutien analytique important, ainsi qu'une expertise en traçage des cryptomonnaies et en criminalistique tout au long de l'enquête. Europol a coordonné la campagne de prévention, diffusée auprès des affiliés présumés via des applications de messagerie et les réseaux sociaux.
Lors de la journée d'action contre les affiliés de NoName057(16), Europol a mis en place un centre de coordination à son siège avec des représentants de la France, de l'Allemagne, de l'Espagne, des Pays-Bas et d'Eurojust, et a mis à disposition un poste de commandement virtuel pour connecter les autres pays participants au centre de coordination.
Le Groupe d'action conjoint sur la cybercriminalité (J-CAT) d'Europol a également soutenu l'opération. Cette équipe opérationnelle est composée d'officiers de liaison cyber de différents pays, travaillant depuis le même bureau au siège d'Europol et apportant divers types de soutien aux enquêtes de cybercriminalité de haut niveau.
Grâce à Eurojust, les autorités ont pu coordonner les activités judiciaires et planifier leurs mesures respectives lors de la journée d'action. L'Agence a assuré l'exécution des entraides judiciaires et de plusieurs décisions d'enquête européennes. Lors de la journée d'action du 15 juillet, Eurojust a coordonné les demandes judiciaires de dernière minute requises pendant l'opération.
Manipulation ludique pour motiver les cyberattaques pro-russes
Les enquêtes menées par les autorités nationales ont identifié NoName057(16) comme un réseau criminel idéologique professant son soutien à la Fédération de Russie et lié, dans le contexte de la guerre d'agression russe contre l'Ukraine, à de nombreuses cyberattaques DDoS. Lors de telles attaques, un site web ou un service en ligne est inondé de trafic afin de le surcharger et de le rendre indisponible. Outre les activités du réseau, estimé à plus de 4 000 sympathisants, le groupe a également pu construire son propre botnet composé de plusieurs centaines de serveurs, utilisé pour accroître la charge d'attaque.
Pour diffuser des appels à l'action, des tutoriels, des mises à jour et recruter des volontaires, le groupe a exploité des canaux pro-russes, des forums et même des groupes de discussion spécialisés sur les réseaux sociaux et les applications de messagerie. Les volontaires invitaient souvent des amis ou des contacts issus de forums de jeux vidéo ou de piratage informatique, formant ainsi de petits cercles de recrutement. Ces acteurs ont utilisé des plateformes comme DDoSia pour simplifier les processus techniques et fournir des directives, permettant ainsi aux nouvelles recrues d'être rapidement opérationnelles.
Les participants étaient également rémunérés en cryptomonnaie, ce qui encourageait une implication soutenue et attirait les opportunistes. Reproduire une dynamique de jeu, des remerciements réguliers, des classements ou des badges conférait aux volontaires un sentiment de statut. Cette manipulation ludique, souvent destinée aux jeunes délinquants, était émotionnellement renforcée par un discours de défense de la Russie ou de vengeance contre les événements politiques.
Pays participants
Pays principaux
- Tchéquie - République tchèque : Agence nationale de lutte contre le terrorisme, l'extrémisme et la cybercriminalité
- Finlande – Bureau national d'enquête (NBI)
- France - Unité nationale cyber de la Gendarmerie nationale, Parquet de Paris – Juridiction nationale de lutte contre la criminalité organisée (JUNALCO)
- Allemagne – Office fédéral de police criminelle (Bundeskriminalamt), Parquet général de Francfort-sur-le-Main – Centre de cybercriminalité
- Italie – Police nationale (Polizia di Stato)
- Lituanie – Bureau lituanien de la police criminelle
- Pays-Bas – Police nationale (Politie), Ministère public
- Pologne - Bureau central de lutte contre la cybercriminalité
- Espagne – Guardia Civil, Police nationale (Policía Nacional)
- Suède – Polisen
- Suisse – Office fédéral de la police fedpol et Ministère public de la Confédération (MPC)
- États-Unis - Bureau fédéral d'enquête
Pays de soutien
- Belgique
- Canada
- Danemark
- Estonie
- Lettonie
- Roumanie
- Ukraine
Agences de l'UE participantes
- Europol
- Eurojust
- ENISA