Hackers pro-ukrainiennes contre les pirates de Trigona

Dans l’univers complexe et en constante évolution de la cybersécurité, une récente révélation a suscité une attention particulière. L’Ukrainian Cyber ​​Alliance, un groupe d’hacktivistes pro-ukrainiens, a récemment affirmé avoir réussi à démanteler le site de fuite du groupe de ransomware connu sous le nom de Trigona.

Le représentant de l’alliance, se présentant sous le pseudonyme herm1t a partagé que dix serveurs essentiels de Trigona ont été détruits par leur action. Ceci inclut non seulement leur site principal, mais aussi divers autres éléments tels que leur blog, serveur interne, portefeuilles de crypto-monnaie, et même leurs serveurs de développement. En résumé, selon les mots de herm1t, « L’ensemble de leur infrastructure est complètement détruite. » L’histoire ne dit pas si les entreprises piégées par Trigona ont été aidées pour retrouver leurs fichiers. Détruire les serveurs a peut-être aussi détruit les clés de déchiffrement des victimes ! On ne sait pas encore si les informations volées contiennent des clés de décryptage, mais Herm1t a déclaré qu’elles seraient publiées si elles étaient trouvées.

Qu’est-ce que Trigona ?

Pour ceux qui ne sont pas familiers avec le monde sombre de la cybercriminalité et des ransomwares, Trigona Leaks est un blog qui était caché sur le dark web, via trois adresses en .onion. Opérant selon un modèle de menace et d’humiliation, ce blog publiait les données volées de ses victimes.

Depuis la mi avril 2023, Trigona affichait 32 victimes dont l’Office Notarial de Baillargues [France], Pacific Union College [USA] ou encore, le 13 octobre 2023, Alconex Specialty Products.

Retour de bâton ?

Herm1t, dans sa déclaration, évoque un sens de la justice poétique dans leur action contre Trigona, suggérant qu’ils ont traité le gang de la même manière que celui-ci avait traité ses victimes. Selon les attaquants, l’infrastructure Trigona a été compromise à l’aide d’un exploit accessible au public pour la vulnérabilité critique CVE-2023-22515 affectant Confluence Data Center et Server. Ce problème peut être exploité à distance et utilisé pour une élévation de privilèges. Des pirates qui utilisent des outils tels que celui de Confluence, voilà qui est « amusant » !

Des chercheurs ont émis l’hypothèse que le groupe Trigona pourrait avoir des affiliations avec AlphV, un autre groupe cybercriminel lié à la Russie, également connu sous le nom de BlackCat. Cependant, cette association reste spéculative. Comme l’a noté Trend Micro, toute ressemblance entre les méthodes de Trigona et de BlackCat pourrait être purement circonstancielle.

La fin de Trigona ?

Il ne sera probablement pas difficile pour ces malveillants de fermer l’ancien site de fuite et d’installer de nouveaux serveurs et hébergements ailleurs. A noter que depuis mars 2023, l’ip du serveur de Trigona était connu par ZATAZ. Certains hackers, à l’époque s’amusait d’ailleurs de cet accés : « Le groupe de rançonneurs Trigona n’aime pas utiliser les liens onion de TOR ; ils préfèrent gérer leur site directement sur le web ouvert afin que tout le monde puisse voir où ils sont hébergés. » Un serveur installé chez Global Layer B.V., au Pays-Bas.

De son côté, la société Atlassian a averti les administrateurs d’une vulnérabilité critique dans Confluence. L’exploitation de ce problème peut entraîner une perte de données. Les développeurs vous invitent donc à installer les correctifs le plus rapidement possible. La vulnérabilité est identifiée comme CVE-2023-22518 (9,1 sur 10 sur l’échelle CVSS) et affecte toutes les versions de Confluence Data Center et Confluence Server. Le problème est lié à une autorisation incorrecte et la société a averti que des attaquants pourraient l’utiliser pour détruire des données sur des serveurs vulnérables.

Il est à noter que l’erreur ne peut pas être utilisée pour divulguer des données et que les sites Atlassian Cloud accessibles via le domaine atlassian.net ne sont pas affectés par celle-ci. Le problème a déjà été résolu dans les versions 7.19.16, 8.3.4, 8.4.4, 8.5.3 et 8.6.1 de Confluence Data Center and Server.

Cependant, il n’y a pas encore de détails sur la vulnérabilité elle-même et sur la manière dont les attaquants peuvent en profiter, car l’entreprise craint l’émergence d’exploits pour CVE-2023-22518.