Démantèlement du réseau de logiciels malveillants DanaBot : 16 personnes inculpées dans une opération mondiale à 50 millions de dollars

Le 23 mai 2025, le Département de la Justice des États-Unis (DoJ) a annoncé le démantèlement de l'infrastructure en ligne associée à DanaBot, un malware sophistiqué également connu sous le nom de DanaTools. Parallèlement, les chefs d'accusation visant 16 personnes ont été rendus publics, pour leur implication présumée dans le développement et la diffusion du malware, contrôlé par une organisation cybercriminelle basée en Russie.

Un malware multifonction à l'impact mondial

DanaBot a infecté plus de 300 000 ordinateurs dans le monde, facilitant des fraudes et des attaques par ransomware, et causant des dommages estimés à au moins 50 millions de dollars. Deux des accusés, Aleksandr Stepanov (alias JimmBee), 39 ans, et Artem Aleksandrovich Kalinkin (alias Onix), 34 ans, tous deux originaires de Novossibirsk, en Russie, sont actuellement en fuite.

Le malware fonctionnait selon un modèle « malware-as-a-service » (MaaS), avec des accès loués à partir de 500 dollars et jusqu'à plusieurs milliers de dollars par mois. DanaBot, suivi sous les noms de code Scully Spider et Storm-1044, est un outil multifonction semblable à Emotet, TrickBot, QakBot et IcedID, capable d'agir comme stealer et comme vecteur pour des payloads ultérieurs, tels que les ransomwares.

Techniques d'infection et fonctionnalités du malware

DanaBot utilisait diverses méthodes pour infecter les ordinateurs des victimes, notamment des courriels de spam contenant des pièces jointes ou des hyperliens malveillants. Les ordinateurs infectés devenaient membres d'un botnet, ce qui permettait aux opérateurs de les contrôler à distance de manière coordonnée.

Le malware, modulaire et développé en Delphi, était capable de dérober des données sur les ordinateurs des victimes, de détourner des sessions bancaires et de voler des informations sur les appareils, des historiques de navigation, des identifiants de comptes enregistrés et des portefeuilles de cryptomonnaies. Il pouvait également fournir un accès à distance complet, enregistrer les frappes au clavier et capturer des vidéos.

Opération Endgame : une collaboration internationale contre la cybercriminalité

L'action des forces de l'ordre, menée dans le cadre de l'opération Endgame, a abouti à la saisie des serveurs de commande et de contrôle (C2) de DanaBot, dont des dizaines de serveurs virtuels hébergés aux États-Unis. Cette opération a vu la collaboration de plusieurs agences internationales afin de lutter contre les activités cybercriminelles à l'échelle mondiale.

Erreurs fatales : les pirates s'auto-infectent

Un élément curieux ressorti de l'enquête est que certains membres de l'organisation DanaBot se sont accidentellement infectés avec leur propre malware, ce qui a permis aux enquêteurs de recueillir des données compromettantes sur leurs ordinateurs. Ces données ont contribué à l'identification des membres de l'organisation.

Conclusion

Le démantèlement du réseau DanaBot représente une avancée significative dans la lutte contre la cybercriminalité internationale. Toutefois, la nature évolutive de ces menaces exige une vigilance continue et une collaboration mondiale afin de prévenir et de combattre de futures activités malveillantes.

Source : https://thehackernews.com/2025/05/us-dismantles-danabot-malware-network.html?utm_source=chatgpt.com