Dark Basin est un groupe de pirates mercenaires découvert en 2017 par Citizen Lab[1]. Ils sont soupçonnés d'avoir agi entre autres pour Wirecard[2] ou ExxonMobil[3].
En 2015, Matthew Earl, travaillant pour ShadowFall Capital & Research, a commencé à étudier Wirecard AG dans l'espoir de les vendre à découvert. Wirecard venait d'annoncer l'achat de Great Indian Retail Group pour 254 millions de dollars[4], un prix qui semblait excessif à Earl. En , il dévoile publiquement ses découvertes sous le pseudonyme de Zatarra Research & Investigations[5], accusant Wirecard de corruption, de fraude et de blanchiment d'argent[6].
Peu de temps après, l'identité de Zatarra Research & Investigations est révélée en ligne, ainsi que des photos de surveillance d'Earl devant sa maison. Earl se rend rapidement compte qu'il est suivi. Des employés de Jones Day, un cabinet d'avocats représentant Wirecard[7], rendent visite à Earl et lui remettent une lettre, l'accusant de collusion, de complot, de diffamation, et de manipulation du marché[8]. Earl a également commencé à recevoir des courriels d'hameçonnage ciblés, semblant provenir de ses amis et des membres de sa famille[2]. Au printemps 2017, Earl partage ces courriels avec Citizen Lab, un laboratoire de recherche spécialisé dans le contrôle de l'information[8].
L'enquête de Citizen Lab
Découvertes initiales
Citizen Lab découvre que les attaquants utilisaient un raccourcisseur d'URL personnalisé qui permettait l'énumération , leur donnant accès à une liste de 28 000 adresses web. Certaines d'entre elles redirigeaient vers des sites Web ressemblant à Gmail, Facebook, LinkedIn, Dropbox ou divers webmails. Chaque page étant personnalisée avec le nom de la victime, demandant à l'utilisateur de saisir à nouveau son mot de passe[9].
Citizen Lab baptise ce groupe de hackers «Dark Basin» et identifie plusieurs catégories parmi les victimes[1]:
Des organisations environnementales américaines liées à la campagne #ExxonKnew[10]: La Fondation Rockefeller, le Climate Investigations Center, Greenpeace, le Center for International Environmental Law, Oil Change International, Public Citizen, la Conservation Law Foundation, l'Union of Concerned Scientists, M + R Strategic Services ou 350.org
Des médias américains
Des entreprises de gestion alternative, des vendeurs à découvert et des journalistes financiers
Des banques et sociétés d'investissement internationales
Des personnes disposant de ressources suffisantes et impliquées dans des divorces ou d'autres questions juridiques
Compte tenu de la variété des cibles, Citizen Lab pense à une activité mercenaire. Le laboratoire de recherche confirme que certaines de ces attaques avaient porté leurs fruits.
La piste indienne
Plusieurs indices ont permis à Citizen Lab d'affirmer avec une grande confiance que Dark Basin étaient basés en Inde[1].
Heures de travail
Les horodatages dans les e-mails d'hameçonnage de Dark Basin étaient cohérents avec les heures de travail en Inde, qui n'a qu'un seul fuseau horaire: UTC+5:30[1].
Références culturelles
Les instances du service de raccourcissement d'URL utilisé par Dark Basin avaient des noms liés à la culture indienne: Holi, Rongali et Pochanchi[1].
Outils d'hameçonnage
Dark Basin a mis en ligne le code source de ses outils d'hameçonnage, y compris certains fichiers journaux. Le code source était configuré pour afficher les horodatages dans le fuseau horaire de l'Inde. Le fichier journal, qui montrait que des tests avaient été effectués, incluait une adresse IP basée en Inde[1].
BellTroX
Le rapport de Citizen Lab révèle que BellTroX, également connu sous le nom de BellTroX InfoTech Services et BellTroX D|G|TAL Security, est l'entreprise derrière Dark Basin[1]. BellTroX, une société basée à New Delhi[11], propose sur son site Web des services tels que des tests d'intrusion, du piratage éthique certifié et de la transcription médicale. Les employés de BellTroX sont décrits comme bavards[1] et publient régulièrement des informations sur leurs activités illégales[1]. Le fondateur de BellTroX, Sumit Guptra[12], a déjà été inculpé aux États-Unis pour avoir créé un groupe de pirates mercenaires appelé ViSalus[13].
BellTroX a utilisé le CV d'un de ses employés pour tester le raccourcisseur d'URL de Dark Basin. Ils ont également publié des captures d'écran contenant des liens vers l'infrastructure de Dark Basin[1].
Des centaines de personnes, travaillant dans le domaine de l'intelligence économique, ont venté les mérites de BellTroX sur LinkedIn. Certains d'entre eux sont soupçonnés d'être des clients potentiels. Parmi ces personnes on trouve un fonctionnaire du gouvernement canadien, un enquêteur de la Federal Trade Commission des États-Unis, des agents d'application de la loi et des enquêteurs privés ayant déjà exercé des fonctions au sein du FBI, de la police, de l'armée et d'autres branches du gouvernement[1].
