“Ransom_man” : recherché au moins depuis 2020, un suspect arrêté à Courbevoie par “hasard” !

Actualités, Buzz du moment, Internet, Loi \ Droit informatique, Sécurité

Demande rançon aux patients du Centre de psycho-thérapie de Vastaamo,

en Octobre 2020, en échange de leurs données (pour non-divulgation).

Le 23 Octobre 2020 (voire 2018, selon les enquêtes d’un site d’actualité finlandais, Italehti : la brèche aurait été dissimulée par le CEO de l’époque, Ville Tapio) les données du Centre de psycho-thérapie de Vastaamo (Finlande) sont ex-filtrées avec des demandes de rançons : en tout, environ 450 000 euros (40 Bitcoins, selon le cours de l’époque) était requis par le suspect, Julius “Zeekill” Kivimaki, à raison de 10 euros par victime-patient. Au cours des investigations, un indice avait permis de remonter jusqu’à la personne recherchée et interpellée à Courbevoie (France)… pour un tout autre motif.

“Ransom_man a rapidement supprimé le gros fichier (accompagné d’une notation « whoops »), mais pas avant qu’il ait été téléchargé plusieurs fois. L’intégralité des archives a depuis été transformée en un site Web consultable sur le Dark Web. Parmi ceux qui ont saisi une copie de la base de données se trouvait Antti Kurittu, chef d’équipe chez Nixu Corporation et ancien enquêteur criminel. En 2013, Kurittu a travaillé sur une enquête impliquant l’utilisation par Kivimaki du botnet Zbot, entre autres activités auxquelles Kivimaki s’est engagé en tant que membre du groupe de hackers Hack the Planet“, est-il relaté par l’expert cyber-sécuritaire Brian Krebs, le 3 Novembre 2022.

Selon le site Actu, le suspect aurait été appréhendé alors que sa compagne avait appelé la police des suites d’une violente dispute conjugale après une soirée en boîte de nuit, le 3 Février 2023, aux environs de 3 heures du matin, heure française. Les autorités sur place aurait, après vérification d’identité, miraculeusement eu l’idée de recherche dans la base de données Europol pour faire corréler la personne avec le signalement recherché.

Revente de données-serveurs par “Ryan Cleary”,

courant 2012.

“Kivimäki a d’abord acquis une notoriété en tant que membre autoproclamé de la Lizard Squad, un groupe de hackers principalement peu qualifiés qui s’est spécialisé dans les attaques DDoS. Mais les enquêteurs américains et finlandais affirment que l’implication de Kivimäki dans la cybercriminalité remonte au moins à 2008, lorsqu’il a été présenté à un membre fondateur de ce qui allait bientôt devenir HTP. La police finlandaise a déclaré que Kivimäki utilisait également les surnoms “Ryan”, “RyanC” et “Ryan Cleary” (Ryan Cleary était en fait membre d’un groupe de hackers Rival – LulzSec – qui a été condamné à la prison pour piratage). Kivimaki et d’autres membres de HTP étaient impliqués dans des serveurs Web compromettant massivement en utilisant des vulnérabilités connues, et en 2012, l’alias de Kivimäki, Ryan Cleary, vendait l’accès à ces serveurs sous la forme d’un service DDoS à louer. Kivimäki avait 15 ans à l’époque“, relate retrospectivement Brian Krebs, le 5 Février 2023.

L’interpellé serait impliqué dans plusieurs cyber-larcins dont celui de 2013 (serveurs LexisNexis, Kroll, Dun and Bradstreet) ou encore la cyber-bombe à l’encontre du dirigeant principal de Sony Online Entertainment de l’époque, John Smedley (2006-2015). En 2015, une décision juridique avait condamné le suspect (toujours recherché, alors) ce qui avait provoqué, du côté de l’intéressé, un pied de nez via un changement de profil-Twitter avec la mention “untouchable hacker God“, signifiant Dieu du piratage intouchable. Quand aux membres de Lizard Squad, ceux-ci s’étaient également exprimé, en accompagnant l’actualité relative à la décision juridictionnelle : “tous les gens qui ont dit qu’on pourrirait en prison ne veulent pas comprendre ce qu’on dit depuis le début, on a des laissez-passer“.

Concernant les autorités finlandaises (la Poliisi), l’enquête se poursuivra : “le processus de passation est mené en étroite collaboration avec les autorités françaises. La police française est chargée de garder le suspect jusqu’à sa remise à la Finlande. Le suspect a été arrêté par contumace au tribunal de district d’Helsinki en octobre 2022, soupçonné de tentative d’extorsion aggravée, de violation de données aggravée et de diffusion aggravée d’informations portant atteinte à la vie privée. Dans le même temps, un mandat d’arrêt européen a été lancé contre lui et il était recherché […] L’enquête préliminaire est toujours en cours. La police fournira plus d’informations à ce sujet lorsque cela sera possible, en tenant compte de la situation de l’enquête […] Le calendrier du processus d’extradition dépend de nombreux facteurs, il est donc difficile à ce stade d’estimer quand le suspect sera amené en Finlande. Lorsque le suspect a été remis à la Finlande, une nouvelle audience de détention doit avoir lieu en Finlande“… A veiller !

Sources :

Poliisi – 3 Février 2023, 28 Octobre 2022 – Julius “Zeekill” Kivimäki : suspect (Europol) de cyber-attaques arrêté à Courbevoie (France) ;

KrebsOnSecurity – 5 Février 2023, 3 Novembre 2022 – Julius “Zeekill” Kivimäki : suspect (Europol) de cyber-attaques arrêté à Courbevoie (France) + retrospective insécuritaire ;