IntelBroker est un groupe de pirates informatiques actif depuis , ayant mené plusieurs cyberattaques de haut profil. Parmi leurs cibles figurent Europol, Pandabuy et Apple, avec plus de 80 ventes et fuites de données compromises qui leur ont été attribuées. Ils affirment résider actuellement en Russie pour des raisons de sécurité.
Description IntelBroker a commencé ses activités en en s'attaquant à des organisations mineures, mais n'a acquis de notoriété qu'en 2023 après une attaque contre le service de livraison de nourriture "Weee!". Bien qu'il ait été spéculé qu'il pourrait s'agir d'une équipe très compétente, possiblement Advanced Persistent Threat, une interview avec The Cyber Express a révélé qu'il pourrait s'agir d'une seule personne. Cependant, cette information n'a pas été confirmée. Lors de l'interview, plusieurs détails personnels ont été dévoilés, dont sa nationalité serbe et leur lieu de résidence actuel en Russie pour des raisons de sécurité. IntelBroker est devenu le fondateur actif du forum de cybercriminalité BreachForums et contribue souvent au groupe de hacking raciste CyberNiggers. En , ils avaient publié plus de 80 fuites et ventes d'informations compromises sur BreachForums, et ils affirmaient avoir vendu les informations de plus de 400 organisations.
IntelBroker a déclaré que les forces de l’ordre attribuent trop rapidement des affiliations nationales à des acteurs indépendants et que les médias couvrent ou ignorent souvent les cyberattaques de manière sélective. Dans leur interview avec Inside Darknet, IntelBroker a exprimé le désir de gérer un jour un forum de cybercriminalité. Ils ont déclaré au Cyber Express que l’un de leurs passe-temps est de boire et que « l’exploitation des vulnérabilités numériques » peut être lucrative « tout en opérant dans le cadre de limites éthiques et légales ».
BreachForums En 2023, IntelBroker a rejoint le groupe de piratage raciste CyberNiggers sur BreachForums et a orchestré les cyberattaques les plus importantes du groupe pendant son mandat. Des attaques similaires ont continué d’être menées par d’autres membres du groupe avant qu’il ne devienne inactif. En , IntelBroker est devenu propriétaire de BreachForums.
Modus operandi IntelBroker a utilisé un large éventail de tactiques pour pénétrer dans des systèmes sécurisés. Après avoir violé sa cible, IntelBroker tente d’établir un accès persistant en exécutant des commandes non autorisées et en manipulant les comptes système. Ils peuvent masquer des fichiers malveillants ou augmenter leurs privilèges d’accès pour empêcher les logiciels de sécurité de défendre efficacement le réseau compromis. IntelBroker essaie généralement de vendre cet accès en premier, ce qui peut être utilisé pour faciliter d’autres activités malveillantes. À terme, ils peuvent également tenter d’étendre leur accès en utilisant des informations d’identification compromises, de découvrir et d’extraire davantage de données de la victime afin de les vendre sur le marché noir tel que BreachForums.
Ransomware IntelBroker a créé une souche de ransomware unique écrite en C# connue sous le nom d’Endurance, et a publié son code source publiquement sur sa page GitHub. Bien qu’il soit étiqueté comme un ransomware, le logiciel écrase puis supprime tous les fichiers ciblés. Le DC3 a confirmé qu’Endurance avait été utilisé par IntelBroker pour pirater plusieurs agences gouvernementales américaines. Ils ont émis l’hypothèse qu’Endurance était lié au logiciel d’effacement Shamoon parfois utilisé par les pirates iraniens, ce qu’IntelBroker a nié. Après 2023, IntelBroker ne semble plus être engagé dans des activités de ransomware.
Attaques signalées En , IntelBroker avait publié plus de 80 fuites et ventes distinctes d’informations compromises sur BreachForums et affirmé avoir vendu les informations de plus de 400 organisations. La plupart de leurs cibles sont basées aux États-Unis.
IntelBroker a infiltré une base de données contenant 2,5 millions d’enregistrements et 1,9 million d’e-mails via le système de gestion de relation client de l’aéroport international de Los Angeles. Ils ont également accédé à des données de l’Immigration and Customs Enforcement des États-Unis et des services de citoyenneté et d’immigration des États-Unis, y compris des informations sur plus de 100 000 citoyens américains. Parmi les autres cibles d’IntelBroker figuraient Hewlett Packard Enterprise, Verizon , HSBC, Accor, Home Depot, Facebook, Tech in Asia et diverses agences gouvernementales américaines.
Au début de l’année 2023, IntelBroker a infiltré la chaîne d’épicerie américaine Weee ! et a exposé les informations personnelles de plus d’un million de clients de bon de livraison, y compris les noms, les numéros de téléphone, les adresses e-mail et les codes d’entrée dans les bâtiments, mais pas les données financières et de paiement selon la société. En mars de la même année, ils ont dérobé les données de DC Health Link, une place de marché américaine d’assurance maladie, et ont exposé les coordonnées et les numéros de sécurité sociale de certains membres du Congrès des États-Unis. En , IntelBroker a affirmé avoir obtenu des informations sensibles sur les communications entre le Pentagone et le directeur de l’information (CIO) et le Chef d'état-major des armées (États-Unis) (DCS/G-6 à l’époque).
En , IntelBroker a affirmé avoir compromis les informations des employés, le code source de FOUO et les directives opérationnelles d'Europol et avoir violé les réseaux informatiques de Zscaler. En juin, ils ont affirmé avoir extrait des données telles que des noms de clients et des numéros de police de la société informatique Cognizant. En , IntelBroker auraient violé un sous-traitant tiers pour Nokia, mais la société a nié que son système ou ses données aient été compromis.
Violation de donnée
Weee! En , Weee!, une start-up américaine de livraison de courses en ligne spécialisée dans les produits asiatiques et hispaniques, a révélé qu'elle avait été victime d'un piratage majeur. Les cybercriminels ont réussi à dérober les informations de 1,1 million de comptes clients et les détails de 11,3 millions de commandes. Les données volées comprenaient les noms, adresses, adresses e-mail, numéros de téléphone et commentaires de commandes des clients ayant passé des commandes entre le et le .
DC Health Link
En , IntelBroker a revendiqué la responsabilité d'une cyberattaque majeure contre DC Health Link, le portail en ligne de l’assurance santé pour les fonctionnaires et les employés fédéraux aux États-Unis]. Cette attaque a conduit à une fuite importante de données sensibles, incluant des informations personnelles et médicales de milliers d'individus. Les données personnelles compromises comprenaient des informations telles que les noms, adresses, numéro de sécurité sociale, et détails de santé des utilisateurs. Cette fuite a suscité une grande inquiétude parmi les victimes, qui craignaient des risques accrus de fraude et de vol d'identité. IntelBroker a publié ces informations sur des forums de cybercriminalité. Selon certaines sources, le FBI aurait acheté les données volées dans le cadre de ses efforts pour enquêter sur l'attaque et protéger les victimes.
General Electric En , IntelBroker a affirmé s’être introduit dans General Electric et avoir volé des données appartenant à la DARPA. Ils ont partagé des images de ce qui semblait être des projets militaires de GE, mais n’ont partagé aucun échantillon de fichiers. Ils ont essayer de vendre sur BreachForums, un site de discussion sur Internet, pour les données volées ainsi que l’accès aux pipelines de développement et de logiciels de GE, mais il n’y avait pas de preneurs à l’époque. Il y avait des doutes sur les affirmations d’IntelBroker, mais il était également possible que GE ait accidentellement laissé des parties de son réseau mal configurées ou exposées à l’intrusion.
Pandabuy Le , IntelBroker a assisté dans le piratage du site de e-commerce chinois Pandabuy, avec les données des utilisateurs vendues dans une base de données sur BreachForums pour un modeste paiement en Bitcoin "symbolique". Les informations avaient initialement fait l'objet d'une extorsion par les hackers, et Pandabuy aurait payé les pirates informatiques pour que la divulgation des données cesse. Selon certaines sources, Pandabuy aurait payé plusieurs dizaines de milliers de dollars aux hackers. Malgré ce paiement, la fuite a continué. IntelBroker et Sanggiero ont affirmé que la fuite contenait les noms, coordonnées, commandes et adresses de plus de 3 millions de clients de Pandabuy.
Le , Sanggiero a annoncé sur BreachForums qu'ils allaient vendre toutes les informations de la fuite, contenant plus de 17 millions d'entrées d'utilisateurs, pour 40 000 $. Ils avaient de nouveau procédé à une extorsion des informations auprès de Pandabuy, qui a refusé de payer, car les hackers n'ont pas respectés l'accord et auraient déjà vendu les données aux entreprises concurrentes de Pandabuy.
Acuity En , le groupe a annoncé avoir piraté Acuity, un prestataire de services technologiques pour le gouvernement américain, et obtenu des informations confidentielles appartenant au groupe des Five Eyes et à l'armée des États-Unis. La grande majorité des informations avaient été stockées dans un référentiel GitHub par Acuity, auquel le groupe a pu accéder. Ces informations comprenaient des communications confidentielles et des documents échangés entre les membres des Five Eyes, ainsi que les coordonnées de plusieurs responsables du gouvernement et de l'armée des États-Unis. Sanggiero, un membre du groupe, a affirmé que la violation de sécurité avait eu lieu le , un mois avant la fuite des informations.
Europol Le , IntelBroker a annoncé sur BreachForums avoir obtenu l'accès à 9 128 dossiers confidentiels de l'agence de sécurité intérieure de l'Union européenne Europol, incluant des informations sur les employés, le code source et des documents de directives. La majorité des dossiers provenaient de la plateforme Europol Platform for Experts, une plateforme de discussion pour les forces de l'ordre, ainsi que du programme de preuves électroniques SIRIUS. Europol a confirmé que la fuite était réelle, mais a affirmé qu'elle ne contenait que des informations provenant de la Europol Platform for Experts et de SIRIUS, et qu'aucune information opérationnelle n'avait été compromise. IntelBroker a annoncé qu'ils accepteraient des offres pour les données en Monero, qui ont été vendues le .
Apple En , IntelBroker a affirmé sur X avoir acquis le code source de plusieurs outils internes d'Apple, avant de publier ce code sur BreachForums. Ces outils étaient liés à des processus internes d'Apple, tels que l'authentification des utilisateurs et le partage d'informations au sein du réseau d'Apple. Une analyse ultérieure réalisée par des experts et des ingénieurs a révélé que le code divulgué n'était pas du code source, mais plutôt des plugins pour des outils internes. Cependant, ce code représentait toujours un risque pour la sécurité et pourrait potentiellement être utilisé par des parties malveillantes.
AMD Le , IntelBroker a affirmé sur BreachForums avoir compromis le géant des semi-conducteurs AMD et proposait à la vente les données volées. Les échantillons fournis comprenaient des informations sur les futurs produits, des données sur les employés, des informations sur les clients, du code source et des documents financiers. AMD a rapidement contacté les autorités pour enquêter sur la fuite de données. Peu après, AMD a déclaré que la violation était limitée en portée, n'affecterait pas les opérations de l'entreprise et a suggéré qu'elle n'incluait pas d'informations sur les employés ou les clients, ce qui contredisait le rapport initial de The Cyber Express. Bloomberg LP a corrélé l'attaque avec une baisse de 2,4 % du cours de l'action d'AMD peu après l'annonce de la fuite.
Cisco