De Barcelone à Brooklyn : Plongée dans la traque mondiale d’un opérateur du ransomware Nefilim

On dirait le scénario d’un cyber-thriller : un ressortissant ukrainien vivant en Espagne, des systèmes informatiques chiffrés sur plusieurs continents, et des millions de dollars en jeu. Mais pour les victimes du groupe de ransomware Nefilim, tout cela était bien réel. Cette semaine, Artem Aleksandrovych Stryzhak, 35 ans, s’est présenté devant un tribunal fédéral de Brooklyn et a reconnu son rôle dans une vaste conspiration qui a paralysé des entreprises et menacé de révéler leurs secrets au monde entier. Son arrestation et son extradition constituent une victoire rare dans la lutte mondiale contre les ransomwares - mais l’histoire est loin d’être terminée.

Le parcours de Stryzhak dans le monde souterrain du numérique commence en juin 2021, lorsqu’il accède au puissant code du ransomware Nefilim. Selon les procureurs, il n’agissait pas seul - il faisait partie d’un réseau de cybercriminels qui étudiaient minutieusement leurs cibles, fouillant les bases de données publiques pour obtenir des informations sur les revenus, la taille et les contacts des entreprises. Avec une précision chirurgicale, ils développaient des malwares sur mesure pour chaque victime, chiffrant des données vitales et laissant derrière eux des messages glaçants : payez, ou vos secrets seront révélés au grand public.

Contrairement aux hackers amateurs, le groupe Nefilim menait ses opérations comme une véritable entreprise. Stryzhak et ses complices utilisaient un panneau de contrôle en ligne pour suivre les victimes, répartir les profits et coordonner les attaques. Leur modèle de “double extorsion” ne se contentait pas de priver les entreprises de leurs données, il menaçait aussi de publier des fichiers sensibles sur un site public - augmentant ainsi la pression pour payer. Si une rançon était versée, les victimes recevaient une clé de déchiffrement unique, mais les dégâts en termes de confiance et de réputation persistaient souvent bien plus longtemps.

Nefilim est apparu pour la première fois en 2020, gagnant rapidement en notoriété comme successeur de la famille de ransomwares Nemty. Leurs cibles n’étaient pas choisies au hasard : des entreprises à fort chiffre d’affaires aux États-Unis, au Canada, en Australie et en Europe. Si les forces de l’ordre ont depuis perturbé une partie de leur infrastructure, les tactiques du groupe sont devenues des modèles pour de nouveaux groupes de ransomware. Le modèle d’affiliation - où des opérateurs comme Stryzhak touchent une commission pour chaque attaque réussie - a transformé le ransomware en une franchise criminelle mondiale.

Stryzhak a finalement été arrêté en Espagne en 2024 puis extradé vers les États-Unis en 2025. Il risque désormais jusqu’à 10 ans de prison, le prononcé de la peine étant prévu pour mai 2026. Mais l’ombre de cette affaire plane toujours : son présumé complice, Volodymyr Tymoshchuk, est toujours en fuite, recherché par les autorités américaines et européennes, et lié à d’autres souches de ransomwares notoires comme LockerGoga et MegaCortex. Le Département d’État américain offre jusqu’à 11 millions de dollars pour toute information menant à son arrestation - un signe de l’ampleur et de la persistance de cette menace.

L’âge d’or de Nefilim est peut-être révolu, mais son influence perdure. L’alliance de sophistication technique, de pression psychologique et de portée mondiale du groupe a bouleversé à jamais le paysage du ransomware. Alors que les forces de l’ordre tentent de suivre le rythme, une question demeure : les chasseurs parviendront-ils à garder une longueur d’avance sur les proies dans ce jeu du chat et de la souris qu’est la cybercriminalité ?

WIKICROOK

• Ransomware : Un ransomware est un logiciel malveillant qui chiffre ou verrouille des données, exigeant un paiement des victimes pour rétablir l’accès à leurs fichiers ou systèmes.
• Double extorsion : La double extorsion est une tactique de ransomware où les attaquants chiffrent les fichiers et volent également des données, menaçant de les divulguer si la rançon n’est pas payée.
• Modèle d’affiliation : Le modèle d’affiliation est une structure commerciale du cybercrime où des hackers recrutent des partenaires pour diffuser des malwares en échange d’une part des profits illicites.
• Clé de déchiffrement : Une clé de déchiffrement est un code spécial qui permet de déverrouiller des données chiffrées, rendant à nouveau lisibles des fichiers ou messages brouillés pour les utilisateurs autorisés.
• Extradition : L’extradition est le processus légal par lequel un pays remet un suspect ou un condamné à un autre pays pour qu’il y soit jugé ou purge sa peine.