Le groupe de ransomware Qilin a publié des données qu’il affirme avoir été volées au Bureau américain de l’alcool, du tabac, des armes à feu et des explosifs (ATF), révélant des fichiers qui semblent contenir des informations liées à des enquêtes criminelles fédérales et à des examens judiciaires numériques.
La publication fait suite à une menace antérieure de Qilin, qui avait donné à l’agence 72 heures avant de publier le matériel volé. Après l’expiration du compte à rebours, l’opération de ransomware a publié ce qui semble être au moins 6,3 Go de fichiers internes de l’ATF sur son site de fuite du dark web.
L’ATF a confirmé qu’un système autonome hérité a été compromis. L’environnement concerné a été identifié comme le système CALEA de l’agence, utilisé dans le cadre de la surveillance électronique fédérale autorisée en vertu de la loi sur l’assistance aux communications pour l’application de la loi.
L’agence a reconnu que Qilin affirme avoir publié des documents obtenus de ce système, mais a indiqué ne pas avoir vérifié l’authenticité, la nature exacte ni la portée complète des fichiers publiés. L’ATF travaille avec le ministère de la Justice et d’autres partenaires fédéraux pour enquêter sur l’incident.
Le bureau avait précédemment confirmé que le système compromis contenait des informations concernant les cibles des enquêtes de l’ATF. Cependant, les responsables ont indiqué qu’il n’y avait aucune indication que les attaquants aient atteint le réseau principal d’entreprise de l’agence, sa plateforme eForms ou d’autres systèmes de l’ATF. L’incident n’a pas non plus perturbé les opérations de l’agence.
Un premier examen du matériel publié indique que la fuite pourrait contenir bien plus que de simples informations administratives courantes.
Les annuaires contenus dans les données semblent correspondre à des enquêtes individuelles et des opérations de terrain, y compris des dossiers associés aux bureaux de l’ATF à Houston et Laredo. D’autres annuaires semblent identifier des individus, des appareils mobiles spécifiques et des comptes en ligne liés au travail d’enquête.
Les fichiers semblent également contenir des informations extraites de smartphones et d’autres appareils. Le matériel exposé inclurait des références à des iPhones, des appareils Samsung Galaxy, des cartes SIM, des informations iCloud et des extractions médico-légales Cellebrite.
D’autres dossiers contiennent ce qui semble être des identifiants de compte, des adresses IP, des informations d’enregistrement et des numéros de téléphone vérifiés. Certains annuaires semblent également correspondre directement à des affaires criminelles, y compris des dossiers liés à une enquête sur un vol de camion blindé.
La fuite pourrait également révéler des informations sur certaines parties de l’environnement technologique de l’ATF, y compris les logiciels de sécurité utilisés par l’agence.
Qilin a d’abord listé ATF sur son site de fuite le 26 août, le même jour où l’agence a confirmé qu’un de ses systèmes autonomes avait été compromis. À ce moment-là, le groupe de ransomware avait fourni peu de preuves sur ce qu’il avait obtenu.
La publication qui a suivi fournit beaucoup plus de contenu, mais l’impact complet reste en cours d’enquête. L’ATF n’a pas officiellement attribué l’intrusion à Qilin, et les autorités n’ont pas confirmé que tous les fichiers publiés par le groupe de ransomware soient authentiques.
La sensibilité du système concerné rend l’incident particulièrement grave. Les enquêtes de l’ATF peuvent concerner le trafic d’armes à feu, les explosifs, les incendies criminels, la criminalité violente et d’autres affaires fédérales, ce qui signifie que les dossiers d’enquête exposés peuvent potentiellement contenir des informations sur des suspects, des preuves et des personnes liées à des enquêtes en cours ou antérieures.