Daniel Rhyne, âgé de 57 ans, a été condamné à 32 mois de prison après avoir reconnu son rôle dans une tentative d’extorsion échouée visant une entreprise industrielle basée dans le New Jersey. Rhyne a exploité ses anciens privilèges d’ingénieur de l’infrastructure essentielle pour accéder à distance au réseau de l’entreprise et mener une attaque présentant des caractéristiques similaires à celles des rançongiciels.
Comment le réseau a-t-il été paralysé ?
Entre le 8 et le 25 novembre, Rhyne est entré sur le réseau sans autorisation en utilisant un compte administrateur. Selon les documents judiciaires, il a créé des tâches planifiées qui ont modifié le mot de passe du compte administrateur en TheFr0zenCrew!, supprimé 13 comptes parmi les comptes d’administrateurs du domaine et modifié les mots de passe de 301 comptes utilisateurs du domaine pour utiliser le même mot de passe.
D’autres tâches ont été ajoutées afin de modifier les mots de passe de deux comptes administrateurs locaux en PsPasswd, ce qui a bloqué l’accès à 254 serveurs. Les mots de passe de deux autres comptes administrateurs ont également été modifiés, isolant ainsi 3 284 stations de travail supplémentaires. Pendant plusieurs jours en décembre 2023, Rhyne a arrêté des serveurs et des stations de travail de manière aléatoire sur le réseau de l’entreprise.
Demande de rançon et menace de perturbations répétées
Le 25 novembre, il a envoyé à ses collègues un message intitulé « Your Network Has Been Penetrated ». Il y indiquait que les sauvegardes des serveurs avaient été supprimées afin de rendre la récupération des données impossible, et exigeait de l’entreprise le paiement de 20 bitcoins, soit environ 750 000 dollars à l’époque. Il menaçait également d’arrêter 40 serveurs aléatoires chaque jour pendant dix jours si la rançon n’était pas payée.
La plainte pénale précise que les administrateurs réseau ont commencé à recevoir, vers 16 heures, heure de la côte Est, des notifications leur demandant de réinitialiser les mots de passe d’un compte administrateur du domaine et de centaines de comptes utilisateurs. Ils ont ensuite découvert que tous les autres comptes d’administrateurs du domaine avaient été supprimés, ce qui les privait de leurs privilèges d’administration sur les réseaux de l’entreprise.
Quels enseignements pour les équipes de sécurité ?
Cette affaire révèle concrètement l’ampleur des dommages qu’un compte interne disposant de privilèges étendus peut causer, même sans chiffrement traditionnel des fichiers. L’attaque s’est concentrée sur la modification des mots de passe, la suppression de comptes, la désactivation d’appareils et le ciblage des sauvegardes, des mesures suffisantes pour paralyser un environnement d’entreprise et empêcher les équipes d’intervention de reprendre rapidement le contrôle.
Les enquêteurs ont constaté qu’avant de mettre son plan à exécution, Rhyne avait effectué des recherches sur les moyens de modifier les mots de passe des utilisateurs du domaine, de supprimer des comptes et d’effacer les journaux Windows. Il avait également recherché des commandes permettant de modifier localement et à distance les mots de passe des administrateurs et d’arrêter des ordinateurs à l’aide de la ligne de commande. Les détails des défenses de l’entreprise et des mécanismes de détection de l’activité ne sont pas mentionnés dans le contenu source. Il est donc impossible d’en déduire l’efficacité des contrôles ou la raison pour laquelle l’accès non autorisé s’est poursuivi.
La peine intervient après l’arrestation de Rhyne en août 2024 et sa remise en liberté à la suite de sa première comparution devant le tribunal fédéral. La source a également rapporté, séparément, la condamnation en mars d’un analyste de données contractuel de Caroline du Nord à deux ans de prison, après sa condamnation pour avoir extorqué 2,5 millions de dollars à son employeur, Brightly Software.