Stark, une société d’hébergement sur-mesure pour les attaques DDoS russes

Une enquête révèle le rôle central de cette entreprise, créée deux semaines avant l’invasion de l’Ukraine, dans les attaques du groupe NoName057(16).

Le chercheur en cybersécurité Brian Krebs a publié, le 23 mai 2024, une longue enquête sur la société d’hébergement Stark Industries et son rôle dans les attaques DDoS russes. Créée en février 2022, deux semaines avant l’invasion de l’Ukraine, elle est depuis utilisée comme service de proxy par des hacktivistes pro-russes visant des cibles occidentales ou ukrainiennes. Stark leur permet en effet de dissimuler l’origine de leurs attaques DDoS et campagnes de désinformation.

NoName057(16), le groupe hacktiviste pro-russe le plus actif (et de loin) depuis février 2022, a recours très régulièrement à Stark. Ce groupe utilise ainsi un mélange de ressources pour ses attaques DDoS. Certaines sont louées à de grands fournisseurs de cloud légitimes, d’autres proviennent de fournisseurs « bulletproof » (« à l’épreuve des balles »), comme Stark.

Un hébergeur est qualifié de « bulletproof » s’il a tendance à ignorer les plaintes ou rapports de police sur l’activité de ses réseaux. Ce mélange rend les campagnes de NoName057(16) « plus résistantes, car de nombreux opérateurs de réseaux hésiteront à bloquer de manière trop agressive des adresses Internet associées aux principaux services cloud », écrit Brian Krebs.

L’enquête révèle également que Stark est domiciliée à Londres et dirigée par Ivan Neculiti, le PDG-fondateur de PQ Hosting, une importante société moldave d’hébergement. Interrogé par Brian Krebs, il précise que Stark Industries est une « marque blanche » et filiale à 100% de PQ Hosting. Il nie être au courant d’une utilisation de Stark pour des attaques DDoS.

Ivan Neculiti est par ailleurs propriétaire d’un site Internet sur le conflit en Transnistrie, une région autonome russophone de Moldavie. Les articles qui y sont publiés prennent résolument le parti des séparatistes pro-russes. Cette proximité idéologique entre l’homme d’affaire moldave et le Kremlin semble plutôt cohérente avec une possible implication dans des attaques DDoS pro-russes.