La drôle de rançon exigée par les pirates de Nvidia

Nvidia a été victime d’une cyberattaque le 23 février. Le ou les pirates, nommés Lapsus$, menacent depuis le géant américain de publier les informations glanées lors de l’opération. En contrepartie de son silence l’exigence de Lapsus$ est plutôt originale, il veut que Nvidia cesse de brider certaines de ses cartes graphiques pour le minage de cryptomonnaie.

Le cybercriminel serait-il un mineur de cryptomonnaie ?

Plus précisément, le cybercriminel exige la suppression du « Lite Cash Rate » (LHR). Ce système a été mis en œuvre par Nvidia en février 2021 pour sa carte graphique GeForce RTX 3060, il a été étendu en mai 2021 aux modèles GeForce RTX 3080, 3070 et 3060 Ti. Le LHR limite le taux de hachage, ce qui détermine l’efficacité du minage, de 50%.

À l’époque, l’entreprise avait justifié cette décision par la forte demande de carte graphique, associée à la pénurie de puces : elle préférait réserver ses produits pour son public historique, les joueurs. Lapsus$ déclare, dans un anglais approximatif selon Ars Technica, vouloir « aider la communauté des mineurs et des joueurs » en forçant Nvidia à supprimer les limitations du LHR via une mise à jour.

Pour obtenir satisfaction Lapsus$ menace de publier un téraoctet de données volées à Nvidia. Il affirme qu’elles contiennent des données très sensibles comme des chipsets, des codes sources de pilotes, etc. Pour crédibiliser ses exigences, une pratique classique, il a déjà publié une tranche de ces données.

L’entreprise américaine, de son côté, a expliqué n’avoir « aucune preuve du déploiement d’un ransomware dans l’environnement de NVIDIA ». À en croire Lapsus$, qui a détaillé son forfait, c’est vrai. Il se vante d’avoir récupéré le mot de passe d’un employé via son VPN, puis de l’avoir utilisé pour accéder au système de l’entreprise. Une description cohérente avec la version de celle-ci.

Nvidia a jusqu’à aujourd’hui pour prendre sa décision

L’attaque et le vol de donnée semblent donc tout à fait convaincants. Le cybercriminel en a profité pour pousser son avantage le 1er mars avec de nouvelles exigences. Il souhaite que les pilotes de GPU de Nvidia soient disponibles en Open Source. Bon prince, il admet par ailleurs que certaines informations relèvent du secret industriel de l’entreprise et qu’il est normal qu’il en soit ainsi. Sauf s’il n’obtient pas satisfaction.

Lapsus$ a donné à Nvidia jusqu’à ce vendredi 4 mars pour s’exécuter. Le géant des puces n’a pas indiqué s’ils comptaient plier jusqu’à présent. Il est probable que l’entreprise ne cède pas en chantage. Le cas contraire induirait de se reposer sur la parole du voleur pour garder ces données précieuses secrètes. Une prise de risque et une incertitude souvent jugées inutiles par les professionnels de la cybersécurité.