# Hive (groupe pirate)

Hive est un groupe de pirates spécialisé dans l'attaque au rançongiciel de grandes sociétés mondiales des secteurs de la finance ou des hôpitaux. Par extension, le ransomware utilisé porte leur nom. Le rançongiciel utilisé est développé sur le principe du ransomware as a service (voir Software as a service).

## Présentation

On soupçonne une filiation entre les hackers de Conti et ceux de Hive. Cette filiation est étayée par les séquences utilisées dans le déploiement du rançongiciel qui ont certaines similarités. Par ailleurs, les hackers de Hive sont également soupçonnés d'être russophones$^,$.
Le rançongiciel Hive est d'abord développé en langage Go puis a ensuite été réécrit en Rust. Le rançongiciel est apparu durant l'été 2021 aux États-Unis. Il s'est fait connaître en s'attaquant au prestataire californien de l'assurance maladie Partnership HealthPlan of California et au distributeur européen Media Markt. Le groupe Hive s'est ensuite concentré sur les hôpitaux américains à tel point qu'il a suscité une note du FBI.
Le groupe sort une version en octobre 2021 pour cibler les environnements Linux et FreeBSD avant de développer en avril 2022 une offre pour Microsoft Exchange Server. En mai 2021 le groupe s'attaque aux administrations du Costa Rica (en).
En novembre 2022, on dénombre plus de 1 300 victimes pour le groupe Hive depuis sa création. Il s'agit pour la plupart d'entreprises. Le butin collecté par le groupe s'élève à 100 millions de dollars selon le FBI. Le groupe a pris l'habitude de réinfecter volontairement les cibles qui ont restauré leur environnement informatique sans payer de rançon.
Le jeudi 26 janvier 2023, le FBI annonce avoir mené une procédure internationale contre les membres du groupe. Le groupe s'est fait infiltrer au niveau de son réseau informatique par le FBI qui a pu récupérer des clefs de chiffrement. Cette opération s'est terminée par la mise hors service de serveurs informatiques et des sites du groupe sur le darknet. La redistribution des clefs de déchiffrement aux victimes a permis à celles-ci de retrouver leurs données sans payer de rançon.
Le banquier du réseau, un russe domicilié à Chypre a été arrêté à Paris le 5 décembre 2023 par l'Ofac (l'Office anti-cybercriminalité). Son domicile chypriote a permis la saisie de 570 000 € en cryptomonnaie. C'est son utilisation des réseaux et son goût du sport qui l'auraient trahi selon les policiers de l'OFAC.
Selon des chercheurs en sécurité de BitDefender, un nouveau groupe de hackers, dénommé Hunters International, utilise le code source et l'infrastructure de Hive pour lancer sa franchise mafieuse.

## Principales attaques

Les principales attaques françaises ont touché, outre Altice et Damart, l'ENAC, le Conseil départemental de la Seine-Maritime, la mairie d'Annecy ou la collectivité de Guadeloupe.
En France, le groupe s'est attaqué en septembre 2022 à Damart et Altice France.
En août 2022, le groupe Hive s'attaque au groupe Altice France (SFR) sans que soit connue l'importance des données volées. C'est l'attaque de Hive qui a donné lieu à une controverse juridique en France après que le site Reflets.info ait décidé de publier le résultat de la publication des documents volés et publiés par le groupe Hive.
En octobre 2022, le groupe Hive revendique avoir volé des données à Tata Power et encodé les données de Tata Power dès le 3 octobre.
Le 5 décembre 2022, le groupe Hive revendique l'attaque des magasins Intersport, attaque qui a eu lieu le 23 novembre, en plein Black Friday.
En décembre 2022, on apprend une attaque du Lake Charles Memorial, un hôpital de Louisiane, où les données de 300.000 patients ont été volées.
En janvier 2023, le FBI évalue le nombre de victimes du groupe, depuis leurs débuts en 2021, à 1500 structures dont 58 en France.