IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger,
Plusieurs autres agences gouvernementales et organisations privées seraient également touchées

Le , par Stan Adkens

74PARTAGES

6  0 
Des pirates informatiques, dont on pense qu'ils travaillent pour la Russie, ont pénétré dans les réseaux des Départements du Trésor et du Commerce des États-Unis dans le cadre d'une campagne mondiale de cyberespionnage révélée dimanche, a rapporté Reuters. Des personnes connaissant bien le sujet ont ajouté qu'ils craignaient que ce ne soit à ce stade que la partie émergée de l'iceberg d’une vaste campagne de piratage, qui intervient quelques jours seulement après que l'importante société de cybersécurité FireEye ait déclaré avoir été victime d'une cyberattaque.

Le piratage est si sérieux qu'il a conduit à une réunion du Conseil national de sécurité (NSC) à la Maison-Blanche samedi, a déclaré a Reuters l'une des personnes connaissant le sujet. Les responsables américains n'ont pas dit grand-chose publiquement au-delà du Département du Commerce, confirmant qu'il y avait eu une brèche dans l'une de ses agences, et qu'ils avaient demandé à l'Agence de cybersécurité et de sécurité des infrastructures et au FBI d'enquêter.


Le porte-parole du Conseil national de sécurité, John Ullyot, a ajouté qu'ils « prennent toutes les mesures nécessaires pour identifier et remédier à tout problème éventuel lié à cette situation », rapporté Reuters.

En réponse à ce qui pourrait être une pénétration à grande échelle des agences gouvernementales américaines, la branche cybersécurité du Département de la Sécurité intérieure a publié une directive d'urgence appelant toutes les agences civiles fédérales à fouiller leurs réseaux à la recherche de compromis. La menace provenait apparemment de la même campagne de cyberespionnage qui a frappé FireEye, des gouvernements étrangers et de grandes entreprises.

« Cela peut se transformer en l'une des campagnes d'espionnage les plus efficaces jamais enregistrées », a déclaré l'expert en cybersécurité Dmitri Alperovitch.

Le gouvernement américain n'a pas publiquement identifié qui pourrait être derrière le piratage, mais selon de nombreux médias, citant des personnes connaissant bien le sujet, le groupe de pirates informatiques, connu sous le nom d'APT29 ou Cozy Bear qui ferait partie du Service fédéral de sécurité russe ou FSB, serait à l’origine du vaste cyberespionnage. Le même groupe avait également été connu responsable du piratage du Département d’État américain et de la Maison-Blanche pendant l'administration Obama, selon le Washington Post, et est le groupe qui, selon les officiels, a ciblé la recherche sur le vaccin de covid-19 au cours de l'été.

Les cyberespions seraient entrés dans les réseaux en altérant subrepticement les mises à jour publiées par la société informatique SolarWinds, qui sert les clients du gouvernement à travers le pouvoir exécutif, l'armée et les services de renseignement, selon deux personnes connaissant bien le sujet. L'astuce - souvent appelée "attaque de la chaîne d'approvisionnement" - consistant à dissimuler un code malveillant dans le corps des mises à jour de logiciels légitimes fournis aux cibles par des tiers aurait fonctionné.

SolarWinds affirme dans un avis de sécurité que les produits de surveillance qu'elle a mis sur le marché en mars et en juin de cette année pourraient avoir été subrepticement armés lors d'une attaque « hautement sophistiquée » d'un État-nation. L'entreprise basée à Austin au Texas a refusé de donner plus de détails, mais la diversité de la clientèle de SolarWind a suscité des inquiétudes au sein de la communauté des services de renseignements américains, qui craignent que la portée de l’attaque soit trop importante.

Sur son site Web, SolarWinds indique que ses clients comprennent la plupart des entreprises américaines du Fortune 500, les dix premiers fournisseurs de télécommunications américains, les cinq branches de l'armée américaine, le Département d'État, l'Agence de sécurité nationale et le Bureau du Président des États-Unis.

Les contrôles d'authentification de la plateforme Microsoft 365 déjoués par les pirates informatiques

Le cyberespionnage contre le gouvernement pourrait s’étendre à une échelle plus importante. FireEye a déclaré dans un avis intitulé "Recherche sur les menaces" que les attaquants avaient infecté des cibles en utilisant Orion, un logiciel de gestion largement utilisé par SolarWinds. Après avoir pris le contrôle du mécanisme de mise à jour d'Orion, les attaquants l'utilisaient pour installer une porte dérobée que les chercheurs de FireEye appellent Sunburst.

« FireEye a détecté cette activité dans de multiples entités dans le monde entier », ont écrit les chercheurs de FireEye. « Les victimes ont inclus des gouvernements, des sociétés de conseil, des entreprises technologiques, de télécommunications et des entités d’extraction en Amérique du Nord, en Europe, en Asie et au Moyen-Orient. Nous prévoyons qu'il y aura d'autres victimes dans d'autres pays et d'autres secteurs. FireEye a informé toutes les entités dont nous savons qu'elles sont touchées ».

Dans un autre article, FireEye a indiqué qu'il avait identifié plusieurs organisations qui semblent avoir été infectées dès le printemps dernier. FireEye a déclaré que les logiciels malveillants qui ont fait la mise à jour de SolarWinds n'ont pas semé des logiciels malveillants qui se propagent automatiquement - comme le logiciel malveillant NotPetya 2016 attribué à la Russie qui a causé plus de 10 milliards de dollars de dommages dans le monde - et que toute infiltration réelle d'une organisation infectée nécessite « une planification méticuleuse et une interaction manuelle ».

Les experts en cybersécurité ont déclaré la semaine dernière qu'ils considéraient les pirates informatiques de l'État russe comme le principal suspect dans le piratage de FireEye. Dimanche, l'ambassade américaine de Russie a décrit comme « infondée » dans un post sur sa page Facebook les « tentatives des médias américains de blâmer la Russie pour les attaques de pirates informatiques contre les organes gouvernementaux américains ».

Reuters a rapporté qu'en plus de pirater le Trésor et l'Administration nationale des télécommunications et de l'information (NTIA) du Département du Commerce, les pirates ont pu intégrer les réseaux d'autres entités du gouvernement américain. « C'est une histoire bien plus importante qu'une seule agence », a déclaré l'une des personnes connaissant bien le sujet. « C'est une énorme campagne de cyberespionnage qui vise le gouvernement américain et ses intérêts ».

Un porte-parole du NSC a déclaré à Reuters que le gouvernement était « conscient » des rapports, et s’empresse de remédier à la situation. On ne sait pas encore exactement quelles informations ont pu être volées ni quel gouvernement étranger était impliqué. Mais les pirates informatiques ont réussi à pénétrer dans le logiciel de bureautique de la NTIA, Office 365 de Microsoft, en trompant les contrôles d'authentification afin de surveiller les courriels du personnel pendant des mois, selon Reuters.

Après avoir utilisé le mécanisme de mise à jour d'Orion pour prendre pied sur des réseaux ciblés, a déclaré Microsoft dans son propre post, les attaquants volent des certificats de signature qui leur permettent de se faire passer pour n'importe quel utilisateur et compte existant d'une cible, y compris des comptes hautement privilégiés.

Le logiciel malveillant a donné aux pirates un accès à distance aux réseaux des victimes, et Alperovitch a déclaré que SolarWinds accorde un accès "God-mode" à un réseau, rendant tout visible. « Nous prévoyons que ce sera un très grand événement lorsque toutes les informations seront connues », a déclaré John Hultquist, directeur de l'analyse des menaces chez FireEye. « L'acteur opère furtivement, mais nous trouvons certainement encore des cibles dans lesquelles il parvient à opérer ».

Dans un tweet dimanche, Chris Krebs, chercheurs en cybersécurité a déclaré que « les pirates de ce type nécessitent un savoir-faire et un temps exceptionnels », ajoutant qu'il pensait que son impact commençait seulement à être compris.


Les agences gouvernementales fédérales ont longtemps été des cibles attrayantes pour les pirates informatiques étrangers. Les pirates informatiques liés à la Russie ont réussi à pénétrer dans le système de messagerie électronique du Département d'État en 2014, l'infectant de manière si complète qu'il a fallu le couper d'Internet pendant que des experts travaillaient à éliminer l'infestation, a rapporté Apnews.

L'étendue de la dernière violation n'est pas encore déterminée. L'enquête en est encore à ses débuts et implique une série d'agences fédérales. Un porte-parole de la Cybersecurity and Infrastructure Security Agency a déclaré à Reuters que l’agence « travaille en étroite collaboration avec nos partenaires de l'agence concernant les activités récemment découvertes sur les réseaux gouvernementaux. La CISA fournit une assistance technique aux entités concernées alors qu'elles s'efforcent d'identifier et d'atténuer tout compromis potentiel ».

L’une des rares directives du DHS publiée dimanche a déclaré que les agences américaines devraient immédiatement déconnecter ou mettre hors tension toute machine utilisant le logiciel SolarWinds concerné.

Sources : Reuters, SolarWinds, FireEye, DHS, Microsoft

Et vous ?

Qu’en pensez-vous ?
Les plus grandes campagnes de cyberattaque sont très souvent imputées ou soutenues par un gouvernement étranger. Est-il possible de se prémunir contre de telles attaques ?

Voir aussi :

Les USA inculpent six agents du renseignement militaire russe pour une série de cyberattaques majeures, dont le wiper NotPetya et l'attaque contre le parti français En marche ! en 2017
Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles
Les Etats-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées
L'Union européenne prononce ses premières sanctions liées à la cybercriminalité, contre des Russes, Chinois et Nord-Coréens, impliqués dans des attaques comme WannaCry, NotPetya ou Cloud Hopper

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de walfrat
Membre émérite https://www.developpez.com
Le 18/12/2020 à 10:00
D'un côté si les USA on fait la même chose à la Russie, les chances qu'on en entende parler sont beaucoup plus faibles
8  1 
Avatar de MRSizok
Membre averti https://www.developpez.com
Le 18/12/2020 à 8:42
La guerre mondial cybernétique coup d'envoie de la Saison 2021...
6  0 
Avatar de marsupial
Expert éminent https://www.developpez.com
Le 22/12/2020 à 13:08
SolarWinds dispose de deux portes dérobées dans Orion indépendantes l'une de l'autre. source Ziff Davis

La sonde Einstein de l'administration US n'est pas "heuristique" = grosse faiblesse comme dit dans la news.

L'Etat américain rémunère au plus bas du marché ses consultants en sécurité. Cela implique que ce ne sont malheureusement pas les meilleurs qui, eux, se retrouvent dans le privé, plus lucratif. source Ars Technica

Les recommandations du GAO sont sur la table depuis fin 2018 et ont été rapportées par le sénateur démocrate du comité du Congrés à la cybersécurité. Peu d'entres elles sont appliquées. Voire pas du tout. source Ziff Davis

De tous ces éléments, je tire comme conclusion que l'Etat américain peut se défendre des petits rigolos dans mon genre mais certainement pas contre un groupe de pirates déterminés.

La France n'est pas concernée par cette attaque, ni l'OTAN. Et même si c'était le cas, les attaquants n'auraient pas pu se déplacer dans le réseau comme ils l'ont fait aux Etats-Unis.
6  0 
Avatar de der§en
Membre éprouvé https://www.developpez.com
Le 01/03/2021 à 14:26
Rhooo, la faute d'un stagiaire, franchement quel manque d'imagination...
6  0 
Avatar de TotoParis
Membre expérimenté https://www.developpez.com
Le 14/03/2021 à 11:05
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».

Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.

Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?
6  1 
Avatar de Fagus
Membre expert https://www.developpez.com
Le 16/04/2021 à 13:50
Les USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).

Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.

Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.

Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russes
5  0 
Avatar de marsupial
Expert éminent https://www.developpez.com
Le 19/12/2020 à 15:24
Qu’en pensez-vous ?
Bah j'me marre : 9 mois pour découvrir qu'on a été piraté de la part de Microsoft et Fire Eye est une preuve que la cybersécurité n'est pas pour les amateurs.

Le président de Microsoft qualifie le piratage de SolarWinds d’« acte d'imprudence qui a créé une grave vulnérabilité technologique pour les États-Unis et le monde ». Quel commentaire en faites-vous ?
J'apprends que le monde se limite aux Etats-Unis...

Seulement 40 sur 18 000 organisations "backdoorées" ont été suivies par les piratages, d’après Brad Smith. Qu’en pensez-vous ?
Non seulement les pirates sont bien préparés, mais en plus, ils avaient des objectifs précis.

Dans une déclaration, le président élu Joe Biden a déclaré qu'il allait « élever la cybersécurité au rang d'impératif dans tout le gouvernement » et « perturber et dissuader nos adversaires » d'entreprendre des piratages aussi importants.
Ca, ça me fait moins marrer déjà car on doit s'attendre à une escalade.
6  2 
Avatar de
https://www.developpez.com
Le 17/02/2021 à 7:33
Haa ! Les américains ! Tellement fiers de leur Quick and Dirty ! Et voilà...
4  0 
Avatar de marsupial
Expert éminent https://www.developpez.com
Le 14/12/2020 à 14:00
La compromission par point d'eau est imparable. On l'a vu avec NotPetya. Par contre lors du déplacement dans le réseau, cela peut être détecté. Ici, dans le cas qui nous préoccupe, aucune volonté de destruction ou de détournement des infrastructures mais la pèche aux informations. Si les premiers cas remontent au printemps, nul doute que toutes les infos de ces services américains sont compromises. Maintenant, la question de l'origine du piratage reste entière. Les chinois peuvent très bien en être à l'origine tout comme les russes. D'ailleurs, je ne me prononcerai pas sur son nid mais bien quel est le principe d'authentification de Microsoft Office 365 pour qu'il se fasse bypasser ainsi. Ou plus précisément, quelle est la sûreté des certificats.
3  0 
Avatar de Daïmanu
Membre émérite https://www.developpez.com
Le 24/12/2020 à 11:07
À chaque fois que je vois ce genre de news je suis aussi dégoûté que ce personnage de CommitStrip.

3  0