Certains des secrets les plus profondément enfouis des États-Unis ont peut-être été volés lors du piratage du logiciel SolarWinds. Une opération qui a été imputée à l'élite des hackers du gouvernement russe. Les possibilités de ce qui aurait pu être dérobé sont ahurissantes. Les pirates informatiques auraient-ils pu obtenir des secrets nucléaires ? Des données sur le vaccin COVID-19 ? Des plans pour la prochaine génération de systèmes d'armes ? Il faudra des semaines, voire des années dans certains cas, pour que les détectives numériques passent au peigne fin les réseaux du gouvernement américain et de l'industrie privée pour obtenir les réponses. Selon les experts, ces pirates informatiques sont des professionnels accomplis qui savent brouiller les pistes. Certains vols peuvent ne jamais être détectés.Ce qui semble clair, c'est que cette campagne, qui selon les experts en cybersécurité, présente les tactiques et les techniques de l'agence de renseignement russe SVR sera l'une des plus prolifiques dans les annales du cyberespionnage.
« Il a été dit que sur une échelle de 1 à 10, c'est probablement un 11 pour le type d'attaque, l'ampleur et les dommages potentiels qu'elle a causés. Pas d'un point de vue infrastructurel, comme s'attaquer au réseau électrique ou démanteler des choses. Mais simplement à cause de la perte d'informations, du vol de secrets, en particulier d'informations très sensibles et du fait que cela durait depuis des mois », a déclaré l'analyste de la cybersécurité Mark Wright, le conseiller en chef de la sécurité de la start-up californienne Sentinel One. « Nous n'avons même pas encore mesuré l'ampleur des dégâts. Mais je vous garantis que lorsqu'elle sera terminée, elle sera bien pire que ce que nous pensons actuellement, car nous n'avons pas encore découvert toutes les personnes qui ont été attaquées par cette campagne », a ajouté Wright.
Randy Watkins, le directeur de la technologie de la société de cybersécurité Critical Start, basée au Texas, a déclaré que les objectifs des pirates peuvent être aussi bien financiers que le vol et la destruction de données. « La principale motivation des cyberattaques est l'argent, le vol et la destruction. Alors que de nombreux médias ont couvert l'impact monétaire des logiciels de rançon, les campagnes de vol et de destruction de données sont toujours très actives », a déclaré Watkins. L'expert en cybersécurité a ajouté que la nouvelle administration du président élu Joe Biden « devra reconnaître la menace croissante de cyberattaques de la part des grandes puissances mondiales et des nations terroristes ».
Les attaques, rapportées pour la première fois dimanche, ont apparemment été menées par des pirates informatiques du service de renseignement extérieur russe. Ces acteurs sont souvent classés APT 29 ou "Cozy Bear", mais les responsables de l'incident tentent toujours de reconstituer l'origine exacte des attaques au sein de l'appareil militaire russe de piratage. Les compromis remontent tous à SolarWinds, une société de gestion d'infrastructures et de réseaux informatiques dont les produits sont utilisés par le gouvernement américain, par de nombreux entrepreneurs du secteur de la défense et par la plupart des entreprises du classement Fortune 500. SolarWinds a déclaré dimanche que des pirates informatiques avaient réussi à modifier les versions d'un outil de surveillance de réseau appelé Orion que la société avait publiées entre mars et juin.
« Nous avons été informés que cette attaque a probablement été menée par un État étranger et qu'il s'agissait d'une attaque étroite, extrêmement ciblée et exécutée manuellement, par opposition à une attaque de grande envergure visant l'ensemble du système », a écrit la société. SolarWinds a des centaines de milliers de clients en tout ; elle a déclaré lundi, dans un communiqué de la Securities and Exchange Commission, que jusqu'à 18 000 d'entre eux étaient potentiellement vulnérables à l'attaque.
FireEye et Microsoft ont tous deux détaillé le déroulement de l'attaque. Tout d'abord, les pirates ont compromis le mécanisme de mise à jour Orion de SolarWinds afin que ses systèmes puissent distribuer des logiciels corrompus à des milliers d'organisations. Les attaquants ont ensuite pu utiliser le logiciel Orion manipulé comme une porte dérobée vers les réseaux des victimes. De là, ils pouvaient se déployer dans les systèmes cibles, souvent en volant des jetons d'accès administratifs. Enfin, avec les clés du royaume - ou de larges portions de chaque royaume - les pirates étaient libres de mener des reconnaissances et d'exfiltrer des données.
L'astuce, souvent appelée "attaque de la chaîne d'approvisionnement", consiste à dissimuler un code malveillant dans le corps des mises à jour de logiciels légitimes fournis aux cibles par des tiers aurait fonctionné. Ce type d’ attaque peut avoir de graves conséquences. En compromettant une entité ou un fabricant, les pirates peuvent saper la sécurité de la cible de manière efficace et à grande échelle.
Par ailleurs, un chercheur en sécurité révèle que le serveur de mise à jour de Solarwinds était "sécurisé" avec le mot de passe "solarwinds123", après que les USA aient investis des milliards en Cybersécurité c'est quand même assez ridicule d'en arriver la, le maillon faible : l'erreur humaine...
Ce n’est pas la première fois que la Russie compte sur une attaque de la chaîne d'approvisionnement pour avoir un impact à grande échelle. En 2017, les services de renseignement militaire du pays ont utilisé l'accès au logiciel de comptabilité ukrainien MeDoc pour diffuser son malware destructeur NotPetya dans le monde entier. L'attaque contre SolarWinds et ses clients semble avoir été axée sur la reconnaissance ciblée plutôt que sur la destruction. Mais avec des opérations silencieuses et nuancées, il existe toujours un risque très réel que l'étendue des dégâts ne soit pas immédiatement connue. Une fois que les attaquants se sont intégrés dans les réseaux cibles (ce que l'on appelle souvent "établir la persistance"
la simple mise à jour du logiciel compromis ne suffit pas à les débusquer. Ce n'est pas parce que Cozy Bear a été pris que le problème est résolu.En fait, FireEye a souligné dimanche que l'attaque est actuellement en cours. Le processus d'identification des infections potentielles et de recherche de leur source prendra du temps. « Les attaquants en question ont été particulièrement discrets dans l'utilisation des infrastructures de réseau. Il semble notamment qu'ils aient largement compté sur le renouvellement ou le réenregistrement de domaines existants plutôt que sur la création d'éléments complètement nouveaux, et qu'ils aient utilisé divers services d'hébergement en nuage pour l'infrastructure réseau », explique Joe Slowik, chercheur au sein de la société de renseignement sur les menaces DomainTools. Ces techniques aident les attaquants à masquer les indices sur leur identité, à couvrir leurs traces et, en général, à se fondre dans le trafic légitime.
Il est également difficile de se faire une idée de l'ampleur des dégâts, car Orion est lui-même un outil de surveillance, mettant en place une sorte de "qui surveille les surveillants". Pour cette même raison, les systèmes accordent également à Orion une confiance et des privilèges sur les réseaux d'utilisateurs qui ont de la valeur pour les attaquants. Les victimes et les cibles potentielles doivent envisager la possibilité que ces attaques compromettent également une grande partie de leurs autres infrastructures et mécanismes d'authentification en utilisant l'accès omniprésent d'Orion. L'ampleur de l'exposition des agences gouvernementales américaines est encore inconnue ; la révélation que le Département de la Sécurité intérieure des États-Unis a également été touché n'a pas eu lieu avant lundi après-midi.
« Nous devons nous attendre à ce que d'autres organisations de la chaîne d'approvisionnement soient également compromises. Les États-nations utilisent généralement ce type d'attaques pour des efforts très ciblés, mais l'impact que vous devez supposer est énorme et a un impact direct sur la sécurité nationale », déclare David Kennedy, PDG de la société de suivi des menaces Binary Defense Systems, qui a travaillé auparavant à la NSA et avec l'unité de renseignement sur les signaux du corps des Marines.
L'agence de cybersécurité et de sécurité des infrastructures du ministère de la sécurité intérieure a émis une série d'alertes dimanche et une directive d'urgence pour les agences fédérales afin de vérifier si les produits SolarWinds Orion sont compromis et déconnectés. « Nous demandons instamment à tous nos partenaires des secteurs public et privé d'évaluer leur exposition à cette compromission et de sécuriser leurs réseaux", a tweeté la Certified Information Systems Auditor (CISA). Ces dernières semaines, le directeur et le directeur adjoint de la CISA ont démissionné ou ont été licenciés par le président Donald Trump, et d'autres hauts responsables de la cybersécurité du Département de la Sécurité intérieure des États-Unis ont également été écartés.
Le Conseil national de sécurité de la Maison Blanche, qui aurait tenu une réunion d'urgence samedi, a déclaré lundi, par l'intermédiaire de son porte-parole John Ullyot, qu'il collaborait avec la CISA, le FBI et les services de renseignement pour répondre à "un redressement rapide et efficace de l'ensemble du gouvernement".
Pour sa part, l'ambassade de Russie a nié l'implication du pays dimanche, qualifiant l'attribution préliminaire de « tentatives infondées des médias américains de blâmer la Russie pour les attaques de pirates informatiques sur les organes gouvernementaux américains ». La déclaration de l'ambassade a ajouté que « la Russie ne mène pas d'opérations offensives dans le domaine cybernétique ».
Les pirates du monde entier se sont de plus en plus appuyés sur les attaques de la chaîne d'approvisionnement pour obtenir un accès maximal ou une puissance destructrice rapidement et efficacement. Et la communauté de la sécurité a mis en garde contre leur danger très réel, dans le pire des cas. L'ampleur éventuelle des retombées de SolarWinds leur donnera probablement raison.
Sources : CISA (1, 2), Twitter
Et vous ?
Qu’en pensez-vous ?Voir aussi :
Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger. Plusieurs autres agences gouvernementales et organisations privées seraient également touchées Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles Les États-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées L'Union européenne prononce ses premières sanctions liées à la cybercriminalité, contre des Russes, Chinois et Nord-Coréens, impliqués dans des attaques comme WannaCry, NotPetya ou Cloud Hopper
