IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

L'attaque de la chaîne d'approvisionnement contre la société SolarWinds expose près de 18 000 organisations
Ce piratage peut dévoiler de profonds secrets américains ; les dégâts sont encore inconnus

Le , par Nancy Rey

95PARTAGES

7  0 
Certains des secrets les plus profondément enfouis des États-Unis ont peut-être été volés lors du piratage du logiciel SolarWinds. Une opération qui a été imputée à l'élite des hackers du gouvernement russe. Les possibilités de ce qui aurait pu être dérobé sont ahurissantes. Les pirates informatiques auraient-ils pu obtenir des secrets nucléaires ? Des données sur le vaccin COVID-19 ? Des plans pour la prochaine génération de systèmes d'armes ? Il faudra des semaines, voire des années dans certains cas, pour que les détectives numériques passent au peigne fin les réseaux du gouvernement américain et de l'industrie privée pour obtenir les réponses. Selon les experts, ces pirates informatiques sont des professionnels accomplis qui savent brouiller les pistes. Certains vols peuvent ne jamais être détectés.

Ce qui semble clair, c'est que cette campagne, qui selon les experts en cybersécurité, présente les tactiques et les techniques de l'agence de renseignement russe SVR sera l'une des plus prolifiques dans les annales du cyberespionnage.

« Il a été dit que sur une échelle de 1 à 10, c'est probablement un 11 pour le type d'attaque, l'ampleur et les dommages potentiels qu'elle a causés. Pas d'un point de vue infrastructurel, comme s'attaquer au réseau électrique ou démanteler des choses. Mais simplement à cause de la perte d'informations, du vol de secrets, en particulier d'informations très sensibles et du fait que cela durait depuis des mois », a déclaré l'analyste de la cybersécurité Mark Wright, le conseiller en chef de la sécurité de la start-up californienne Sentinel One. « Nous n'avons même pas encore mesuré l'ampleur des dégâts. Mais je vous garantis que lorsqu'elle sera terminée, elle sera bien pire que ce que nous pensons actuellement, car nous n'avons pas encore découvert toutes les personnes qui ont été attaquées par cette campagne », a ajouté Wright.

Randy Watkins, le directeur de la technologie de la société de cybersécurité Critical Start, basée au Texas, a déclaré que les objectifs des pirates peuvent être aussi bien financiers que le vol et la destruction de données. « La principale motivation des cyberattaques est l'argent, le vol et la destruction. Alors que de nombreux médias ont couvert l'impact monétaire des logiciels de rançon, les campagnes de vol et de destruction de données sont toujours très actives », a déclaré Watkins. L'expert en cybersécurité a ajouté que la nouvelle administration du président élu Joe Biden « devra reconnaître la menace croissante de cyberattaques de la part des grandes puissances mondiales et des nations terroristes ».


Les attaques, rapportées pour la première fois dimanche, ont apparemment été menées par des pirates informatiques du service de renseignement extérieur russe. Ces acteurs sont souvent classés APT 29 ou "Cozy Bear", mais les responsables de l'incident tentent toujours de reconstituer l'origine exacte des attaques au sein de l'appareil militaire russe de piratage. Les compromis remontent tous à SolarWinds, une société de gestion d'infrastructures et de réseaux informatiques dont les produits sont utilisés par le gouvernement américain, par de nombreux entrepreneurs du secteur de la défense et par la plupart des entreprises du classement Fortune 500. SolarWinds a déclaré dimanche que des pirates informatiques avaient réussi à modifier les versions d'un outil de surveillance de réseau appelé Orion que la société avait publiées entre mars et juin.

« Nous avons été informés que cette attaque a probablement été menée par un État étranger et qu'il s'agissait d'une attaque étroite, extrêmement ciblée et exécutée manuellement, par opposition à une attaque de grande envergure visant l'ensemble du système », a écrit la société. SolarWinds a des centaines de milliers de clients en tout ; elle a déclaré lundi, dans un communiqué de la Securities and Exchange Commission, que jusqu'à 18 000 d'entre eux étaient potentiellement vulnérables à l'attaque.

FireEye et Microsoft ont tous deux détaillé le déroulement de l'attaque. Tout d'abord, les pirates ont compromis le mécanisme de mise à jour Orion de SolarWinds afin que ses systèmes puissent distribuer des logiciels corrompus à des milliers d'organisations. Les attaquants ont ensuite pu utiliser le logiciel Orion manipulé comme une porte dérobée vers les réseaux des victimes. De là, ils pouvaient se déployer dans les systèmes cibles, souvent en volant des jetons d'accès administratifs. Enfin, avec les clés du royaume - ou de larges portions de chaque royaume - les pirates étaient libres de mener des reconnaissances et d'exfiltrer des données.

L'astuce, souvent appelée "attaque de la chaîne d'approvisionnement", consiste à dissimuler un code malveillant dans le corps des mises à jour de logiciels légitimes fournis aux cibles par des tiers aurait fonctionné. Ce type d’ attaque peut avoir de graves conséquences. En compromettant une entité ou un fabricant, les pirates peuvent saper la sécurité de la cible de manière efficace et à grande échelle.

Par ailleurs, un chercheur en sécurité révèle que le serveur de mise à jour de Solarwinds était "sécurisé" avec le mot de passe "solarwinds123", après que les USA aient investis des milliards en Cybersécurité c'est quand même assez ridicule d'en arriver la, le maillon faible : l'erreur humaine...

Ce n’est pas la première fois que la Russie compte sur une attaque de la chaîne d'approvisionnement pour avoir un impact à grande échelle. En 2017, les services de renseignement militaire du pays ont utilisé l'accès au logiciel de comptabilité ukrainien MeDoc pour diffuser son malware destructeur NotPetya dans le monde entier. L'attaque contre SolarWinds et ses clients semble avoir été axée sur la reconnaissance ciblée plutôt que sur la destruction. Mais avec des opérations silencieuses et nuancées, il existe toujours un risque très réel que l'étendue des dégâts ne soit pas immédiatement connue. Une fois que les attaquants se sont intégrés dans les réseaux cibles (ce que l'on appelle souvent "établir la persistance" la simple mise à jour du logiciel compromis ne suffit pas à les débusquer. Ce n'est pas parce que Cozy Bear a été pris que le problème est résolu.

En fait, FireEye a souligné dimanche que l'attaque est actuellement en cours. Le processus d'identification des infections potentielles et de recherche de leur source prendra du temps. « Les attaquants en question ont été particulièrement discrets dans l'utilisation des infrastructures de réseau. Il semble notamment qu'ils aient largement compté sur le renouvellement ou le réenregistrement de domaines existants plutôt que sur la création d'éléments complètement nouveaux, et qu'ils aient utilisé divers services d'hébergement en nuage pour l'infrastructure réseau », explique Joe Slowik, chercheur au sein de la société de renseignement sur les menaces DomainTools. Ces techniques aident les attaquants à masquer les indices sur leur identité, à couvrir leurs traces et, en général, à se fondre dans le trafic légitime.

Il est également difficile de se faire une idée de l'ampleur des dégâts, car Orion est lui-même un outil de surveillance, mettant en place une sorte de "qui surveille les surveillants". Pour cette même raison, les systèmes accordent également à Orion une confiance et des privilèges sur les réseaux d'utilisateurs qui ont de la valeur pour les attaquants. Les victimes et les cibles potentielles doivent envisager la possibilité que ces attaques compromettent également une grande partie de leurs autres infrastructures et mécanismes d'authentification en utilisant l'accès omniprésent d'Orion. L'ampleur de l'exposition des agences gouvernementales américaines est encore inconnue ; la révélation que le Département de la Sécurité intérieure des États-Unis a également été touché n'a pas eu lieu avant lundi après-midi.

« Nous devons nous attendre à ce que d'autres organisations de la chaîne d'approvisionnement soient également compromises. Les États-nations utilisent généralement ce type d'attaques pour des efforts très ciblés, mais l'impact que vous devez supposer est énorme et a un impact direct sur la sécurité nationale », déclare David Kennedy, PDG de la société de suivi des menaces Binary Defense Systems, qui a travaillé auparavant à la NSA et avec l'unité de renseignement sur les signaux du corps des Marines.

L'agence de cybersécurité et de sécurité des infrastructures du ministère de la sécurité intérieure a émis une série d'alertes dimanche et une directive d'urgence pour les agences fédérales afin de vérifier si les produits SolarWinds Orion sont compromis et déconnectés. « Nous demandons instamment à tous nos partenaires des secteurs public et privé d'évaluer leur exposition à cette compromission et de sécuriser leurs réseaux", a tweeté la Certified Information Systems Auditor (CISA). Ces dernières semaines, le directeur et le directeur adjoint de la CISA ont démissionné ou ont été licenciés par le président Donald Trump, et d'autres hauts responsables de la cybersécurité du Département de la Sécurité intérieure des États-Unis ont également été écartés.

Le Conseil national de sécurité de la Maison Blanche, qui aurait tenu une réunion d'urgence samedi, a déclaré lundi, par l'intermédiaire de son porte-parole John Ullyot, qu'il collaborait avec la CISA, le FBI et les services de renseignement pour répondre à "un redressement rapide et efficace de l'ensemble du gouvernement".

Pour sa part, l'ambassade de Russie a nié l'implication du pays dimanche, qualifiant l'attribution préliminaire de « tentatives infondées des médias américains de blâmer la Russie pour les attaques de pirates informatiques sur les organes gouvernementaux américains ». La déclaration de l'ambassade a ajouté que « la Russie ne mène pas d'opérations offensives dans le domaine cybernétique ».

Les pirates du monde entier se sont de plus en plus appuyés sur les attaques de la chaîne d'approvisionnement pour obtenir un accès maximal ou une puissance destructrice rapidement et efficacement. Et la communauté de la sécurité a mis en garde contre leur danger très réel, dans le pire des cas. L'ampleur éventuelle des retombées de SolarWinds leur donnera probablement raison.

Sources : CISA (1, 2), Twitter

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger. Plusieurs autres agences gouvernementales et organisations privées seraient également touchées

Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles

Les États-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées

L'Union européenne prononce ses premières sanctions liées à la cybercriminalité, contre des Russes, Chinois et Nord-Coréens, impliqués dans des attaques comme WannaCry, NotPetya ou Cloud Hopper

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de walfrat
Membre émérite https://www.developpez.com
Le 18/12/2020 à 10:00
D'un côté si les USA on fait la même chose à la Russie, les chances qu'on en entende parler sont beaucoup plus faibles
8  1 
Avatar de MRSizok
Membre averti https://www.developpez.com
Le 18/12/2020 à 8:42
La guerre mondial cybernétique coup d'envoie de la Saison 2021...
6  0 
Avatar de marsupial
Expert éminent https://www.developpez.com
Le 22/12/2020 à 13:08
SolarWinds dispose de deux portes dérobées dans Orion indépendantes l'une de l'autre. source Ziff Davis

La sonde Einstein de l'administration US n'est pas "heuristique" = grosse faiblesse comme dit dans la news.

L'Etat américain rémunère au plus bas du marché ses consultants en sécurité. Cela implique que ce ne sont malheureusement pas les meilleurs qui, eux, se retrouvent dans le privé, plus lucratif. source Ars Technica

Les recommandations du GAO sont sur la table depuis fin 2018 et ont été rapportées par le sénateur démocrate du comité du Congrés à la cybersécurité. Peu d'entres elles sont appliquées. Voire pas du tout. source Ziff Davis

De tous ces éléments, je tire comme conclusion que l'Etat américain peut se défendre des petits rigolos dans mon genre mais certainement pas contre un groupe de pirates déterminés.

La France n'est pas concernée par cette attaque, ni l'OTAN. Et même si c'était le cas, les attaquants n'auraient pas pu se déplacer dans le réseau comme ils l'ont fait aux Etats-Unis.
6  0 
Avatar de der§en
Membre éprouvé https://www.developpez.com
Le 01/03/2021 à 14:26
Rhooo, la faute d'un stagiaire, franchement quel manque d'imagination...
6  0 
Avatar de TotoParis
Membre expérimenté https://www.developpez.com
Le 14/03/2021 à 11:05
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».

Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.

Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?
6  1 
Avatar de Fagus
Membre expert https://www.developpez.com
Le 16/04/2021 à 13:50
Les USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).

Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.

Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.

Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russes
5  0 
Avatar de marsupial
Expert éminent https://www.developpez.com
Le 19/12/2020 à 15:24
Qu’en pensez-vous ?
Bah j'me marre : 9 mois pour découvrir qu'on a été piraté de la part de Microsoft et Fire Eye est une preuve que la cybersécurité n'est pas pour les amateurs.

Le président de Microsoft qualifie le piratage de SolarWinds d’« acte d'imprudence qui a créé une grave vulnérabilité technologique pour les États-Unis et le monde ». Quel commentaire en faites-vous ?
J'apprends que le monde se limite aux Etats-Unis...

Seulement 40 sur 18 000 organisations "backdoorées" ont été suivies par les piratages, d’après Brad Smith. Qu’en pensez-vous ?
Non seulement les pirates sont bien préparés, mais en plus, ils avaient des objectifs précis.

Dans une déclaration, le président élu Joe Biden a déclaré qu'il allait « élever la cybersécurité au rang d'impératif dans tout le gouvernement » et « perturber et dissuader nos adversaires » d'entreprendre des piratages aussi importants.
Ca, ça me fait moins marrer déjà car on doit s'attendre à une escalade.
6  2 
Avatar de
https://www.developpez.com
Le 17/02/2021 à 7:33
Haa ! Les américains ! Tellement fiers de leur Quick and Dirty ! Et voilà...
4  0 
Avatar de Daïmanu
Membre émérite https://www.developpez.com
Le 24/12/2020 à 11:07
À chaque fois que je vois ce genre de news je suis aussi dégoûté que ce personnage de CommitStrip.

3  0 
Avatar de Arya Nawel
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:56
Comment peut-on critiquer les actions de ses ennemis lorsque l'on démontre que l'on tout aussi mauvais que lui ? Ça ressemble juste à une banale rivalité enfantine... Et dans ces cas là, tout le monde fini toujours trempé
3  0