Microsoft a été piraté par un groupe de pirates informatiques lié à la Russie qui a compromis les réseaux du fabricant de logiciels SolarWinds et de plusieurs agences fédérales américaines, ainsi que plusieurs sociétés privées. Microsoft a confirmé l’accès à son code source, mais la société a affirmé qu'il n'y a aucune preuve que cette activité ait mis en danger la sécurité des services de Microsoft ou des données des clients. Maintenant les attaquants, qui prétendent être responsables de l'attaque de la chaîne d'approvisionnement de SolarWinds, affirment qu'ils ont des données de leurs exploits qu'ils souhaitent vendre.Parmi les données proposées figurent le code source partiel de Microsoft Windows, le code source de plusieurs produits Cisco, le code source des produits SolarWinds et les outils FireEye Red Team. L'attaque contre SolarWinds a été révélée en décembre, peu après que FireEye ait révélé le 9 décembre qu'il avait été compromis et s'était fait voler ses outils Red Team. Cinq jours plus tard, FireEye a publié des détails sur des attaques utilisant un malware qu'il a appelé Sunburst ; il a déclaré que ce malware avait été utilisé pour frapper des entités privées et publiques, en corrompant le logiciel de gestion de réseau Orion, un produit de SolarWinds.
Le groupe qui offre en vente le code source a créé des sites, tant sur Internet que sur le dark web, et a publié des détails sur ce qu'il est censé posséder, faisant le tout pour un million de dollars. L'accès au code source de Windows 10 revient à Microsoft pour 600 000 dollars. Solarleaks.net, c’est la page Web qui contient les informations sur les données volées. Les cybercriminels promettent même du bonus aux éventuels acheteurs : « All leaked data for 1,000,000 USD (+ bonus) ».
La nouvelle a été rapportée premièrement par le chercheur en sécurité Jake Williams, fondateur de Rendition Infosec et ancien hacker de la NSA. Williams a d’abord averti que tout cela semblait être une ruse, que les pirates informatiques, qui semblent être le groupe russe bien connu sous le nom de Shadow Brokers, pourraient simplement essayer de brouiller les pistes, et non de prendre l'offre au pied de la lettre.
« Il n'y a pas de viande sur cet os tant qu'il n'y en a pas d'autres », a-t-il tweeté dans son fil de discussion. « Les seules choses à prendre en compte sont : Nous avons déjà vu des acteurs de la menace russe utiliser ce type de fausse piste pour brouiller les pistes d'attribution ; il ne faut pas se laisser avoir. C'est tout. C'est toute l'histoire ».
La cyberattaque que les experts en cybersécurité et les officiels du gouvernement américains ont tous décrite comme une attaque sophistiquée a fait plusieurs victimes et non des moindres parmi les agences fédérales américaines. Les Départements du Tresor, du Commerce, de l’Energie, l'administration nationale de la sécurité nucléaire et autre. Les agences de sécurité nationale continuent à travailler pour en savoir plus sur le piratage, mais une déclaration du Cyber Unified Coordination Group (UCG), composé du FBI, CISA, ODNI et NSA, a révélé que la violation a touché les réseaux de moins 10 agences fédérales américaines et de plusieurs grandes entreprises technologiques.
Alors que le groupe a indiqué dans sa déclaration que les cybercriminels étaient « vraisemblablement d’origine russe » et que l'attaque était considérée comme un acte d'espionnage plutôt que de cyberguerre, les enquêteurs de la société de cybersécurité Kaspersky, basée à Moscou, sont allés plus loin en affirmant lundi qu’il s'agirait du groupe russe de pirates informatiques Turla.
Ces enquêteurs ont conclu que la porte dérobée appelée "Sunburst" utilisée pour communiquer avec un serveur contrôlé par les pirates ressemblait à un autre outil de piratage appelé "Kazuar", qui avait été précédemment attribué à l'APT Turla. Selon un rapport du Financial Time, les autorités estoniennes ont révélé il y a de cela deux ans que ce groupe opère au nom du service russe de sécurité FSB. Cependant, les enquêteurs de Kaspersky ont averti que les similitudes de code ne confirment pas que le groupe est derrière l'attaque de l'infrastructure de SolarWinds.
Microsoft est l’une des victimes du piratage. Le 31 décembre, Microsoft, qui s’était auparavant limité à la présence sur son réseau d’une mise à jour malveillante du produit de gestion de réseau de SolarWinds Orion, a divulgué avoir « détecté une activité inhabituelle sur un petit nombre de comptes internes et après examen, nous avons découvert qu'un compte avait été utilisé pour consulter le code source dans plusieurs dépôts de code source ».
La société a ensuite dit que le compte utilisé par les cybercriminels n'avait pas l'autorisation de modifier le code ou les systèmes techniques, par conséquent aucune modification n'avait été effectuée dans les dépôts de code. Microsoft a également affirmé que la consultation du code source n'augmente pas le risque, car l'entreprise ne dépend pas du secret du code source pour la sécurité des produits.
Le groupe qui propose de vendre le code volé pourrait être le vrai groupe à l'origine de l'incident SolarWinds
Selon les experts, les pirates informatiques à l’origine du piratage de SolarWinds sont des professionnels accomplis qui savent brouiller les pistes. Certains vols peuvent ne jamais être détectés. Randy Watkins, le directeur de la technologie de la société de cybersécurité Critical Start, basée au Texas, a déclaré que les objectifs des pirates peuvent être aussi bien financiers que le vol et la destruction de données. Ce qui semble clair, c'est que cette campagne sera l'une des plus prolifiques dans les annales du cyberespionnage.
Après avoir écrit que cette offre de vente de code pourrait être une tactique pour brouiller les pistes d'attribution, Jake Williams a ensuite quelque peu changé de position, en écrivant : « Une dernière réflexion sur #solarLeaks : la prétendue vente n'est faite que pour des choses commercialement intéressantes, pas pour des données ayant une valeur de renseignement. Le fait qu'aucune donnée de renseignement (Trésor, Commerce, etc.) n'ait été proposée suggère qu'il pourrait s'agir du vrai groupe », a-t-il tweeté.
« Un arnaqueur pure play proposerait probablement des données présumées provenant de ces organisations aussi. Il pourrait même faire mordre à l'hameçon d'autres organisations du renseignement. À ces prix, personne n'achète ces données commerciales, donc je penche encore pour une erreur d'attribution ».
« La pertinence de l'expression "aucune donnée ayant une valeur de renseignement" est juste que je ne pense pas que la plupart des escrocs auraient pensé cela (plus de données annoncées == plus d'opportunités). Je m'attendrais également à ce qu'ils baissent les prix à un niveau peut-être plus raisonnable dans l'espoir d'obtenir quelqu’un morde ».
Le groupe Shadow Brokers a initialement proposé de vendre les exploits qu'ils avaient obtenus de la NSA au plus offrant. Cependant, dans ce cas, leurs affirmations se sont avérées exactes, puisqu'ils ont ensuite divulgué tous ces exploits sur le Web en 2016. Après avoir fait un petit discours, notamment sur les élections présidentielles aux États-Unis, pouvoir d’achat, guerre numérique et bien d’autres, le collectif a donné accès à un lien, mot de passe à la clé, pour les chercheurs désireux de mettre le grappin sur ces nouveaux éléments.
Certains d'entre eux, comme le célèbre exploit Eternal Blue, ont été utilisés avec un effet révélateur dans des logiciels malveillants comme WannaCry. Malgré une longue enquête sur les courtiers, la NSA n'a pas encore déterminé l'identité des personnes qui composent le groupe. Pour cette dernière proposition, les pirates informatiques promettent sur leur page Weg que « D’autres informations sont à venir dans les prochaines semaines ».
Source : Solarleaks.net, Tweet (1 & 2)
Et vous ?
Qu’en pensez-vous ? Pensez-vous que ce sont les cybercriminels qui ont piraté la chaîne d’approvisionnement de SolarWinds qui sont en train de vendre du code volé ? Microsoft a affirmé que la consultation du code source n'augmente pas le risque. Qu’en est-il maintenant alors que le code est en vente, selon vous ? Voir aussi :
Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence » États-Unis : le piratage des agences fédérales est « vraisemblablement d'origine russe », selon les agences de sécurité nationale, et semblait être destiné à la « collecte de renseignements » Les enquêteurs de Kaspersky pourraient avoir identifié les hackers de la société texane SolarWinds, il s'agirait du groupe russe de pirates informatiques Turla 
Envoyé par Arya Nawel
