IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Les pirates informatiques proposent de vendre à Microsoft et Cisco davantage de code source lié à l'incident Solarwinds,
Et offrent l'accès au code source de Windows 10 volé pour 600 000 dollars

Le , par Stan Adkens

231PARTAGES

7  0 
Microsoft a été piraté par un groupe de pirates informatiques lié à la Russie qui a compromis les réseaux du fabricant de logiciels SolarWinds et de plusieurs agences fédérales américaines, ainsi que plusieurs sociétés privées. Microsoft a confirmé l’accès à son code source, mais la société a affirmé qu'il n'y a aucune preuve que cette activité ait mis en danger la sécurité des services de Microsoft ou des données des clients. Maintenant les attaquants, qui prétendent être responsables de l'attaque de la chaîne d'approvisionnement de SolarWinds, affirment qu'ils ont des données de leurs exploits qu'ils souhaitent vendre.

Parmi les données proposées figurent le code source partiel de Microsoft Windows, le code source de plusieurs produits Cisco, le code source des produits SolarWinds et les outils FireEye Red Team. L'attaque contre SolarWinds a été révélée en décembre, peu après que FireEye ait révélé le 9 décembre qu'il avait été compromis et s'était fait voler ses outils Red Team. Cinq jours plus tard, FireEye a publié des détails sur des attaques utilisant un malware qu'il a appelé Sunburst ; il a déclaré que ce malware avait été utilisé pour frapper des entités privées et publiques, en corrompant le logiciel de gestion de réseau Orion, un produit de SolarWinds.


Le groupe qui offre en vente le code source a créé des sites, tant sur Internet que sur le dark web, et a publié des détails sur ce qu'il est censé posséder, faisant le tout pour un million de dollars. L'accès au code source de Windows 10 revient à Microsoft pour 600 000 dollars. Solarleaks.net, c’est la page Web qui contient les informations sur les données volées. Les cybercriminels promettent même du bonus aux éventuels acheteurs : « All leaked data for 1,000,000 USD (+ bonus) ».

La nouvelle a été rapportée premièrement par le chercheur en sécurité Jake Williams, fondateur de Rendition Infosec et ancien hacker de la NSA. Williams a d’abord averti que tout cela semblait être une ruse, que les pirates informatiques, qui semblent être le groupe russe bien connu sous le nom de Shadow Brokers, pourraient simplement essayer de brouiller les pistes, et non de prendre l'offre au pied de la lettre.


« Il n'y a pas de viande sur cet os tant qu'il n'y en a pas d'autres », a-t-il tweeté dans son fil de discussion. « Les seules choses à prendre en compte sont : Nous avons déjà vu des acteurs de la menace russe utiliser ce type de fausse piste pour brouiller les pistes d'attribution ; il ne faut pas se laisser avoir. C'est tout. C'est toute l'histoire ».

La cyberattaque que les experts en cybersécurité et les officiels du gouvernement américains ont tous décrite comme une attaque sophistiquée a fait plusieurs victimes et non des moindres parmi les agences fédérales américaines. Les Départements du Tresor, du Commerce, de l’Energie, l'administration nationale de la sécurité nucléaire et autre. Les agences de sécurité nationale continuent à travailler pour en savoir plus sur le piratage, mais une déclaration du Cyber Unified Coordination Group (UCG), composé du FBI, CISA, ODNI et NSA, a révélé que la violation a touché les réseaux de moins 10 agences fédérales américaines et de plusieurs grandes entreprises technologiques.

Alors que le groupe a indiqué dans sa déclaration que les cybercriminels étaient « vraisemblablement d’origine russe » et que l'attaque était considérée comme un acte d'espionnage plutôt que de cyberguerre, les enquêteurs de la société de cybersécurité Kaspersky, basée à Moscou, sont allés plus loin en affirmant lundi qu’il s'agirait du groupe russe de pirates informatiques Turla.

Ces enquêteurs ont conclu que la porte dérobée appelée "Sunburst" utilisée pour communiquer avec un serveur contrôlé par les pirates ressemblait à un autre outil de piratage appelé "Kazuar", qui avait été précédemment attribué à l'APT Turla. Selon un rapport du Financial Time, les autorités estoniennes ont révélé il y a de cela deux ans que ce groupe opère au nom du service russe de sécurité FSB. Cependant, les enquêteurs de Kaspersky ont averti que les similitudes de code ne confirment pas que le groupe est derrière l'attaque de l'infrastructure de SolarWinds.

Microsoft est l’une des victimes du piratage. Le 31 décembre, Microsoft, qui s’était auparavant limité à la présence sur son réseau d’une mise à jour malveillante du produit de gestion de réseau de SolarWinds Orion, a divulgué avoir « détecté une activité inhabituelle sur un petit nombre de comptes internes et après examen, nous avons découvert qu'un compte avait été utilisé pour consulter le code source dans plusieurs dépôts de code source ».

La société a ensuite dit que le compte utilisé par les cybercriminels n'avait pas l'autorisation de modifier le code ou les systèmes techniques, par conséquent aucune modification n'avait été effectuée dans les dépôts de code. Microsoft a également affirmé que la consultation du code source n'augmente pas le risque, car l'entreprise ne dépend pas du secret du code source pour la sécurité des produits.


Le groupe qui propose de vendre le code volé pourrait être le vrai groupe à l'origine de l'incident SolarWinds

Selon les experts, les pirates informatiques à l’origine du piratage de SolarWinds sont des professionnels accomplis qui savent brouiller les pistes. Certains vols peuvent ne jamais être détectés. Randy Watkins, le directeur de la technologie de la société de cybersécurité Critical Start, basée au Texas, a déclaré que les objectifs des pirates peuvent être aussi bien financiers que le vol et la destruction de données. Ce qui semble clair, c'est que cette campagne sera l'une des plus prolifiques dans les annales du cyberespionnage.

Après avoir écrit que cette offre de vente de code pourrait être une tactique pour brouiller les pistes d'attribution, Jake Williams a ensuite quelque peu changé de position, en écrivant : « Une dernière réflexion sur #solarLeaks : la prétendue vente n'est faite que pour des choses commercialement intéressantes, pas pour des données ayant une valeur de renseignement. Le fait qu'aucune donnée de renseignement (Trésor, Commerce, etc.) n'ait été proposée suggère qu'il pourrait s'agir du vrai groupe », a-t-il tweeté.


« Un arnaqueur pure play proposerait probablement des données présumées provenant de ces organisations aussi. Il pourrait même faire mordre à l'hameçon d'autres organisations du renseignement. À ces prix, personne n'achète ces données commerciales, donc je penche encore pour une erreur d'attribution ».

« La pertinence de l'expression "aucune donnée ayant une valeur de renseignement" est juste que je ne pense pas que la plupart des escrocs auraient pensé cela (plus de données annoncées == plus d'opportunités). Je m'attendrais également à ce qu'ils baissent les prix à un niveau peut-être plus raisonnable dans l'espoir d'obtenir quelqu’un morde ».

Le groupe Shadow Brokers a initialement proposé de vendre les exploits qu'ils avaient obtenus de la NSA au plus offrant. Cependant, dans ce cas, leurs affirmations se sont avérées exactes, puisqu'ils ont ensuite divulgué tous ces exploits sur le Web en 2016. Après avoir fait un petit discours, notamment sur les élections présidentielles aux États-Unis, pouvoir d’achat, guerre numérique et bien d’autres, le collectif a donné accès à un lien, mot de passe à la clé, pour les chercheurs désireux de mettre le grappin sur ces nouveaux éléments.

Certains d'entre eux, comme le célèbre exploit Eternal Blue, ont été utilisés avec un effet révélateur dans des logiciels malveillants comme WannaCry. Malgré une longue enquête sur les courtiers, la NSA n'a pas encore déterminé l'identité des personnes qui composent le groupe. Pour cette dernière proposition, les pirates informatiques promettent sur leur page Weg que « D’autres informations sont à venir dans les prochaines semaines ».

Source : Solarleaks.net, Tweet (1 & 2)

Et vous ?

Qu’en pensez-vous ?
Pensez-vous que ce sont les cybercriminels qui ont piraté la chaîne d’approvisionnement de SolarWinds qui sont en train de vendre du code volé ?
Microsoft a affirmé que la consultation du code source n'augmente pas le risque. Qu’en est-il maintenant alors que le code est en vente, selon vous ?

Voir aussi :

Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production
La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »
États-Unis : le piratage des agences fédérales est « vraisemblablement d'origine russe », selon les agences de sécurité nationale, et semblait être destiné à la « collecte de renseignements »
Les enquêteurs de Kaspersky pourraient avoir identifié les hackers de la société texane SolarWinds, il s'agirait du groupe russe de pirates informatiques Turla

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de der§en
Membre éprouvé https://www.developpez.com
Le 01/03/2021 à 14:26
Rhooo, la faute d'un stagiaire, franchement quel manque d'imagination...
6  0 
Avatar de TotoParis
Membre expérimenté https://www.developpez.com
Le 14/03/2021 à 11:05
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».

Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.

Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?
6  1 
Avatar de Fagus
Membre expert https://www.developpez.com
Le 16/04/2021 à 13:50
Les USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).

Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.

Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.

Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russes
5  0 
Avatar de
https://www.developpez.com
Le 17/02/2021 à 7:33
Haa ! Les américains ! Tellement fiers de leur Quick and Dirty ! Et voilà...
4  0 
Avatar de Arya Nawel
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:56
Comment peut-on critiquer les actions de ses ennemis lorsque l'on démontre que l'on tout aussi mauvais que lui ? Ça ressemble juste à une banale rivalité enfantine... Et dans ces cas là, tout le monde fini toujours trempé
3  0 
Avatar de Anselme45
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:58
Les USA disposent de 18 agences de renseignement disposant d'un effectif supérieur à 100'000 collaborateurs avec un budget annuel supérieur à 55 milliards de dollar. A cela s'ajoute des milliers d'entreprises privées sous contrat avec le gouvernement américain portant l'effectif des services de renseignement américains à plus de 400'000 personnes...

Et donc, on veut nous faire croire que c'est seulement dans quelques semaines que les USA ayant perdu patience vont finir par organiser une action cybernétique "agressive"... C'est une farce?
5  2 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 23/03/2021 à 20:23
Citation Envoyé par Arya Nawel Voir le message
Le déclenchement d'une cyberguerre est très mauvais pour toutes les parties concernées au niveau mondial.
Pas forcément: c'est très mauvais pour nous, pas pour certains.

Avant, il fallait dire qu'un pays fabriquait des armes de destruction massive pour le piller/mettre sous sanctions se défendre. Maintenant il suffira de dire que l'on a reçu des cyberattaques!
4  1 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 20/04/2021 à 9:36
Citation Envoyé par Bruno Voir le message

Quel est votre avis sur le fait que le FBI aurait accédé à l’insu des entreprises pour supprimer les portes dérobées des serveurs Microsoft Exchange ?
Éthiquement parlant, c'est quand même limite.

Je trouve l'approche du NCSC bien plus louable, surtout que d'après l'article, les failles ne sont pas corrigées suite à l'action du FBI, puisque sans patch, les serveurs peuvent être à nouveau compromis. Là on donne une fausse impression de sécurité.
3  0 
Avatar de weed
Membre expérimenté https://www.developpez.com
Le 20/04/2021 à 10:12
Je me poserais également la question si les PME se détournaient de Exchange et se tourneraient vers des alternatives tel que Postfix.

Le problème serait que le FBI n'aurait plus accès à des portes dérobés pour s'infiltrer sur les réseaux des PME et faire leur travail de renseignements.

Je suis bien conscient que Postfix n'offre pas d'écosystème (mail + réunion Teams), il y a peu de risque que les PME migrent, mais certains directeurs devraient tout de même se poser la question ..

EDIT : correction des fautes de frappes
3  0 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 20/04/2021 à 23:40
Citation Envoyé par TotoParis Voir le message
"Nous ne voulons pas d'un avenir où le FBI détermine qu'une personne peut être vulnérable, puis s'en sert comme prétexte pour obtenir un accès."
Pourquoi pas. Mais ces 30 000 organisations ont été défaillantes en terme de cyber-sécurité.
On peut toujours discuter des inconvénients de la méthode, mais les inconvénients de ce laxisme sont pour le moins bien plus graves.
Encore une fois, ils n'ont pas corrigé les vulnérabilités, ils ont juste supprimé les portes dérobées, ce qui est réversible, donc non pérenne. Ça ne va pas éduquer ces 30 000 organisations, et en plus côté intrusion ce n'est pas fantastique.

S'ils ont les moyens de s'introduire chez ces 30 000 organisations, alors c'est qu'ils ont le moyen d'identifier les serveurs Exchange non-patchés: un message à ces 30 000 organisations pour leur donner un délai d'application des patchs sous menace d'intrusion du FBI aurait été plus constructif sur le long terme, et ça ne leur aurait sans doute pas coûté bien cher.

Ça sent la panique, tout ça.
3  0