Le bureau du sénateur américain Ron Wyden a critiqué Microsoft à propos de la cyberattaque « la plus importante et la plus sophistiquée » jamais réalisée qui a utilisé une entreprise technologique américaine comme tremplin pour compromettre les principales agences fédérales américaines ainsi que plusieurs entreprises privées, dont Microsoft. Selon le bureau, l’incapacité de Microsoft Corp à résoudre les problèmes connus de son logiciel de gestion du cloud a facilité le piratage massif de SolarWinds qui a compromis au moins neuf agences du gouvernement fédéral. Les experts en sécurité sont aussi parvenus à cette conclusion.Une vulnérabilité révélée publiquement pour la première fois par des chercheurs en 2017 permet aux pirates de falsifier l'identité des employés autorisés pour accéder aux services cloud des clients. Cette technique était l'une des nombreuses utilisées dans le cadre du piratage de SolarWinds, selon les experts en sécurité. Le sénateur Wyden, qui a critiqué les entreprises technologiques sur les questions de sécurité et de confidentialité en tant que membre de la commission sénatoriale du renseignement, a reproché à Microsoft de ne pas faire plus pour empêcher les fausses identités ou en avertir les clients.
« Le gouvernement fédéral dépense des milliards pour les logiciels de Microsoft », a déclaré Wyden à Reuters avant une audition sur SolarWinds qui aura lieu ce vendredi à la Chambre des représentants. « Il devrait être prudent dans ses dépenses avant que nous découvrions pourquoi la société n'a pas averti le gouvernement de la technique de piratage utilisée par les Russes, que Microsoft connaissait depuis au moins 2017 », a-t-il ajouté.
Le président de Microsoft, Brad Smith, témoignera vendredi devant la commission parlementaire chargée d'enquêter sur les piratages de SolarWinds. Les responsables américains ont blâmé la Russie pour l'opération massive de renseignement qui a pénétré dans SolarWinds, qui fabrique des logiciels pour gérer les réseaux, ainsi que Microsoft et d'autres, pour voler les données de plusieurs gouvernements et d'une centaine de sociétés. La Russie nie toute responsabilité.
Selon les enquêteurs, c’est en mars 2020 que les cybercriminels russes présumés ont saboté une mise à jour d’un produit logiciel de surveillance de réseau appelé Orion et développé par la société SolarWinds. La porte dérobée aurait pu compromettre les réseaux informatiques de jusqu'à 18 000 clients de SolarWind, dont ceux des Départements de l’État américain et ceux des sociétés privées.
Les espions russes ont eu le temps de fouiller dans les fichiers numériques des ministères américains de la Justice, de l'État, du Trésor, de l'Énergie et du Commerce et, pendant neuf mois, ils ont non seulement eu un accès illimité à des courriels, mais probablement aussi aux communications de haut niveau, aux documents judiciaires et même aux secrets nucléaires. Les enquêteurs du privé et du gouvernement avaient déjà qualifié l'attaque de sans précédent par son audace et son ampleur.
Un peu plus tôt ce mois, s'exprimant dans le cadre de l'émission 60 Minutes de CBS, le président de Microsoft, Brad Smith, a confirmé cela et a suggéré même que les cyberespions seraient toujours dans des réseaux ciblés. Les experts en cybersécurité ont déclaré qu'il pourrait falloir des mois pour identifier les systèmes compromis et expulser les pirates. « Je pense que du point de vue du génie logiciel, il est probablement juste de dire que c'est l'attaque la plus grande et la plus sophistiquée que le monde ait jamais vue », a déclaré Smith lors de l’interview.
4032 lignes de code informatique de SolarWinds Orion ont été réécrites clandestinement et distribuées aux clients lors de la mise à jour de routine, ouvrant ainsi une porte dérobée secrète aux réseaux infectés. Smith a déclaré que le code derrière la porte dérobée introduite dans le logiciel populaire par les cybercriminels est le travail d'un millier de développeurs ou plus.
« Je pense que lorsque vous regardez la sophistication de cet attaquant, il y a un avantage asymétrique pour quelqu'un qui joue à l'offensive », a répondu Smith lors de l’interview lorsqu’on lui a demandé la raison pour laquelle l’attaque a pu passer sous les radars de Microsoft. « Il est presque certain que ces attaques continuent ».
Les programmes de Microsoft n'étaient pas conçus pour détecter le vol d'outils d'identité permettant d'accéder au cloud
Maintenant, Microsoft est mis en cause en partie dans le piratage informatique contre les États-Unis. Microsoft a contesté les conclusions de Wyden, déclarant que la conception de ses services d'identité n'était pas en cause.
Dans une réponse aux questions écrites de Wyden le 10 février, un lobbyiste de Microsoft a déclaré que l'astuce d'identité, connue sous le nom de Golden SAML, « n'avait jamais été utilisée dans une attaque réelle » et « n'était pas considérée comme un risque prioritaire par la communauté du renseignement, ni n'était signalée par les agences civiles », d’après Reuters.
Mais dans un avis public après le piratage de SolarWinds, le 17 décembre, l'Agence de sécurité nationale a appelé à une surveillance plus étroite des services d'identité, notant que « cette technique de falsification du SAML est connue et utilisée par les cyberacteurs depuis au moins 2017 ».
En réponse à des questions supplémentaires de Wyden cette semaine, Microsoft a reconnu que ses programmes n'étaient pas conçus pour détecter le vol d'outils d'identité permettant d'accéder au cloud.
Trey Herr, directeur de la Cyber Statecraft Initiative chez Atlantic Council, a déclaré que cet échec montrait que les risques de sécurité dans le cloud devraient être une priorité plus importante. L'abus sophistiqué des identités par les pirates informatiques « révèle une faiblesse inquiétante dans la façon dont les géants du Cloud Computing investissent dans la sécurité, peut-être en ne parvenant pas à atténuer de manière adéquate le risque de défaillances à fort impact et à faible probabilité dans les systèmes à la base de leur modèle de sécurité », a déclaré Herr.
Lors d'un témoignage au Congrès mardi, Smith de Microsoft a déclaré que seulement environ 15 % des victimes de la campagne SolarWinds ont été touchées via Golden SAML. Même dans ces cas, les pirates informatiques devaient avoir déjà eu accès aux systèmes avant de déployer la méthode.
En décembre dernier, après la révélation de la campagne de cyberespionnage, Microsoft avait commencé par dire que nous « pouvons confirmer que nous avons détecté des binaires SolarWinds malveillants dans notre environnement, que nous avons isolés et supprimés. Nous n'avons trouvé aucune preuve d'accès aux services de production ou aux données des clients. Nos enquêtes, qui sont en cours, n'ont trouvé absolument aucune indication que nos systèmes ont été utilisés pour attaquer d'autres personnes ».
Ensuite Microsoft a révélé en fin janvier avoir détecté « des tentatives d'activités allant au-delà de la simple présence de code SolarWinds malveillant dans notre environnement ». « Nous avons détecté une activité inhabituelle sur un petit nombre de comptes internes et après examen, nous avons découvert qu'un compte avait été utilisé pour consulter le code source dans plusieurs dépôts de code source », avait déclaré la société dans son article de blog.
Peu de temps après, les attaquants, qui prétendent être responsables de l'attaque de la chaîne d'approvisionnement de SolarWinds, ont affirmé qu'ils ont des données de leurs exploits qu'ils souhaitent vendre. Parmi les données proposées figurent le code source partiel de Microsoft Windows, le code source de plusieurs produits Cisco, le code source des produits SolarWinds et les outils FireEye Red Team.
Il y a une semaine, Microsoft a déclaré avoir terminé son analyse de l'incident et a publié son dernier rapport. L'équipe de sécurité de Microsoft a déclaré dans le rapport qu'elle n'a trouvé aucune preuve que des pirates aient abusé de ses systèmes internes ou de ses produits officiels afin de pivoter et attaquer les utilisateurs finaux et les clients professionnels. Ces derniers ont néanmoins étudié son code source pour l'authentification et le courrier électronique en les téléchargeant.
Le personnel du bureau du sénateur Wyden a déclaré que le Trésor américain, l'une des victimes de la cyberattaque, a perdu les courriels de dizaines de fonctionnaires. Attendons de voir la suite après le témoignage de Brad Smith ce vendredi.
Source : Bureau du sénateur américain Ron Wyden
Et vous ?
Qu’en pensez-vous ? Microsoft a reconnu que ses programmes n'étaient pas conçus pour détecter le vol d'outils d'identité permettant d'accéder au cloud. Quel commentaire en faites-vous ? 15 % des victimes de la campagne SolarWinds ont été touchées via Golden SAML, selon Smith, après que Microsoft ait déclaré que la conception de ses services d'identité n'était pas en cause. Qu’en pensez-vous ? Voir aussi :
Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production Les pirates informatiques proposent de vendre à Microsoft et Cisco davantage de code source lié à l'incident Solarwinds, et offrent l'accès au code source de Windows 10 volé pour 600 000 dollars La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence » Président de Microsoft : le piratage de SolarWinds a été « l'attaque la plus importante et la plus sophistiquée » jamais réalisée, les empreintes informatiques de plus de 1000 développeurs trouvées 
Envoyé par Arya Nawel
