Malgré le correctif de Microsoft dans son serveur de messagerie Exchange, le gouvernement US met en garde contre la "menace active qui continue de se développer"
Et appelle à l'action
Le 2021-03-08 15:17:28, par Bill Fassinou, Chroniqueur Actualités
Après la vaste campagne de piratage de SolarWinds l'année dernière, Microsoft a de nouveau été touché par une cyberattaque d'envergure. L'attaque, perpétrée via des failles dans son serveur de messagerie Exchange, aurait permis aux pirates d'atteindre environ 30 000 clients aux États-Unis et environ 250 000 dans le monde. Si Microsoft dit avoir corrigé les vulnérabilités ayant permis l'attaque, la Maison Blanche n'en est pas totalement sûre. Elle a déclaré vendredi que l'on est en présence d'une "menace active" et que les organisations utilisant Exchange doivent s'activer pour s'assurer que les brèches ont été effectivement refermées.
Maison Blanche : "Avant tout, il s'agit d'une menace active"
La vulnérabilité en question a été révélée par le directeur de Microsoft, Tom Burt, dans un article de blogue mardi et a annoncé des mises à jour pour contrer les failles de sécurité qui, selon lui, ont permis aux pirates d'accéder aux serveurs Exchange. Le centre de renseignement sur les menaces de Microsoft (MSTIC – Microsoft Threat Intelligence Center) a attribué les attaques avec une "grande confiance" à un "attaquant parrainé par l'État basé en Chine" qu'elle a nommé Hafnium. La société a déclaré que Hafnium avait tenté de voler des informations à des groupes tels que des chercheurs en maladies infectieuses, des cabinets d'avocats, etc.
La liste des victimes comprend également des établissements d'enseignement supérieur et des entreprises de défense. Cependant, vendredi, la Maison Blanche a fait savoir qu'elle n'est pas totalement certaine que la menace a été écartée et a mis en alerte toutes les organisations qui exploitent le service de Microsoft. « Il s'agit d'une vulnérabilité importante qui pourrait avoir des répercussions de grande envergure. C'est une menace active », a déclaré vendredi l'attachée de presse de la Maison Blanche Jen Psaki. « Tous ceux qui gèrent ces serveurs, gouvernement, secteur privé, université doivent agir maintenant pour les réparer ».
Psaki a expliqué aux journalistes que la Maison Blanche était "préoccupée par le grand nombre de victimes". En effet, alors que Microsoft a publié un patch la semaine dernière pour corriger les failles de son logiciel de messagerie, le remède laisserait toujours ouverte une prétendue porte dérobée qui pourrait permettre l'accès à des serveurs compromis et perpétuer de nouvelles attaques par d'autres. Samedi, le Conseil national de sécurité américain (US National Security Council) a déclaré qu'il était "essentiel que toute organisation ayant un serveur vulnérable prenne des mesures immédiates" pour déterminer si elle avait été ciblée.
Le secrétaire de presse du Pentagone, John Kirby, a déclaré vendredi aux journalistes que le ministère de la Défense travaillait actuellement à déterminer si la faille avait eu un impact négatif sur lui. « Nous en sommes conscients et nous l'évaluons », a déclaré Kirby. « Et c'est vraiment le plus loin que je puisse aller pour le moment ». En outre, la nouvelle de la brèche a incité l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA – Cybersecurity and Infrastructure Security Agency) à publier une directive d'urgence demandant aux agences et départements de prendre des mesures urgentes.
Jake Sullivan, le conseiller à la sécurité nationale de la Maison Blanche, a également exhorté les propriétaires de réseaux à télécharger les correctifs de sécurité dès que possible. Microsoft n'a pas confirmé le nombre de victimes annoncées, mais a déclaré vendredi qu'il travaillait en étroite collaboration avec les agences gouvernementales américaines. Il a expliqué aux clients que "la meilleure protection" était "d'appliquer les mises à jour dès que possible sur tous les systèmes concernés". Microsoft prévoit de publier des techniques d'atténuation conçues pour aider ceux qui ne sont pas en mesure d'exécuter rapidement les mises à jour. Par ailleurs, il a averti qu'elles n'étaient pas "une solution si vos serveurs Exchange ont déjà été compromis ni une protection complète contre les attaques".
La Maison Blanche devrait dédier un groupe de travail à ce piratage
Selon les analystes, c'est la huitième fois au cours des 12 derniers mois que Microsoft accuse publiquement des groupes d'État-nation de cibler des institutions essentielles à la société civile. En outre, cette annonce marque la dernière crise de cybersécurité à frapper les États-Unis après que FireEye, Microsoft et d'autres ont signalé la campagne de piratage russe présumée qui a commencé par l'infiltration de la société de logiciels SolarWinds. Cet effort a conduit à la compromission d'au moins neuf agences fédérales et des centaines d'entreprises privées.
Microsoft a déclaré que l'attaque révélée la semaine dernière n'avait aucun lien avec celle de SolarWinds. Il semble toutefois persuadé que, même si le groupe auteur de l'attaque est lié à Pékin, il a opéré depuis l'intérieur des États-Unis. « Bien que Hafnium soit basée en Chine, elle mènerait ses opérations principalement à partir de serveurs privés virtuels loués aux États-Unis », a déclaré Microsoft. Un responsable de la Maison Blanche connaissant le sujet a déclaré qu'au regard de l'ampleur de l'incident, l'administration devrait mettre sur pied un groupe de travail pour traiter cette attaque majeure subie par la firme de Redmond.
« Nous entreprenons une réponse de l'ensemble du gouvernement pour évaluer et traiter l'impact. L'Agence pour la cybersécurité et la sécurité des infrastructures a émis une directive d'urgence à l'intention des agences et nous travaillons maintenant avec nos partenaires et examinons de près les prochaines étapes que nous devons franchir. Il s'agit d'une menace active qui se développe encore et nous demandons instamment aux opérateurs de réseaux de la prendre très au sérieux », a déclaré le responsable de la Maison Blanche.
« Le groupe de travail ou "Unified Coordination Group" est un effort multiagences initié par le Conseil national de sécurité, qui comprend le FBI, l'agence pour la cybersécurité et la sécurité des infrastructures et d'autres », a déclaré le fonctionnaire américain. Selon une autre source proche du dossier, l'Agence nationale de sécurité a également un rôle dans la réponse, bien qu'il ne soit pas immédiatement clair si son implication est codifiée dans le cadre de la directive UCG. « Cela peut potentiellement affecter simultanément des organisations qui sont essentielles à la vie quotidienne aux États-Unis », a-t-elle déclaré.
Notons que, alors que de nombreuses entreprises technologiques américaines entretiennent des relations tumultueuses avec le gouvernement chinois, Microsoft maintient une présence dans le pays depuis 1992. Contrairement à Facebook et Twitter, le réseau social dédié aux professionnels détenu par Microsoft, LinkedIn, est toujours accessible en Chine. Il en va de même pour son moteur de recherche Bing, bien que Baidu, une entreprise locale, domine le marché de la recherche. Pourtant, l'entreprise ne manque pas souvent d'accuser publiquement la Chine d'orchestrer ou de parrainer des campagnes de piratage visant ses installations ou celles d'autres entités américaines.
Sources : Communiqué de la Maison Blanche, La CISA
Et vous ?
Quel est votre avis sur le sujet ?
Voir aussi
Au moins 30 000 organisations US ont été piratées via des failles dans Microsoft Exchange, des correctifs ont été publiés, mais l'attaque continuerait sur les serveurs non patchés
Les pirates informatiques proposent de vendre à Microsoft et Cisco davantage de code source lié à l'incident Solarwinds et offrent l'accès au code source de Windows 10 volé pour 600 000 dollars
Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production
Président de Microsoft : le piratage de SolarWinds a été « l'attaque la plus importante et la plus sophistiquée » jamais réalisée, les empreintes informatiques de plus de 1000 développeurs trouvées
Le PDG de SolarWinds blâme un stagiaire pour une fuite de mot de passe, il n'est, cependant, pas encore certain que cela ait joué un rôle dans le piratage de SolarWinds
Maison Blanche : "Avant tout, il s'agit d'une menace active"
La vulnérabilité en question a été révélée par le directeur de Microsoft, Tom Burt, dans un article de blogue mardi et a annoncé des mises à jour pour contrer les failles de sécurité qui, selon lui, ont permis aux pirates d'accéder aux serveurs Exchange. Le centre de renseignement sur les menaces de Microsoft (MSTIC – Microsoft Threat Intelligence Center) a attribué les attaques avec une "grande confiance" à un "attaquant parrainé par l'État basé en Chine" qu'elle a nommé Hafnium. La société a déclaré que Hafnium avait tenté de voler des informations à des groupes tels que des chercheurs en maladies infectieuses, des cabinets d'avocats, etc.
La liste des victimes comprend également des établissements d'enseignement supérieur et des entreprises de défense. Cependant, vendredi, la Maison Blanche a fait savoir qu'elle n'est pas totalement certaine que la menace a été écartée et a mis en alerte toutes les organisations qui exploitent le service de Microsoft. « Il s'agit d'une vulnérabilité importante qui pourrait avoir des répercussions de grande envergure. C'est une menace active », a déclaré vendredi l'attachée de presse de la Maison Blanche Jen Psaki. « Tous ceux qui gèrent ces serveurs, gouvernement, secteur privé, université doivent agir maintenant pour les réparer ».
Psaki a expliqué aux journalistes que la Maison Blanche était "préoccupée par le grand nombre de victimes". En effet, alors que Microsoft a publié un patch la semaine dernière pour corriger les failles de son logiciel de messagerie, le remède laisserait toujours ouverte une prétendue porte dérobée qui pourrait permettre l'accès à des serveurs compromis et perpétuer de nouvelles attaques par d'autres. Samedi, le Conseil national de sécurité américain (US National Security Council) a déclaré qu'il était "essentiel que toute organisation ayant un serveur vulnérable prenne des mesures immédiates" pour déterminer si elle avait été ciblée.
Le secrétaire de presse du Pentagone, John Kirby, a déclaré vendredi aux journalistes que le ministère de la Défense travaillait actuellement à déterminer si la faille avait eu un impact négatif sur lui. « Nous en sommes conscients et nous l'évaluons », a déclaré Kirby. « Et c'est vraiment le plus loin que je puisse aller pour le moment ». En outre, la nouvelle de la brèche a incité l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA – Cybersecurity and Infrastructure Security Agency) à publier une directive d'urgence demandant aux agences et départements de prendre des mesures urgentes.
Jake Sullivan, le conseiller à la sécurité nationale de la Maison Blanche, a également exhorté les propriétaires de réseaux à télécharger les correctifs de sécurité dès que possible. Microsoft n'a pas confirmé le nombre de victimes annoncées, mais a déclaré vendredi qu'il travaillait en étroite collaboration avec les agences gouvernementales américaines. Il a expliqué aux clients que "la meilleure protection" était "d'appliquer les mises à jour dès que possible sur tous les systèmes concernés". Microsoft prévoit de publier des techniques d'atténuation conçues pour aider ceux qui ne sont pas en mesure d'exécuter rapidement les mises à jour. Par ailleurs, il a averti qu'elles n'étaient pas "une solution si vos serveurs Exchange ont déjà été compromis ni une protection complète contre les attaques".
La Maison Blanche devrait dédier un groupe de travail à ce piratage
Selon les analystes, c'est la huitième fois au cours des 12 derniers mois que Microsoft accuse publiquement des groupes d'État-nation de cibler des institutions essentielles à la société civile. En outre, cette annonce marque la dernière crise de cybersécurité à frapper les États-Unis après que FireEye, Microsoft et d'autres ont signalé la campagne de piratage russe présumée qui a commencé par l'infiltration de la société de logiciels SolarWinds. Cet effort a conduit à la compromission d'au moins neuf agences fédérales et des centaines d'entreprises privées.
Microsoft a déclaré que l'attaque révélée la semaine dernière n'avait aucun lien avec celle de SolarWinds. Il semble toutefois persuadé que, même si le groupe auteur de l'attaque est lié à Pékin, il a opéré depuis l'intérieur des États-Unis. « Bien que Hafnium soit basée en Chine, elle mènerait ses opérations principalement à partir de serveurs privés virtuels loués aux États-Unis », a déclaré Microsoft. Un responsable de la Maison Blanche connaissant le sujet a déclaré qu'au regard de l'ampleur de l'incident, l'administration devrait mettre sur pied un groupe de travail pour traiter cette attaque majeure subie par la firme de Redmond.
« Nous entreprenons une réponse de l'ensemble du gouvernement pour évaluer et traiter l'impact. L'Agence pour la cybersécurité et la sécurité des infrastructures a émis une directive d'urgence à l'intention des agences et nous travaillons maintenant avec nos partenaires et examinons de près les prochaines étapes que nous devons franchir. Il s'agit d'une menace active qui se développe encore et nous demandons instamment aux opérateurs de réseaux de la prendre très au sérieux », a déclaré le responsable de la Maison Blanche.
« Le groupe de travail ou "Unified Coordination Group" est un effort multiagences initié par le Conseil national de sécurité, qui comprend le FBI, l'agence pour la cybersécurité et la sécurité des infrastructures et d'autres », a déclaré le fonctionnaire américain. Selon une autre source proche du dossier, l'Agence nationale de sécurité a également un rôle dans la réponse, bien qu'il ne soit pas immédiatement clair si son implication est codifiée dans le cadre de la directive UCG. « Cela peut potentiellement affecter simultanément des organisations qui sont essentielles à la vie quotidienne aux États-Unis », a-t-elle déclaré.
Notons que, alors que de nombreuses entreprises technologiques américaines entretiennent des relations tumultueuses avec le gouvernement chinois, Microsoft maintient une présence dans le pays depuis 1992. Contrairement à Facebook et Twitter, le réseau social dédié aux professionnels détenu par Microsoft, LinkedIn, est toujours accessible en Chine. Il en va de même pour son moteur de recherche Bing, bien que Baidu, une entreprise locale, domine le marché de la recherche. Pourtant, l'entreprise ne manque pas souvent d'accuser publiquement la Chine d'orchestrer ou de parrainer des campagnes de piratage visant ses installations ou celles d'autres entités américaines.
Sources : Communiqué de la Maison Blanche, La CISA
Et vous ?
Voir aussi
-
TotoParisMembre expérimenté« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».
Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.
Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?le 14/03/2021 à 11:05 -
FagusMembre expertLes USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).
Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.
Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.
Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russesle 16/04/2021 à 13:50 -
Arya NawelMembre extrêmement actifComment peut-on critiquer les actions de ses ennemis lorsque l'on démontre que l'on tout aussi mauvais que lui ? Ça ressemble juste à une banale rivalité enfantine... Et dans ces cas là, tout le monde fini toujours trempéle 22/03/2021 à 10:56
-
Anselme45Membre extrêmement actifLes USA disposent de 18 agences de renseignement disposant d'un effectif supérieur à 100'000 collaborateurs avec un budget annuel supérieur à 55 milliards de dollar. A cela s'ajoute des milliers d'entreprises privées sous contrat avec le gouvernement américain portant l'effectif des services de renseignement américains à plus de 400'000 personnes...
Et donc, on veut nous faire croire que c'est seulement dans quelques semaines que les USA ayant perdu patience vont finir par organiser une action cybernétique "agressive"... C'est une farce?le 22/03/2021 à 10:58 -
kain_tnExpert éminentPas forcément: c'est très mauvais pour nous, pas pour certains.
Avant, il fallait dire qu'un pays fabriquait des armes de destruction massive pourle piller/mettre sous sanctionsse défendre. Maintenant il suffira de dire que l'on a reçu des cyberattaques!le 23/03/2021 à 20:23 -
kain_tnExpert éminentÉthiquement parlant, c'est quand même limite.
Je trouve l'approche du NCSC bien plus louable, surtout que d'après l'article, les failles ne sont pas corrigées suite à l'action du FBI, puisque sans patch, les serveurs peuvent être à nouveau compromis. Là on donne une fausse impression de sécurité.le 20/04/2021 à 9:36 -
weedMembre chevronnéJe me poserais également la question si les PME se détournaient de Exchange et se tourneraient vers des alternatives tel que Postfix.
Le problème serait que le FBI n'aurait plus accès à des portes dérobés pour s'infiltrer sur les réseaux des PME et faire leur travail de renseignements.
Je suis bien conscient que Postfix n'offre pas d'écosystème (mail + réunion Teams), il y a peu de risque que les PME migrent, mais certains directeurs devraient tout de même se poser la question ..
EDIT : correction des fautes de frappesle 20/04/2021 à 10:12 -
kain_tnExpert éminentEncore une fois, ils n'ont pas corrigé les vulnérabilités, ils ont juste supprimé les portes dérobées, ce qui est réversible, donc non pérenne. Ça ne va pas éduquer ces 30 000 organisations, et en plus côté intrusion ce n'est pas fantastique.
S'ils ont les moyens de s'introduire chez ces 30 000 organisations, alors c'est qu'ils ont le moyen d'identifier les serveurs Exchange non-patchés: un message à ces 30 000 organisations pour leur donner un délai d'application des patchs sous menace d'intrusion du FBI aurait été plus constructif sur le long terme, et ça ne leur aurait sans doute pas coûté bien cher.
Ça sent la panique, tout ça.le 20/04/2021 à 23:40 -
kain_tnExpert éminentOui, ça rappelle la Guerre Froide, où les pays européens servaient déjà de tampons entre les deux super-puissances... On est toujours les mêmes dindons de la farce, et on en redemande...le 16/04/2021 à 16:35
-
kain_tnExpert éminentOuais enfin, il ne faut pas charrier non plus, hein. C'est une "supply chain attack" classique. Ils se sont juste fait avoir pour avoir fait confiance à un éditeur tiers avec des pratiques logicielles toutes pourries. Mais bon, face aux actionnaires il ne peut pas dire ça
Aaah, les Russes. Qui est-ce que les USA pourraient blâmer s'ils n'existaient pas?! Ah non, c'est bon en fait, ils en ont une pleine liste
Blâmer les autres quand on a délibérément fait du travail de cochon (et que l'on fait régulièrement la même chose), je trouve ça quand même très gros!le 29/05/2021 à 14:46