IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Le groupe à l'origine de la cyberattaque SolarWinds cible désormais les ONG et les agences gouvernementales
Ses victimes sont répertoriées dans au moins 24 pays selon Microsoft

Le , par Stéphane le calme

38PARTAGES

9  0 
Le groupe à l'origine de la cyberattaque SolarWinds identifiée à la fin de l'année dernière cible désormais les agences gouvernementales, les groupes de réflexion, les consultants et les organisations non gouvernementales, a déclaré jeudi Microsoft Corp.

« Microsoft Threat Intelligence Center (MSTIC) a découvert une campagne de courrier électronique malveillant à grande échelle exploitée par NOBELIUM, l'acteur de la menace derrière les attaques contre SolarWinds, la porte dérobée SUNBURST, le logiciel malveillant TEARDROP, le logiciel malveillant GoldMax et d'autres composants connexes. La campagne, initialement observée et suivie par Microsoft depuis janvier 2021, a évolué au fil d'une série de vagues démontrant une expérimentation significative. Le 25 mai 2021, la campagne s'est intensifiée lorsque NOBELIUM a exploité le service de messagerie de masse légitime, Constant Contact, pour se faire passer pour une organisation de développement basée aux États-Unis et distribuer des URL malveillantes à une grande variété d'organisations et de secteurs verticaux ».

Et Microsoft d'expliquer que :

« NOBELIUM a toujours ciblé les organisations gouvernementales, les organisations non gouvernementales (ONG), les groupes de réflexion, les militaires, les fournisseurs de services informatiques, la technologie et la recherche en santé et les fournisseurs de télécommunications. Avec cette dernière attaque, NOBELIUM a tenté de cibler environ 3000 comptes individuels dans plus de 150 organisations, en utilisant un modèle établi d'utilisation d'une infrastructure et d'outils uniques pour chaque cible, augmentant ainsi leur capacité à rester non détectés pendant une période de temps plus longue.

« Cette nouvelle campagne de courrier électronique à grande échelle tire parti du service légitime Constant Contact pour envoyer des liens malveillants qui ont été masqués derrière l'URL du service de messagerie (de nombreux services de courrier électronique et de documents fournissent un mécanisme pour simplifier le partage de fichiers, fournissant des informations sur qui et quand les liens sont cliqués). En raison du volume élevé d'e-mails distribués dans le cadre de cette campagne, les systèmes automatisés de détection des menaces par e-mail ont bloqué la plupart des e-mails malveillants et les ont marqués comme spam. Cependant, certains systèmes automatisés de détection des menaces peuvent avoir réussi à remettre certains des e-mails antérieurs aux destinataires soit en raison des paramètres de configuration et de stratégie, soit avant que les détections ne soient en place ».

La campagne NOBELIUM observée par MSTIC diffère considérablement des opérations NOBELIUM qui se sont déroulées de septembre 2019 à janvier 2021, qui incluaient le piratage de la plateforme SolarWinds Orion. Microsoft estime qu'il est probable que ces observations représentent des changements dans le mode opératoire des cybercriminels et une éventuelle expérimentation à la suite de nombreuses révélations d’incidents antérieurs.

Dans le cadre de la découverte initiale de la campagne en février, MSTIC a identifié une vague d'e-mails de phishing qui ont exploité la plateforme Google Firebase pour mettre en scène un fichier ISO contenant du contenu malveillant, tout en exploitant également cette plateforme pour enregistrer les attributs de ceux qui ont accédé à l'URL. MSTIC a retracé le début de cette campagne jusqu'au 28 janvier 2021 ; à ce moment, les cybercriminels effectuaient visiblement des missions de reconnaissance, exploitant les URL Firebase pour enregistrer les cibles qui avaient cliqué dessus, mais sans leur envoyer une charge utile malveillante lors de cette première phase.

Nobelium a lancé les attaques de cette semaine en pénétrant par effraction dans un compte de marketing par courrier électronique utilisé par l'Agence des États-Unis pour le développement international (USAID) et à partir de là, en lançant des attaques de phishing contre de nombreuses autres organisations, a déclaré Microsoft.

« Lors de la campagne du 25 mai, il y a eu plusieurs itérations. Dans un exemple, les e-mails semblent provenir de l'USAID (une agence gouvernementale américaine qui administre l'aide étrangère civile et l'aide au développement) <ashainfo@usaid.gov>, tout en ayant une adresse e-mail d'expéditeur authentique qui correspond au service Constant Contact standard. Cette adresse (qui varie pour chaque destinataire) se termine par @ in.constantcontact.com, et (qui varie pour chaque destinataire), et une adresse de réponse de <mhillary@usaid.gov> a été observée ».

Les e-mails se présentent comme une alerte de l'USAID, comme indiqué ci-dessous.


Les personnes qui ont cliqué sur le lien ont d'abord été envoyées au service légitime de Constant Contact, mais peu de temps après, elles ont été redirigées vers un fichier hébergé sur des serveurs appartenant à Nobelium, a déclaré Microsoft. Une fois les cibles redirigées, JavaScript a amené les appareils des visiteurs à télécharger automatiquement un type de fichier d'archive appelé image ISO.

Comme le montre l'image ci-dessous, l'image ISO contenait un fichier PDF, un fichier LNK nommé Reports et un fichier DLL nommé documents, qui par défaut était masqué.


Contenu du fichier ISO. Il est à noter que «Documents.dll» est un fichier caché.

La société de sécurité FireEye a déclaré qu'en plus du contenu de l'USAID, le groupe de piratage utilisait une variété d'autres leurres, y compris des notes diplomatiques et des invitations d'ambassades. Elle a poursuivi en disant que le ciblage des gouvernements, des groupes de réflexion et des organisations apparentées était un objectif traditionnel des opérations menées par le service de renseignement extérieur, connu sous le nom de SVR.

« Bien que l'activité SolarWinds ait été remarquable pour sa furtivité et sa discipline, les opérations de harponnage bruyantes et larges étaient autrefois la carte de visite des opérateurs SVR qui menaient souvent des campagnes de phishing tapageuses », a commenté John Hultquist, vice-président d'analyse chez Mandiant Threat Intelligence, propriété de FireEye. « Ces opérations ont souvent été efficaces, donnant accès aux principaux bureaux du gouvernement parmi d'autres cibles. Et si les e-mails de spear phishing ont été rapidement identifiés, nous nous attendons à ce que toute action post-compromission de ces acteurs soit hautement qualifiée et furtive ».

La société de sécurité Volexity, quant à elle, a publié jeudi son propre billet qui fournit encore plus de détails. Parmi eux: le fichier Documents.DLL a vérifié les machines cibles pour s'assurer qu'il n'était pas dans un sandbox de sécurité ou dans une machine virtuelle, comme indiqué ici:


Des victimes dans 24 pays au moins

Alors que les organisations aux États-Unis ont constitué la majorité des cibles de ces attaques, les victimes ont été répertoriées dans 24 pays au moins, selon Microsoft. Au moins un quart des organisations ciblées étaient impliquées dans le développement international, les questions humanitaires et les droits de l'homme, a déclaré l'éditeur dans un billet de blog.

Dans des déclarations publiées vendredi, le département de la sécurité intérieure et l'USAID ont tous deux déclaré qu'ils étaient au courant du piratage informatique et qu'ils enquêtaient.

Le piratage de la société de technologie de l'information SolarWinds, qui a été identifié en décembre, a donné accès à des milliers d'entreprises et de bureaux gouvernementaux qui utilisaient ses produits. Le président de Microsoft, Brad Smith, a décrit l'attaque comme « l'attaque la plus grande et la plus sophistiquée que le monde ait jamais vue ».

Ce mois-ci, le chef du service de renseignement de la Russie a nié la responsabilité de la cyberattaque SolarWinds, mais s'est dit « flatté » par les accusations des États-Unis et de la Grande-Bretagne selon lesquelles le renseignement étranger russe était à l'origine d'un piratage aussi sophistiqué.

Les États-Unis et la Grande-Bretagne ont blâmé le service russe de renseignement extérieur (SVR), successeur des opérations d'espionnage étrangères du KGB, pour le piratage qui a compromis neuf agences fédérales américaines et des centaines d'entreprises du secteur privé.

Sources : Microsoft, Volexity

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Stéphane le calme
Chroniqueur Actualités https://www.developpez.com
Le 18/07/2021 à 13:09
Les États-Unis restreignent le commerce avec quatre sociétés informatiques et d'autres entités,
en raison de leurs liens avec la Russie

En avril, dans un avis conjoint, la National Security Agency, le FBI et la Cybersecurity and Information Security Agency ont déclaré que le service de renseignement extérieur russe, en abrégé SVR, a mené l'attaque de la chaîne d'approvisionnement contre les clients du logiciel de gestion de réseau édité par SolarWinds, basé à Austin, au Texas. Le groupe de renseignement et de sécurité, qui a enquêté sur la campagne massive de piratage informatique, avait déjà déclaré en janvier que les cybercriminels étaient « vraisemblablement d’origine russe » et que l'attaque était considérée comme un acte d'espionnage plutôt que de cyberguerre.


La campagne, qui a débuté des mois avant d’être découverte, a infecté le système de construction et de distribution des logiciels de SolarWinds et l'a utilisé pour envoyer des mises à jour détournées à environ 18 000 clients. Les pirates ont ensuite envoyé des charges utiles de suivi à une dizaine d'agences fédérales américaines et à une centaine d'organisations privées. Outre l'attaque de la chaîne d'approvisionnement de SolarWinds, les pirates ont également utilisé des mots de passe et d'autres techniques pour pénétrer dans les réseaux. Microsoft est l’une des sociétés privées de premier plan qui ont été touchées par l’opération malveillante et dont le code de ses produits a été volé et mis en vente par les cybercriminels.

Le même mois, le Département du Trésor américain a fait un communiqué qui était accompagné de sanctions en représailles à ce qu'il a qualifié « d'activités agressives et nuisibles du gouvernement de la Fédération de Russie ». Les mesures comprenaient des sanctions contre six entreprises basées en Russie qui, selon le Département, « ont soutenu les efforts des services de renseignement russes pour mener des cyberactivités malveillantes contre les États-Unis ».

Les six sociétés et instituts russes concernés par ces sanctions américaines sont : ERA Technopolis, Pasit, SVA, Neobit, AST et Positive Technologies.

« La raison pour laquelle elles ont été mentionnées est qu'elles font partie intégrante de l'opération que le SVR exécute et y participent », a déclaré le directeur de la cybersécurité de la NSA, Rob Joyce, à propos des six sociétés. « Nous espérons qu'en privant le SVR du soutien de ces sociétés, nous réduirons leur capacité à projeter certaines de ces activités malveillantes dans le monde et en particulier aux États-Unis ».

Alors que certains experts en sécurité nationale affirment que l'opération de piratage de SolarWinds pourrait être considérée comme une activité d'espionnage traditionnelle, ce qui n'est pas rare chez les pirates du gouvernement, le Département du Trésor a dit dans son communiqué que « la portée et l'ampleur de cette compromission, combinées à l'histoire de la Russie dans la réalisation de cyberopérations imprudentes et perturbatrices, en font une préoccupation de sécurité nationale ».

De nouvelles sanctions

Vendredi 16 juillet 2021, les États-Unis ont porté un nouveau coup à l'industrie russe de la cybersécurité, restreignant le commerce avec quatre sociétés de technologie de l'information et deux autres entités pour des activités « agressives et nuisibles » (y compris l'espionnage numérique) que Washington impute au gouvernement russe.

Une publication du ministère du Commerce a déclaré que les six entités avaient été sanctionnées par le département du Trésor américain en avril, qui visait des entreprises du secteur technologique qui soutiennent les services de renseignement russes.

Leur ajout à la liste noire du département du Commerce signifie que les entreprises américaines ne peuvent pas faire affaire avec eux sans licences, qui sont rarement accordées.

L'annonce fait donc suite aux sanctions d'avril, qui visaient à punir Moscou pour piratage, ingérence dans les élections américaines de l'année dernière, empoisonnement du critique du Kremlin Alexei Navalny et d'autres actions présumées malveillantes (des allégations que le Kremlin nie).

Les sanctions surviennent alors que les États-Unis répondent à un rythme d'intrusions numériques imputées à des espions soutenus par le gouvernement russe et à une série d'épidémies de ransomwares de plus en plus perturbatrices imputées aux cybercriminels russes.

Les entités ajoutées à la liste noire sont Aktsionernoe Obshchaestvo AST; Aktsionernoe Obshchestvo Pasit; Aktsionernoe Obshchestvo Pozitiv Teknolodzhiz, also known as JSC Positive Technologies; Federal State Autonomous Institution Military Innovative Technopolis Era; Federal State Autonomous Scientific Establishment Scientific Research Institute Specialized Security Computing Devices and Automation (SVA); et Obshchestvo S Ogranichennoi Otvetstvennostyu Neobit.

Era est un centre de recherche et un parc technologique exploité par le ministère russe de la Défense ; Pasit est une société informatique qui a fait de la recherche et du développement à l'appui des cyberopérations malveillantes du service russe de renseignement étranger ; SVA est une institution publique russe qui aurait également soutenu des cyberopérations malveillantes ; et les sociétés de sécurité informatique basées en Russie Neobit, AST et Positive Technologies ont des clients qui incluent le gouvernement russe, selon les États-Unis.

Positive Technologies a déclaré que l'annonce du département du Commerce ne contenait aucune nouvelle information et que la société s'était engagée dans « l'échange éthique d'informations avec la communauté professionnelle de la sécurité de l'information » et n'avait jamais été impliquée dans une attaque contre l'infrastructure américaine.

Les autres entités n'ont pas répondu immédiatement aux demandes de commentaires des médias ou n'ont pas pu être jointes.

Les restrictions contre l'industrie technologique russe sont en préparation depuis des mois. Le jour même où les sanctions du Trésor ont été annoncées, le procureur général adjoint de l'époque, John Demers, a déclaré aux journalistes que des responsables étaient en train d'évaluer des dizaines d'entreprises russes en vue d'un éventuel renvoi au département du Commerce.

Demers a déclaré que les enquêteurs examineraient « un lien connu entre une entreprise particulière et les services de renseignement russes » tandis qu'ils évaluaient si une entreprise représentait un risque. Les entreprises non russes qui ont des opérations de back-office en Russie seront également examinées, a-t-il déclaré.

Les États-Unis ajoutent des entités à la liste noire du commerce du département du Commerce qui, selon eux, présentent un risque pour la sécurité nationale ou les intérêts de politique étrangère des États-Unis.

Source : Département du Trésor américain
10  0 
Avatar de kain_tn
Membre expert https://www.developpez.com
Le 29/05/2021 à 14:46
Citation Envoyé par Stéphane le calme Voir le message

Le président de Microsoft, Brad Smith, a décrit l'attaque comme « l'attaque la plus grande et la plus sophistiquée que le monde ait jamais vue ».
Ouais enfin, il ne faut pas charrier non plus, hein. C'est une "supply chain attack" classique. Ils se sont juste fait avoir pour avoir fait confiance à un éditeur tiers avec des pratiques logicielles toutes pourries. Mais bon, face aux actionnaires il ne peut pas dire ça

Citation Envoyé par Stéphane le calme Voir le message

Les États-Unis et la Grande-Bretagne ont blâmé le service russe de renseignement extérieur (SVR), successeur des opérations d'espionnage étrangères du KGB, pour le piratage qui a compromis neuf agences fédérales américaines et des centaines d'entreprises du secteur privé.
Aaah, les Russes. Qui est-ce que les USA pourraient blâmer s'ils n'existaient pas?! Ah non, c'est bon en fait, ils en ont une pleine liste

Blâmer les autres quand on a délibérément fait du travail de cochon (et que l'on fait régulièrement la même chose), je trouve ça quand même très gros!
2  0 
Avatar de GordonFreeman
Membre confirmé https://www.developpez.com
Le 07/07/2021 à 17:00
Mais que dire...

Il ne se passent pas un jour sans qu'on nous parle des piratages de groupuscules Russes couvert par le gouvernement. Le point commun, les accusations viennent toujours du même pays, les preuves en revanche...

A croire qu'à force de répéter quelque chose ça en devient une réalité !

Et si c'est effectivement la réalité (ce qui est plausible évidement), alors peut-être que les Russes devraient faire comme les USA, ne pas s'embarrasser de "groupes criminels" et faire ça directement au niveau du gouvernement comme le pays de l'oncle Sam (prouvé maintes fois en Europe).

D'ailleurs, on ne parle plus trop des piratages Chinois depuis un moment ?! Soit c'est moins vendeur ou utile (en matière d'intérêt) soit c'est qu'ils sont surement devenus très sage depuis j'imagine.

En résumé, la guerre de l’information a de beau jours devant elle !
5  3 
Avatar de ormond94470
Membre actif https://www.developpez.com
Le 07/07/2021 à 8:35
Le mec qui doit désigner un coupable à la roulette est tombé 2x de suite sur la Russie, normalement la règle c'est qu'on retire le dernier désigné... Si tu me lis il doit rester que la Chine, l'Iran et la Corée du Nord. Bonne chance.
3  2 
Avatar de tanaka59
Expert confirmé https://www.developpez.com
Le 07/07/2021 à 22:04
Bonsoir,

Ce n'est pas le gouvernement Russe qui est a blamer ... plutôt les mafias des pays de l'est. On reparle des mafias roumaines, bulgares, hongroises, ukrainiennes et j'en passe ?

Puis bon on accuse toujours "la Russie , la Russie , la Russie " ... A un moment il serait bon aussi de s'interesser à ce qu'ils font. C'est clair que c'est moins glamour de dire qu'on a une solution de sécurité franco-russe ou belgo-russe , qu'une solution amerloc ...

Peut être qu'en s’intéressant plus à la Russie on s'apercevrait que les piratages de viennent pas de chez eux , voir mieux qu'on en aurait pas tout court ! ... C'est plus facile d'accuser et d'isoler en même temps ... La Russie c'est pas la peste non plus ...
4  3 
Avatar de Coperniqk
Candidat au Club https://www.developpez.com
Le 08/07/2021 à 17:42
Apparemment il y a beaucoup de lèche-bottes de Vladimir Poutine et son modèle de gouvernement par la terreur sur ce forum.
Franchement les cyberactivistes russes feraient mieux de vous recruter pour compléter l'équipe qui est chargé de FAIRE TOMBER L'OCCIDENT pour faciliter la domination du couple Chine-Russie !!!
3  7