Discussion :

[Stan Adkens]

Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger,
Plusieurs autres agences gouvernementales et organisations privées seraient également touchées

Des pirates informatiques, dont on pense qu'ils travaillent pour la Russie, ont pénétré dans les réseaux des Départements du Trésor et du Commerce des États-Unis dans le cadre d'une campagne mondiale de cyberespionnage révélée dimanche, a rapporté Reuters. Des personnes connaissant bien le sujet ont ajouté qu'ils craignaient que ce ne soit à ce stade que la partie émergée de l'iceberg d’une vaste campagne de piratage, qui intervient quelques jours seulement après que l'importante société de cybersécurité FireEye ait déclaré avoir été victime d'une cyberattaque.

Le piratage est si sérieux qu'il a conduit à une réunion du Conseil national de sécurité (NSC) à la Maison-Blanche samedi, a déclaré a Reuters l'une des personnes connaissant le sujet. Les responsables américains n'ont pas dit grand-chose publiquement au-delà du Département du Commerce, confirmant qu'il y avait eu une brèche dans l'une de ses agences, et qu'ils avaient demandé à l'Agence de cybersécurité et de sécurité des infrastructures et au FBI d'enquêter.

Le porte-parole du Conseil national de sécurité, John Ullyot, a ajouté qu'ils « prennent toutes les mesures nécessaires pour identifier et remédier à tout problème éventuel lié à cette situation », rapporté Reuters.

En réponse à ce qui pourrait être une pénétration à grande échelle des agences gouvernementales américaines, la branche cybersécurité du Département de la Sécurité intérieure a publié une directive d'urgence appelant toutes les agences civiles fédérales à fouiller leurs réseaux à la recherche de compromis. La menace provenait apparemment de la même campagne de cyberespionnage qui a frappé FireEye, des gouvernements étrangers et de grandes entreprises.

« Cela peut se transformer en l'une des campagnes d'espionnage les plus efficaces jamais enregistrées », a déclaré l'expert en cybersécurité Dmitri Alperovitch.

Le gouvernement américain n'a pas publiquement identifié qui pourrait être derrière le piratage, mais selon de nombreux médias, citant des personnes connaissant bien le sujet, le groupe de pirates informatiques, connu sous le nom d'APT29 ou Cozy Bear qui ferait partie du Service fédéral de sécurité russe ou FSB, serait à l’origine du vaste cyberespionnage. Le même groupe avait également été connu responsable du piratage du Département d’État américain et de la Maison-Blanche pendant l'administration Obama, selon le Washington Post, et est le groupe qui, selon les officiels, a ciblé la recherche sur le vaccin de covid-19 au cours de l'été.

Les cyberespions seraient entrés dans les réseaux en altérant subrepticement les mises à jour publiées par la société informatique SolarWinds, qui sert les clients du gouvernement à travers le pouvoir exécutif, l'armée et les services de renseignement, selon deux personnes connaissant bien le sujet. L'astuce - souvent appelée "attaque de la chaîne d'approvisionnement" - consistant à dissimuler un code malveillant dans le corps des mises à jour de logiciels légitimes fournis aux cibles par des tiers aurait fonctionné.

SolarWinds affirme dans un avis de sécurité que les produits de surveillance qu'elle a mis sur le marché en mars et en juin de cette année pourraient avoir été subrepticement armés lors d'une attaque « hautement sophistiquée » d'un État-nation. L'entreprise basée à Austin au Texas a refusé de donner plus de détails, mais la diversité de la clientèle de SolarWind a suscité des inquiétudes au sein de la communauté des services de renseignements américains, qui craignent que la portée de l’attaque soit trop importante.

Sur son site Web, SolarWinds indique que ses clients comprennent la plupart des entreprises américaines du Fortune 500, les dix premiers fournisseurs de télécommunications américains, les cinq branches de l'armée américaine, le Département d'État, l'Agence de sécurité nationale et le Bureau du Président des États-Unis.

Les contrôles d'authentification de la plateforme Microsoft 365 déjoués par les pirates informatiques

Le cyberespionnage contre le gouvernement pourrait s’étendre à une échelle plus importante. FireEye a déclaré dans un avis intitulé "Recherche sur les menaces" que les attaquants avaient infecté des cibles en utilisant Orion, un logiciel de gestion largement utilisé par SolarWinds. Après avoir pris le contrôle du mécanisme de mise à jour d'Orion, les attaquants l'utilisaient pour installer une porte dérobée que les chercheurs de FireEye appellent Sunburst.

« FireEye a détecté cette activité dans de multiples entités dans le monde entier », ont écrit les chercheurs de FireEye. « Les victimes ont inclus des gouvernements, des sociétés de conseil, des entreprises technologiques, de télécommunications et des entités d’extraction en Amérique du Nord, en Europe, en Asie et au Moyen-Orient. Nous prévoyons qu'il y aura d'autres victimes dans d'autres pays et d'autres secteurs. FireEye a informé toutes les entités dont nous savons qu'elles sont touchées ».

Dans un autre article, FireEye a indiqué qu'il avait identifié plusieurs organisations qui semblent avoir été infectées dès le printemps dernier. FireEye a déclaré que les logiciels malveillants qui ont fait la mise à jour de SolarWinds n'ont pas semé des logiciels malveillants qui se propagent automatiquement - comme le logiciel malveillant NotPetya 2016 attribué à la Russie qui a causé plus de 10 milliards de dollars de dommages dans le monde - et que toute infiltration réelle d'une organisation infectée nécessite « une planification méticuleuse et une interaction manuelle ».

Les experts en cybersécurité ont déclaré la semaine dernière qu'ils considéraient les pirates informatiques de l'État russe comme le principal suspect dans le piratage de FireEye. Dimanche, l'ambassade américaine de Russie a décrit comme « infondée » dans un post sur sa page Facebook les « tentatives des médias américains de blâmer la Russie pour les attaques de pirates informatiques contre les organes gouvernementaux américains ».

Reuters a rapporté qu'en plus de pirater le Trésor et l'Administration nationale des télécommunications et de l'information (NTIA) du Département du Commerce, les pirates ont pu intégrer les réseaux d'autres entités du gouvernement américain. « C'est une histoire bien plus importante qu'une seule agence », a déclaré l'une des personnes connaissant bien le sujet. « C'est une énorme campagne de cyberespionnage qui vise le gouvernement américain et ses intérêts ».

Un porte-parole du NSC a déclaré à Reuters que le gouvernement était « conscient » des rapports, et s’empresse de remédier à la situation. On ne sait pas encore exactement quelles informations ont pu être volées ni quel gouvernement étranger était impliqué. Mais les pirates informatiques ont réussi à pénétrer dans le logiciel de bureautique de la NTIA, Office 365 de Microsoft, en trompant les contrôles d'authentification afin de surveiller les courriels du personnel pendant des mois, selon Reuters.

Après avoir utilisé le mécanisme de mise à jour d'Orion pour prendre pied sur des réseaux ciblés, a déclaré Microsoft dans son propre post, les attaquants volent des certificats de signature qui leur permettent de se faire passer pour n'importe quel utilisateur et compte existant d'une cible, y compris des comptes hautement privilégiés.

Le logiciel malveillant a donné aux pirates un accès à distance aux réseaux des victimes, et Alperovitch a déclaré que SolarWinds accorde un accès "God-mode" à un réseau, rendant tout visible. « Nous prévoyons que ce sera un très grand événement lorsque toutes les informations seront connues », a déclaré John Hultquist, directeur de l'analyse des menaces chez FireEye. « L'acteur opère furtivement, mais nous trouvons certainement encore des cibles dans lesquelles il parvient à opérer ».

Dans un tweet dimanche, Chris Krebs, chercheurs en cybersécurité a déclaré que « les pirates de ce type nécessitent un savoir-faire et un temps exceptionnels », ajoutant qu'il pensait que son impact commençait seulement à être compris.

Les agences gouvernementales fédérales ont longtemps été des cibles attrayantes pour les pirates informatiques étrangers. Les pirates informatiques liés à la Russie ont réussi à pénétrer dans le système de messagerie électronique du Département d'État en 2014, l'infectant de manière si complète qu'il a fallu le couper d'Internet pendant que des experts travaillaient à éliminer l'infestation, a rapporté Apnews.

L'étendue de la dernière violation n'est pas encore déterminée. L'enquête en est encore à ses débuts et implique une série d'agences fédérales. Un porte-parole de la Cybersecurity and Infrastructure Security Agency a déclaré à Reuters que l’agence « travaille en étroite collaboration avec nos partenaires de l'agence concernant les activités récemment découvertes sur les réseaux gouvernementaux. La CISA fournit une assistance technique aux entités concernées alors qu'elles s'efforcent d'identifier et d'atténuer tout compromis potentiel ».

L’une des rares directives du DHS publiée dimanche a déclaré que les agences américaines devraient immédiatement déconnecter ou mettre hors tension toute machine utilisant le logiciel SolarWinds concerné.

Sources : Reuters, SolarWinds, FireEye, DHS, Microsoft

Et vous ?

Qu’en pensez-vous ?
Les plus grandes campagnes de cyberattaque sont très souvent imputées ou soutenues par un gouvernement étranger. Est-il possible de se prémunir contre de telles attaques ?

Voir aussi :

Les USA inculpent six agents du renseignement militaire russe pour une série de cyberattaques majeures, dont le wiper NotPetya et l'attaque contre le parti français En marche ! en 2017
Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles
Les Etats-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées
L'Union européenne prononce ses premières sanctions liées à la cybercriminalité, contre des Russes, Chinois et Nord-Coréens, impliqués dans des attaques comme WannaCry, NotPetya ou Cloud Hopper

[marsupial]

La compromission par point d'eau est imparable. On l'a vu avec NotPetya. Par contre lors du déplacement dans le réseau, cela peut être détecté. Ici, dans le cas qui nous préoccupe, aucune volonté de destruction ou de détournement des infrastructures mais la pèche aux informations. Si les premiers cas remontent au printemps, nul doute que toutes les infos de ces services américains sont compromises. Maintenant, la question de l'origine du piratage reste entière. Les chinois peuvent très bien en être à l'origine tout comme les russes. D'ailleurs, je ne me prononcerai pas sur son nid mais bien quel est le principe d'authentification de Microsoft Office 365 pour qu'il se fasse bypasser ainsi. Ou plus précisément, quelle est la sûreté des certificats.

[Nancy Rey]

L’attaque de la chaîne d'approvisionnement contre la société SolarWinds expose près de 18 000 organisations,
ce piratage peut dévoiler de profonds secrets américains ; les dégâts sont encore inconnus

Certains des secrets les plus profondément enfouis des États-Unis ont peut-être été volés lors du piratage du logiciel SolarWinds. Une opération qui a été imputée à l'élite des hackers du gouvernement russe. Les possibilités de ce qui aurait pu être dérobé sont ahurissantes. Les pirates informatiques auraient-ils pu obtenir des secrets nucléaires ? Des données sur le vaccin COVID-19 ? Des plans pour la prochaine génération de systèmes d'armes ? Il faudra des semaines, voire des années dans certains cas, pour que les détectives numériques passent au peigne fin les réseaux du gouvernement américain et de l'industrie privée pour obtenir les réponses. Selon les experts, ces pirates informatiques sont des professionnels accomplis qui savent brouiller les pistes. Certains vols peuvent ne jamais être détectés.

Ce qui semble clair, c'est que cette campagne, qui selon les experts en cybersécurité, présente les tactiques et les techniques de l'agence de renseignement russe SVR sera l'une des plus prolifiques dans les annales du cyberespionnage.

« Il a été dit que sur une échelle de 1 à 10, c'est probablement un 11 pour le type d'attaque, l'ampleur et les dommages potentiels qu'elle a causés. Pas d'un point de vue infrastructurel, comme s'attaquer au réseau électrique ou démanteler des choses. Mais simplement à cause de la perte d'informations, du vol de secrets, en particulier d'informations très sensibles et du fait que cela durait depuis des mois », a déclaré l'analyste de la cybersécurité Mark Wright, le conseiller en chef de la sécurité de la start-up californienne Sentinel One. « Nous n'avons même pas encore mesuré l'ampleur des dégâts. Mais je vous garantis que lorsqu'elle sera terminée, elle sera bien pire que ce que nous pensons actuellement, car nous n'avons pas encore découvert toutes les personnes qui ont été attaquées par cette campagne », a ajouté Wright.

Randy Watkins, le directeur de la technologie de la société de cybersécurité Critical Start, basée au Texas, a déclaré que les objectifs des pirates peuvent être aussi bien financiers que le vol et la destruction de données. « La principale motivation des cyberattaques est l'argent, le vol et la destruction. Alors que de nombreux médias ont couvert l'impact monétaire des logiciels de rançon, les campagnes de vol et de destruction de données sont toujours très actives », a déclaré Watkins. L'expert en cybersécurité a ajouté que la nouvelle administration du président élu Joe Biden « devra reconnaître la menace croissante de cyberattaques de la part des grandes puissances mondiales et des nations terroristes ».

Les attaques, rapportées pour la première fois dimanche, ont apparemment été menées par des pirates informatiques du service de renseignement extérieur russe. Ces acteurs sont souvent classés APT 29 ou "Cozy Bear", mais les responsables de l'incident tentent toujours de reconstituer l'origine exacte des attaques au sein de l'appareil militaire russe de piratage. Les compromis remontent tous à SolarWinds, une société de gestion d'infrastructures et de réseaux informatiques dont les produits sont utilisés par le gouvernement américain, par de nombreux entrepreneurs du secteur de la défense et par la plupart des entreprises du classement Fortune 500. SolarWinds a déclaré dimanche que des pirates informatiques avaient réussi à modifier les versions d'un outil de surveillance de réseau appelé Orion que la société avait publiées entre mars et juin.

« Nous avons été informés que cette attaque a probablement été menée par un État étranger et qu'il s'agissait d'une attaque étroite, extrêmement ciblée et exécutée manuellement, par opposition à une attaque de grande envergure visant l'ensemble du système », a écrit la société. SolarWinds a des centaines de milliers de clients en tout ; elle a déclaré lundi, dans un communiqué de la Securities and Exchange Commission, que jusqu'à 18 000 d'entre eux étaient potentiellement vulnérables à l'attaque.

FireEye et Microsoft ont tous deux détaillé le déroulement de l'attaque. Tout d'abord, les pirates ont compromis le mécanisme de mise à jour Orion de SolarWinds afin que ses systèmes puissent distribuer des logiciels corrompus à des milliers d'organisations. Les attaquants ont ensuite pu utiliser le logiciel Orion manipulé comme une porte dérobée vers les réseaux des victimes. De là, ils pouvaient se déployer dans les systèmes cibles, souvent en volant des jetons d'accès administratifs. Enfin, avec les clés du royaume - ou de larges portions de chaque royaume - les pirates étaient libres de mener des reconnaissances et d'exfiltrer des données.

L'astuce, souvent appelée "attaque de la chaîne d'approvisionnement", consiste à dissimuler un code malveillant dans le corps des mises à jour de logiciels légitimes fournis aux cibles par des tiers aurait fonctionné. Ce type d’ attaque peut avoir de graves conséquences. En compromettant une entité ou un fabricant, les pirates peuvent saper la sécurité de la cible de manière efficace et à grande échelle.

Par ailleurs, un chercheur en sécurité révèle que le serveur de mise à jour de Solarwinds était "sécurisé" avec le mot de passe "solarwinds123", après que les USA aient investis des milliards en Cybersécurité c'est quand même assez ridicule d'en arriver la, le maillon faible : l'erreur humaine...

Ce n’est pas la première fois que la Russie compte sur une attaque de la chaîne d'approvisionnement pour avoir un impact à grande échelle. En 2017, les services de renseignement militaire du pays ont utilisé l'accès au logiciel de comptabilité ukrainien MeDoc pour diffuser son malware destructeur NotPetya dans le monde entier. L'attaque contre SolarWinds et ses clients semble avoir été axée sur la reconnaissance ciblée plutôt que sur la destruction. Mais avec des opérations silencieuses et nuancées, il existe toujours un risque très réel que l'étendue des dégâts ne soit pas immédiatement connue. Une fois que les attaquants se sont intégrés dans les réseaux cibles (ce que l'on appelle souvent "établir la persistance") la simple mise à jour du logiciel compromis ne suffit pas à les débusquer. Ce n'est pas parce que Cozy Bear a été pris que le problème est résolu.

En fait, FireEye a souligné dimanche que l'attaque est actuellement en cours. Le processus d'identification des infections potentielles et de recherche de leur source prendra du temps. « Les attaquants en question ont été particulièrement discrets dans l'utilisation des infrastructures de réseau. Il semble notamment qu'ils aient largement compté sur le renouvellement ou le réenregistrement de domaines existants plutôt que sur la création d'éléments complètement nouveaux, et qu'ils aient utilisé divers services d'hébergement en nuage pour l'infrastructure réseau », explique Joe Slowik, chercheur au sein de la société de renseignement sur les menaces DomainTools. Ces techniques aident les attaquants à masquer les indices sur leur identité, à couvrir leurs traces et, en général, à se fondre dans le trafic légitime.

Il est également difficile de se faire une idée de l'ampleur des dégâts, car Orion est lui-même un outil de surveillance, mettant en place une sorte de "qui surveille les surveillants". Pour cette même raison, les systèmes accordent également à Orion une confiance et des privilèges sur les réseaux d'utilisateurs qui ont de la valeur pour les attaquants. Les victimes et les cibles potentielles doivent envisager la possibilité que ces attaques compromettent également une grande partie de leurs autres infrastructures et mécanismes d'authentification en utilisant l'accès omniprésent d'Orion. L'ampleur de l'exposition des agences gouvernementales américaines est encore inconnue ; la révélation que le Département de la Sécurité intérieure des États-Unis a également été touché n'a pas eu lieu avant lundi après-midi.

« Nous devons nous attendre à ce que d'autres organisations de la chaîne d'approvisionnement soient également compromises. Les États-nations utilisent généralement ce type d'attaques pour des efforts très ciblés, mais l'impact que vous devez supposer est énorme et a un impact direct sur la sécurité nationale », déclare David Kennedy, PDG de la société de suivi des menaces Binary Defense Systems, qui a travaillé auparavant à la NSA et avec l'unité de renseignement sur les signaux du corps des Marines.

L'agence de cybersécurité et de sécurité des infrastructures du ministère de la sécurité intérieure a émis une série d'alertes dimanche et une directive d'urgence pour les agences fédérales afin de vérifier si les produits SolarWinds Orion sont compromis et déconnectés. « Nous demandons instamment à tous nos partenaires des secteurs public et privé d'évaluer leur exposition à cette compromission et de sécuriser leurs réseaux", a tweeté la Certified Information Systems Auditor (CISA). Ces dernières semaines, le directeur et le directeur adjoint de la CISA ont démissionné ou ont été licenciés par le président Donald Trump, et d'autres hauts responsables de la cybersécurité du Département de la Sécurité intérieure des États-Unis ont également été écartés.

Le Conseil national de sécurité de la Maison Blanche, qui aurait tenu une réunion d'urgence samedi, a déclaré lundi, par l'intermédiaire de son porte-parole John Ullyot, qu'il collaborait avec la CISA, le FBI et les services de renseignement pour répondre à "un redressement rapide et efficace de l'ensemble du gouvernement".

Pour sa part, l'ambassade de Russie a nié l'implication du pays dimanche, qualifiant l'attribution préliminaire de « tentatives infondées des médias américains de blâmer la Russie pour les attaques de pirates informatiques sur les organes gouvernementaux américains ». La déclaration de l'ambassade a ajouté que « la Russie ne mène pas d'opérations offensives dans le domaine cybernétique ».

Les pirates du monde entier se sont de plus en plus appuyés sur les attaques de la chaîne d'approvisionnement pour obtenir un accès maximal ou une puissance destructrice rapidement et efficacement. Et la communauté de la sécurité a mis en garde contre leur danger très réel, dans le pire des cas. L'ampleur éventuelle des retombées de SolarWinds leur donnera probablement raison.

Sources : CISA (1, 2), Twitter

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger. Plusieurs autres agences gouvernementales et organisations privées seraient également touchées

Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles

Les États-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées

L'Union européenne prononce ses premières sanctions liées à la cybercriminalité, contre des Russes, Chinois et Nord-Coréens, impliqués dans des attaques comme WannaCry, NotPetya ou Cloud Hopper

[onilink_]

En même temps quand tu utilises en mot de passe le nom de ton entreprise sur des éléments critiques... faut pas s'étonner que certains en profitent.
Cf: https://www.newsweek.com/solarwinds-...box=1608066784

[ijk-ref]

"solarwinds123" !

Comme toujours pour moi la faute n'incombe pas à celui qui choisi ce mot de passe... mais à ceux qui ont décidé de laisser la possibilité de choisir des mots de passe manuellement.

[Mc geek]

"solarwinds123" !

Comme toujours pour moi la faute n'incombe pas à celui qui choisi ce mot de passe... mais à ceux qui ont décidé de laisser la possibilité de choisir des mots de passe manuellement.

Sauf que là, comme le dit l'article mentionné plus haut, il ne s'agit pas du mot de passe d'un utilisateur mais de celui de contrôle du serveur de mise à jour. Il s'agit donc d'un employé qui n'est pas le pékin moyen en matière d'informatique, ce qui veut dire qu'il savait très certainement que c'était un très mauvais mot de passe. Donc ce n'est pas la faute du développeur de ne pas avoir mis assez de contrôles lors de l'enregistrement du mot de passe.

[ijk-ref]

Donc ce n'est pas la faute du développeur de ne pas avoir mis assez de contrôles lors de l'enregistrement du mot de passe.

Justement sur un programme comme celui-ci, ce n'est pas le résultat d'un développeur mais d'une équipe voire de plusieurs équipes. Ce problème arrive tout le temps un jour ou un autre donc la solution n'est pas de croiser les doigts en espérant qu'exceptionnellement cela n'arrivera pas cette fois ci car on a assez formé les gens à être tout le temps bien élevés .

[Mc geek]

Mais ça revient à faire peser sur le concepteur une grande part de la responsabilité du piratage alors qu'il s'agit d'une pratique connue et que le public est supposé être dans son domaine de compétence. Et je trouve qu'en argumentant de la sorte on se contente de rejeter la faute sur quelqu'un d'autre. « C'est pas de ma faute si le serveur de mise à jour a été piraté, c'est pas parce que j'ai choisi un mot de passe stupide, c'est parce qu'on ne m'en a pas empêché alors que je suis censé m'y connaître. » Ça revient à déresponsabiliser l'administrateur.

Ajouter une fonction d'évaluation automatique de la sécurité du mot de passe est une bonne chose, mais ça ne change pas la responsabilité de celui qui a provoqué la faille. Pour moi, une faute partagée peut être envisageable (et encore) mais dire que c'est avant tout parce que le logiciel est mal conçu est clairement une erreur d'attribution.

PS : Et encore une fois, il s'agit d'un mot de passe administrateur du serveur de mise à jour et pas de celui d'un poste de travail lambda.

[ijk-ref]

Ajouter une fonction d'évaluation automatique de la sécurité du mot de passe est une bonne chose, mais ça ne change pas la responsabilité de celui qui a provoqué la faille. Pour moi, une faute partagée peut être envisageable (et encore) mais dire que c'est avant tout parce que le logiciel est mal conçu est clairement une erreur d'attribution.

On ne se comprends pas. Je ne parle pas du tout d'une vérification automatique de la sécurité de mots de passe... mais de ne PAS laisser choisir et écrire de mot de passe MANUELLEMENT. Ce n'est donc pas un problème de développeurs comme t'imagines je le penses. MAIS un problème général où une solution universelle devrait être trouvée.

Elle existe déjà partiellement comme avec YubiKey imposé chez Facebook sauf qu'il manque toujours à mon avis une interface universelle bon-marché et non compromettante pour les ordi. Un port USB classique exhibé sur des ordinateurs sensibles n'est pas du tout souhaitable. Il faudrait donc à l'instar d'un clavier une nouvelle interface fiable auquel relier cette clé physique. Cela pourrait être un port USB (identifiable) du moment qu'en internet il ne soit pas une interface USB (trop faillible)

Note : bien sûr que l'administrateur de ce mot de passe est responsable et surtout sanctionnable pour une telle bêtise professionnelle. Je précise seulement qu'il ne faut pas prétendre que cette faille n'existe pas. Circulez il n'y a pas de faille c'est un problème humain. Bah non, elle pourrait être annihilée si toute l'industrie travaillait ensemble dessus.

[MRSizok]

La guerre mondial cybernétique coup d'envoie de la Saison 2021...

[walfrat]

D'un côté si les USA on fait la même chose à la Russie, les chances qu'on en entende parler sont beaucoup plus faibles

[spyserver]

En mm tps avec toutes les séries, jeux video, les réseaux sociaux etc. qui sortent sur le sujet forcément ça créé des vocations ...

[Fagus]

Ils auraient dû installer un bon antivirus pour se protéger, comme, Kaspersky
... ou un os durci que le monde entier nous envie (CLIP OS)

[Stan Adkens]

La vaste campagne de piratage informatique a atteint Microsoft,
Qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »

Microsoft a été piraté par le même groupe qui a compromis les réseaux du fabricant de logiciels SolarWinds et de plusieurs agences fédérales américaines, ainsi que d’autres organisations, a rapporté Reuters, citant des personnes connaissant bien le sujet. La société de Redmond utilise Orion, le logiciel de gestion de réseau de SolarWinds largement déployé, qui a été utilisé par les pirates informatiques présumés liés à la Russie dans les attaques révélées ces dernières semaines. Le piratage de Microsoft ajoute une cible technologique de premier plan à une liste croissante d'agences gouvernementales attaquées.

Les propres produits de Microsoft ont également été utilisés comme effet de levier pour attaquer les victimes, d’après les sources de Reuters qui sont au courant des enquêtes en cours. L'Agence de sécurité nationale américaine a publié jeudi un rare "avis de cybersécurité" détaillant comment certains services Cloud de Microsoft Azure ont pu être compromis par des pirates et enjoignant les utilisateurs à verrouiller leurs systèmes.

En réponse au rapport de Reuters, Microsoft a déclaré avoir détecté une version du logiciel de SolarWinds comportant une porte dérobée sur son réseau, mais n'a découvert aucune preuve qu'elle ait été utilisée pour compromettre le système de production de la société ou accéder aux données des clients. Dans une déclaration publiée sur Twitter par le porte-parole de Microsoft, Frank X. Shaw, les responsables de la société ont écrit :

« Comme d'autres clients de SolarWinds, nous avons recherché activement des indicateurs de cet acteur et pouvons confirmer que nous avons détecté des binaires SolarWinds malveillants dans notre environnement, que nous avons isolés et supprimés. Nous n'avons trouvé aucune preuve d'accès aux services de production ou aux données des clients. Nos enquêtes, qui sont en cours, n'ont trouvé absolument aucune indication que nos systèmes ont été utilisés pour attaquer d'autres personnes ».

Si la déclaration de Microsoft ne dit pas qu'aucune partie du réseau de Microsoft n'a été compromise, elle remet néanmoins en cause des éléments clés des rapports de Reuters. Citant les mêmes personnes au courant du piratage, Reuters a déclaré qu'après que les pirates aient pénétré les systèmes de Microsoft, ils ont utilisé les propres produits de Microsoft dans des piratages de suivi contre d'autres organisations. On ne sait pas immédiatement combien d'utilisateurs de Microsoft ont été touchés ni quels produits de Microsoft ont été utilisés.

Cependant, une autre personne connaissant bien le sujet a déclaré à Reuters que le Département de la Sécurité intérieure (DHS) ne pense pas que Microsoft ait été un vecteur important de nouvelle infection.

Microsoft n'est que l'un des récents ajouts à la liste des victimes de ce piratage avancé et de grande envergure qui aurait reçu le soutien du gouvernement russe. Politico a récemment rapporté que le Département américain de l’Energie et l'Administration nationale de la sécurité nucléaire avaient des preuves que les mêmes pirates informatiques avaient accédé à leurs réseaux. Mais une porte-parole du ministère de l’Energie a déclaré que les logiciels malveillants « ont été isolés dans des réseaux d'entreprises uniquement » et n'ont pas eu d'impact sur la sécurité nationale des États-Unis, y compris la NNSA.

Bloomberg News a rapporté, en citant des sources, que trois États américains non identifiés ont été piratés dans le cadre de la même campagne. The Intercept, quant à lui, a déclaré que les attaquants étaient dans les réseaux informatiques de la ville d'Austin, au Texas, depuis des mois.

Les empreintes électroniques et les logs supprimés par les attaquants, rendant ainsi difficile la détermination de ce qu’ils ont pu voler

La CISA a demandé aux enquêteurs de ne pas supposer que leurs organisations étaient en sécurité si elles n'utilisaient pas les versions récentes du logiciel SolarWinds, selon son message d’alerte. La CISA a déclaré qu'elle continuait à analyser les autres moyens utilisés par les attaquants. Jusqu'à présent, les pirates sont connus pour avoir au moins surveillé le courrier électronique ou d'autres données au sein des Départements américains de la Défense, de l’État, du Trésor, de la Sécurité intérieure et du Commerce.

Pas moins de 18 000 clients d'Orion ont téléchargé les mises à jour qui contenaient une porte dérobée, a déclaré SolarWinds. Depuis que la campagne a été découverte, les sociétés de logiciels ont coupé la communication entre ces portes dérobées et les ordinateurs entretenus par les pirates. Mais les pirates ont peut-être installé d'autres moyens de maintenir l'accès, selon la CISA, dans ce que certains ont qualifié de plus grand piratage informatique depuis une décennie.

Le ministère de la Justice, le FBI et le ministère de la Défense, entre autres, ont déplacé les communications de routine sur des réseaux classifiés qui n'auraient pas été piratés, a rapporté Reuters. Ils supposent que tous les réseaux non classifiés ont été pénétrés, selon les personnes interrogées par Reuters.

La CISA et des entreprises privées, dont FireEye Inc, qui a été la première société à découvrir et à révéler qu'elle avait été piratée, ont publié une série d'indices que les organisations peuvent rechercher pour savoir si elles ont été touchées. Mais les attaquants sont très prudents et ont supprimé les journaux, les empreintes électroniques ou les fichiers auxquels ils ont accédé, a indiqué Reuters en citant les experts en sécurité. Il est donc difficile de savoir ce qui a été pris.

Certaines grandes entreprises ont déclaré qu'elles n'avaient "aucune preuve" qu'elles avaient été piratées, mais dans certains cas, cela peut être uniquement dû au fait que les preuves ont été supprimées, a rapporté Reuters.

Sur les 18 000 serveurs "backdoorés", seulement 40 ont été suivis par les pirates informatiques, selon Microsoft

Sur les 18 000 organisations qui ont téléchargé une mise à jour d'un logiciel de SolarWinds, seulement environ 0,2 % a été suivie par un piratage qui a utilisé la porte dérobée pour installer une charge utile de deuxième niveau, selon un article de blog publié jeudi par le président de Microsoft, Brad Smith. Les organisations les plus importantes ayant reçu la deuxième étape étaient, dans l'ordre, les entreprises technologiques, les agences gouvernementales et les groupes de réflexion/ONG. Selon M. Smith, la grande majorité - 80 % - de ces 40 organisations ciblées se trouvaient aux États-Unis.

En plus des chiffres, Brad Smith a également fait un commentaire perspicace et sobre sur l'importance de cette attaque presque sans précédent. Il a admis que ses chiffres sont incomplets, car Microsoft ne voit que ce que son application Windows Defender détecte.

La campagne de piratage n'a été révélée qu'après que la société de sécurité FireEye ait admis qu'elle avait été piratée par un État-nation. Au cours de leur enquête, les chercheurs de l'entreprise ont découvert que les pirates avaient utilisé la porte dérobée introduite dans Orion de SolarWinds, non seulement contre FireEye, mais aussi dans le cadre d'une campagne beaucoup plus vaste visant plusieurs agences fédérales. Au cours des jours qui se sont écoulés depuis, la portée et la discipline de l'opération de piratage sont devenues de plus en plus claires.

Le piratage de SolarWinds et le "backdooring" de 18 000 serveurs n'étaient que la première phase de l'attaque, qui n'a été faite que pour initialiser les cibles d'intérêt. Ces organisations de premier ordre ont probablement été le seul but de l'opération, qui a duré au moins neuf mois, voire beaucoup plus. Les chiffres de Microsoft illustrent à quel point cette attaque était ciblée. Les attaquants derrière ce compromis de la chaîne d'approvisionnement avaient un accès privilégié à 18 000 réseaux d'entreprise et n'ont suivi que 40 d'entre eux.

Le graphique montrant les secteurs victimes du piratage

Smith a tacitement reconnu que toutes les nations industrialisées se livrent à l'espionnage, y compris au piratage informatique. Ce qui était différent cette fois, disait-il, c'était qu'un État-nation avait enfreint les normes établies en mettant de vastes pans du monde en réel danger pour poursuivre ses objectifs. Smith a poursuivi en écrivant :

« Il est essentiel que nous prenions du recul et que nous évaluions l'importance de ces attaques dans leur contexte global. Il ne s'agit pas d'un "espionnage comme d'habitude", même à l'ère du numérique. Il s'agit plutôt d'un acte d'imprudence qui a créé une grave vulnérabilité technologique pour les États-Unis et le monde. En effet, il ne s'agit pas seulement d'une attaque contre des cibles spécifiques, mais contre la confiance et la fiabilité des infrastructures critiques du monde entier afin de faire progresser l'agence de renseignement d'une nation. Si la dernière attaque semble refléter une attention particulière portée aux États-Unis et à de nombreuses autres démocraties, elle rappelle aussi avec force que les populations de pratiquement tous les pays sont en danger et ont besoin de protection, quel que soit le gouvernement sous lequel elles vivent ».

Ailleurs dans le post, Smith a cité les propos tenus récemment par le PDG de FireEye, Kevin Mandia : « Nous sommes témoins d'une attaque par une nation ayant des capacités offensives de haut niveau ». Le président de Microsoft a ensuite écrit :

« Alors que les experts en cybersécurité de Microsoft nous aident à réagir, nous sommes arrivés à la même conclusion. L'attaque représente malheureusement une attaque large et réussie basée sur l'espionnage, à la fois sur les informations confidentielles du gouvernement américain et sur les outils technologiques utilisés par les entreprises pour les protéger. L'attaque est en cours et fait l'objet d'une enquête active et d'une réponse des équipes de cybersécurité dans les secteurs public et privé, y compris Microsoft. Comme nos équipes sont les premières à réagir à ces attaques, ces enquêtes en cours révèlent une attaque remarquable par son ampleur, sa sophistication et son impact ».

Pendant ce temps, les membres du Congrès demandent plus d'informations sur ce qui a pu être volé et comment, ainsi que sur les personnes qui étaient derrière tout cela, d’après Reuters. La Commission de la sécurité intérieure et la Commission de surveillance de la Chambre des représentants ont annoncé une enquête jeudi, tandis que les sénateurs ont fait pression pour savoir si des informations fiscales individuelles ont été obtenues, a rapporté Reuters.

Dans une déclaration, le président élu Joe Biden a déclaré qu'il allait « élever la cybersécurité au rang d'impératif dans tout le gouvernement » et « perturber et dissuader nos adversaires » d'entreprendre des piratages aussi importants.

Sources : Reuters, Microsoft, Brad Smith

Et vous ?

Qu’en pensez-vous ?
Le président de Microsoft qualifie le piratage de SolarWinds d’« acte d'imprudence qui a créé une grave vulnérabilité technologique pour les États-Unis et le monde ». Quel commentaire en faites-vous ?
Seulement 40 sur 18 000 organisations "backdoorées" ont été suivies par les piratages, d’après Brad Smith. Qu’en pensez-vous ?

Voir aussi :

L'attaque de la chaîne d'approvisionnement contre la société SolarWinds expose près de 18 000 organisations, ce piratage peut dévoiler de profonds secrets américains ; les dégâts sont encore inconnus
Les pirates informatiques ont ciblé l'Agence américaine des armes nucléaires dans une violation massive de la cybersécurité, dans le cadre d'un assaut plus large contre les agences fédérales
Les Etats-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées
Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles

[marsupial]

Qu’en pensez-vous ?

Bah j'me marre : 9 mois pour découvrir qu'on a été piraté de la part de Microsoft et Fire Eye est une preuve que la cybersécurité n'est pas pour les amateurs.

Le président de Microsoft qualifie le piratage de SolarWinds d’« acte d'imprudence qui a créé une grave vulnérabilité technologique pour les États-Unis et le monde ». Quel commentaire en faites-vous ?

J'apprends que le monde se limite aux Etats-Unis...

Seulement 40 sur 18 000 organisations "backdoorées" ont été suivies par les piratages, d’après Brad Smith. Qu’en pensez-vous ?

Non seulement les pirates sont bien préparés, mais en plus, ils avaient des objectifs précis.

Dans une déclaration, le président élu Joe Biden a déclaré qu'il allait « élever la cybersécurité au rang d'impératif dans tout le gouvernement » et « perturber et dissuader nos adversaires » d'entreprendre des piratages aussi importants.

Ca, ça me fait moins marrer déjà car on doit s'attendre à une escalade.

[Refuznik]

Les Américains accusent sans preuve. C’est une habitude. Surtout si c’est pour désigner la Russie. A supposer que tout soit vrai, que la pénétration ait bien eu lieu, quelle que soit l’identité véritable des auteurs, cela souligne surtout l’incompétence des services de sécurité américains, incapables de protéger les structures essentielles de l’Etat. Si les auteurs du casse sont, effectivement, les Russes, cela veut dire qu’ils sont bien plus puissants que les Américains, dans le domaine essentiel de la guerre informatique. Mais les auteurs de l’attaque, à supposer une fois de plus qu’elle ait bien eu lieu, peuvent aussi être Américains. Imaginons les sommes énormes qui vont être engagées par l’Etat fédéral pour améliorer la sécurité informatique de ses agences. Il y aura beaucoup d’argent à gagner. Ce type de provocation est un grand classique : vous montrez la faille, puis vous dites comment la réparer. Bref, tout est possible. Tant qu’on ne sait pas qui l’a fait, avec certitude.

[Stan Adkens]

Trump minimise le piratage russe dans ses premiers commentaires sur la violation massive, suggère l’implication de la Chine,
Et suppose une attaque des machines à voter

Le président américain Donald Trump, dans ses premiers commentaires sur une violation généralisée des données au sein du gouvernement américain, a minimisé samedi la campagne de cyberespionnage et s'est demandé si la Russie était à blâmer comme le prétend son propre diplomate de haut niveau. Les commentaires de Trump ont remis en cause les experts qui considèrent l’attaque comme le travail des services de renseignements russes et ont pris la Maison-Blanche au dépourvu, le secrétaire d’État Mike Pompeo ayant déclaré bien avant que la Russie était « assez clairement » derrière le piratage.

La Maison-Blanche s'apprêtait vendredi à attribuer officiellement le cyberpiratage à la Russie dans une déclaration, mais on lui a dit de se retirer, a rapporté NBC News qui cite un responsable américain. Le fonctionnaire n'a pas dit qui avait donné l'ordre de se retirer, selon NBC News.

FireEye, une importante société américaine de cybersécurité ayant des contrats gouvernementaux importants, a révélé le piratage au début de ce mois. Dans un article de blog de la société, le PDG Kevin Mandia a qualifié cette attaque de « cyberattaque par une nation ayant des capacités offensives de premier plan ». Il a ensuite déclaré que l'objectif principal des pirates semblait être de voler des informations aux clients gouvernementaux de la société.

Le bureau du directeur du renseignement national, dirigé par John Ratcliffe, un allié du président Trump, a également publié une déclaration mercredi décrivant l'incident comme « significatif », selon Bloomberg. « Il s'agit d'une situation qui évolue, et même si nous continuons à travailler pour comprendre toute l'étendue de cette campagne, nous savons que ce compromis a affecté les réseaux au sein du gouvernement fédéral », a déclaré le directeur du renseignement national dans la déclaration.

Bloomberg News a rapporté samedi qu'au moins 200 organisations, y compris des agences gouvernementales et des entreprises du monde entier, ont été piratées dans le cadre de la cyberattaque présumée russe – au cours de laquelle les pirates informatiques ont installé une porte dérobée dans un logiciel largement utilisé de la société texane SolarWinds Corp. qui leur permettait d'accéder aux réseaux informatiques.

Trump, cependant, dans ses premiers commentaires publics publiés samedi sur le piratage, a déclaré que l'incident était « bien plus important dans les faux médias que dans la réalité ». Il a poursuivi en disant : « J'ai été pleinement informé et tout est sous contrôle. La Russie, la Russie, la Russie est le chant prioritaire quand il se passe quelque chose parce que Lamestream est, pour des raisons essentiellement financières, pétrifié de... discuter de la possibilité que ce soit la Chine (il se peut !) », a écrit Trump sur Twitter.

Les commentaires de Trump sont le dernier exemple en date de sa réticence à critiquer la Russie, dont les agences de renseignement américaines ont dit qu'elles s'étaient immiscées dans les élections de 2016 pour aider Trump.

John Ullyot, porte-parole du Conseil national de sécurité de la Maison-Blanche, a déclaré samedi dans un communiqué : « Pour l'instant, le NSC s'attache à enquêter sur les circonstances entourant cet incident, et à travailler avec nos partenaires inter-agences pour atténuer la situation. Il y aura une réponse appropriée aux acteurs qui sont derrière cette conduite ».

Le président Trump a également affirmé sans preuve sur Twitter samedi que le piratage aurait pu avoir un impact sur les machines de vote, poursuivant sa campagne pour discréditer les résultats des élections de 2020. Twitter a signalé le tweet du président, notant que l'élection a été certifiée en faveur de la victoire Joe Biden.

Les agences de renseignement et les experts américains n'ont pas lié la Chine à ce piratage, qui a commencé au moins dès le mois de mars, bien qu'il ait été découvert seulement la semaine dernière. Trump n'a fourni aucune information dans son tweet sur les raisons pour lesquelles il pense que la Chine pourrait être impliquée.

Trump contredit Pompeo, qui a lié la cyberattaque à Moscou

Vendredi, avant le tweet de Trump, Mike Pompeo, un proche allié du président, a déclaré dans une interview lors de l’émission "Mark Levin Show" qu'il pensait que la Russie était derrière le piratage.

« Je ne peux pas en dire beaucoup plus, car nous sommes encore en train de déballer précisément ce que c'est, et je suis sûr qu'une partie restera confidentielle », a déclaré Pompeo. « C'était un effort très important, et je pense que nous pouvons maintenant dire assez clairement que ce sont les Russes qui se sont engagés dans cette activité ».

Lorsqu'il lui a été demandé si Trump allait s'exprimer au cours de l'enquête, Pompeo a répondu que parfois « la ligne de conduite la plus sage pour protéger le peuple américain est de continuer calmement vos affaires et de défendre la liberté ». Mais le président n’a pas manqué de taguer Pompeo et le directeur du renseignement national John Ratcliffe dans son tweet de samedi, soulignant son intention de contredire l'évaluation des responsables de l'administration qui ont blâmé la Russie pour l'intrusion.

Marco Rubio de Floride, président par intérim de la commission sénatoriale du renseignement, a rejeté la conclusion de Trump, qualifiant le piratage de « cyberintrusion la plus grave de notre histoire », et celle menée par « les services de renseignement russes ». Le représentant Adam Schiff, président de la commission des renseignements de la Chambre des représentants, a tweeté que le commentaire de Trump était une « scandaleuse trahison de notre sécurité nationale » qui « semble avoir pu être écrite au Kremlin ».

Parmi les agences gouvernementales américaines connues pour avoir été ciblées figurent les Départements d'État, du Trésor, de la Sécurité intérieure, de l'Énergie et du Commerce. Microsoft Corp. a déclaré avoir identifié 40 organisations, qui utilisent le logiciel SolarWinds, ciblées par les pirates informatiques.

Le président élu Joe Biden a publié jeudi une déclaration affirmant qu'il ne resterait pas « inactif » en réponse à l'attaque. « Je veux être clair : mon administration fera de la cybersécurité une priorité absolue à tous les niveaux du gouvernement ... et nous ferons de la lutte contre cette violation une priorité absolue dès notre entrée en fonction », a déclaré Biden.

Selon Bloomberg, les membres de la Commission de la sécurité intérieure et de la surveillance ont déclaré vendredi qu'ils avaient été informés sur la question mais qu'ils avaient « plus de questions que de réponses ».

« Après avoir reçu un briefing classifié de l'administration Trump aujourd'hui sur le piratage des systèmes gouvernementaux, nous nous retrouvons avec plus de questions que de réponses », ont déclaré les responsables de la Commission dans un communiqué. « Même au milieu d'une cyberattaque sans précédent avec des implications de grande envergure pour notre sécurité nationale, les responsables de l'administration n'étaient pas disposés à partager toute l'étendue de la brèche et les identités des victimes ».

NBC News a rapporté, en citant un tweet, que le président de la commission des affaires internationales de la Douma ou Parlement russe a cependant accusé Pompeo d'avoir une « fièvre anti-russe ».

« Fermer les consulats généraux des États-Unis en Russie et classer la Russie comme un ennemi de l'Amérique ne résoudra ni les problèmes internes ni les problèmes dans les relations bilatérales. Une politique agressive est déclenchée non pas par Moscou, mais par de tels messieurs de Washington », a-t-il écrit. En effet, les responsables américains du Département d'Etat ont confirmé vendredi que les deux derniers consulats américains en Russie seront fermés, a rapporté NBC News.

Sources : Tweet, NBC News

Et vous ?

Que pensez-vous de la réaction à la cyberattaque du président Donald Trump ?
Pourquoi Trump veut-il rediriger la responsabilité de la cyberattaque vers la Chine, selon vous ?
Comment expliquez-vous la contradiction entre Trump et son administration ?

Voir aussi :

Le Trésor américain victime de piratages informatiques soutenus par un gouvernement étranger, plusieurs autres agences gouvernementales et organisations privées seraient également touchées
La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »
La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »
Cyberespionnage : Pékin rejette les accusations de Washington, et demande le retrait de l'acte d'accusation contre ses deux ressortissants

[MRSizok]

C'est bien connut Trump est certifié en Sécurité. Il devrait s'occuper de baisser bien la tête en sortant. Il va se cogner trop fort en partant sinon et bye bye 2024.

[abriotde]

On est encore loin d'être débarrassé de cet allié de la Mafia qui a été demandé du secours aux services secret russe. Il n'a rien a perdre, il cherche juste a fuir la justice. Durant tout son mandat, il n'a fait que retirer les USA de leur rôle de super-puissance pour la donner aux russe (qui n'ont pas pour autant les épaules). La Chine a bien profité du retrait des USA pour s'installer aux postes clé. J'aurais tellement voulu qu'il soit réélu pour qu'il affronte les conséquences de ses actes. Joe Biden ne pourra plus rien faire pour redresser les USA, il ne va pouvoir que limiter la casse et c'est lui qui va récupérer les catastrophe de Trump... La plupart des gens ne vont pas comprendre que ce sont les actions de Trump qui ont des conséquences 5 ans plus tard.

[Stan Adkens]

Comment la confiance des agences US dans des logiciels non testés a ouvert la porte aux piratages,
Les autorités devraient fixer des exigences minimales de sécurité pour les logiciels et services

Un grand scandale de piratage continue d'envoyer des ondes de choc dans toute la communauté de la cybersécurité, soulevant des questions sur la nécessité d'une meilleure réglementation des fournisseurs tiers. Bien que l'étendue réelle du piratage n'ait pas encore été révélée, les pirates informatiques, dont le Secrétaire d’État Mike Pompeo a lié à la Russie, semblent s'être infiltrés dans de nombreuses agences fédérales, y compris le Département d'État, le DHS, le Département du Commerce et même l'Administration nationale de la sécurité nucléaire.

Pour mener à bien cette opération, les pirates ont d'abord pénétré dans les systèmes de SolarWinds, une société américaine de logiciels. Là, ils ont inséré une porte dérobée dans Orion, l'un des produits de la société largement utilisés par les organisations pour voir et gérer de vastes réseaux internes d'ordinateurs. Après avoir intégré le code malveillant dans le logiciel, il leur a suffi d'attendre que les agences téléchargent les mises à jour logicielles de routine du fournisseur de confiance.

Pendant plusieurs semaines à partir de mars, tout client qui se mettait à jour avec la dernière version d'Orion - signée numériquement par SolarWinds, et donc apparemment légitime - téléchargeait à son insu le logiciel compromis, donnant ainsi aux pirates un moyen de pénétrer dans leurs systèmes.

Selon rapport de Politico, les pirates ont pu exploiter une vulnérabilité logicielle pour pénétrer dans les infrastructures critiques des agences américaines parce que le gouvernement fédéral ne procède qu'à des inspections de sécurité superficielles des logiciels qu'il achète à des entreprises privées pour un large éventail d'activités, de la gestion de bases de données à l'exploitation d'applications de chat internes.

Alors que les enquêteurs s'affairent à évaluer les dommages causés par les piratages, les experts et les législateurs demandent un examen plus minutieux du code tiers que les agences gouvernementales autorisent sur leurs réseaux et exigent la correction d'une faiblesse connue depuis longtemps.

« Le gouvernement a désespérément besoin de fixer des exigences minimales de sécurité pour les logiciels et les services, et de refuser d'acheter tout ce qui ne répond pas à ces normes », a déclaré le sénateur démocrate Ron Wyden. « Il est incroyablement contre-productif pour les agences fédérales de dépenser des milliards pour la sécurité et de donner ensuite des contrats gouvernementaux à des entreprises avec des produits non sécurisés ».

Le gouvernement américain s'appuie sur des fournisseurs privés de toutes tailles pour fournir des logiciels à ses agences. Certains disposent d'équipes d'experts en sécurité, comme Amazon, qui fournit des services d'hébergement dans le Cloud, et SAP, dont les logiciels aident les agences à traiter de grandes quantités de données. Mais d'autres, grandes et petites, ont des procédures de test de sécurité moins rigoureuses et sont plus vulnérables à ce genre de compromis, d’après les cyberanalystes.

Jeudi, les enquêteurs fédéraux ont déclaré que le logiciel Orion de SolarWinds n'était pas le seul moyen utilisé par les pirates pour envahir leurs cibles, mettant en garde contre « d'autres vecteurs d'accès initial et des tactiques, techniques et procédures ... qui n'ont pas encore été découverts ». Et maintenant que les pirates ont eu des mois pour s'implanter dans les réseaux fédéraux, l'Agence de cybersécurité et de sécurité des infrastructures a averti que les supprimer « sera très complexe et difficile ».

Le piratage qui continue de révéler ses victimes publiques comme privées a poussé plusieurs à envisager de nouvelles procédures pour la création de meilleurs logiciels. Les professionnels techniques et les décideurs politiques affirment que de nouvelles approches en matière de développement et d'acquisition de logiciels pourraient au moins donner aux défenseurs une chance de se battre contre pareilles intrusions à l’avenir.

Les attaques contre les fournisseurs dans la chaîne d'approvisionnement des logiciels représentent un problème connu qui doit être traité en priorité, a déclaré le représentant démocrate Jim Langevin, cofondateur du Congressional Cybersecurity Caucus. « L'incident SolarWinds ... souligne que la sécurité de la chaîne d'approvisionnement est un sujet qui doit être au centre des préoccupations », a déclaré Langevin. Il a ajouté que le Congrès doit « inciter » les entreprises à rendre leurs logiciels plus sûrs, ce qui pourrait nécessiter des changements coûteux.

Comment les pirates informatiques russes ont infiltré le gouvernement américain pendant des mois sans être repérés

SolarWinds compte environ 300 000 clients dans le monde entier, dont la plupart des entreprises du Fortune 500, les principales agences fédérales US et de nombreux gouvernements. Dans un nouveau dépôt auprès de la Securities and Exchange Commission, la société a déclaré que « moins de » 18 000 organisations ont téléchargé la mise à jour compromise. Selon SolarWinds, on ne sait pas encore combien de ces systèmes ont été réellement piratés. La pratique standard en matière de cybersécurité est de garder son logiciel à jour - ainsi, la plupart des clients de SolarWinds, ironiquement, ont été protégés parce qu'ils n'avaient pas tenu compte de ce conseil.

Les pirates étaient « extrêmement intelligents et stratégiques », a expliqué Greg Touhill, ancien responsable fédéral de la sécurité de l'information. Même une fois qu'ils avaient obtenu l'accès par la porte dérobée dans Orion, connue sous le nom de Sunburst, ils se déplaçaient lentement et délibérément. Au lieu d'infiltrer plusieurs systèmes à la fois, ce qui aurait pu facilement éveiller des soupçons, ils se sont concentrés sur un petit ensemble de cibles sélectionnées, selon un rapport de la société de sécurité FireEye.

Sunburst est resté silencieux jusqu'à deux semaines entières avant de se réveiller et de commencer à communiquer avec les pirates, selon le rapport. Le malware déguise son trafic réseau en « programme d'amélioration d'Orion » et stocke des données dans des fichiers légitimes afin de mieux se fondre dans la masse. Il recherche également des outils de sécurité et d'antivirus sur la machine infectée afin de les éviter.

Pour dissimuler davantage leurs traces, les pirates ont pris soin d'utiliser les ordinateurs et les réseaux pour communiquer avec la porte dérobée d'une cible donnée une seule fois - l'équivalent de l'utilisation d'un téléphone jetable pour une conversation illicite, d’après MIT Technology Review. Ils ont fait un usage limité des logiciels malveillants, car ils sont relativement faciles à repérer ; au lieu de cela, une fois qu'ils ont eu un accès initial par la porte dérobée, ils ont eu tendance à opter pour la voie plus silencieuse consistant à utiliser de véritables identifiants volés pour accéder à distance aux machines d'une victime. De plus, les logiciels malveillants qu'ils ont déployés ne réutilisent pas le code, ce qui rend l'espionnage plus difficile à détecter, car les programmes de sécurité recherchent le code qui s'est manifesté lors des piratages précédents.

Les pirates informatiques, présumés issus du Service des renseignements extérieurs russe et connus alternativement sous les noms de Cozy Bear et APT29, ont compilé une longue liste d'infractions, dont le piratage du Comité national démocratique en 2016. La Russie a déjà nié toute implication.

« Cela leur a donné la possibilité de s'introduire par des moyens détournés dans les principaux réseaux », explique Touhill. « Ils ont la capacité de rester sur place, d'aspirer tout le trafic, de l'analyser. Nous devons être très attentifs à ce que ces acteurs recherchent d'autre ? Où d'autre peuvent-ils être ? Où d'autres peuvent-ils se cacher ? S'ils ont un accès, ils n'y renoncent pas facilement ».

Un piratage différent de tout ce que nous avons connu

Equifax, Sony Pictures et l'OPM sont tous des exemples de systèmes informatiques qui ont été spécifiquement visés par des intrus par le passé, mais ces derniers utilisaient des logiciels malveillants génériques plus répandus. Par exemple, pour pirater l'OPM, les intrus ont volé les références des entrepreneurs et ont enregistré le domaine opmsecurity.org afin que leurs connexions aux serveurs de l'OPM paraissent moins suspectes en provenance de cette adresse.

Cela signifie qu'il existait des sources très claires qui pouvaient être utilisées pour retracer l'étendue de l'incident après la violation. C’est-à-dire les enquêteurs peuvent déterminer ce que l’acteur, qui a utilisé ces informations d'identification volées, a installé ; les données qu’il a consultées via les domaines frauduleux. Cela signifiait également que les enquêteurs pouvaient être relativement sûrs que l'incident était confiné à un service ou à un système cible particulier et que l'effacement et la restauration de ces systèmes seraient suffisants pour éliminer la présence des intrus. Bien sûr, cela ne veut pas dire que le nettoyage de la brèche de l'OPM - ou de Sony Pictures ou Equifax - a été facile.

Les produits Orion de SolarWinds sont spécialement conçus pour surveiller les réseaux de systèmes et signaler tout problème de sécurité, de sorte qu'ils doivent avoir accès à tout, ce qui en fait un conduit parfait pour ce compromis.

Plus inquiétant encore est le fait que les attaquants ont apparemment utilisé leur accès initial aux organisations ciblées, telles que FireEye et Microsoft, pour voler des outils et du code qui leur permettraient ensuite de compromettre encore plus de cibles. Après que Microsoft ait réalisé qu'il avait été compromis via SolarWinds, il a ensuite découvert que ses propres produits étaient utilisés « pour favoriser les attaques contre d'autres », selon Reuters. Microsoft a déclaré après qu’il n’avait aucune preuve de l’utilisation de ses produits pour pénétrer dans les réseaux des cibles.

Cela signifie que les victimes potentielles ne sont pas seulement les 18 000 clients de SolarWinds qui ont pu télécharger les mises à jour compromises, mais aussi tous les clients de ces 18 000 organisations, et potentiellement les clients de ces organisations de second ordre également, etc. Les systèmes des secteurs public et privé pourraient continuer à être activement perturbés pendant l’année à venir par les logiciels malveillants qui ont été subrepticement inclus dans les mises à jour des produits SolarWinds Orion.

« Réarchitecturer l'entreprise fédérale archaïque » et déplacer plus d'applications vers le cloud

Selon Politico, les entreprises privées déploient régulièrement des logiciels présentant des bogues non découverts parce que les développeurs n'ont pas le temps, les compétences ou la motivation nécessaires pour les inspecter complètement. Et il peut être difficile pour les agences fédérales et les entreprises du Fortune 500 d'identifier les faiblesses lorsqu'elles ne comprennent pas la complexité de ce qu'elles achètent ou la façon dont il pourrait être défectueux.

« La sécurité n'est pas une considération importante ni même bien comprise », a déclaré Bryan Ware, ancien directeur adjoint de la CISA. « De nombreux directeurs de l'information ont acheté et déployé des logiciels SolarWinds sophistiqués, donc je ne m'interroge pas seulement sur le vendeur ».

Il n'existe pas d'inventaire central des agences gouvernementales qui utilisent tel ou tel logiciel dans tel ou tel bureau, ce qui explique en partie pourquoi il a fallu tant de temps aux agences pour déterminer si elles avaient été piratées.

« Le problème de premier ordre est toujours d'essayer de déployer nos armes autour de tous les applications et logiciels qui résident sur les 101 réseaux civils du pouvoir exécutif », a déclaré Matthew Travis, ancien directeur adjoint de la CISA. Travis a déploré l'approche décentralisée et a encouragé le Congrès à autoriser la CISA et l'OMB (Bureau de la gestion et du budget ) à « réarchitecturer l'entreprise fédérale archaïque » et à déplacer plus d'applications vers le cloud.

Les États-Unis ont investi massivement dans la détection des menaces ; un système de plusieurs milliards de dollars connu sous le nom d'Einstein patrouille les réseaux du gouvernement fédéral à la recherche de logiciels malveillants et d'indications d'attaques. Mais comme le montre un rapport détaillé du Government Accountability Office de 2018, Einstein n’est efficace que pour identifier les menaces connues. Une lacune que les pirates ont soigneusement exploitée en utilisant des serveurs qui n'étaient pas auparavant signalés comme malveillants.

Certains membres du Congrès sont prêts à agir. Dans une déclaration, le représentant Ted Lieu a déclaré qu'il « travaillait sur une législation visant à garantir que les fournisseurs qui font des affaires avec le gouvernement américain maintiennent une politique de divulgation de la vulnérabilité ». Mais pour certains, le Congrès devrait plutôt « étudier soigneusement les sanctions pour négligence » dans la conception des logiciels, a déclaré M. Ware, mais seulement de façon limitée, « car cela pourrait entraîner des conséquences négatives non intentionnelles ».

James Lewis, cyberexpert au Center for Strategic and International Studies, a, quant à lui, lancé l'idée d'un décret ordonnant aux agences de « surveiller et mieux gérer leur utilisation de ce type de plateformes » et exigeant des régulateurs sectoriels qu'ils exigent la même chose des entreprises dans les secteurs critiques, comme l'électricité et les soins de santé.

« Exiger quelque chose de similaire à ce qu'Apple fait sur l'App Store », a déclaré Lewis, notant que le géant de la technologie examine chaque application soumise et n'approuve que celles qu'il certifie être sûres. Mais selon Politico, l'audit de routine des logiciels serait probablement un fardeau énorme pour les agences fédérales, dont peu disposent d'assez de personnel de sécurité pour s'occuper de ce travail en plus de leurs tâches existantes.

Sources : MIT, Solarwinds, Questions des sénateurs au secrétaire du Trésor, Rapport du GAO

Et vous ?

Que pensez-vous de la cyberattaque qui a touché les principales agences fédérales des États-Unis  ?
Quels commentaires faites-vous de la procédure d’infiltration "lente" et "intelligente" des pirates ?
Le Congrès devrait autoriser la CISA et l'OMB à « réarchitecturer l'entreprise fédérale archaïque » et à déplacer plus d'applications vers le cloud pour améliorer la lutte contre le piratage. Qu’en pensez-vous ?
Quelle solution proposeriez-vous au gouvernement US pour éviter pareille attaque à l’avenir ?

Voir aussi :

La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »
Les pirates informatiques ont ciblé l'Agence américaine des armes nucléaires dans une violation massive de la cybersécurité, dans le cadre d'un assaut plus large contre les agences fédérales
Les Etats-Unis accusent la Chine de cyberespionnage des entreprises et agences américaines, HPE, IBM piratés et les données de leurs clients volées
Le cabinet de campagne Biden frappé par un piratage informatique présumé du Kremlin, l'échec de l'attaque décelé par Microsoft, qui révèle que les hackers russes ont atteint 200 autres cibles