IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Les enquêteurs de Kaspersky pourraient avoir identifié les hackers de la société texane SolarWinds,
Il s'agirait du groupe russe de pirates informatiques Turla

Le , par Bill Fassinou

116PARTAGES

9  0 
SolarWinds a été la cible d'une importante campagne de piratage qui a duré sur plusieurs mois (de mars à décembre 2020 environ) et qui a permis aux attaquants de compromettre des données de près de 1800 organisations. Après une enquête approfondie, les enquêteurs de la société de cybersécurité Kaspersky, basée à Moscou, ont affirmé ce lundi que les pirates de SolarWinds ont utilisé un outil qui ressemble énormément à un logiciel malveillant lié à un groupe de piratages informatiques connu sous le nom de "Turla". Cette conclusion vient étayer les accusations de Washington, déclarant que la Russie était derrière ce piratage.

Kaspersky trouve les preuves d'une probable implication de la Russie

En effet, lors du piratage du logiciel SolarWinds, certains des secrets les plus profondément enfouis des États-Unis ont peut-être été volés. Quels types de données les pirates informatiques ont-ils pu drainer pendant tout ce temps ? Des secrets nucléaires ? Des données sur le vaccin Covid-19 ? Des plans pour la prochaine génération de systèmes d'armes ? L'ombre plane toujours sur la véritable nature des données compromises, et il faudra encore des semaines, voire des années dans certains cas, pour que les détectives numériques passent au peigne fin les réseaux du gouvernement américain et de l'industrie privée pour obtenir les réponses.

Dans une déclaration commune la semaine dernière, le FBI, la NSA, l'Agence de cybersécurité et de sécurité des infrastructures et le Bureau du directeur du renseignement national ont déclaré avoir identifié "moins de 10" agences fédérales américaines comme ayant été potentiellement compromises. Seuls les départements américains du Commerce, de l'Énergie et du Trésor ont reconnu avoir été piratés, aux côtés de sociétés telles que Microsoft et la société de cybersécurité FireEye.



Selon les experts, ces pirates informatiques sont des professionnels accomplis qui savent brouiller les pistes. Certains vols peuvent ne jamais être détectés. Randy Watkins, le directeur de la technologie de la société de cybersécurité Critical Start, basée au Texas, a déclaré que les objectifs des pirates peuvent être aussi bien financiers que le vol et la destruction de données. Ce qui semble clair, c'est que cette campagne, qui selon les experts en cybersécurité, présente les tactiques et les techniques de l'agence de renseignement russe SVR sera l'une des plus prolifiques dans les annales du cyberespionnage.

Ce lundi, les enquêteurs de Kaspersky ont déclaré que le groupe à l'origine de la campagne mondiale de cyberespionnage de SolarWinds a utilisé un code informatique malveillant avec des liens vers des outils d'espionnage utilisés auparavant par des pirates informatiques russes présumés. Selon ces chercheurs, la "porte dérobée" qui a été utilisée pour compromettre jusqu'à 1800 clients, y compris des agences gouvernementales américaines, du fabricant de logiciels américain ressemblait beaucoup à un logiciel malveillant lié au groupe de piratage informatique "Turla".

Les chercheurs Georgy Kucherin, Igor Kuznetsov et Costin Raiu concluent que la porte dérobée appelée "Sunburst" utilisée pour communiquer avec un serveur contrôlé par les pirates ressemblait à un autre outil de piratage appelé "Kazuar", qui avait été précédemment attribué à l'APT Turla (menace persistante avancée). Selon un rapport du Financial Time, les autorités estoniennes ont révélé il y a de cela deux ans que ce groupe opère au nom du service russe de sécurité FSB. Cependant, les enquêteurs de Kaspersky ont averti que les similitudes de code ne confirment pas que le groupe est derrière l'attaque de l'infrastructure de SolarWinds.



Toutefois, ces conclusions sont les premières preuves publiquement disponibles pour soutenir les affirmations des États-Unis selon lesquelles la Russie a orchestré le piratage, qui a compromis un ensemble d'agences fédérales sensibles et qui est parmi les cyberopérations les plus ambitieuses jamais divulguées. Moscou a nié ces allégations à plusieurs reprises et le FSB n'a pas répondu à une demande de commentaires. Costin Raiu, responsable de la recherche et de l'analyse mondiale chez Kaspersky, a déclaré qu'il y avait trois similitudes distinctes entre Sunburst et Kazuar de Turla.

Les similitudes comprennent la façon dont les deux logiciels malveillants ont tenté de cacher leurs fonctions aux analystes de sécurité, la façon dont les pirates ont identifié leurs victimes, et la formule utilisée pour calculer les périodes de dormance des virus afin d'éviter la détection. Il reste à déterminer s'il s'agit de coïncidence ou simplement de l'œuvre du groupe Turla. « Néanmoins, ce sont de curieuses coïncidences », a déclaré Raiu. « Une coïncidence ne serait pas si inhabituelle, deux coïncidences feraient définitivement sourciller, tandis que trois coïncidences de ce type nous semblent plutôt suspectes ».

Des choses restent à déterminer avant de confirmer l'implication de Turla

Les attaques de Turla ont été documentées depuis au moins 2008, lorsque le groupe était soupçonné d'avoir infiltré le commandement central américain. Plus tard, Turla a été impliqué dans des attaques contre des ambassades dans un certain nombre de pays, des ministères, des services publics, des prestataires de soins de santé et d'autres cibles. Plusieurs sociétés de cybersécurité ont déclaré qu'elles pensaient que l'équipe de piratage était russe, et un rapport des services de renseignement estoniens datant de 2018 indique que le groupe est "lié au service de sécurité fédéral, le FSB".

Ciaran Martin, ancien chef du NCSC (UK’s National Cyber Security Centre - Centre national de cybersécurité du Royaume-Uni) et maintenant professeur à l'école Blavatnik de l'Université d'Oxford, a déclaré que l'impact des découvertes de Kaspersky pourrait être important. « Certaines parties de l'État russe ne font que pirater à des fins d'espionnage ; d'autres ont un bilan plus sinistre d'attaques perturbatrices après un premier piratage. Il est donc très important de comprendre exactement quelle partie de la Russie est derrière SolarWinds », a-t-il déclaré.

« Je suis sûr que le gouvernement américain et ses partenaires examinent de très près toutes ces preuves », a-t-il ajouté, tout en précisant que jusqu'à présent, il n'y avait aucune preuve que le piratage de SolarWinds a été motivé par "autre chose que de l'espionnage". La porte dérobée Sunburst utilisée lors de la récente attaque a permis aux pirates de recevoir des rapports sur les ordinateurs infectés et de cibler ensuite ceux qu'ils jugeaient intéressants pour une exploitation ultérieure. La grande majorité des 18.000 machines infectées n'ont pas été référées pour une exploitation ultérieure, ce qui montre que l'attaque a été très ciblée.



Cela dit, malgré la forte ressemblance entre Sunburst et Kazuar, les chercheurs rappellent toujours qu'attribuer avec certitude les cyberattaques est extrêmement difficile et parsemé d'embûches possibles. Plusieurs points sont à éclaircir lors d'une cyberattaque avant de pouvoir l'imputer convenablement à un auteur. Par exemple, ils ont rappelé que lorsque les pirates informatiques russes ont perturbé la cérémonie d'ouverture des Jeux olympiques d'hiver en 2018, ils ont délibérément imité un groupe nord-coréen pour essayer de détourner les responsabilités.

Raiu estime que les indices numériques découverts par son équipe n'impliquaient pas directement Turla dans la compromission de SolarWinds, mais montraient qu'il y avait un lien encore à déterminer entre les deux outils de piratage. Selon lui, il est possible qu'ils aient été déployés par le même groupe, mais aussi que Kazuar ait inspiré les pirates de SolarWinds, que les deux outils aient été achetés auprès du même développeur de logiciels espions, ou même que les attaquants aient placé de "faux drapeaux" pour tromper les enquêteurs.

Les équipes de sécurité aux États-Unis et dans d'autres pays travaillent toujours pour déterminer l'étendue du piratage de SolarWinds, il faudra probablement plusieurs mois aux équipes de sécurité pour expulser les pirates des réseaux victimes.

Source : Kaspersky

Et vous ?

Quel est votre avis sur le sujet ?

Voir aussi

Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production

L'attaque de la chaîne d'approvisionnement contre la société SolarWinds expose près de 18 000 organisations. Ce piratage peut dévoiler de profonds secrets américains ; les dégâts sont encore inconnus

Un ancien conseiller de SolarWinds avait mis en garde contre le laxisme de la sécurité des années avant le piratage, mais son plan pour réduire les risques aurait été ignoré

La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de der§en
Membre confirmé https://www.developpez.com
Le 01/03/2021 à 14:26
Rhooo, la faute d'un stagiaire, franchement quel manque d'imagination...
6  0 
Avatar de Fagus
Membre éclairé https://www.developpez.com
Le 16/04/2021 à 13:50
Les USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).

Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.

Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.

Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russes
5  0 
Avatar de
https://www.developpez.com
Le 17/02/2021 à 7:33
Haa ! Les américains ! Tellement fiers de leur Quick and Dirty ! Et voilà...
4  0 
Avatar de TotoParis
Membre averti https://www.developpez.com
Le 14/03/2021 à 11:05
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».

Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.

Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?
6  2 
Avatar de Arya Nawel
Membre actif https://www.developpez.com
Le 22/03/2021 à 10:56
Comment peut-on critiquer les actions de ses ennemis lorsque l'on démontre que l'on tout aussi mauvais que lui ? Ça ressemble juste à une banale rivalité enfantine... Et dans ces cas là, tout le monde fini toujours trempé
3  0 
Avatar de Anselme45
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:58
Les USA disposent de 18 agences de renseignement disposant d'un effectif supérieur à 100'000 collaborateurs avec un budget annuel supérieur à 55 milliards de dollar. A cela s'ajoute des milliers d'entreprises privées sous contrat avec le gouvernement américain portant l'effectif des services de renseignement américains à plus de 400'000 personnes...

Et donc, on veut nous faire croire que c'est seulement dans quelques semaines que les USA ayant perdu patience vont finir par organiser une action cybernétique "agressive"... C'est une farce?
5  2 
Avatar de kain_tn
Membre expert https://www.developpez.com
Le 23/03/2021 à 20:23
Citation Envoyé par Arya Nawel Voir le message
Le déclenchement d'une cyberguerre est très mauvais pour toutes les parties concernées au niveau mondial.
Pas forcément: c'est très mauvais pour nous, pas pour certains.

Avant, il fallait dire qu'un pays fabriquait des armes de destruction massive pour le piller/mettre sous sanctions se défendre. Maintenant il suffira de dire que l'on a reçu des cyberattaques!
4  1 
Avatar de kain_tn
Membre expert https://www.developpez.com
Le 20/04/2021 à 9:36
Citation Envoyé par Bruno Voir le message
Quel est votre avis sur le fait que le FBI aurait accédé à l’insu des entreprises pour supprimer les portes dérobées des serveurs Microsoft Exchange ?
Éthiquement parlant, c'est quand même limite.

Je trouve l'approche du NCSC bien plus louable, surtout que d'après l'article, les failles ne sont pas corrigées suite à l'action du FBI, puisque sans patch, les serveurs peuvent être à nouveau compromis. Là on donne une fausse impression de sécurité.
3  0 
Avatar de weed
Membre éprouvé https://www.developpez.com
Le 20/04/2021 à 10:12
Je me poserais également la question si les PME se détournaient de Exchange et se tourneraient vers des alternatives tel que Postfix.

Le problème serait que le FBI n'aurait plus accès à des portes dérobés pour s'infiltrer sur les réseaux des PME et faire leur travail de renseignements.

Je suis bien conscient que Postfix n'offre pas d'écosystème (mail + réunion Teams), il y a peu de risque que les PME migrent, mais certains directeurs devraient tout de même se poser la question ..

EDIT : correction des fautes de frappes
3  0 
Avatar de kain_tn
Membre expert https://www.developpez.com
Le 20/04/2021 à 23:40
Citation Envoyé par TotoParis Voir le message
"Nous ne voulons pas d'un avenir où le FBI détermine qu'une personne peut être vulnérable, puis s'en sert comme prétexte pour obtenir un accès."
Pourquoi pas. Mais ces 30 000 organisations ont été défaillantes en terme de cyber-sécurité.
On peut toujours discuter des inconvénients de la méthode, mais les inconvénients de ce laxisme sont pour le moins bien plus graves.
Encore une fois, ils n'ont pas corrigé les vulnérabilités, ils ont juste supprimé les portes dérobées, ce qui est réversible, donc non pérenne. Ça ne va pas éduquer ces 30 000 organisations, et en plus côté intrusion ce n'est pas fantastique.

S'ils ont les moyens de s'introduire chez ces 30 000 organisations, alors c'est qu'ils ont le moyen d'identifier les serveurs Exchange non-patchés: un message à ces 30 000 organisations pour leur donner un délai d'application des patchs sous menace d'intrusion du FBI aurait été plus constructif sur le long terme, et ça ne leur aurait sans doute pas coûté bien cher.

Ça sent la panique, tout ça.
3  0