IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Microsoft n'a pas réussi à renforcer les défenses qui auraient pu limiter le piratage de SolarWinds,
Selon un sénateur américain

Le , par Stan Adkens

28PARTAGES

8  0 
Le bureau du sénateur américain Ron Wyden a critiqué Microsoft à propos de la cyberattaque « la plus importante et la plus sophistiquée » jamais réalisée qui a utilisé une entreprise technologique américaine comme tremplin pour compromettre les principales agences fédérales américaines ainsi que plusieurs entreprises privées, dont Microsoft. Selon le bureau, l’incapacité de Microsoft Corp à résoudre les problèmes connus de son logiciel de gestion du cloud a facilité le piratage massif de SolarWinds qui a compromis au moins neuf agences du gouvernement fédéral. Les experts en sécurité sont aussi parvenus à cette conclusion.

Une vulnérabilité révélée publiquement pour la première fois par des chercheurs en 2017 permet aux pirates de falsifier l'identité des employés autorisés pour accéder aux services cloud des clients. Cette technique était l'une des nombreuses utilisées dans le cadre du piratage de SolarWinds, selon les experts en sécurité. Le sénateur Wyden, qui a critiqué les entreprises technologiques sur les questions de sécurité et de confidentialité en tant que membre de la commission sénatoriale du renseignement, a reproché à Microsoft de ne pas faire plus pour empêcher les fausses identités ou en avertir les clients.


« Le gouvernement fédéral dépense des milliards pour les logiciels de Microsoft », a déclaré Wyden à Reuters avant une audition sur SolarWinds qui aura lieu ce vendredi à la Chambre des représentants. « Il devrait être prudent dans ses dépenses avant que nous découvrions pourquoi la société n'a pas averti le gouvernement de la technique de piratage utilisée par les Russes, que Microsoft connaissait depuis au moins 2017 », a-t-il ajouté.

Le président de Microsoft, Brad Smith, témoignera vendredi devant la commission parlementaire chargée d'enquêter sur les piratages de SolarWinds. Les responsables américains ont blâmé la Russie pour l'opération massive de renseignement qui a pénétré dans SolarWinds, qui fabrique des logiciels pour gérer les réseaux, ainsi que Microsoft et d'autres, pour voler les données de plusieurs gouvernements et d'une centaine de sociétés. La Russie nie toute responsabilité.

Selon les enquêteurs, c’est en mars 2020 que les cybercriminels russes présumés ont saboté une mise à jour d’un produit logiciel de surveillance de réseau appelé Orion et développé par la société SolarWinds. La porte dérobée aurait pu compromettre les réseaux informatiques de jusqu'à 18 000 clients de SolarWind, dont ceux des Départements de l’État américain et ceux des sociétés privées.

Les espions russes ont eu le temps de fouiller dans les fichiers numériques des ministères américains de la Justice, de l'État, du Trésor, de l'Énergie et du Commerce et, pendant neuf mois, ils ont non seulement eu un accès illimité à des courriels, mais probablement aussi aux communications de haut niveau, aux documents judiciaires et même aux secrets nucléaires. Les enquêteurs du privé et du gouvernement avaient déjà qualifié l'attaque de sans précédent par son audace et son ampleur.

Un peu plus tôt ce mois, s'exprimant dans le cadre de l'émission 60 Minutes de CBS, le président de Microsoft, Brad Smith, a confirmé cela et a suggéré même que les cyberespions seraient toujours dans des réseaux ciblés. Les experts en cybersécurité ont déclaré qu'il pourrait falloir des mois pour identifier les systèmes compromis et expulser les pirates. « Je pense que du point de vue du génie logiciel, il est probablement juste de dire que c'est l'attaque la plus grande et la plus sophistiquée que le monde ait jamais vue », a déclaré Smith lors de l’interview.

4032 lignes de code informatique de SolarWinds Orion ont été réécrites clandestinement et distribuées aux clients lors de la mise à jour de routine, ouvrant ainsi une porte dérobée secrète aux réseaux infectés. Smith a déclaré que le code derrière la porte dérobée introduite dans le logiciel populaire par les cybercriminels est le travail d'un millier de développeurs ou plus.

« Je pense que lorsque vous regardez la sophistication de cet attaquant, il y a un avantage asymétrique pour quelqu'un qui joue à l'offensive », a répondu Smith lors de l’interview lorsqu’on lui a demandé la raison pour laquelle l’attaque a pu passer sous les radars de Microsoft. « Il est presque certain que ces attaques continuent ».

Les programmes de Microsoft n'étaient pas conçus pour détecter le vol d'outils d'identité permettant d'accéder au cloud

Maintenant, Microsoft est mis en cause en partie dans le piratage informatique contre les États-Unis. Microsoft a contesté les conclusions de Wyden, déclarant que la conception de ses services d'identité n'était pas en cause.


Dans une réponse aux questions écrites de Wyden le 10 février, un lobbyiste de Microsoft a déclaré que l'astuce d'identité, connue sous le nom de Golden SAML, « n'avait jamais été utilisée dans une attaque réelle » et « n'était pas considérée comme un risque prioritaire par la communauté du renseignement, ni n'était signalée par les agences civiles », d’après Reuters.

Mais dans un avis public après le piratage de SolarWinds, le 17 décembre, l'Agence de sécurité nationale a appelé à une surveillance plus étroite des services d'identité, notant que « cette technique de falsification du SAML est connue et utilisée par les cyberacteurs depuis au moins 2017 ».

En réponse à des questions supplémentaires de Wyden cette semaine, Microsoft a reconnu que ses programmes n'étaient pas conçus pour détecter le vol d'outils d'identité permettant d'accéder au cloud.

Trey Herr, directeur de la Cyber Statecraft Initiative chez Atlantic Council, a déclaré que cet échec montrait que les risques de sécurité dans le cloud devraient être une priorité plus importante. L'abus sophistiqué des identités par les pirates informatiques « révèle une faiblesse inquiétante dans la façon dont les géants du Cloud Computing investissent dans la sécurité, peut-être en ne parvenant pas à atténuer de manière adéquate le risque de défaillances à fort impact et à faible probabilité dans les systèmes à la base de leur modèle de sécurité », a déclaré Herr.

Lors d'un témoignage au Congrès mardi, Smith de Microsoft a déclaré que seulement environ 15 % des victimes de la campagne SolarWinds ont été touchées via Golden SAML. Même dans ces cas, les pirates informatiques devaient avoir déjà eu accès aux systèmes avant de déployer la méthode.

En décembre dernier, après la révélation de la campagne de cyberespionnage, Microsoft avait commencé par dire que nous « pouvons confirmer que nous avons détecté des binaires SolarWinds malveillants dans notre environnement, que nous avons isolés et supprimés. Nous n'avons trouvé aucune preuve d'accès aux services de production ou aux données des clients. Nos enquêtes, qui sont en cours, n'ont trouvé absolument aucune indication que nos systèmes ont été utilisés pour attaquer d'autres personnes ».

Ensuite Microsoft a révélé en fin janvier avoir détecté « des tentatives d'activités allant au-delà de la simple présence de code SolarWinds malveillant dans notre environnement ». « Nous avons détecté une activité inhabituelle sur un petit nombre de comptes internes et après examen, nous avons découvert qu'un compte avait été utilisé pour consulter le code source dans plusieurs dépôts de code source », avait déclaré la société dans son article de blog.

Peu de temps après, les attaquants, qui prétendent être responsables de l'attaque de la chaîne d'approvisionnement de SolarWinds, ont affirmé qu'ils ont des données de leurs exploits qu'ils souhaitent vendre. Parmi les données proposées figurent le code source partiel de Microsoft Windows, le code source de plusieurs produits Cisco, le code source des produits SolarWinds et les outils FireEye Red Team.

Il y a une semaine, Microsoft a déclaré avoir terminé son analyse de l'incident et a publié son dernier rapport. L'équipe de sécurité de Microsoft a déclaré dans le rapport qu'elle n'a trouvé aucune preuve que des pirates aient abusé de ses systèmes internes ou de ses produits officiels afin de pivoter et attaquer les utilisateurs finaux et les clients professionnels. Ces derniers ont néanmoins étudié son code source pour l'authentification et le courrier électronique en les téléchargeant.

Le personnel du bureau du sénateur Wyden a déclaré que le Trésor américain, l'une des victimes de la cyberattaque, a perdu les courriels de dizaines de fonctionnaires. Attendons de voir la suite après le témoignage de Brad Smith ce vendredi.

Source : Bureau du sénateur américain Ron Wyden

Et vous ?

Qu’en pensez-vous ?
Microsoft a reconnu que ses programmes n'étaient pas conçus pour détecter le vol d'outils d'identité permettant d'accéder au cloud. Quel commentaire en faites-vous ?
15 % des victimes de la campagne SolarWinds ont été touchées via Golden SAML, selon Smith, après que Microsoft ait déclaré que la conception de ses services d'identité n'était pas en cause. Qu’en pensez-vous ?

Voir aussi :

Les pirates informatiques de SolarWinds ont pu accéder au code source de Microsoft, qui avait précédemment détecté sur son réseau une porte dérobée sans incidence sur son système de production
Les pirates informatiques proposent de vendre à Microsoft et Cisco davantage de code source lié à l'incident Solarwinds, et offrent l'accès au code source de Windows 10 volé pour 600 000 dollars
La vaste campagne de piratage informatique a atteint Microsoft, qui qualifie la violation de la chaîne d'approvisionnement contre SolarWinds d'« acte d'imprudence »
Président de Microsoft : le piratage de SolarWinds a été « l'attaque la plus importante et la plus sophistiquée » jamais réalisée, les empreintes informatiques de plus de 1000 développeurs trouvées

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de der§en
Membre éprouvé https://www.developpez.com
Le 01/03/2021 à 14:26
Rhooo, la faute d'un stagiaire, franchement quel manque d'imagination...
6  0 
Avatar de TotoParis
Membre expérimenté https://www.developpez.com
Le 14/03/2021 à 11:05
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».

Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.

Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?
6  1 
Avatar de Fagus
Membre expert https://www.developpez.com
Le 16/04/2021 à 13:50
Les USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).

Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.

Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.

Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russes
5  0 
Avatar de Arya Nawel
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:56
Comment peut-on critiquer les actions de ses ennemis lorsque l'on démontre que l'on tout aussi mauvais que lui ? Ça ressemble juste à une banale rivalité enfantine... Et dans ces cas là, tout le monde fini toujours trempé
3  0 
Avatar de Anselme45
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:58
Les USA disposent de 18 agences de renseignement disposant d'un effectif supérieur à 100'000 collaborateurs avec un budget annuel supérieur à 55 milliards de dollar. A cela s'ajoute des milliers d'entreprises privées sous contrat avec le gouvernement américain portant l'effectif des services de renseignement américains à plus de 400'000 personnes...

Et donc, on veut nous faire croire que c'est seulement dans quelques semaines que les USA ayant perdu patience vont finir par organiser une action cybernétique "agressive"... C'est une farce?
5  2 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 23/03/2021 à 20:23
Citation Envoyé par Arya Nawel Voir le message
Le déclenchement d'une cyberguerre est très mauvais pour toutes les parties concernées au niveau mondial.
Pas forcément: c'est très mauvais pour nous, pas pour certains.

Avant, il fallait dire qu'un pays fabriquait des armes de destruction massive pour le piller/mettre sous sanctions se défendre. Maintenant il suffira de dire que l'on a reçu des cyberattaques!
4  1 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 20/04/2021 à 9:36
Citation Envoyé par Bruno Voir le message

Quel est votre avis sur le fait que le FBI aurait accédé à l’insu des entreprises pour supprimer les portes dérobées des serveurs Microsoft Exchange ?
Éthiquement parlant, c'est quand même limite.

Je trouve l'approche du NCSC bien plus louable, surtout que d'après l'article, les failles ne sont pas corrigées suite à l'action du FBI, puisque sans patch, les serveurs peuvent être à nouveau compromis. Là on donne une fausse impression de sécurité.
3  0 
Avatar de weed
Membre expérimenté https://www.developpez.com
Le 20/04/2021 à 10:12
Je me poserais également la question si les PME se détournaient de Exchange et se tourneraient vers des alternatives tel que Postfix.

Le problème serait que le FBI n'aurait plus accès à des portes dérobés pour s'infiltrer sur les réseaux des PME et faire leur travail de renseignements.

Je suis bien conscient que Postfix n'offre pas d'écosystème (mail + réunion Teams), il y a peu de risque que les PME migrent, mais certains directeurs devraient tout de même se poser la question ..

EDIT : correction des fautes de frappes
3  0 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 20/04/2021 à 23:40
Citation Envoyé par TotoParis Voir le message
"Nous ne voulons pas d'un avenir où le FBI détermine qu'une personne peut être vulnérable, puis s'en sert comme prétexte pour obtenir un accès."
Pourquoi pas. Mais ces 30 000 organisations ont été défaillantes en terme de cyber-sécurité.
On peut toujours discuter des inconvénients de la méthode, mais les inconvénients de ce laxisme sont pour le moins bien plus graves.
Encore une fois, ils n'ont pas corrigé les vulnérabilités, ils ont juste supprimé les portes dérobées, ce qui est réversible, donc non pérenne. Ça ne va pas éduquer ces 30 000 organisations, et en plus côté intrusion ce n'est pas fantastique.

S'ils ont les moyens de s'introduire chez ces 30 000 organisations, alors c'est qu'ils ont le moyen d'identifier les serveurs Exchange non-patchés: un message à ces 30 000 organisations pour leur donner un délai d'application des patchs sous menace d'intrusion du FBI aurait été plus constructif sur le long terme, et ça ne leur aurait sans doute pas coûté bien cher.

Ça sent la panique, tout ça.
3  0 
Avatar de olaxius
Membre éclairé https://www.developpez.com
Le 01/03/2021 à 14:44
Plus c'est gros plus ça passe .
Microsoft ose tout :
4  2