IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Comment la Chine a retourné le piratage d'un iPhone primé lors d'un concours contre les Ouïghours
Pékin utiliserait les vulnérabilités zero-days découvertes lors de concours à ses avantages

Le , par Bill Fassinou

248PARTAGES

6  0 
Les allégations sur les traitements réservés aux Ouïghours, la minorité musulmane de Chine, par le Parti communiste chinois, et faisant intervenir l'outil informatique, sont diverses et variées et ne datent pas d'aujourd'hui. La dernière en date est une attaque visant les appareils Apple dans le cadre d'une compétition de piratage informatique, la Tianfu Cup, mais aurait finalement été détournée pour espionner les Ouïghours. Les autorités américaines auraient ensuite discrètement informé Apple de l'existence de la faille après l'avoir découverte, estimant que la Tianfu Cup est un lieu où la Chine obtient des vulnérabilités zero-days et les exploite.

La Tianfu Cup cacherait-elle ses réelles ambitions ?

Les chercheurs en cybersécurité et les pirates informatiques chinois font probablement partie de l'élite mondiale, au côté de leurs homologues russes et américains, car ils sont les plus souvent cités dans les attaques et les découvertes de vulnérabilités. Au Canada, s'il y a le Pwn2Own, un concours de piratage informatique qui octroie une récompense financière et un droit de vantardise éternel à un pirate ou un groupe de pirates qui parviennent à trouver et à exploiter des vulnérabilités logicielles zero-days, en Chine, il y a la Tianfu Cup, un concours qui partagerait les mêmes ambitions.



En effet, à en croire les faits présentés dans un rapport publié cette semaine par le MIT Technology Review, la Tianfu Cup serait une manière déguisée pour le PCC (Parti communiste chinois) de trouver des vulnérabilités zero-days dans les logiciels et de les exploiter ensuite, contrairement au Pwn2Own qui a également pour vocation de trouver les mêmes types de vulnérabilité, mais s'engage à les communiquer en premier aux entreprises concernées afin qu'elles soient corrigées avant d'être divulguées. La Tianfu Cup a vu le jour en novembre 2018 pour empêcher les pirates chinois d'aller vers l'occident pour participer au Pwn2Own.

Lors de la première édition dans le même mois, le premier prix, d'une valeur de 200 000 dollars, a été attribué au chercheur Qixun Zhao de Qihoo 360, qui a présenté une remarquable chaîne d'exploits lui permettant de prendre facilement et de manière fiable le contrôle des iPhone, même les plus récents. Le rapport explique qu'à partir d'un point de départ situé dans le navigateur Web Safari, il aurait trouvé une faiblesse dans le noyau du système d'exploitation des iPhone. Le résultat ? Un attaquant distant peut prendre le contrôle de n'importe quel iPhone qui visite une page Web contenant le code malveillant de Qixun.

C'est le genre de piratage qui peut potentiellement être vendu pour des millions de dollars sur le marché libre afin de permettre aux criminels ou aux gouvernements d'espionner un grand nombre de personnes. Qixun l'aurait nommé "Chaos". Deux mois plus tard, en janvier 2019, Apple aurait publié une mise à jour qui corrigeait la faille. Il y aurait eu peu de fanfares, juste une note rapide de remerciement à ceux qui l'ont découverte. Cependant, en août de la même année, Google aurait publié une analyse mentionnant une campagne inédite de piratage qui, selon lui, "exploitait les iPhone en masse".

Selon le rapport, les chercheurs ont identifié cinq chaînes d'exploits distinctes qu'ils avaient repérées "dans la nature". Parmi elles, l'exploit qui a permis à Qixun de remporter le premier prix à Tianfu Cup, qui, selon eux, a également été découvert par un "attaquant" anonyme. Les chercheurs de Google auraient souligné les similitudes entre les attaques qu'ils ont découvertes dans le monde réel et Chaos. En revanche, le rapport estime que ces derniers ont omis de révéler l'identité des victimes et des attaquants, qui sont en réalité les musulmans ouïghours et le gouvernement chinois.

L'arsenal informatique de la Chine contre les Ouïghours

D'après le rapport du MIT Technology Review, en 2017, le gouvernement chinois aurait interdit aux pirates et aux chercheurs chinois en cybersécurité de participer au Pwn2Own à la suite d'un commentaire de Zhou Hongyi, le milliardaire fondateur et PDG du géant chinois de la cybersécurité Qihoo 360, l'une des plus importantes entreprises technologiques de Chine. Dans une interview accordée au site d'information chinois Sina, Zhou Hongyi aurait déclaré que les bons résultats obtenus lors de tels événements [les compétitions de piratages] ne représentaient qu'un succès "imaginaire".

Zhou aurait prévenu qu'une fois que les pirates chinois ont montré leurs vulnérabilités lors de compétitions à l'étranger, celles-ci ne peuvent "plus être utilisées". Selon lui, les pirates et leurs connaissances devraient plutôt "rester en Chine" afin de pouvoir reconnaître la véritable importance et la "valeur stratégique" des vulnérabilités logicielles. Selon le rapport, c'est à la suite de ces dires qu'est né le concours national de piratage informatique Tianfu Cup, qui ferait désormais partir des éléments qui ont permis à la Chine de parfaire sa campagne d'oppression high-tech sans précédent qui domine la vie des Ouïghours.

L'espionnage des Ouïghours par la Chine serait si agressif qu'il serait mondial et s'étendrait bien au-delà des frontières du pays. Selon le rapport, il vise également les journalistes, les dissidents et toute personne qui éveille les soupçons de Pékin quant à une loyauté insuffisante. Il indique que peu après que les chercheurs de Google ont remarqué les attaques, Apple a publié un billet de blogue confirmant que l'attaque contre les Ouïghours s'était déroulée sur deux mois : la période commençant immédiatement après la victoire de Qixun à la Tianfu Cup et s'étendant jusqu'à la publication du correctif par Apple.

Les services de surveillance du gouvernement des États-Unis auraient repéré de manière indépendante l'exploit Chaos utilisé contre les Ouïghours et en ont informé Apple. En outre, les Américains auraient conclu que les Chinois avaient essentiellement suivi le plan de "valeur stratégique" établi par Zhou Hongyi de Qihoo. Pour ces derniers, les choses se sont déroulées comme suit : la Tianfu Cup avait généré un piratage important ; et donc l'exploit avait été rapidement remis aux services de renseignement chinois, qui l'ont ensuite utilisé pour espionner les Ouïghours.

Contacté via Twitter, Qixun Zhao aurait nié toute implication dans l'attaque contre les Ouïghours. Dans un premier temps, il aurait suggéré que l'exploit utilisé contre les Ouïghours avait probablement été utilisé "après la publication du patch". Par ailleurs, le rapport ajoute que, bien que Qixun ait écrit l'exploit, rien ne suggère qu'il ait été personnellement impliqué dans ce qui lui est arrivé après l'événement de Tianfu (la loi chinoise exige que les citoyens et les organisations fournissent un soutien et une assistance aux agences de renseignement du pays chaque fois qu'on le leur demande).

Les concours de piratages servent-ils d'autres causes ?

Plus loin, le rapport soulève une préoccupation : existerait-il une cause cachée dans les compétitions de piratage ? « La décision initiale de ne pas autoriser les pirates à se rendre à l'étranger pour participer à des compétitions semble être motivée par le désir de garder les vulnérabilités découvertes à l'intérieur de la Chine », explique Adam Segal, expert en politique de cybersécurité chinoise au Council for Foreign Relations. « Cela a également coupé les meilleurs pirates chinois d'autres sources de revenus de sorte qu'ils sont contraints d'entretenir des liens plus étroits avec l'État et les entreprises établies », ajoute-t-il.

« L'incident est frappant. Une élite chinoise a piraté un iPhone, ce qui lui a valu la reconnaissance du public et une grosse somme d'argent. Du jour au lendemain, les services secrets chinois l'ont utilisé comme arme contre un groupe ethnique minoritaire assiégé, avant qu'Apple ne parvienne à résoudre le problème. Il s'agissait d'un acte effronté commis en plein jour et en sachant qu'il n'y aurait aucune conséquence », condamne le rapport. Aujourd'hui, la Tianfu Cup entre dans sa troisième année, et elle est sponsorisée par certaines des plus grandes entreprises technologiques de Chine.

Il y a notamment Alibaba, Baidu et Qihoo 360 parmi ces organisateurs. Sur ce point, le rapport note que les responsables et les experts en sécurité américains sont de plus en plus préoccupés par les liens entre les personnes impliquées dans la compétition et l'armée chinoise. Qihoo, qui est évaluée à plus de 9 milliards de dollars, a été l'une des dizaines d'entreprises chinoises ajoutées à une liste noire commerciale par les États-Unis en 2020, après une évaluation du ministère américain du Commerce selon laquelle l'entreprise pourrait soutenir l'activité militaire chinoise.

De même, les responsables américains estiment que la société pékinoise Topsec, qui contribue à l'organisation de la Tianfu Cup, fournit des formations, des services et des recrutements en matière de piratage informatique pour le gouvernement et aurait employé des hackers nationalistes. Topsec serait lié à des campagnes de cyberespionnage, notamment le piratage en 2015 du géant américain de l'assurance Anthem. Parmi les autres organisateurs et sponsors, citons NSFocus, qui, selon le rapport, est directement issu du premier mouvement nationaliste chinois de pirates informatiques.

Il y aurait également Green Army et Venus Tech, un entrepreneur militaire chinois prolifique qui serait lié à des piratages offensifs. Les experts américains affirment que les liens entre l'événement et le renseignement chinois sont pourtant clairs. « Je pense que ce n'est pas seulement un lieu où la Chine peut obtenir des failles zero-days, mais c'est aussi un grand lieu de recrutement », a déclaré Scott Henderson, analyste de l'équipe de cyberespionnage de FireEye. « Les liens de Tianfu avec la surveillance et le génocide ouïghour montrent que l'accès précoce aux bogues peut être une arme puissante ».

Enfin, le rapport allègue que la campagne de piratage lancée contre Microsoft Exchange au début de cette année présente des similitudes frappantes. Dans ce cas, un chercheur taïwanais aurait découvert les failles de sécurité et les a transmises à Microsoft, qui les aurait ensuite partagées en privé avec ses partenaires de sécurité. Mais avant qu'un correctif puisse être publié, des groupes de pirates chinois auraient commencé à exploiter la faille dans le monde entier. Microsoft, qui a été contraint de publier un correctif deux semaines plus tôt que prévu, enquête sur la possibilité que le bogue ait été divulgué.

Source : MIT Technology Review

Et vous ?

Quel est votre avis sur le sujet ?
Pensez-vous que ces allégations d'espionnage sont vraies ?
Selon vous, les concours de piratages informatiques ont-ils une face cachée ?
Si cela s'avère vrai, pensez-vous que la Chine soit le seul pays à exploiter les failles zero-days plutôt que de les divulguer aux entreprises concernées ?

Voir aussi

Huawei a testé un logiciel d'IA qui pourrait reconnaître les minorités ouïghoures et alerter la police, le système de reconnaissance faciale appartient à Megvii, une autre société chinoise

La police chinoise utilise une caméra basée sur l'IA et des analyses raciales pour suivre les Ouïghours et les distinguer de la majorité Han

Griezmann rompt son partenariat avec Huawei en soutien aux Ouïghours traqués par une intelligence artificielle, qui tourne sur du matériel fourni par le géant chinois de la technologie

Il a fallu trois ans à Apple pour couper ses liens avec un fournisseur qui faisait travailler des mineurs. Apple évite de couper les liens avec les contrevenants, car cela nuirait à ses activités

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Refuznik
Membre confirmé https://www.developpez.com
Le 08/05/2021 à 8:06
Euh les concours de hack ne datent pas de 2017 faut arrêter de dire n'importe nawak et on en a partout dans le monde.

Je suis désolé mais si on prends le rapport de la dernière Tianfu Cup de 2020. On voit le matos hackés :

iOS 14 tournant sur un iPhone 11 Pro
Le Samsung Galaxy S20
Windows 10 v2004 (April 2020 Edition)
Ubuntu
Chrome
Safari
Firefox
Adobe PDF Reader
Docker (Community Edition)
VMWare EXSi (hypervisor)
QEMU (emulator & virtualizer)
TP-Link et ASUS firmwares pour routers

Et il est bien précisé : "Comme le règlement de la compétition l’exige, les failles trouvées seront signalées aux constructeurs afin qu’ils soient patchés dans les prochains jours. L’initiative est d’ailleurs encouragée par ces derniers afin qu’elle leur vienne en aide en leur permettant de découvrir les problèmes de sécurité liés à leurs produits informatiques."

Pour les attaques sur les appareils des ouighours à l'extérieur de la Chine, ok je veux bien. Mais que l'on ne me raconte pas que les ouighours au xijiang (une des provinces les plus pauvre de Chine) ont des Iphones, là ça ne tient pas la route.
3  0 
Avatar de foxzoolm
Membre du Club https://www.developpez.com
Le 09/05/2021 à 23:06
- eh j'ai trouvé le moyen de poutrer n'import quel iphone.
- ok, on vas espionner les ouigdours...
- att att j'ai aussi trouvé le moyen de hack le bitcoin
- ah on vas pouvoir voler les bitcoins des ouigdours
- en passant j'ai aussi cracké le HTTPS
- hehe on vas pouvoir piraté les sites des ouugdours...

je continue ou vous avez compris la débilité du rapport du MIT ?

(je dis pas que c'est faux, je dis que je vois pas le rapport avec les ouigdours
qui par ailleurs n'est pas LA minorité musulman mais une ethnie minoritaires qui s’avère etre musulman
il y a tas d'autre ethnique ou mec random musulman dont l'etat chinois s'en cogne...)
5  2 
Avatar de Kulvar
Membre averti https://www.developpez.com
Le 08/05/2021 à 1:56
Quel est votre avis sur le sujet ?

Qu'il faut arrêter de donner des "armes" à la Chine.

Pensez-vous que ces allégations d'espionnage sont vraies ?

Elles sont probablement vraies, ou le seront probablement. La Chine a un passif avec l'autoritarisme.

Selon vous, les concours de piratages informatiques ont-ils une face cachée ?

Probablement. La Chine a un passif avec l'autoritarisme.

Si cela s'avère vrai, pensez-vous que la Chine soit le seul pays à exploiter les failles zero-days plutôt que de les divulguer aux entreprises concernées ?

Bien sûr que non. La Russie et les USA le font certainement aussi, probablement les pays de l'UE également.
3  3