Comment le piratage de la Chine est entré dans une nouvelle phase téméraire

Pendant des années, la Chine a semblé opérer à l’extrémité la plus discrète du spectre du piratage informatique parrainé par l’État. Alors que la Russie et la Corée du Nord menaient des opérations de piratage et de fuite, lançaient des cyberattaques de grande envergure et brouillaient la frontière entre cybercriminels et agences de renseignement, la Chine se concentrait discrètement sur l’espionnage et le vol de propriété intellectuelle plus traditionnels, bien que prolifiques. Mais aujourd’hui, un message collectif émanant de dizaines de pays met en évidence un changement dans le comportement en ligne de la Chine, et montre que la traînée de chaos de sa principale agence de cyberespionnage rivalise de plus en plus avec celle du régime Kim ou du Kremlin.

Lundi, la Maison-Blanche s’est jointe au gouvernement britannique, à l’Union européenne, à l’OTAN et à des gouvernements allant du Japon à la Norvège pour annoncer une série d’opérations de piratage chinoises, et le ministère américain de la justice a séparément inculpé quatre pirates chinois, dont trois seraient des agents du ministère chinois de la sécurité d’État. La déclaration de la Maison Blanche impute spécifiquement au MSS la responsabilité d’une campagne de piratage de masse qui a utilisé une vulnérabilité dans le logiciel Exchange Server de Microsoft pour compromettre des milliers d’organisations dans le monde. Elle reproche également au ministère de s’être associé à des organisations contractuelles qui se sont livrées à la cybercriminalité à but lucratif, fermant les yeux sur des activités extrascolaires, voire les tolérant, comme l’infection des victimes par des ransomwares, l’utilisation des machines des victimes pour le minage de crypto-monnaies et le vol financier. « La réticence de la RPC à s’attaquer aux activités criminelles des pirates informatiques contractuels nuit aux gouvernements, aux entreprises et aux exploitants d’infrastructures critiques par le biais de milliards de dollars de perte de propriété intellectuelle, d’informations exclusives, de paiements de rançon et d’efforts d’atténuation », peut-on lire dans la déclaration.

Cette longue liste de péchés numériques représente un changement significatif dans le modus operandi des pirates chinois, dont les observateurs de la Chine disent qu’il peut être retracé à la réorganisation de 2015 du pays de ses cyber opérations. C’est à ce moment-là que le pays a transféré une grande partie du contrôle de l’Armée de libération du peuple au MSS, un service de sécurité d’État qui, au fil du temps, est devenu plus agressif dans ses ambitions de piratage et dans sa volonté de sous-traiter à des criminels.

« Ils deviennent plus gros. Le nombre de piratages a diminué, mais leur ampleur a augmenté », déclare Adam Segal, directeur du Digital and Cyberspace Policy Program du Council on Foreign Relations, qui s’intéresse depuis longtemps aux activités de piratage de la Chine. Cela s’explique en grande partie par le fait que les pirates non gouvernementaux avec lesquels le MSS travaille n’obéissent pas nécessairement aux normes du piratage parrainé par l’État. « Il semble y avoir une plus grande tolérance à l’égard de l’irresponsabilité », déclare M. Segal.

Le MSS a toujours préféré utiliser des intermédiaires, des sociétés écrans et des sous-traitants plutôt que de mener ses propres opérations, explique Priscilla Moriuchi, chargée de recherche au Belfer Center for Science and International Affairs de Harvard. « Ce modèle, tant pour les opérations HUMINT que pour les opérations cybernétiques, permet au MSS de maintenir un déni plausible et de créer des réseaux d’individus et d’organisations recrutés qui peuvent porter le poids de la responsabilité lorsqu’ils sont pris », explique Priscilla Moriuchi, qui utilise le terme « HUMINT » pour désigner le côté humain et non cybernétique des opérations d’espionnage. « Ces organisations peuvent être rapidement brûlées et de nouvelles peuvent être créées si nécessaire ».

Si ces sous-traitants offrent au gouvernement chinois une couche de déni et d’efficacité, ils conduisent également à un moindre contrôle des opérateurs, et à une moindre assurance que les pirates n’utiliseront pas leurs privilèges pour s’enrichir de leur côté – ou des officiers du MSS qui distribuent les contrats. « À la lumière de ce modèle, je ne suis pas du tout surpris que les groupes de cyber-opérations attribués au MSS se livrent également à la cybercriminalité », ajoute Moriuchi.

La déclaration de la Maison Blanche dans son ensemble indique un ensemble d’activités de piratage chinoises vaste, désordonné et, dans certains cas, sans rapport entre elles. A acte d’accusation distinct nomme quatre pirates informatiques affiliés au MSS.dont trois étaient des officiers du MSS, tous accusés d’un large éventail d’intrusions visant des industries du monde entier, des soins de santé à l’aviation.

Mais plus inhabituel que le vol de données décrit dans cet acte d’accusation est le piratage de masse annoncé lundi, dans lequel un groupe connu sous le nom de Hafnium – maintenant lié par la Maison Blanche au MSS chinois – a pénétré dans pas moins de 30 000 serveurs Exchange dans le monde. Les pirates ont également laissé derrière eux des « coquilles web », qui leur permettaient d’accéder à nouveau à ces serveurs à volonté, mais qui présentaient également le risque que d’autres pirates découvrent ces portes dérobées et les exploitent à leurs propres fins. Cet élément de la campagne de piratage était « non ciblé, imprudent et extrêmement dangereux », a écrit Dmitri Alperovitch, ancien directeur technique de CrowdStrike et fondateur de Silverado Policy Accelerator, avec le chercheur Ian Ward, dans un billet de blog publié en mars. Au moins un groupe de ransomware a tenté de s’appuyer sur la campagne d’Hafnium peu après sa découverte.

Selon Ben Read, directeur de l’analyse du cyberespionnage au sein de la société de réponse aux incidents et de renseignement sur les menaces Mandiant, rien ne prouve que les pirates de Hafnium du MSS aient eux-mêmes déployé un ransomware ou un logiciel de minage de crypto-monnaies sur l’un de ces dizaines de milliers de réseaux. La critique de la Maison Blanche à l’encontre du gouvernement chinois, qui confond cybercriminalité et cyberespionnage, semble plutôt être liée à d’autres campagnes de piratage qui ont duré des années et qui ont plus clairement franchi cette ligne. En septembre de l’année dernière, par exemple, le ministère de la Justice a inculpé cinq Chinois qui travaillaient pour un prestataire MSS connu sous le nom de Chengdu 404 Network Technology – connu dans le secteur de la cybersécurité sous le nom de Barium avant d’être identifié – tous accusés d’avoir piraté des dizaines d’entreprises dans le monde entier dans le cadre d’une série d’opérations qui semblaient mélanger librement espionnage et cybercriminalité à but lucratif.