Les espionnages de la Chine et de la Russie mettront des années à se déballer

D’abord, c’était Vents solaires. Cette campagne de piratage informatique, qui s’étend sur près d’un an, a permis d’abattre au moins neuf agences gouvernementales américaines et d’innombrables entreprises privées. Aujourd’hui, c’est Hafnium, un groupe chinois qui s’attaque à une vulnérabilité de Microsoft Exchange Server pour se faufiler dans les boîtes aux lettres électroniques des victimes et au-delà. Le bilan collectif de ces actes d’espionnage est toujours en cours de découverte. Il se peut qu’on ne le sache jamais complètement.

Les pays s’espionnent les uns les autres, partout et tout le temps. Ils l’ont toujours fait. Mais l’étendue et la sophistication des derniers efforts de la Russie et de la Chine parviennent encore à choquer. Et les retombées à court terme des deux pays montrent à quel point il peut être délicat de prendre la pleine mesure d’une campagne même après l’avoir flairée.

Vous connaissez sans doute maintenant le Les bases de l’attaque des vents solaires. Les pirates informatiques russes se sont probablement introduits dans les réseaux de la société de gestion informatique et ont modifié des versions de son outil de surveillance du réseau Orion, exposant jusqu’à 18 000 organisations. Le nombre réel de victimes de Solarwinds est supposé être beaucoup plus faible, bien que les analystes de la sécurité aient l’a fixé au moins dans les petites centaines de cas jusqu’à présent. Et comme le PDG de Solarwinds, Sudhakar Ramakrishna, a a souligné Pour ceux qui écouteront, il n’est pas le seul fournisseur de logiciels que les Russes ont piraté dans le cadre de cette campagne, ce qui implique un écosystème de victimes beaucoup plus large que ce que l’on a pu imaginer jusqu’à présent.

« Il est devenu évident qu’il y a beaucoup plus à apprendre sur cet incident, ses causes, sa portée, son ampleur et la direction que nous allons prendre à partir de là », a déclaré le président de la commission sénatoriale du renseignement, Mark Warner (D-VA), lors d’une audition liée au piratage de Solarwinds la semaine dernière. Brandon Wales, directeur par intérim de l’Agence américaine de cybersécurité et d’infrastructure, a estimé en un entretien avec Revue technologique du MIT cette semaine qu’il pourrait falloir jusqu’à 18 mois aux seuls systèmes du gouvernement américain pour se remettre de la vague de piratage, sans parler du secteur privé.

Ce manque de clarté se double d’une campagne de piratage informatique chinoise que Microsoft a dévoilée mardi. D’abord repérée par l’entreprise de sécurité Volexity, un groupe d’État-nation que Microsoft appelle Hafnium a utilisé plusieurs les exploits du jour zéro-qui s’attaquent à des vulnérabilités de logiciels jusqu’alors inconnues – pour s’introduire dans les serveurs Exchange, qui gèrent les clients de messagerie électronique, y compris Outlook. Là, ils pourraient subrepticement lire les comptes de courrier électronique de cibles de grande valeur.

« Vous ne reprocheriez à personne d’avoir manqué cela », déclare Steven Adair, fondateur de Veloxity, qui précise que l’activité qu’ils ont observée a commencé le 6 janvier dernier. « Ils sont très ciblés et ne font pas grand-chose pour tirer la sonnette d’alarme. »

Le week-end dernier, Veloxity a toutefois observé un changement de comportement marqué, les pirates informatiques ayant commencé à utiliser leur emprise sur les serveurs Exchange pour s’infiltrer de manière agressive dans les réseaux des victimes. « C’était vraiment sérieux avant ; quelqu’un ayant un accès illimité à votre courrier électronique à volonté est en quelque sorte le pire des scénarios », dit Adair. « Le fait qu’ils puissent également pénétrer votre réseau et écrire des fichiers augmente d’un cran les possibilités d’accès et la difficulté du nettoyage ».

Ni les vents solaires ni les attaques au Hafnium n’ont cessé, ce qui signifie que le concept même de nettoyage, du moins dans ses grandes lignes, reste un rêve lointain. C’est comme essayer d’éponger un pétrolier en plein essor. Il est évident que ces attaques sont toujours en cours, et les acteurs de la menace scannent activement l’internet, comme s’il s’agissait d’un « spray and prayer », en ciblant tout ce qui semble vulnérable », explique John Hammond, chercheur principal en sécurité de la société de détection des menaces Huntress, à propos de la campagne Hafnium.

Microsoft a publié patches qui protègera toute personne utilisant le serveur Exchange contre l’agression. Mais ce n’est qu’une question de temps avant que d’autres pirates fassent de la rétro-ingénierie pour trouver comment exploiter les vulnérabilités elles-mêmes ; vous pouvez vous attendre à ce que des rançons et des groupes de cryptojacking pour participer à l’action en toute hâte.