Les piratages de VPN sont un désastre au ralenti

Cette année a n’a pas vu de pénurie de piratage de blockbuster, de la L’effondrement de la chaîne d’approvisionnement de SolarWinds à L’attaque éclair de la Chine contre les serveurs Microsoft Exchange. C’est beaucoup. Mais l’attention démesurée portée à ces actes de piratage occulte une autre menace qui s’est progressivement développée en arrière-plan pendant des années, sans qu’aucune solution claire ne soit en vue : l’assaut soutenu des réseaux privés virtuels.

Le dernier exemple d’effondrement d’un VPN – nous parlons ici de connexions d’entreprise, pas d’un réseau privé virtuel. votre installation personnelle-est l’une des plus spectaculaires. La société de sécurité FireEye a révélé cette semaine qu’elle avait trouvé une douzaine de familles de logiciels malveillants, réparties entre plusieurs groupes de pirates, se régalant des vulnérabilités de Pulse Secure VPN. Les victimes étaient réparties dans le monde entier et représentaient les cibles habituelles de grande valeur : entreprises de défense, institutions financières et gouvernements. Les attaquants ont profité de leur perche pour voler des informations d’identification légitimes, augmentant ainsi leurs chances d’obtenir un accès à la fois profond et durable.

C’est le problème des piratages de VPN. Puisque l’objectif d’un VPN est de créer une connexion sécurisée à un réseau, s’infiltrer dans un VPN peut épargner bien des tracas aux pirates. « Une fois que les pirates disposent de ces informations d’identification, ils n’ont pas besoin d’utiliser des courriels de harcèlement, ils n’ont pas besoin d’introduire des logiciels malveillants personnalisés », explique Sarah Jones, analyste principale senior chez FireEye. « C’est en quelque sorte une situation parfaite ».

La campagne que FireEye a découverte est particulièrement ambitieuse et potentiellement troublante. Il est trop tôt pour attribuer des responsabilités fermes, mais les groupes à l’origine de cette campagne semblent liés à la Chine, et leurs cibles semblent regorger du type d’informations sensibles sur lesquelles les groupes d’espionnage prospèrent. L’une des familles de logiciels malveillants, appelée Slowpulse, peut contourner les protections d’authentification à deux facteurs, évitant ainsi une protection essentielle contre la collecte d’informations d’identification.

« Le nouveau problème, découvert ce mois-ci, a touché un nombre très limité de clients », a déclaré Ivanti, la société mère de Pulse Secure, dans un communiqué. « L’équipe a travaillé rapidement pour fournir des mesures d’atténuation directement au nombre limité de clients touchés, afin de remédier au risque pour leur système. »

Un correctif pour réparer la vulnérabilité au cœur des attaques ne sera pas disponible avant le mois prochain. Et même à ce moment-là, il ne sera pas d’un grand secours. Les entreprises sont souvent lentes à mettre à jour leurs VPN, en partie parce que les temps d’arrêt signifient que les employés ne peuvent pas travailler. Certaines des intrusions repérées par FireEye, en fait, semblent liées à des vulnérabilités qui avaient été signalées dès 2019. La même année, une faille du VPN Pulse Secure a offert une voie d’accès à un groupe de ransomware pour braquer Travelex, une compagnie d’assurance voyage, pour des millions de dollars. Un an plus tard, malgré les avertissements des chercheurs, des organisations nationales de cybersécurité et des forces de l’ordre, des milliers d’organisations restaient vulnérables, explique Troy Mursch, directeur de la recherche de la société de renseignement sur les cybermenaces Bad Packets.

Il n’en a pas toujours été ainsi. Auparavant, les VPN reposaient généralement sur un ensemble de protocoles connus sous le nom de sécurité du protocole Internet, ou IPsec. Bien que les VPN basés sur IPsec soient considérés comme sûrs et fiables, ils peuvent également être compliqués et encombrants pour les utilisateurs. Ces dernières années, avec l’expansion puis l’explosion du travail à distance, de plus en plus de VPN ont été construits à la place sur des technologies de cryptage omniprésentes connues sous le nom de single sockets layer et transport layer security. Les distinctions se perdent rapidement dans les méandres, mais essentiellement, les VPN SSL/TLS ont rendu la connexion au réseau de votre entreprise beaucoup plus transparente – la différence entre s’engager sur l’autoroute dans un minivan et dans une Miata.

« C’était un grand pas en avant pour la commodité », déclare Vijay Sarvepalli, architecte principal de solutions de sécurité au centre de coordination CERT de l’université Carnegie Mellon. Le CERT aide à cataloguer les vulnérabilités et à coordonner leur divulgation publique. « Lorsqu’ils ont conçu ces appareils, les risques n’ont pas encore été pris en compte. Il n’est pas impossible de les protéger, mais les gens ne sont pas préparés à surveiller et à répondre rapidement aux attaques dont ils font l’objet. »

Les logiciels, quels qu’ils soient, présentent des vulnérabilités, mais comme les VPN servent, par définition, à véhiculer des informations censées être privées, leurs bogues ont de graves conséquences. Le passage de la pandémie au travail à distance a mis les problèmes sous-jacents sous les projecteurs. « De nombreux fournisseurs de VPN SSL présentaient dès le départ de graves défauts dans leurs produits », explique Mursch. « L’utilisation accrue des VPN SSL au cours de l’année dernière a conduit à un examen plus minutieux de la part des chercheurs en sécurité – et des acteurs de la menace intéressés à les exploiter. »