Un deuxième piratage de SolarWinds aggrave les craintes concernant les logiciels tiers

Il a été plus plus de deux mois depuis les révélations selon lesquelles des pirates informatiques prétendument soutenus par la Russie ont pénétré dans le La société de gestion informatique SolarWinds et a utilisé cet accès pour lancer une attaque massive de la chaîne d’approvisionnement en logiciels. Il semble maintenant que la Russie n’était pas seule ; Reuters rapports que des pirates informatiques chinois présumés ont indépendamment exploité une faille différente dans les produits SolarWinds l’année dernière à peu près à la même époque, frappant apparemment le Centre national des finances du ministère américain de l’agriculture.

En décembre, SolarWinds a remédié à la vulnérabilité exploitée par les prétendus pirates informatiques chinois. Mais cette révélation souligne la tâche apparemment impossible à laquelle les organisations sont confrontées pour traiter non seulement leurs propres problèmes de sécurité, mais aussi l’exposition potentielle des innombrables sociétés tierces avec lesquelles elles s’associent pour des services allant de la gestion informatique au stockage de données en passant par le chat de bureau. Dans le paysage interconnecté d’aujourd’hui, la force d’une entreprise dépend de celle de son fournisseur le plus faible.

« Il n’est pas réaliste de ne pas dépendre de tiers », déclare Katie Nickels, directrice des renseignements de la société de sécurité Red Canary. « Ce n’est tout simplement pas réaliste, la façon dont un réseau est géré. Mais ce que nous avons vu pendant la première ou les deux premières semaines, même après les premières révélations sur SolarWinds, c’est que certaines organisations essayaient simplement de savoir si elles utilisaient des produits SolarWinds. Je pense donc qu’il faut passer à la connaissance de ces dépendances et comprendre comment elles devraient et ne devraient pas interagir ».

SolarWinds souligne que, contrairement aux pirates russes, qui ont utilisé leur accès à SolarWinds pour infiltrer des cibles, les pirates chinois n’ont exploité la vulnérabilité qu’après avoir déjà pénétré un réseau par un autre moyen. Ils ont ensuite utilisé la faille pour creuser plus profondément. « Nous sommes au courant d’un cas de ce genre, et il n’y a aucune raison de croire que ces attaquants se trouvaient dans l’environnement de SolarWinds à un moment quelconque », a déclaré la société dans un communiqué. « Ceci est distinct de l’attaque large et sophistiquée qui visait plusieurs sociétés de logiciels comme vecteurs ».

Un porte-parole de l’USDA a déclaré dans un communiqué que l’agence avait retiré les produits SolarWinds Orion de ses réseaux en décembre, conformément à une directive d’urgence de l’Agence de cybersécurité et de sécurité des infrastructures du ministère de la sécurité intérieure. « Alors que nous continuons à examiner la question, nous n’avons aucune preuve d’une violation des données du Centre national des finances de l’USDA », a déclaré le porte-parole.

L’omniprésence de logiciels comme Microsoft Windows ou, jusqu’à récemment, Adobe Flash, en fait des cibles privilégiées pour une grande variété de pirates informatiques. En tant qu’entreprise de plus de vingt ans ayant une importante base de clientèle – y compris un grand nombre de contrats gouvernementaux aux États-Unis et à l’étranger -, il est tout à fait logique que les pirates informatiques s’intéressent à SolarWinds. Mais SolarWinds n’est que l’un des nombreux outils d’entreprise et services de gestion informatique que les entreprises doivent faire fonctionner en permanence et simultanément. Chacun d’entre eux représente une incursion potentielle pour les pirates.

« J’ai des centaines de fournisseurs différents que nous utilisons, de Microsoft à Box, Zoom, Slack, etc. Il suffit d’un seul », explique Marcin Kleczynski, PDG du fabricant d’antivirus Malwarebytes, qui a révélé en janvier qu’il avait été victime de la présumée vague de piratage russe. « C’est une impasse. Comptez sur un seul fournisseur et vous êtes foutu s’il est touché. Comptez sur plusieurs et il suffit d’un seul. Comptez sur les grandes marques et faites face aux conséquences qu’elles sont les plus ciblées. Comptez sur les petites marques et faites face aux conséquences qu’elles n’investissent pas encore dans la sécurité ».

Malwarebytes illustre cette tension d’une autre manière : les pirates russes qui l’ont compromise sont entrés par une autre méthode que SolarWinds. Brandon Wales, directeur par intérim de la CISA, dit Le Wall Street Journal en janvier que les hackers « ont eu accès à leurs cibles de différentes manières ». Vous pouvez défendre votre trésor en le cachant dans un château sur une montagne entouré d’un grand mur et d’un fossé rempli d’alligators, ou vous pouvez le disperser dans le monde entier dans des coffres forts mais discrets. Les deux approches présentent leurs propres risques.