Dans le rapport de renseignement de cette semaine, le FBI et MI5 chefs avertissent de la menace massive posée par la quête de la Chine pour devenir une menace dominante dans le cyberespace. Nous expliquons également comment un nouvel outil d’équipe rouge est utilisé de manière abusive par les acteurs malveillants, et nous mettons en évidence une attaque émergente de type chaîne d’approvisionnement qui exploite des packages NPM malveillants pour collecter des données sensibles à partir d’applications et de sites Web.
Poursuivez votre lecture pour obtenir les dernières informations sur ces histoires en développement.
1. Le FBI et MI5 chefs avertissent d’une menace massive pour la Chine
Dans le cadre d’un briefing conjoint sans précédent présenté à un public de leaders universitaires et commerciaux le 6 juillet, le directeur du service de renseignement britannique MI5, le général Ken McCallum et le directeur du FBI Chris Wray ont mis en garde avec enthousiasme contre la menace croissante posée par le parti communiste chinois (CCP) aux intérêts nationaux britanniques et américains.
Selon McCallum, le Parti communiste chinois et le gouvernement qu’il contrôle ont été engagés pendant des années dans des tentatives de vol d’une expertise, d’une technologie, d’une recherche de premier plan et de toute autre propriété intellectuelle (PI) occidentale capable de fournir un avantage commercial et de renforcer la position mondiale de la Chine.
Aperçu des menaces : décomposer les tactiques de campagne chinoises
Le briefing a détaillé comment les campagnes chinoises de vol de propriété intellectuelle prennent de nombreuses formes. Parmi les exemples courants, on peut citer les espions chinois opérant sous la couverture sur le sol occidental, les fusions et acquisitions (F&A) et les transferts de technologie qui apportent la technologie occidentale aux entreprises chinoises, et le cooptage de contacts locaux qui sont souvent ignorants de ce qu’ils font pour promouvoir les intérêts de l’État chinois.
En outre, en ce qui concerne les cyberopérations offensives de la Chine, un large éventail de cibles gouvernementales et commerciales occidentales ont été constamment attaquées par des groupes de menaces persistantes avancées (APT) soutenus par la Chine affiliés au ministère chinois de la sécurité d’État (MSS) et à l’armée de libération des personnes (PLA). Ces unités de piratage professionnel aident à mettre en œuvre la stratégie de l’ensemble de l’État chinois pour devenir le seul superpouvoir au monde par tous les moyens nécessaires, ce qui, si tout se déroule comme prévu, entraînera également l’émergence de la Chine comme superpouvoir dominant au monde.
Peut-être encore plus inquiétant, en fonction de la manière dont vous êtes attaché au Premier amendement, lorsque Wray a fait valoir pendant l’adresse conjointe que Pékin n’essaye pas seulement de voler des secrets commerciaux et des recherches académiques à l’Occident, mais cherche également à influencer sa politique et à mener une surveillance technique contre les activistes aux États-Unis qui s’expriment contre le gouvernement chinois.
Une mauvaise semaine pour le CCP
L’adresse conjointe suit ce qui pourrait très bien être le plus grand piratage de données de l’histoire, qui s’est produit lorsqu’un acteur de cybermenace aurait exfiltré une énorme mine d’informations personnelles d’une base de données de police de Shanghai. La semaine dernière, un pirate informatique passant par le pseudonyme en ligne ChinaDan a informé les membres du site des pirates informatiques Breach Forums qu’il avait acquis 23 téraoctets de données sur 1 milliard de citoyens chinois.
BleepingComputer comprenait une image de la publication du forum expliquant le contenu du transport de données. L’attaquant présumé a déclaré que les bases de données contenaient des informations sur 1 milliard de résidents nationaux chinois, ainsi que plusieurs milliards de dossiers de police. Ces données comprennent des détails personnels tels que les noms, adresses, lieux de naissance, numéros d’identification nationaux, numéros de téléphone portable et tous les détails de crime/cas associés aux ressortissants chinois qui ont été en contact avec la police. Les censeurs gouvernementaux chinois travailleraient des heures supplémentaires pour limiter les nouvelles troublantes selon lesquelles les données qu’ils ont régulièrement siphonnées à leurs propres citoyens au fil des ans sont apparemment prêtes à être saisies et sont vendues pour la somme relativement paltry d’environ 200 000 USD.
Selon un article de Gizmodo couvrant les tentatives de la Chine de neutraliser toute discussion sur la fuite de données, les tentatives de Reuters de suivre les personnes incluses dans la base de données ont réussi, les répondants confirmant que les données contenues dans les informations volées n’auraient pu provenir que de la police, et qu’elles sont principalement représentatives des efforts de la police pour soutenir l’ État de surveillance plus large du pays.
Le pirate informatique prétend avoir volé des données sur 1 milliard de citoyens chinois - @sergheihttps://t.co/3nSC1WRfA7
— BleepingComputer (@BleepinComputer) 4 juillet 2022
Le gouvernement chinois n’a fait aucune mention officielle du piratage aux journalistes, en public ou en ligne. Ironiquement, les nouvelles du piratage et des tentatives ultérieures de Pékin de censure de sa discussion publique surviennent à un moment où le gouvernement chinois a publiquement promis d’améliorer la protection de la confidentialité des données des utilisateurs en ligne, en se tournant vers ses géants technologiques pour prendre des mesures afin d’assurer un stockage des données plus sûr.
Points clés à retenir
À la fin de l’adresse conjointe MI5/FBI, Wray a exhorté les chefs d’entreprise et autres à travailler avec les services de renseignement lorsque des incidents se produisent.
« Nos employés s’efforceront de vous donner des détails techniques qui vous aideront à réduire les effets d’une attaque. Ensemble, nous pouvons également exécuter des opérations conjointes et séquencées qui perturbent les cyberattaques du gouvernement chinois », déclare Wray, ajoutant, « Nous pouvons également vous aider à déterminer si le problème cyber que vous avez rencontré fait réellement partie d’une opération de renseignement plus importante, si les pirates informatiques que vous voyez peuvent travailler avec des initiés, ou de concert avec d’autres menaces d’entreprise, que vous ne voyez pas. »
McCallum a également plaidé en faveur de la collaboration, affirmant que la meilleure façon de lutter contre l’approche globale de la Chine en matière d’espionnage et d’influence cachée est « en établissant des partenariats de confiance, à travers nos systèmes nationaux et, comme symbolisé aujourd’hui, à l’international ».
Dans une déclaration qui s’applique également aux intérêts des États-Unis et du Royaume-Uni, il a exhorté les organisations locales à contacter de manière proactive les cyber-agences respectives de leur pays plutôt qu’à attendre qu’un incident se produise.
« L’activité hostile se produit sur le sol britannique [et américain] en ce moment », a déclaré McCallum. « Nous n’avons pas besoin de construire des murs pour nous éloigner du reste du monde. Nous devons renforcer notre sensibilisation et faire des choix conscients pour accroître notre résilience. »
S’adressant à la foule, les représentants se sont joints pour souligner que « Vous, les innovateurs et technologues du Royaume-Uni [et des États-Unis], nos chercheurs et scientifiques, nos hommes d’affaires, êtes l’un des plus grands atouts du Royaume-Uni [et des États-Unis]. C’est pourquoi vous êtes ciblé. Ne laissons pas votre réussite devenir l’avantage concurrentiel de la Chine. »
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Plusieurs experts en sécurité ont prédit une augmentation significative de l’activité cybernétique soutenue par la Chine ciblant les États-Unis et ses alliés occidentaux. Le fait que MI5 et le FBI aient uni leurs forces pour en dire autant publiquement sous la forme d’une allocution conjointe sans précédent prête encore plus de crédibilité à cette théorie. CTI surveillera de près l’activité de divers APT associés à la Chine ; un effort qui comprend la création et la mise à jour régulière des profils des acteurs malveillants contenant des informations exploitables sur les acteurs malveillants chinois que nous percevons comme présentant le plus de risques pour Tanium et ses clients/partenaires.
Quant à la tentative de la Chine de dissimuler ce qui pourrait s’avérer être la plus grande fuite de données de l’histoire ; eh bien, en août 2021, le Congrès national du peuple chinois a adopté une loi conçue pour protéger la confidentialité des données des utilisateurs en ligne et a mis en œuvre la politique en novembre. La loi sur la protection des informations personnelles (Personal Information Protection Law, PIPL) inflige des amendes allant jusqu’à environ 7,7 millions USD ou 5 % du chiffre d’affaires annuel des contrevenants. Bien que cela ait semblé être une victoire pour la liberté sur Internet pour ceux qui regardent à l’extérieur, le passage de la loi a été considéré par la plupart comme l’achèvement d’un autre pilier soutenant les efforts du pays pour renforcer les réglementations dans le cyberespace et ajouter plus d’exigences de conformité pour les entreprises chinoises.
Le mois dernier, la CISA a émis une alerte détaillant les PTT courants et les vulnérabilités connues ciblées par les acteurs malveillants soutenus par la Chine ; il est probable que cela ait été émis en réponse à l’augmentation de l’activité cybernétique chinoise ciblant les entités occidentales et en prévision de celle-ci. »
2. Outil d’équipe rouge, Brute Ratel C4, actuellement utilisé par des acteurs malveillants
Un récent blog de recherche sur la sécurité par Unit 42 de Palo Alto détaille Brute Ratel C4, un outil de travail en équipe rouge que les acteurs malveillants utilisent désormais pour lancer des attaques. Les chercheurs ont analysé un échantillon téléchargé sur VirusTotal qui a reçu un verdict bénin de la part des 56 fournisseurs qui l’ont évalué.
📢 @Unit42_Intel de Palo Alto a publié un rapport sur Brute Ratel C42. Cet outil sophistiqué de l’équipe rouge a été développé pour éviter les capacités de #détection des endpoints et de #antivirus . Protégez votre réseau et lisez https://t.co/hKFWi4wWHB.#Cybersécurité #Gestion des vulnérabilités #BRc4 #IOC
— US-CERT (@USCERT_gov) 5 juillet 2022
Qu’est-ce que Brute Ratel C4 ?
Brute Ratel C4 est un outil de test de pénétration/équipe rouge qui a été mis sur le marché en décembre 2020. Il est de nature similaire à Cobalt Strike, un autre outil d’équipe rouge qui est devenu un élément de base fiable dans les arsenals d’un large éventail d’acteurs malveillants et de cybercriminels.
L’outil se fait connaître comme un centre de commande et de contrôle personnalisé pour les opérations de simulation de l’équipe rouge et des adversaires, et compte actuellement plus de 350 clients. L’outil permet à une organisation de simuler une cyberattaque et de tester l’efficacité de ses contrôles de sécurité.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’utilisation d’outils de test de pénétration par les acteurs malveillants n’est pas un phénomène nouveau. Les acteurs malveillants tirent parti d’outils de test de pénétration tels que Burp Suite, Cobalt Strike et Metasploit depuis des années.
Les outils sont une épée à double tranchant, car ils peuvent être incroyablement précieux pour les organisations cherchant à tester les contrôles de sécurité au sein de leur environnement, mais peuvent simultanément agir comme un outil prêt à l’emploi lorsqu’ils sont armés par des acteurs malveillants. Le fait que ces outils soient souvent conviviaux et présentent une faible barrière à l’entrée ne fait que compliquer ce fait, rendant des outils tels que Brute Ratel C4 accessibles à un éventail encore plus large de cybercriminels, quel que soit leur degré de sophistication technique.
Un acteur malveillant utilisant ces outils peut être difficile à détecter, car l’activité peut être masquée par l’activité de test légitime d’une équipe rouge dans l’environnement. Cela souligne la nécessité pour les organisations de détecter et de surveiller l’utilisation des outils de test de pénétration dans l’environnement et de garantir l’origine et la légitimité de chaque outil utilisé.
Il convient également de souligner le fait que des acteurs malveillants ont été observés en utilisant des fichiers LNK pour télécharger Brute Ratel C4. L’abus des fichiers LNK par les cybercriminels a tendance à se produire en retard, les fichiers devenant rapidement associés à des menaces importantes. »
3. L’attaque de la chaîne d’approvisionnement du logiciel NPM saisit les données des applications, des sites Web
Les chercheurs de ReversingLabs ont découvert une campagne généralisée pour installer des modules NPM malveillants qui collectent des données sensibles à partir de formulaires dans des applications mobiles et des sites web. L’attaque coordonnée est connue sous le nom d’IconBurst.
Détails de la campagne
IconBurst contient environ deux douzaines de packages NPM malveillants qui incluent JavaScript masqué avec un code malveillant conçu pour collecter des données utilisateur sensibles via des formulaires intégrés sur des applications mobiles et des sites web en aval.
Selon ReversingLabs, les packages datent d’au moins six mois. ReversingLabs prétend également avoir la preuve d’une attaque coordonnée de la chaîne d’approvisionnement comprenant de nombreux packages NPM contenant des scripts JQuery capables de voler des données aux applications qui les exploitent.
Les attaques malveillantes de la campagne IconBurst s’appuient sur une stratégie appelée « typo-squatting », qui est similaire à la stratégie employée dans les attaques de confusion de dépendance récemment découvertes (et finalement bénignes, car elles ont été découvertes comme étant le travail d’un testeur de stylo trop impatient) (également signalées par ReversingLabs) qui semblaient cibler les organisations allemandes.
Avec la limitation des fautes de frappe, les attaquants distribuent des packages malveillants en leur donnant des noms qui, en un coup d’œil, semblent être des packages légitimes. Ils y parviennent en utilisant des fautes d’orthographe courantes ou des mots similaires qui incitent les utilisateurs moins scrupuleux à tirer parti des packages usurpés. Par exemple, dans un cas observé par ReversingLabs, les données exfiltrées par icon-package ont été acheminées vers un domaine nommé ionicio[.]com, une page similaire conçue pour ressembler au site Web ionique[.]io légitime.
Selon ReversingLabs, les attaquants « se sont fait passer pour des modules NPM à fort trafic tels que des parapluies et des packages publiés par ionic.io. Cependant, ce sont les utilisateurs finaux des logiciels (et de leurs données) plutôt que les organisations de développement qui sont les véritables cibles. »
Impact/échelle
Les packages en question, dont la plupart ont été publiés au cours des derniers mois, ont été téléchargés collectivement plus de 27 000 fois à ce jour. Pire encore, la plupart des modules continuent d’être disponibles au téléchargement à partir du référentiel iconic.io.
Bien que l’étendue complète de cette attaque ne soit pas encore connue, les packages malveillants découverts par les chercheurs de ReversingLabs sont probablement utilisés par des centaines, voire des milliers d’applications et de sites Web mobiles et de bureau en aval. Dans un cas, un package malveillant avait été téléchargé plus de 17 000 fois.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien que cette découverte soit certainement inquiétante, n’oublions pas que ReversingLabs s’est déjà rendu coupable de « sauter le coup » lors du signalement d’une activité malveillante présumée par le passé, avant d’être certain de ses origines (voir la campagne allemande référencée ci-dessus). En gardant cela à l’esprit, nous conseillons que les lecteurs traitent actuellement cette source d’informations avec une confiance moyenne, comme nous le faisons. Cela étant dit, les preuves de squattation de faute de frappe et d’obscurcissement de code présentées dans leurs conclusions semblent assez ironques.
De plus, les auteurs de logiciels malveillants à l’origine de la campagne ont depuis modifié leur méthodologie pour maximiser les retours en recueillant des informations à partir de chaque élément de formulaire sur chaque application et page web armée, ce qui indique une approche de plus en plus agressive de la collecte de données, ou un ou plusieurs attaquants essayant de maximiser les retours avant que la divulgation publique de leur campagne ne nuise à leur fonctionnement. Le succès apparent de l’attaque et le nombre de téléchargements impliqués sont également inquiétants, car ils permettent de souligner à la fois la tendance des développeurs à se méfier de la légitimité des packages populaires, ainsi que l’absence de barrières efficaces lorsqu’il s’agit d’empêcher le code malveillant/vulnérable d’entrer dans des environnements informatiques et de développement sensibles. »
Votre entreprise est-elle en danger ? Faites notre évaluation des risques et découvrez
Le paysage des cybermenaces est vaste et en constante évolution, avec de nouvelles menaces qui apparaissent constamment. Vos endpoints sont menacés par de nombreuses campagnes et de nombreux acteurs malveillants. Et ce n’est qu’une question de temps avant que les cybercriminels ne violent vos défenses et ne pénètrent votre réseau.
Profitez de cette occasion pour vérifier la préparation de votre organisation à la cybersécurité grâce à notre évaluation des risques Tanium. Obtenez votre rapport de risque gratuit dès aujourd’hui.
