Dans le rapport de renseignement de cette semaine, le FBI et les responsables de la MI5 e division mettent en garde contre la menace considérable que représente la volonté de la Chine de s'imposer comme une puissance dominante dans le cyberespace. Nous expliquons également comment un nouvel outil de « red teaming » est actuellement détourné par des acteurs malveillants, et mettons en évidence une nouvelle forme d'attaque de type « chaîne d'approvisionnement » qui exploite des paquets NPM malveillants pour extraire des données sensibles d'applications et de sites web.
Poursuivez votre lecture pour découvrir les dernières informations concernant ces événements en cours.
1. Le FBI et les dirigeants de la MI5 mettent en garde contre une menace chinoise de grande ampleur
Lors d’une conférence de presse conjointe sans précédent organisée par l’ (s’ouvre dans un nouvel onglet) devant un parterre de responsables universitaires et d’hommes d’affaires sur 6 juillet, le directeur du service de renseignement britannique MI5, le général Ken McCallum, et le directeur du FBI, Chris Wray, ont mis en garde avec force contre la menace croissante que représente le Parti communiste chinois (PCC) pour les intérêts nationaux tant du Royaume-Uni que des États-Unis.
Selon M. McCallum, le Parti communiste chinois et le gouvernement qu’il contrôle s’efforcent depuis des années de s’approprier illicite l’expertise, les technologies, les résultats de recherche de pointe au niveau mondial, ainsi que toute autre propriété intellectuelle occidentale susceptible de leur procurer un avantage commercial et de renforcer la position de la Chine sur la scène internationale.
Aperçu de la menace : analyse des tactiques de campagne de la Chine
La présentation a expliqué en détail comment les campagnes chinoises de vol de propriété intellectuelle revêtent de nombreuses formes. Parmi les exemples courants, on peut citer les espions chinois opérant sous couverture sur le sol occidental, les fusions et acquisitions (M&A) ainsi que les transferts de technologie qui permettent aux entreprises chinoises d'accéder à la technologie occidentale, et le ralliement de contacts locaux qui ignorent souvent qu'ils contribuent à servir les intérêts de l'État chinois.
Par ailleurs, en ce qui concerne les opérations cyberoffensives menées par la Chine, un large éventail de cibles gouvernementales et commerciales occidentales a fait l’objet d’attaques répétées de la part de groupes spécialisés dans les menaces persistantes avancées (APT), soutenus par la Chine et affiliés au ministère chinois de la Sécurité d’État (MSS) et à l’Armée populaire de libération (APL). Ces unités de piratage professionnelles de l’ (s’ouvre dans un nouvel onglet) contribuent à la mise en œuvre de la stratégie d’État globale de la Chine (s’ouvre dans un nouvel onglet) visant à devenir la seule superpuissance mondiale par tous les moyens nécessaires, ce qui, si tout se déroule comme prévu, permettra également à la Chine de s’imposer comme la cyber-superpuissance dominante au niveau mondial (s’ouvre dans un nouvel onglet).
Ce qui est peut-être encore plus inquiétant — selon l’importance que vous accordez au Premier amendement —, c’est lorsque M. Wray a affirmé, lors de cette allocution conjointe, que Pékin ne se contente pas de tenter de voler des secrets commerciaux et des résultats de recherche universitaire à l’Occident, mais cherche également à influencer sa vie politique et à mener des opérations de surveillance technique à l’encontre des militants américains qui s’élèvent contre le gouvernement chinois.
Une mauvaise semaine pour le PCC
Cette déclaration commune fait suite à ce qui pourrait bien être le plus grand piratage de données de l'histoire, survenu lorsqu'un cybercriminel aurait dérobé une quantité colossale de données personnelles à partir d'une base de données de la police de Shanghai (s'ouvre dans un nouvel onglet). La semaine dernière, un pirate informatique utilisant les pseudonymes suivants : , ChinaDan, (s'ouvre dans un nouvel onglet),et , a déclaré aux membres du site de pirates « Breach Forums » qu'il avait mis la main sur 23 téraoctets de données concernant un milliard de citoyens chinois.
BleepingComputer (s'ouvre dans un nouvel onglet) a publié une capture d'écran du message publié sur le forum expliquant le contenu des données piratées. L'auteur présumé de l'attaque a affirmé que ces bases de données contenaient des informations sur un milliard de résidents de nationalité chinoise, ainsi que plusieurs milliards de dossiers policiers. Ces données comprennent des informations personnelles telles que les noms, adresses, lieux de naissance, numéros d'identité nationaux, numéros de téléphone portable, ainsi que tous les détails relatifs aux infractions ou aux affaires concernant des ressortissants chinois ayant eu affaire à la police. Les censeurs du gouvernement chinois travailleraient d'arrache-pied pour étouffer cette nouvelle inquiétante selon laquelle les données qu'ils ont régulièrement collectées auprès de leurs propres citoyens au fil des ans seraient apparemment à la portée de tous et vendues pour la somme relativement dérisoire d'environ 200 000 dollars américains.
Selon un article de Gizmodo traitant des tentatives de la Chine visant à étouffer tout débat sur la fuite de données, les efforts déployés par Reuters pour retrouver les personnes figurant dans la base de données ont porté leurs fruits : les personnes interrogées ont confirmé que les données contenues dans les informations volées ne pouvaient provenir que de la police et qu’elles reflétaient principalement les efforts déployés par celle-ci pour soutenir le système de surveillance « » mis en place à l’échelle nationale. (s’ouvre dans un nouvel onglet)
Un pirate informatique affirme avoir dérobé des données concernant un milliard de citoyens chinois - @serghei bleepingcomputer.com/news/security/…
Le gouvernement chinois n'a fait aucune déclaration officielle concernant cette cyberattaque, ni auprès des journalistes, ni en public, ni sur Internet. Ironiquement, la nouvelle de cette piraterie informatique et les tentatives ultérieures de Pékin visant à censurer le débat public à ce sujet surviennent à un moment où le gouvernement chinois s'est publiquement engagé à améliorer la protection de la vie privée des utilisateurs en ligne ; il compte sur ses géants technologiques pour prendre des mesures garantissant un stockage plus sûr des données.
Points clés à retenir
À l'issue de l'allocution conjointe de la MI5 et du FBI, M. Wray a exhorté les chefs d'entreprise et les autres parties prenantes à collaborer avec les services de renseignement en cas d'incident.
« Nos équipes se feront un plaisir de vous fournir des informations techniques qui vous aideront à atténuer les effets d'une attaque. » « Ensemble, nous pouvons également mener des opérations conjointes et coordonnées visant à contrecarrer les cyberattaques du gouvernement chinois », déclare M. Wray, avant d’ajouter : « Nous pouvons également vous aider à déterminer si le problème informatique auquel vous êtes confronté s’inscrit en réalité dans le cadre d’une opération de renseignement plus vaste, si les pirates informatiques que vous identifiez agissent éventuellement de concert avec des initiés, ou en collaboration avec d’autres menaces visant votre entreprise, que vous ne percevez pas. »
M. McCallum a également plaidé en faveur de la collaboration, affirmant que le meilleur moyen de lutter contre l’approche d’espionnage et d’influence clandestine menée par l’État chinois dans son ensemble consistait à « établir des partenariats de confiance – au sein de nos systèmes nationaux et, comme le symbolise la journée d’aujourd’hui, à l’échelle internationale ».
Dans une déclaration qui s'applique aussi bien aux intérêts des États-Unis qu'à ceux du Royaume-Uni, il a exhorté les organisations locales à prendre l'initiative de contacter les agences de cybersécurité de leur pays respectif plutôt que d'attendre qu'un incident se produise.
« Des activités hostiles ont lieu en ce moment même sur le sol britannique [et américain] », a déclaré M. McCallum. « Nous n’avons pas besoin de construire des murs pour nous isoler du reste du monde. » « Nous devons effectivement développer notre prise de conscience – et faire des choix réfléchis pour renforcer notre résilience. »
S'adressant à l'assistance, les représentants ont tous insisté sur le fait que « vous – les innovateurs et les technologues du Royaume-Uni [et des États-Unis], nos chercheurs et scientifiques, nos chefs d'entreprise – constituez l'un des principaux atouts du Royaume-Uni [et des États-Unis]. » C'est pour cela que vous êtes pris pour cible. « Ne laissons pas votre réussite devenir un avantage concurrentiel pour la Chine. »
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Plusieurs experts en sécurité ont prédit une augmentation significative des cyberattaques soutenues par la Chine et visant les États-Unis et leurs alliés occidentaux. » Le fait que la MI5 e division et le FBI aient uni leurs forces pour l'affirmer publiquement dans le cadre d'une déclaration commune sans précédent renforce encore davantage cette théorie. CTI suivra de près l'activité des différents groupes APT liés à la Chine ; cette démarche consiste notamment à établir et à mettre régulièrement à jour des profils d'acteurs malveillants contenant des renseignements exploitables sur les acteurs malveillants chinois que nous considérons comme présentant le plus grand risque pour Tanium et ses clients/partenaires.
Quant à la tentative de la Chine de dissimuler ce qui pourrait bien s'avérer être la plus grande fuite de données de l'histoire, eh bien, en août 2021, l'Assemblée populaire nationale chinoise a adopté une loi visant à protéger la confidentialité des données des utilisateurs en ligne et a mis en œuvre cette mesure en novembre de la même année. La loi sur la protection des données à caractère personnel (PIPL) prévoit des amendes pouvant atteindre environ 7,7 millions de dollars ou 5 % du chiffre d'affaires annuel pour les contrevenants. Même si cela a pu apparaître comme une victoire pour la liberté sur Internet aux yeux des observateurs extérieurs, l’adoption de cette loi a été perçue par la plupart comme la mise en place d’un nouveau pilier venant étayer les efforts du pays visant à renforcer la réglementation dans le cyberespace et à imposer davantage d’obligations de conformité aux entreprises chinoises.
Le mois dernier, la CISA a publié une alerte détaillant les TTP courantes et les vulnérabilités connues ciblées par des acteurs malveillants soutenus par la Chine ; il est probable que cette alerte ait été publiée en réponse à – et en prévision d’une – intensification des cyberactivités chinoises visant des entités occidentales. »
2. L'outil de simulation d'attaques « Red Team », Brute Ratel C4, fait désormais l'objet d'une utilisation abusive de la part d'acteurs malveillants
Un récent article publié sur le blog consacré à la recherche en sécurité de l'Unité 42 de Palo Alto présente en détail Brute Ratel C4 (s'ouvre dans un nouvel onglet), un outil de simulation d'attaques (red teaming) que des acteurs malveillants utilisent désormais pour lancer des attaques. Des chercheurs ont analysé un échantillon mis en ligne sur VirusTotal, qui a reçu un verdict « inoffensif » de la part des 56 fournisseurs qui l'ont évalué.
📢 L' de Palo Alto @Unit42_Intel a publié un rapport sur Brute Ratel C42. Cet outil sophistiqué destiné aux équipes « red team » a été développé pour contourner les capacités de détection de #endpoint et de #antivirus . Protégez votre réseau et consultez les pages suivantes : , , unit42.paloaltonetworks.com/brute-ratel-c4…,, , #Cybersécurité #GestionDesVulnérabilités #BRc4 #IOC
Qu'est-ce que Brute Ratel C4 ?
Brute Ratel C4 est un outil dédié aux tests d'intrusion et aux exercices de simulation d'attaques (red teaming) qui a été commercialisé en décembre 2020. Il s'agit d'un outil similaire à Cobalt Strike, un autre outil de simulation d'attaques (red teaming) qui est devenu un élément incontournable et fiable de l'arsenal d'un large éventail d'acteurs malveillants et de cybercriminels.
Cet outil se présente comme un centre de commande et de contrôle sur mesure destiné aux opérations de simulation de la « Red Team » et des attaquants, et compte actuellement plus de 350 clients. Cet outil permet à une organisation de simuler une cyberattaque et de tester l'efficacité de ses dispositifs de sécurité.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L’utilisation d’outils de tests d’intrusion par les acteurs malveillants n’est pas un phénomène nouveau. » Depuis des années, les cybercriminels exploitent des outils de tests d'intrusion tels que Burp Suite, Cobalt Strike et Metasploit.
Ces outils constituent une arme à double tranchant, dans la mesure où ils peuvent s'avérer extrêmement précieux pour les organisations qui cherchent à tester les contrôles de sécurité au sein de leur environnement, mais peuvent également servir d'outil prêt à l'emploi lorsqu'ils sont détournés par des acteurs malveillants. Le fait que ces outils soient souvent conviviaux et faciles d’accès ne fait que renforcer cette réalité ; cela rend des outils tels que Brute Ratel C4 accessibles à un éventail encore plus large de cybercriminels, quel que soit leur niveau de maîtrise technique.
Un acteur malveillant utilisant de tels outils peut être difficile à détecter, car son activité peut être masquée par les tests légitimes menés par une « red team » au sein de l'environnement. Cela souligne la nécessité pour les organisations de détecter et de surveiller l'utilisation des outils de tests d'intrusion au sein de leur environnement, ainsi que de s'assurer de l'origine et de la légitimité de chaque outil utilisé.
Il convient également de souligner que des acteurs malveillants ont été observés en train d'utiliser des fichiers LNK pour télécharger Brute Ratel C4. « L'utilisation abusive des fichiers LNK par les cybercriminels est en vogue ces derniers temps, ces fichiers étant rapidement associés à des menaces majeures. »
3. Une attaque visant la chaîne logistique logicielle NPM permet de récupérer des données provenant d'applications et de sites web
Des chercheurs de ReversingLabs ont mis au jour une campagne à grande échelle visant à installer des modules NPM malveillants (s'ouvre dans un nouvel onglet) qui collectent des données sensibles à partir de formulaires présents dans des applications mobiles et sur des sites web. Cette attaque coordonnée est connue sous le nom d'IconBurst.
Détails de la campagne
IconBurst contient environ deux douzaines de paquets NPM malveillants qui contiennent du code JavaScript obscurci comportant du code malveillant conçu pour collecter des données sensibles des utilisateurs via des formulaires intégrés dans des applications mobiles et des sites web en aval.
Selon ReversingLabs, ces paquets remontent à au moins six mois. ReversingLabs affirme également disposer de preuves d'une attaque coordonnée visant la chaîne d'approvisionnement, impliquant de nombreux paquets NPM contenant des scripts jQuery capables de voler des données au sein des applications qui les utilisent.
Les attaques malveillantes de la campagne IconBurst s’appuient sur une stratégie appelée « typo-squatting », similaire à celle employée dans les attaques par confusion de dépendances « » récemment découvertes (et qui se sont finalement révélées inoffensives, puisqu’il s’agissait en réalité de l’œuvre d’un testeur d’intrusion trop zélé) : (s’ouvre dans un nouvel onglet) (également signalées par ReversingLabs), qui semblaient cibler des organisations allemandes.
Dans le cadre du « typo-squatting », les pirates diffusent des paquets malveillants en leur attribuant des noms qui, à première vue, semblent correspondre à des paquets légitimes. Pour ce faire, ils utilisent des fautes d'orthographe courantes ou des mots similaires qui incitent les utilisateurs moins vigilants à télécharger ces paquets falsifiés. Par exemple, dans un cas observé par ReversingLabs, les données exfiltrées par « icon-package » ont été acheminées vers un domaine nommé ionicio[.]com, une page factice conçue pour ressembler au site web légitime ionic[.]io.
Selon ReversingLabs, les pirates « se sont fait passer pour des modules NPM très utilisés, tels que umbrellajs, ainsi que pour des paquets publiés par ionic.io. » « Ce sont toutefois les utilisateurs finaux des logiciels (et leurs données), et non les entreprises de développement, qui constituent les véritables cibles. »
Impact/ampleur
Les paquets en question, dont la plupart ont été publiés au cours des derniers mois, ont été téléchargés au total plus de 27 000 fois à ce jour. Pire encore, la plupart des modules sont toujours disponibles au téléchargement depuis le référentiel iconic.io.
Bien que l'ampleur exacte de cette attaque ne soit pas encore connue, les paquets malveillants découverts par les chercheurs de ReversingLabs sont probablement utilisés par des centaines, voire des milliers d'applications mobiles et de bureau ainsi que de sites web en aval. Dans un cas, un fichier malveillant avait été téléchargé plus de 17 000 fois.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Bien que cette découverte soit certes préoccupante, gardons tous à l’esprit que ReversingLabs s’est déjà rendu coupable par le passé d’avoir « tiré des conclusions hâtives » en signalant des activités malveillantes présumées avant d’être certain de leur origine (voir la campagne allemande mentionnée ci-dessus). » Dans cette optique, nous vous conseillons, pour l'instant, d'accorder à cette source d'information un degré de confiance moyen, comme nous le faisons nous-mêmes. Cela dit, les preuves de « typo-squatting » et d'obfuscation de code présentées dans leurs conclusions semblent assez irréfutables.
Par ailleurs, les auteurs du logiciel malveillant à l’origine de cette campagne ont depuis modifié leur méthodologie afin de maximiser leurs gains en récupérant des informations provenant de chaque élément de formulaire présent sur chaque application et page Web compromises – ce qui témoigne d’une approche de plus en plus agressive en matière de collecte de données, ou bien d’un ou plusieurs attaquants cherchant à maximiser leurs gains avant que la divulgation publique de leur campagne ne compromette leur opération. « Le succès apparent de cette attaque et le nombre de téléchargements concernés sont également préoccupants, car ils mettent en évidence à la fois la tendance des développeurs à faire preuve d’une confiance excessive dans la légitimité des paquets populaires, ainsi que l’absence de barrières efficaces pour empêcher le code malveillant ou vulnérable de pénétrer dans les environnements de développement et informatiques sensibles. »
Votre entreprise est-elle en danger ? Répondez à notre questionnaire d'évaluation des risques et découvrez-le
Le paysage des cybermenaces est vaste et en constante évolution, et de nouvelles menaces apparaissent sans cesse. Vos terminaux sont exposés à de nombreuses campagnes et à divers acteurs malveillants. Et ce n'est qu'une question de temps avant que les cybercriminels ne parviennent à contourner vos défenses et à s'introduire dans votre réseau.
Profitez de cette occasion pour évaluer le niveau de préparation de votre organisation en matière de cybersécurité grâce à notre évaluation des risques Tanium. Obtenez dès aujourd'hui votre rapport gratuit sur les risques. (s'ouvre dans un nouvel onglet)
