Dans notre tour d’horizon hebdomadaire consacré au renseignement sur les cybermenaces, nous vous proposons une mise à jour sur les nouveaux modèles d’ s basés sur l’apprentissage automatique (ML) d’(s’ouvre dans un nouvel onglet), ainsi qu’une analyse des raisons pour lesquelles la communauté de la sécurité de l’information est divisée quant à savoir si ces modèles contribuent ou nuisent aux efforts en matière de cybersécurité. L'équipe CTI se penche ensuite sur l'émergence d'une nouvelle plateforme de proxys appelée « Black Proxies », qui est actuellement proposée aux acteurs malveillants comme une solution leur permettant de dissimuler ou de masquer leurs adresses IP d'origine. Pour finir, nous concluons par un aperçu des projets du Comité d’examen de la cybersécurité (CSRB), récemment créé, qui prévoit de consacrer son tout deuxième examen à l’analyse des tactiques, techniques et procédures (TTP) employées par le tristement célèbre groupe Lapsus$ – l’un des acteurs malveillants les plus prolifiques et les plus médiatisés de l’année – afin d’aider les organisations à se protéger contre des activités malveillantes similaires.
1. Les modèles d'apprentissage automatique : un nouveau vecteur d'attaque dangereux ou une technologie clé en matière de cybersécurité ?
Les chercheurs en sécurité sont partagés quant à l'émergence de nouveaux modèles puissants d'apprentissage automatique (ML), qui constituent les systèmes décisionnels à la base de la plupart des solutions d'intelligence artificielle (IA) actuelles.
Une partie des chercheurs en sécurité présente le ML comme le sauveur de la cybersécurité, tandis que l'autre s'inquiète de sa capacité à générer des leurres de hameçonnage convaincants, à faciliter le déploiement de logiciels malveillants et à aider les acteurs malveillants à se déplacer latéralement au sein des réseaux d'entreprise.
Tous les regards sont tournés vers ChatGPT
Considérés comme un élément majeur du mouvement global de l’apprentissage profond « » (s’ouvre dans un nouvel onglet), les modèles d’apprentissage automatique sont souvent accessibles au public, et un nombre surprenant d’entreprises ont accru leur utilisation de l’IA basée sur l’apprentissage automatique en 2021, selon la dernière enquête mondiale de McKinsey intitulée « ». (s’ouvre dans un nouvel onglet)
OpenAI, une entreprise spécialisée dans l'intelligence artificielle basée à San Francisco et fondée par Elon Musk, est considérée par beaucoup comme le leader actuel dans ce domaine. L’entreprise est à l’origine de l’outil d’IA révolutionnaire DALL-E 2 (s’ouvre dans un nouvel onglet), un générateur d’images novateur lancé cette année. Cependant, l’outil d’OpenAI qui fait actuellement la une de l’actualité est ChatGPT, un prototype de chatbot basé sur la technologie linguistique d’OpenAI GPT-3,5 , décrit comme « un vaste modèle d’intelligence artificielle développé par OpenAI qui a été entraîné (s'ouvre dans un nouvel onglet) sur une quantité massive de données textuelles provenant de sources variées » dans un article de blog (s'ouvre dans un nouvel onglet) consacré à ce sujet et publié par Forbes.
Voici quelques autres informations clés concernant ChatGPT :
- ChatGPT est un logiciel de chatbot basé sur l'intelligence artificielle, conçu pour simuler des interactions humaines.
- ChatGPT en est encore au stade de l'examen par la communauté scientifique et a été mis à la disposition du public sur 30 novembre 2022, via le site web d'OpenAI (s'ouvre dans un nouvel onglet). Les utilisateurs peuvent s'inscrire et le tester gratuitement.
- Le chatbot fonctionne sous forme de dialogue, ce qui permet aux utilisateurs de lui transmettre un éventail incroyablement large d'instructions, qu'elles soient simples ou complexes. ChatGPT a été formé pour exécuter ces instructions et fournir une réponse détaillée. OpenAI affirme que le bot est également capable de répondre à des questions complémentaires, ainsi que de reconnaître ses erreurs et de les admettre. Comme toute solution d'IA basée sur l'apprentissage automatique, ou tout logiciel d'ailleurs, ChatGPT présente des limites. Le chatbot donne parfois des réponses erronées, utilise des formules répétitives et a parfois du mal à répondre à une question posée à plusieurs reprises tant que la formulation de celle-ci n'a pas été légèrement modifiée.
Il est important de garder à l'esprit que ChatGPT est bien plus qu'un simple interlocuteur virtuel doté d'une intelligence supérieure à la moyenne. Il est également capable d'écrire du code, de détecter des bogues dans le code, et bien plus encore. ChatGPT garde également en mémoire le contexte d'un sujet donné ; ainsi, les utilisateurs peuvent faire référence à un élément qu'ils ont évoqué précédemment, et ChatGPT n'aura aucun mal à suivre le fil de cette conversation.
Ce sont ces facteurs — ainsi que quelques autres — qui inquiètent les professionnels de la sécurité de l'information.
En parlant de divergences d'opinions
Il est tout à fait possible que ChatGPT ait davantage contribué à diviser les opinions de ceux qui ont pu constater les capacités de ce chatbot que n'importe quel autre outil d'IA basé sur l'apprentissage automatique.
Kevin Rose, du New York Times (s'ouvre dans un nouvel onglet), a déclaré : « ChatGPT est, tout simplement, le meilleur chatbot basé sur l'intelligence artificielle jamais mis à la disposition du grand public. »
Kevin n'est pas le seul à partager cette conviction. Le produit d'OpenAI a connu un véritable essor ces dernières semaines. Par exemple, un article très lu (s'ouvre dans un nouvel onglet) qualifie la technologie sur laquelle repose ChatGPT, le GPT-3, d’« impressionnante dans certains domaines, mais encore clairement inférieure à celle de l’être humain dans d’autres ». Cet article contient un passage dans lequel un chercheur déplore le manque d'humanité de l'IA, s'étendant avec lyrisme sur son incapacité à aimer, à apprécier l'art, la beauté ou l'humour. Le paragraphe suivant révèle que le texte précédent a en réalité été généré par ChatGPT — résultat d'une consigne donnée au chatbot, qui comportait quelques mots exprimant un certain scepticisme à l'égard de l'IA. En réponse, ChatGPT a produit un long monologue décousu sur le fait qu'il est peu probable que les ordinateurs deviennent un jour véritablement intelligents.
Ce qu'en disent les pessimistes
Pour chaque utilisateur séduit par cette technologie, il y a probablement cinq chercheurs en sécurité qui tirent la sonnette d'alarme, avertissant quiconque veut bien les écouter de la menace que représentent pour la cybersécurité des outils tels que ChatGPT.
Par exemple, un article de DarkReading publié le intitulé « » (s'ouvre dans un nouvel onglet) présente les modèles d'apprentissage par apprentissage automatique (ML) comme un nouveau vecteur d'attaque dangereux et en pleine expansion :
« Des chercheurs ont découvert que des acteurs malveillants peuvent détourner les modèles d’apprentissage automatique (ML) qui sous-tendent l’intelligence artificielle (IA) afin de déployer des logiciels malveillants et de se déplacer latéralement au sein des réseaux d’entreprise. » « Ces modèles, qui sont souvent accessibles au public, constituent un nouveau point de départ pour toute une série d’attaques susceptibles également de compromettre la chaîne d’approvisionnement d’une organisation — et les entreprises doivent s’y préparer. »
Un article de blog de l’ (s’ouvre dans un nouvel onglet) publié le même jour par l’équipe SAI de HiddenLayer affirme que ses chercheurs ont mis au point une attaque de type « preuve de concept » (POC) démontrant comment un acteur malveillant peut utiliser des modèles d’apprentissage automatique pour infiltrer les réseaux d’entreprise.
L'attaque s'appuierait sur une combinaison de plusieurs techniques, notamment « la stéganographie pour dissimuler des charges utiles malveillantes et des failles de désérialisation des données pouvant être exploitées pour exécuter du code arbitraire ».
L'article souligne que le modèle d'attaque utilisé échappe aux solutions antivirus et EDR actuelles, et ajoute : « À l'heure actuelle, la plupart des solutions anti-malware courantes n'offrent que peu, voire aucune prise en charge de la détection des menaces basées sur l'apprentissage automatique. »
Une autre préoccupation majeure — et peut-être la plus évidente — pour les professionnels de la sécurité réside dans la capacité potentielle des modèles d’apprentissage automatique à générer des campagnes de phishing « » extrêmement sophistiquées et convaincantes.
Plusieurs chercheurs d’ ont déjà testé (s’ouvre dans un nouvel onglet)la capacité de ChatGPT à générer des messages de hameçonnage et des leurres convaincants, avec des résultats étonnamment probants.
Certains utilisateurs ingénieux ont déjà mis au point des interfaces conviviales pour aider les utilisateurs à tirer parti de la capacité de ChatGPT à générer des e-mails.
On s'inquiète également de l'impact potentiel des modèles d'apprentissage automatique sur les chaînes d'approvisionnement. Les organisations disposant de ressources informatiques limitées s'appuient souvent sur des référentiels open source de partage de modèles pour le déploiement de leurs modèles d'apprentissage automatique. Ces référentiels ne bénéficient souvent ni d'une surveillance adéquate ni de contrôles de sécurité exhaustifs.
Cela a pour double effet d'élargir la surface d'attaque et d'exposer les utilisateurs à un risque accru, du fait de leur dépendance à l'égard de modèles qui pourraient très bien être corrompus ou utilisés à des fins malveillantes. Il en va de même pour les entreprises qui font appel à des tiers pour leurs modèles.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Même s’il faut reconnaître que les chances de réussite de ces différents prototypes en conditions réelles sont probablement faibles, il est important de garder à l’esprit que cette technologie en est encore à ses balbutiements et que les acteurs malveillants suivent de près son évolution. »
« Cela dit, il y a lieu d'être prudemment optimiste. » Depuis trop longtemps déjà, les expressions « ML » et « IA » ne sont pour l’essentiel que des mots à la mode que les fournisseurs et les professionnels de la cybersécurité se contentent de lancer dans les salles de réunion et lors des visioconférences Zoom. Cependant, l'apprentissage automatique pourrait s'imposer comme une technologie véritablement essentielle en matière de cybersécurité. « Les solutions basées sur le ML ont la capacité d'analyser les tendances et d'en tirer des enseignements afin de prévenir les attaques à un stade plus précoce et de réagir plus rapidement lorsque les auteurs de menaces modifient leur comportement. »
« De plus, cela peut permettre aux équipes de cybersécurité d'adopter une approche plus proactive dans leurs plans d'intervention globaux, ce qui contribue à atténuer les menaces en cours en temps réel et permet aux SOC de libérer du temps et des ressources pour se consacrer à d'autres opportunités et activités. »
2. Les « Black Proxies » connaissent un succès croissant auprès des hackers
Des chercheurs de la société d'analyse Internet Domain Tools ont repéré une nouvelle plateforme de proxys sur le marché, baptisée « Black Proxies » : (s'ouvre dans un nouvel onglet). Ce service est proposé aux auteurs de cybermenaces en mettant en avant sa fiabilité, son champ d'action et le nombre considérable d'adresses IP disponibles. Black Proxies affirme disposer de plus de 1 000 000 adresses IP de proxys résidentiels et autres, situées aux quatre coins du monde, à partir desquelles des acteurs malveillants pourraient mener des opérations.
Comment fonctionnent les réseaux de proxy ?
Un proxy permet à un acteur malveillant de mener des activités de manière anonyme en masquant ou en dissimulant l'adresse IP d'où proviennent ses opérations. Le terme utilisé sur le marché pour désigner ces serveurs proxy est « réseaux de proxy » ou, de manière plus générale, « services de proxy » ; ces solutions permettent aux acteurs malveillants de dissimuler leurs activités au sein du trafic légitime.
Les réseaux de proxy ont évolué au fil des ans, tout comme le reste du paysage des menaces. Auparavant, une victime était amenée par la ruse à télécharger un logiciel malveillant sur son ordinateur ; son appareil était ensuite utilisé pour infecter d'autres victimes, et l'adresse IP de l'hôte d'origine ainsi que celles de toutes les machines compromises par la suite étaient alors utilisées par l'auteur de la menace pour mener d'autres activités malveillantes par l'intermédiaire d'un proxy.
Cette méthode est utilisée depuis un certain temps déjà, mais son efficacité est limitée au nombre de victimes que l'acteur malveillant est en mesure de compromettre, ainsi qu'à sa capacité à maintenir sa présence sur la machine.
L'évolution des stratégies de vote par procuration
Au fil des années, on a observé un intérêt croissant pour les adresses IP par proxy en tant que vecteur de diffusion et tactique utilisée par les attaquants. Les cybercriminels se rendent compte que développer un réseau en ajoutant une adresse IP à la fois n'est pas suffisant. Les professionnels de la sécurité bloquent souvent les adresses IP dès lors qu'elles sont identifiées comme malveillantes, ce qui oblige les auteurs de menaces à se procurer en permanence de nouvelles adresses IP.
C'est pourquoi les services de proxy malveillants ont évolué afin de mettre en place une infrastructure IP plus étendue. Parmi les deux nouvelles tactiques qui ont été observées, on peut citer l'accès frauduleux à de nouvelles plages d'adresses IP et la réattribution de blocs d'ASN entiers.
- RESNET : RESNET (s'ouvre dans un nouvel onglet) était un service qui recourait à des pratiques frauduleuses pour obtenir l'accès à des blocs d'adresses IP auprès d'opérateurs de téléphonie mobile aux États-Unis. Dans le cadre du projet 2019 , RESNET contrôlait plus de 70 000 adresses IP, selon Krebs (s'ouvre dans un nouvel onglet) sur la sécurité. À l'origine, RESNET proposait un accès à des « sneakerbots », qui permettaient aux utilisateurs du service de tenter d'acheter des baskets très convoitées. Les exploitants de RESNET ont clairement compris qu'il existait un marché plus vaste et plus lucratif à conquérir, au-delà des « sneakerbots », et se sont rapidement réorientés vers l'offre de services de proxy. Le service a finalement été fermé par les forces de l'ordre.
- d'INSORG : INSORG était un autre service de proxy très populaire qui recourait à des tactiques encore plus agressives que RESNET. INSORG a répertorié l'espace d'adresses IP et les numéros ASN détenus par des entreprises placées sous administration judiciaire. Elle a pu réattribuer frauduleusement des plages entières de numéros en se faisant passer pour des syndics de faillite et en déposant des documents auprès des registres de propriété intellectuelle. INSORG a finalement été fermée par les autorités (s'ouvre dans un nouvel onglet) à la fin de l'année 2020.
Au début de cette année, le FBI a publié un avertissement concernant l'augmentation du nombre de serveurs proxy utilisés par les cybercriminels pour faciliter les attaques par « credential stuffing ». Cet avis comprenait des recommandations visant à réduire les risques organisationnels liés à cette activité, mais il a finalement permis de mettre en évidence la menace croissante que représentent les proxys malveillants.
Les « Black Proxies » ont fait leur apparition sur le marché des proxys malveillants, venant répondre à la demande croissante pour ces services. Comme indiqué ci-dessus, Black Proxies dispose de plus de 1 000 000 adresses IP de proxys résidentiels et autres, provenant du monde entier, auxquelles les cybercriminels peuvent accéder à tout moment. Les chercheurs ont examiné ce service et ont constaté que le pool d'adresses IP répertorié par Black Proxies à l'automne 2022 comptait un peu plus de 180 000 adresses IP. Bien que ce chiffre soit bien inférieur aux 1 000 000 annoncés par le service, il reste néanmoins nettement supérieur à l'espace IP proposé par les services plus traditionnels.
Le service « Black Proxies » répond aux besoins de ses clients en proposant des fonctionnalités susceptibles d'intéresser tout particulièrement les cybercriminels.
Des chercheurs de Bleeping Computer ont découvert le modèle tarifaire de Black Proxies. Le coût d'utilisation de ce service est de 14 dollars par jour, 39 dollars par semaine ou 89 dollars par mois. Il semblerait également qu'une formule d'essai soit proposée, pour seulement 4,90 $. Bleeping Computer a également constaté qu'une adresse IP faisant partie de l'infrastructure de Black Proxies avait déjà été associée à d'autres services douteux.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L'utilisation de réseaux et de services de proxy par des acteurs malveillants se livrant à des activités malveillantes, bien qu'elle ne soit en aucun cas un phénomène nouveau, n'a cessé de gagner en popularité au fil des ans. » « Nous constatons aujourd’hui que divers services de proxy sont manifestement conçus dès le départ dans le but d’aider les cybercriminels à mener à bien leurs opérations. »
DomainTools résume très bien la situation :
Les réseaux de serveurs proxy utilisés à des fins criminelles constituent désormais un pilier du monde de la cybercriminalité. Les acteurs malveillants s'en servent pour dissimuler leurs activités en se cachant derrière des adresses IP détournées, ce qui leur confère un semblant de légitimité permettant de masquer leurs opérations. Ces réseaux ont d'abord été mis en place dans le cadre de la création de botnets, mais le caractère lucratif de ces services en a fait des entreprises criminelles à part entière.
3. Le Comité de cybersécurité du DHS va examiner les tactiques de piratage du groupe Lapsus$
Un 2 décembre 2022 communiqué de presse publié par le Département américain de la Sécurité intérieure (s'ouvre dans un nouvel onglet) (DHS) a annoncé que le tout nouveau Comité de contrôle de la cybersécurité « » de l’administration Biden (s'ouvre dans un nouvel onglet) (CSRB) — créé en vertu du décret présidentiel (EO) n° 14028 du président Biden relatif à l’amélioration de la cybersécurité nationale — examinera les récentes cyberattaques attribuées au groupe de pirates informatiques international Lapsus$, spécialisé dans l’extorsion.
Le groupe Lapsus$ est à l'origine d'une série de cyberattaques visant plusieurs entreprises de premier plan au début de cette année. De nombreux incidents ont entraîné la fuite de données confidentielles, de codes sources et d'autres informations hautement sensibles, ce qui a finalement contribué à plusieurs violations massives de données.
Lapsus$ : un petit rappel
Comme l'indique BleepingComputer, le groupe Lapsus$ a fait la une des journaux à plusieurs reprises à la suite d'une série de cyberattaques étonnamment efficaces et dévastatrices menées contre de grandes entreprises technologiques.
Considéré comme l’un des cybercriminels les plus prolifiques de en 2022, (s’ouvre dans un nouvel onglet) , Lapsus$ s’est démarqué de ses homologues motivés par l’appât du gain ou axés sur l’extorsion en renonçant aux TTP plus traditionnelles, telles que le modèle des ransomwares ; il a préféré déployer des méthodes davantage axées sur l’aspect humain, impliquant une ingénierie sociale assez sophistiquée pour accéder aux environnements cibles.
Les deux principales théories concurrentes concernant la méthode d'accès initial privilégiée par Lapsus$ semblent être, d'une part, des failles résultant de la compromission de prestataires de services tiers (en particulier ceux fournissant des services d'authentification, tels qu'Okta) et, d'autre part, le recrutement et l'ingénierie sociale visant des initiés au sein d'entreprises de premier plan.
Lapsus$ fait également figure de mouton noir en ce qui concerne l'importance accordée, ou plutôt l'absence d'importance accordée, par le groupe à la sécurité opérationnelle (OPSEC). Loin de craindre la publicité, Lapsus$ n'a pas hésité à faire connaître ses activités via une chaîne Telegram publique.
Le CSRB va mener une deuxième analyse, portant sur les tactiques de Lapsus$
L'objectif déclaré de l'analyse menée par le CSRB sur les activités de piratage du groupe Lapsus$ est de fournir aux organisations publiques et privées des conseils visant à se prémunir contre les tactiques de ce groupe, ainsi que contre celles de tout autre groupe susceptible d'avoir été influencé par le niveau de réussite surprenant dont Lapsus$ a fait preuve en exploitant des TTP de base.
« Dans le cadre de son examen consacré à Lapsus$, le Conseil s'appuiera sur les enseignements tirés de son premier examen et formulera des recommandations concrètes afin d'aider les secteurs privé et public à renforcer leur cyber-résilience », a déclaré Alejandro N. Mayorkas, secrétaire du DHS.
Il convient de noter que la formulation des titres relayés par de nombreux médias spécialisés est extrêmement trompeuse. Plusieurs sites affirment que le CSRB va procéder à son deuxième examen des tactiques de Lapsus$. C'est faux. Le CSRB en est en réalité à sa deuxième période d'examen (la première ayant porté sur les vulnérabilités découvertes fin 2021 dans la bibliothèque de logiciels libres Log4j , très répandue).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il est encourageant de constater que le CSRB mène des recherches actives sur Lapsus$. » « La combinaison redoutable dont fait preuve ce groupe, alliant audace (dans le choix de ses cibles), effronterie (dans la manière dont il nargue ses victimes et cultive généralement une image distante en ligne) et recours à des TTP et à des techniques d'ingénierie sociale pratiquement impossibles à contrer avec des solutions automatisées, est un mélange qui devrait inquiéter n'importe quelle organisation. »
« Alors que plusieurs membres de Lapsus$ auraient été arrêtés par les forces de l'ordre, les tactiques du groupe ont fortement marqué les milieux criminels du monde des cybermenaces. » « Les attaques recourent de plus en plus à l'ingénierie sociale, aux menaces internes, aux techniques, tactiques et procédures (TTP) de type « living-off-the-land », etc. »
« L'équipe du CTI attend avec impatience les conclusions supplémentaires du CSRB et continuera à enquêter sur les activités de Lapsus$ à l'avenir. »
Découvrez ici d'autres résumés de notre série « » consacrés aux menaces informatiques.
