Tout d’abord, une répartition de la campagne la plus récente attribuée à Dragonbridge, un acteur suspecté de menace persistante avancée (APT) soutenu par la Chine, s’est actuellement engagé dans des campagnes d’influence intensive ciblant les États-Unis avant les élections à mi-parcours et poussant des récits excentriques et laideurs. Vous trouverez ensuite un aperçu du nouveau projet de sécurité open source de Google axé sur la gestion de la chaîne d’approvisionnement logicielle. De plus, les leaders du secteur et les décideurs politiques évaluent si l’expiration obligatoire du mot de passe aide ou nuit à la sécurité du mot de passe.
1. La campagne de désinformation pro-Chine cible les élections américaines
Mandiant, la principale société de cybersécurité et de renseignement sur les menaces, a publié la semaine dernière un rapport détaillant une campagne d’influence pro-République populaire de Chine (RPC) au cours de laquelle les chercheurs de l’entreprise ont observé les attaquants tirer parti de nouvelles tactiques, techniques et procédures (TTP) pour soutenir des opérations agressives ciblant les intérêts américains, y compris les élections à mi-parcours.
La campagne a été attribuée par Mandiant à un groupe qu’elle suit sous le nom de Dragonbridge. Les chercheurs de Mandiant auraient observé le groupe promouvoir les intérêts de l’État chinois pendant des années, principalement via de fausses campagnes sur les réseaux sociaux à la base axées sur l’influence politique à Taïwan et à Hong Kong.
Cette fois-ci, Dragonbridge est attribuée à une série de campagnes d’influence intensives présentant un large éventail de faux récits lointains, tous ciblant des entités américaines.
Qu’est-ce que Dragonbridge ?
Cyware affirme que Dragonbridge est actif depuis au moins 2019. Dans un récent article, Cyware a caractérisé le groupe comme un collectif de pirates informatiques soutenu par l’État et consacré au ciblage des entités présentant un intérêt stratégique pour la RPC.
Les opérations d’influence de Dragonbridge comprennent des campagnes sur les réseaux sociaux qui propagent la désinformation conçue pour aider à sécuriser la Chine à l’avenir (en raison de la structure du gouvernement de la RPC, dans laquelle il n’y a pratiquement aucune limite de durée sur les positions de haut rang, les opérations à long terme conçues pour garantir un avenir réussi sont courantes). Les légions de pirates informatiques parrainés par l’État chinois déploieront toutes les tactiques nécessaires pour atteindre cet objectif, y compris la propagation de récits excentriques parmi les Américains.
Comme beaucoup d’APT avec un lien Chine-Chine, les opérations de Dragonbridge sont de longue date (peu de surprises là-bas, compte tenu de ce que nous avons indiqué ci-dessus). Cela dit, contrairement à de nombreuses menaces persistantes avancées avec un lien entre la Chine et Dragonbridge, la dernière activité de contrebande électorale de Dragonbridge a été décrite par le magazine WIRED comme étant « remarquablement fâchée », malgré l’accès probable du groupe aux ressources considérables et aux ensembles d’outils partagés de la RPC.
Pour en savoir plus, voici quelques-uns des récits et désinformations les plus excentriques que Dragonbridge a rencontrés depuis peu, avec l’aimable autorisation de Mandiant :
- Affirme que le groupe de menaces Chine-nexe APT41 est plutôt un acteur soutenu par le gouvernement américain.
- Tentatives agressives de discréditer le processus démocratique américain, y compris les tentatives de décourager les Américains de voter lors des 2022 élections à mi-parcours américaines.
- Allégations selon lesquelles les États-Unis étaient responsables des explosions du gazoduc Nord Stream.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il existe quelques conclusions importantes qui peuvent être tirées de cette histoire. Tout d’abord, le manque apparent de sophistication technique et de succès limité de Dragonbridge ne doit pas être assimilé à l’idée que les États-Unis sont imperméables aux campagnes de désinformation et d’influence étrangère. »
« En outre, John Hultquist, vice-président de l’analyse des renseignements chez Mandiant, et Thomas Rid, professeur d’études stratégiques chez Johns Hopkins et auteur d’une histoire de désinformation, affirment tous deux que l’atmosphère actuelle de division imprégnée de la société américaine peut faire du pays une cible privilégiée pour les opérations d’influence étrangère. Dragonbridge a travaillé dur, non seulement pour capitaliser sur la division perçue des Américains pour pousser ses récits, mais également pour augmenter la perception des Américains de leur pays en tant que nation irrévocablement divisée en factions venimeuses. Dans un exemple de sa propre perception aiguë (occasionnellement), Dragonbridge a fait de grands efforts pour peindre les États-Unis comme une caricature virtuelle de lui-même, en saisissant les anxiétés et les craintes qui résident, dans une certaine mesure, chez tous les Américains concernés par l’état actuel de leur pays. »
2. Google annonce un projet open source GUAC sur les chaînes d’approvisionnement logicielles
Une annonce de Google la semaine dernière a dévoilé un nouveau projet de sécurité open source centré sur la gestion de la chaîne d’approvisionnement logicielle.
Le projet s’appelle Graph for Understanding Artifact Composition (GUAC) et son objectif principal est de créer des ensembles de données sur la construction, la sécurité et la dépendance d’un logiciel. Pour faire simple, GUAC agrège et synthétise les métadonnées de sécurité logicielles à grande échelle, ce qui les rend à la fois significatives et exploitables.
Aperçu du GUAC
GUAC est un outil open source gratuit conçu pour rassembler de nombreuses sources différentes de métadonnées de sécurité logicielles et créé pour aider à répondre à l’ augmentation des attaques de la chaîne d’approvisionnement logicielle. Google a travaillé avec l’Université Purdue, Citibank et Kusari pour créer le GUAC et a réuni un groupe de membres du conseil technique pour aider au projet.
La GUAC en est encore à ses balbutiements et n’existe jusqu’à présent qu’en tant que preuve de concept (PoC), mais Google pense que le projet changera la façon dont l’industrie comprend les chaînes d’approvisionnement logicielles. S’alignant sur la mission de Google d’organiser et de rendre les informations mondiales universellement accessibles et utiles, l’objectif de la GUAC est de démocratiser la disponibilité des informations de sécurité en les rendant accessibles à toutes les organisations, et pas seulement à celles disposant de financements en matière de sécurité et d’informatique.
Que résout le GUAC ?
GUAC agrège et synthétise essentiellement les métadonnées de sécurité logicielle pour générer une vue plus complète. De plus, le GUAC permettra à quelqu’un de déterminer les composants les plus critiques de son écosystème de chaîne d’approvisionnement logicielle, et les faiblesses de sécurité/dépendances à risque au sein de cet écosystème.
Google note que le GUAC sera en mesure d’aider à répondre aux questions dans trois domaines importants de la sécurité de la chaîne d’approvisionnement logicielle, y compris les étapes proactives, opérationnelles et réactives.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« La chaîne d’approvisionnement reste un vecteur d’attaque lucratif pour les acteurs malveillants, comme en témoignent les cyberattaques dans SolarWinds et Log4Shell. Compte tenu du nombre d’attaques de la chaîne d’approvisionnement logicielle que nous avons observées récemment dans les actualités (sans parler de la ferveur du secteur qui entoure la découverte de vulnérabilités zero-day dans les plateformes open-source), il est temps que quelque chose comme GUAC ait été créé. »
« Selon Melissa Bischoping, directrice de la recherche sur la sécurité des endpoints chez Tanium, la prévalence des logiciels open source en tant que bibliothèques, dépendances et intégrations partagées entre les outils d’entreprise et les projets personnalisés peut entraîner des attaques de jacking de référentiel qui pourraient évoluer rapidement si elles réussissent. Bischoping recommande que les consommateurs de produits tiers maintiennent un inventaire précis via les solutions SBOM pour avoir un aperçu des dépendances et des risques. Ces recommandations, associées à l’effort GUAC en cours par Google, pourraient mieux positionner et responsabiliser les équipes partout. »
« Le calendrier de cette histoire coïncide avec l’annonce de ce qui a été décrit à l’origine comme une vulnérabilité « critique » dans la bibliothèque open source OpenSSL, qui a rassemblé une quantité significative de buzz du secteur alors que les chercheurs se battaient pour déterminer le degré de risque et l’échelle de la surface d’attaque potentielle (OpenSSL a divulgué les détails techniques du problème de sécurité une semaine environ plus tard ; le défaut critique s’est avéré être une paire de vulnérabilités, CVE-2022-3786 et CVE-2022-3602, bugs de débordement de tampon qui ont ensuite été dégradés en gravité à « élevé »). »
« La préoccupation évidente des professionnels du secteur était que la bibliothèque OpenSSL est incroyablement omniprésente ; elle est incluse dans de nombreux systèmes d’exploitation, logiciels côté client, logiciels Web/e-mail, appliances réseau, ICS, etc. Étant donné le nombre de services et de ressources tirant parti de la bibliothèque, des problèmes de dépendance et des préoccupations de la chaîne d’approvisionnement ont été soulevés et, à ce titre, Tanium a adopté une approche proactive pour fournir à ses clients les conseils appropriés pour identifier les systèmes affectés et les atténuer dès que possible dans le court délai entre l’annonce par OpenSSL de l’existence de la vulnérabilité et sa divulgation de ses détails techniques et de ses chiffres CVE une semaine et demie plus tard. »
3. Les experts du secteur demandent : l’expiration obligatoire du mot de passe aide-t-elle ou nuit-elle à la sécurité de votre mot de passe ?
Dans le cadre d’un développement qui va susciter une certaine controverse, des organisations de cybersécurité de confiance telles que le National Institute of Standards and Technology (NIST) et Microsoft plaident activement contre l’expiration obligatoire du mot de passe en tant que meilleure pratique de sécurité.
Selon les recommandations de la politique de mot de passe de Microsoft, il existe au moins deux raisons principales pour lesquelles les organisations doivent abandonner les expirations de mot de passe planifiées régulièrement.
- Microsoft affirme que ces exigences ne permettent pas d’empêcher les cybermenaces dévouées d’accéder aux réseaux des victimes. Cela est dû en grande partie à la pratique de plus en plus courante parmi les cybercriminels qui utilisent immédiatement des mots de passe compromis, dont il n’y a pas de pénurie. Le rapport Account Takeover in 2022 a révélé plus de 24 milliards de combinaisons de nom d’utilisateur et de mot de passe à vendre sur le dark web, contre 15 milliards en 2020.
- Microsoft soutient également que forcer les utilisateurs à modifier périodiquement leurs mots de passe entraîne souvent la création d’informations d’identification plus prévisibles et moins sécurisées. Par exemple, les utilisateurs peuvent simplement ajouter un nouveau numéro ou un caractère spécial à un mot de passe précédent lorsqu’ils sont invités à renouveler leurs informations d’identification.
Ce que l’étude dit sur l’expiration obligatoire du mot de passe
Dans une étude de 2009 , des chercheurs de l’UNC Chapel Hill ont obtenu les mots de passe de plus de 10 000 comptes défunts appartenant à d’anciens étudiants, enseignants et membres du personnel universitaires. Les utilisateurs devaient modifier le mot de passe de ces comptes tous les trois mois. En utilisant des outils de craquage de mot de passe dans une attaque hors ligne, les chercheurs d’UNC ont finalement craqué environ 60 % des mots de passe. Pour 7 752 comptes, les chercheurs ont pu déchiffrer au moins un mot de passe qui n’était pas le dernier mot de passe que l’utilisateur a créé pour ce compte. Les chercheurs ont utilisé les mots de passe de cet ensemble de comptes pour mener le reste de leur étude, qui consistait à développer une approche de fissuration qui formule des suppositions basées sur les mots de passe précédents sélectionnés par les utilisateurs.
Plus récemment, des chercheurs de l’Université de Carleton ont écrit un article dans lequel ils ont développé une mesure quantitative de l’impact des politiques d’expiration des mots de passe. Dans cette étude, les chercheurs de Carleton supposent que les attaquants tenteront systématiquement de deviner tous les mots de passe possibles jusqu’à ce qu’ils touchent la paye.
En fin de compte, les chercheurs de Carleton ont pu tirer plusieurs conclusions qui reflétaient celles atteintes par l’étude UNC. En bref, des modifications fréquentes de mot de passe ne font qu’entraver un peu ces attaquants, probablement pas assez pour compenser la gêne occasionnée aux utilisateurs. En outre, un pirate informatique qui connaît déjà le mot de passe d’un utilisateur est peu susceptible d’être contrecarré par un changement de mot de passe.
Tout le monde n’est pas convaincu
Malgré une abondance apparente d’arguments valides contre l’application des expirations de mot de passe obligatoires, il existe toujours des organisations et des secteurs verticaux qui ne sont pas convaincus.
Le secteur des cartes de paiement est l’une de ces entités, exigeant que toute organisation qui accepte les paiements par carte de crédit se conforme à la norme de sécurité des données du secteur des cartes de paiement ( PCI DSS), un ensemble de politiques et de procédures largement acceptés visant à optimiser la sécurité des transactions par carte de crédit, de débit et d’espèces et à protéger les titulaires de carte contre l’utilisation abusive de leurs informations personnelles. La norme PCI DSS 4,0 entre en vigueur lorsque la version 3,2,1 de la norme PCI DSS est retirée dans 2024 et nécessitera des modifications planifiées du mot de passe. La version 4,0 des normes PCI DSS exige que les organisations utilisent des mots de passe d’au moins 12 caractères (à quelques exceptions près) et que les mots de passe expirent tous les 90 jours.
Quelle est la meilleure voie à suivre ?
Un consensus n’a pas encore été atteint par le secteur de la cybersécurité concernant l’application des expirations de mot de passe obligatoires.
Il convient de noter que la solution de politique de mot de passe de la société de cybersécurité Specops pour les entreprises soutient un concept intéressant appelé « vieillissement des mots de passe basé sur la longueur ». Grâce à cette stratégie, les organisations peuvent configurer la gestion des accès de manière à ce que les utilisateurs qui créent des mots de passe forts soient essentiellement récompensés par des modifications de mot de passe obligatoires moins fréquentes.
À première vue, cela peut sembler un peu une solution band-aid pour un problème qui nécessite des points. Après tout, les personnes qui créent des mots de passe forts sont toujours tenues de les modifier à certains moments, une situation qui pourrait potentiellement influencer cet utilisateur à recourir à des transformations de mots de passe au lieu de créer des mots de passe entièrement nouveaux et forts.
Bien que des solutions comme celle-ci puissent ne pas suffire à résoudre ce dilemme par elles-mêmes, lorsqu’elles sont utilisées conjointement avec d’autres fonctionnalités de sécurité des mots de passe, certaines combinaisons peuvent s’avérer efficaces.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Microsoft a raison de payer lorsqu’elle affirme que les utilisateurs qui doivent réinitialiser les mots de passe plus souvent sont plus susceptibles d’utiliser des mots de passe faibles et de réutiliser ces mots de passe faibles sur plusieurs comptes. »
« L’authentification multifacteur , bien qu’elle ne soit pas une solution tout-en-un et soumise à ses propres limitations et failles de sécurité, peut aider à protéger les comptes d’utilisateurs contre les attaquants, même s’ils ont réussi à obtenir un mot de passe. Le filtrage des mots de passe peut également aider les utilisateurs à créer des mots de passe forts et difficiles à deviner. Le NIST recommande tout ce qui précède, ainsi que la mise en œuvre d’une limite sur les tentatives de mot de passe échouées et les mots de passe de salage/ hachage. La liste complète des recommandations, NIST-800-63b, peut être consultée ici. »
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
