Nous commencerons par une analyse détaillée de la campagne la plus récente attribuée à Dragonbridge, un acteur soupçonné d’être une menace persistante avancée (APT) soutenue par la Chine, qui mène actuellement des campagnes d’influence intensives visant les États-Unis à l’approche des élections de mi-mandat et diffusant des discours farfelus et odieux. Nous allons maintenant vous présenter une vue d'ensemble du nouveau projet de sécurité open source de Google, axé sur la gestion de la chaîne logistique logicielle. Par ailleurs, des acteurs majeurs du secteur et des décideurs politiques s'expriment pour déterminer si l'expiration obligatoire des mots de passe contribue à renforcer ou à affaiblir la sécurité des mots de passe.
1. Une campagne de désinformation pro-chinoise vise les élections américaines
Mandiant, une société de premier plan spécialisée dans la cybersécurité et le renseignement sur les menaces, a publié la semaine dernière un rapport détaillant une campagne d’influence menée par « », un groupe favorable à la République populaire de Chine (RPC) et à l’ , au cours de laquelle les chercheurs de la société ont observé que les attaquants utilisaient de nouvelles tactiques, techniques et procédures (TTP) pour mener des opérations agressives visant les intérêts américains, notamment les élections de mi-mandat.
Mandiant a attribué cette campagne à un groupe qu'il suit sous le nom de Dragonbridge. Les chercheurs de Mandiant auraient observé ce groupe promouvoir les intérêts de l’État chinois depuis des années, principalement par le biais de fausses campagnes « citoyennes » sur les réseaux sociaux visant à influencer la vie politique à Taïwan et à Hong Kong.
Cette fois-ci, Dragonbridge est soupçonné d’être à l’origine d’une série de campagnes d’influence intensives reposant sur un large éventail de fausses informations farfelues, toutes ciblant des entités américaines.
Qu'est-ce que Dragonbridge ?
Cyware affirme que le logiciel malveillant « Dragonbridge » est actif sur depuis au moins 2019. Dans un article récent, Cyware a décrit ce groupe comme un collectif de pirates informatiques soutenu par l'État et dont l'objectif est de cibler des entités présentant un intérêt stratégique pour la République populaire de Chine.
Les opérations d'influence menées par Dragonbridge comprennent des campagnes sur les réseaux sociaux visant à diffuser de fausses informations destinées à aider la Chine à s'assurer une position dominante à l'échelle mondiale à l'avenir (en raison de la structure du gouvernement de la République populaire de Chine – où il n'existe pratiquement aucune limite de durée pour les postes de haut niveau –, les opérations à long terme visant à garantir un avenir prospère à l'État sont courantes). Les légions de pirates informatiques soutenus par l'État chinois mettront en œuvre toutes les tactiques nécessaires pour atteindre cet objectif, y compris la diffusion de récits farfelus auprès des Américains.
À l’instar d’ , de nombreux groupes APT ayant un lien avec la Chine, les opérations de Dragonbridge s’inscrivent dans la durée (ce qui n’est guère surprenant, compte tenu de ce que nous avons indiqué plus haut). Cela dit, contrairement à de nombreux groupes APT liés à la Chine, la dernière opération d’ingérence électorale de Dragonbridge a été qualifiée par le magazine WIRED de « remarquablement maladroite », bien que ce groupe ait probablement eu accès aux ressources considérables de la République populaire de Chine et aux outils communs à celle-ci.
Pour vous donner une idée, voici quelques-uns des récits les plus farfelus et des informations mensongères que Dragonbridge a diffusés ces derniers temps, d'après Mandiant :
- Selon certaines allégations, le groupe malveillant « China-nexus » ( APT41 ) serait en réalité un acteur soutenu par le gouvernement américain.
- Des tentatives agressives visant à discréditer le processus démocratique américain, notamment des tentatives visant à dissuader les Américains de voter lors des 2022 élections de mi-mandat aux États-Unis.
- Les allégations selon lesquelles les États-Unis seraient responsables des explosions survenues sur le gazoduc Nord Stream.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« On peut tirer plusieurs conclusions importantes de cette histoire. » « Avant tout, le manque apparent de sophistication technique de Dragonbridge et son succès limité ne devraient pas (et non ) être assimilés à l’idée que les États-Unis sont à l’abri de la désinformation et des campagnes d’influence étrangères. »
« Par ailleurs, John Hultquist , vice-président chargé de l’analyse du renseignement chez Mandiant , ainsi que Thomas Rid, professeur d’études stratégiques à l’université Johns Hopkins et auteur d’un ouvrage sur l’histoire de la désinformation, affirment tous deux que le climat de division qui règne actuellement au sein de la société américaine pourrait faire de ce pays une cible de choix pour les opérations d’influence étrangères. » Dragonbridge n'a pas ménagé ses efforts, non seulement pour tirer parti du sentiment de division qui règne parmi les Américains afin de faire passer ses messages, mais aussi pour renforcer chez ces derniers l'impression que leur pays est une nation irrémédiablement divisée en factions hostiles. « Faisant preuve, pour une fois, d’une perspicacité aiguë, Dragonbridge s’est donné beaucoup de mal pour dépeindre les États-Unis comme une véritable caricature d’eux-mêmes, en exploitant les inquiétudes et les craintes qui habitent, dans une certaine mesure, tous les Américains préoccupés par la situation actuelle de leur pays. »
2. Google annonce le projet open source GUAC consacré aux chaînes d'approvisionnement logicielles
Une annonce publiée la semaine dernière sur le blog « » de Google a dévoilé un nouveau projet open source dédié à la sécurité, axé sur la gestion de la chaîne logistique logicielle.
Ce projet, baptisé « Graph for Understanding Artifact Composition » (GUAC), a pour objectif principal de créer des ensembles de données concernant la compilation, la sécurité et les dépendances d'un logiciel. Pour faire simple, GUAC regroupe et synthétise à grande échelle les métadonnées relatives à la sécurité des logiciels, afin de leur donner à la fois un sens et de permettre d'agir en conséquence.
Présentation de GUAC
GUAC est un outil gratuit et open source conçu pour regrouper de nombreuses sources différentes de métadonnées relatives à la sécurité des logiciels ; il a été créé pour contribuer à lutter contre l' e augmentation des attaques visant la chaîne d'approvisionnement logicielle. Google a collaboré avec l'université Purdue, Citibank et Kusari pour créer GUAC et a constitué un groupe de membres du comité consultatif technique de l' , , afin de contribuer à ce projet.
GUAC n'en est encore qu'à ses débuts et n'existe pour l'instant que sous la forme d'une démonstration de faisabilité (PoC), mais Google estime que ce projet va transformer la manière dont le secteur appréhende les chaînes d'approvisionnement logicielles. Conformément à la mission de Google, qui consiste à organiser l’information mondiale et à la rendre universellement accessible et utile, l’objectif du GUAC est de démocratiser l’accès aux informations relatives à la sécurité en les rendant accessibles à toutes les organisations, et pas uniquement à celles qui disposent de moyens financiers consacrés à la sécurité et à l’informatique.
À quel problème GUAC apporte-t-il une solution ?
GUAC regroupe et synthétise essentiellement les métadonnées relatives à la sécurité des logiciels afin d'offrir une vue d'ensemble plus complète. De plus, GUAC permettra à chacun d'identifier les composants les plus critiques de son écosystème de chaîne d'approvisionnement logicielle, ainsi que les failles de sécurité et les dépendances à risque au sein de cet écosystème.
Google souligne que GUAC permettra d'apporter des réponses à des questions relatives à trois aspects importants de la sécurité de la chaîne d'approvisionnement logicielle, à savoir les phases proactive, opérationnelle et réactive.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La chaîne d’approvisionnement reste un vecteur d’attaque lucratif pour les acteurs malveillants, comme en témoignent les cyberattaques du type SolarWinds et Log4Shell. Compte tenu du nombre d’attaques visant la chaîne d’approvisionnement logicielle dont les médias ont fait état récemment (sans parler de l’effervescence qui règne dans le secteur autour de la découverte de vulnérabilités « zero-day » dans les plateformes open source), il était grand temps qu’un outil tel que GUAC voie le jour. »
« Selon Melissa Bischoping, directrice de la recherche en sécurité des terminaux chez Tanium, la prévalence des logiciels open source de type « » , sous forme de bibliothèques partagées, de dépendances et d’intégrations au sein des outils d’entreprise et des projets sur mesure, peut donner lieu à des attaques de type « repo jacking » susceptibles de prendre rapidement de l’ampleur en cas de succès. » M. Bischoping recommande aux utilisateurs de produits tiers de tenir à jour un inventaire précis et en temps réel ( ) à l'aide de solutions SBOM afin d'avoir une bonne visibilité sur les dépendances et les risques. « Ces recommandations, associées à l'initiative GUAC actuellement menée par Google, pourraient permettre de mieux positionner et de donner davantage de moyens aux équipes partout dans le monde. »
« La publication de cet article coïncide avec l’annonce de ce qui avait initialement été qualifié de vulnérabilité « critique » dans la bibliothèque open source OpenSSL, qui a suscité un vif intérêt au sein du secteur, les chercheurs s’empressant d’évaluer le degré de risque et l’ampleur de la surface d’attaque potentielle (OpenSSL a divulgué les détails techniques de ce problème de sécurité environ une semaine plus tard ; la faille « critique » s’est avérée être en réalité un ensemble de deux vulnérabilités, les « s CVE-2022-3786 et CVE-2022-3602 », des bogues de débordement de tampon dont le niveau de gravité a par la suite été revu à la baisse pour passer à « élevé »). »
« La préoccupation évidente des professionnels du secteur était que la bibliothèque OpenSSL est extrêmement répandue ; elle est intégrée à de nombreux systèmes d’exploitation, logiciels côté client, logiciels Web et de messagerie, équipements réseau, systèmes de contrôle industriel (ICS), etc. » Compte tenu du nombre de services et de ressources utilisant cette bibliothèque, des questions relatives aux dépendances et des inquiétudes concernant la chaîne d’approvisionnement ont été soulevées. C’est pourquoi Tanium a adopté une approche proactive afin de fournir à ses clients des conseils adaptés pour identifier les systèmes affectés et atténuer ces risques dès que possible, dans le court laps de temps qui s’est écoulé entre l’annonce par OpenSSL de l’existence de la vulnérabilité et la divulgation, une semaine et demie plus tard, de ses détails techniques et de ses numéros CVE. »
3. Les experts du secteur posent la question suivante : l'expiration obligatoire des mots de passe renforce-t-elle ou compromet-elle la sécurité de vos mots de passe ?
Dans un contexte qui ne manquera pas de susciter la polémique, des organismes de référence en matière de cybersécurité, tels que l’Institut national des normes et des technologies (NIST) et Microsoft , s’opposent activement à l’expiration obligatoire des mots de passe en tant que bonne pratique de sécurité.
Selon les recommandations de Microsoft en matière de politique de mots de passe, il existe au moins deux raisons principales pour lesquelles les organisations devraient renoncer à l'expiration régulière des mots de passe.
- Microsoft affirme que ces exigences ne suffisent guère à empêcher les cybercriminels déterminés d'accéder aux réseaux de leurs victimes. Cela s'explique en grande partie par le fait que les cybercriminels ont de plus en plus souvent recours à l'utilisation immédiate des mots de passe piratés, qui ne manquent pas. Le rapport « : Account Takeover in 2022 » a révélé que plus de 24 milliards de combinaisons de noms d'utilisateur et de mots de passe étaient en vente sur le dark web, contre 15 milliards en 2020.
- Microsoft fait également valoir que le fait d'obliger les utilisateurs à changer périodiquement leurs mots de passe conduit souvent à la création d'identifiants plus prévisibles et moins sûrs. Par exemple, les utilisateurs peuvent simplement ajouter un nouveau chiffre ou un caractère spécial à un mot de passe précédent lorsqu'on leur demande de renouveler leurs identifiants.
Ce que révèlent les études sur l'expiration obligatoire des mots de passe
Dans le cadre d'une étude intitulée « 2009 », des chercheurs de l'UNC Chapel Hill ont obtenu les mots de passe de plus de 10 000 comptes inactifs appartenant à d'anciens étudiants, enseignants et membres du personnel de l'université. Les utilisateurs devaient changer le mot de passe de ces comptes tous les trois mois. En utilisant des outils de piratage de mots de passe dans le cadre d'une attaque hors ligne, les chercheurs de l'UNC ont finalement réussi à pirater environ 60 % des mots de passe. Sur 7 752 comptes, les chercheurs ont réussi à déchiffrer au moins un mot de passe qui n'était pas le dernier mot de passe créé par l'utilisateur pour ce compte. Les chercheurs ont utilisé les mots de passe de cet ensemble de comptes pour mener la suite de leur étude, qui consistait à mettre au point une méthode de piratage formulant des hypothèses à partir des mots de passe précédemment choisis par les utilisateurs.
Plus récemment, des chercheurs de l'université Carleton ont rédigé un article dans lequel ils ont mis au point une mesure quantitative « » de l'impact des politiques d'expiration des mots de passe. Dans cette étude, les chercheurs de Carleton partent du principe que les pirates tenteront systématiquement de deviner tous les mots de passe possibles jusqu’à ce qu’ils trouvent la bonne combinaison.
En fin de compte, les chercheurs de Carleton ont pu tirer plusieurs conclusions qui rejoignaient celles de l'étude de l'UNC. En résumé, les changements fréquents de mot de passe ne constituent qu'un obstacle mineur pour ces pirates, probablement insuffisant pour compenser les désagréments causés aux utilisateurs. De plus, un pirate qui connaît déjà le mot de passe d'un utilisateur a peu de chances d'être déjoué par un changement de mot de passe.
Tout le monde n'est pas convaincu
Malgré l’abondance apparente d’arguments valables contre l’application d’une expiration obligatoire des mots de passe, certaines organisations et certains secteurs d’activité restent sceptiques.
Le secteur des cartes de paiement en fait partie : il impose à toute organisation acceptant les paiements par carte de crédit de se conformer à la norme de sécurité des données du secteur des cartes de paiement ( , PCI DSS), , un ensemble de politiques et de procédures largement reconnues visant à optimiser la sécurité des transactions par carte de crédit, de débit et de retrait, ainsi qu’à protéger les titulaires de cartes contre toute utilisation abusive de leurs informations personnelles. La norme PCI DSS 4,0 entrera en vigueur lorsque la version 3,2,1 de la norme PCI DSS sera retirée en 2024 et imposera des changements de mot de passe programmés. La version 4,0 des normes PCI DSS impose aux organisations d'utiliser des mots de passe d'au moins 12 caractères (à quelques exceptions près) et de les renouveler tous les 90 jours.
Quelle est la meilleure voie à suivre ?
Le secteur de la cybersécurité n'est pas encore parvenu à un consensus quant à l'application d'une expiration obligatoire des mots de passe.
Il convient de noter que la solution « Password Policy » d’ , société spécialisée dans la cybersécurité, , destinée aux entreprises, prend en charge un concept intéressant appelé « expiration des mots de passe en fonction de leur longueur ». Grâce à cette stratégie, les organisations peuvent configurer la gestion des accès de manière à ce que les utilisateurs qui créent des mots de passe forts soient, en quelque sorte, récompensés par des changements de mot de passe obligatoires moins fréquents.
À première vue, cela peut sembler être une solution un peu superficielle à un problème qui nécessiterait des points de suture. Après tout, même ceux qui créent des mots de passe forts sont toujours tenus de les modifier à intervalles réguliers, une situation qui pourrait inciter ces utilisateurs à finir par recourir à des transformations de mots de passe plutôt qu’à en créer de nouveaux, tout aussi forts.
Bien que des solutions de ce type ne suffisent pas à elles seules à résoudre ce dilemme, lorsqu’elles sont associées à d’autres fonctionnalités de sécurité des mots de passe, certaines combinaisons peuvent s’avérer efficaces.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Microsoft a tout à fait raison d'affirmer que les utilisateurs qui sont contraints de réinitialiser leurs mots de passe plus souvent sont plus enclins à utiliser des mots de passe faibles et à réutiliser ces mêmes mots de passe sur plusieurs comptes. »
«L’authentification multifactorielle — bien qu’elle ne soit pas une solution miracle et qu’elle présente ses propres limites et failles de sécurité — peut contribuer à protéger les comptes des utilisateurs contre les attaquants, même si ceux-ci ont réussi à obtenir un mot de passe. » La vérification des mots de passe peut également aider les utilisateurs à créer des mots de passe robustes et difficiles à deviner. Le NIST recommande toutes les mesures susmentionnées, ainsi que la mise en place d'une limite du nombre de tentatives de mot de passe infructueuses et l'utilisation de « salt » et de fonctions de hachage pour les mots de passe. « La liste complète des recommandations, au nombre de NIST-800-63b, peut être consultée ici. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses d' s sur les cybermenaces publiées par .
