Les attaques visant le micrologiciel et le matériel des appareils sont en augmentation. Elles comptent parmi les menaces les plus graves auxquelles les entreprises sont confrontées aujourd'hui. Le passage au télétravail ayant entraîné une utilisation accrue des terminaux — par exemple, les ordinateurs portables, les PC, les tablettes et les imprimantes —, la surface d'attaque n'a fait que s'étendre.
Étant donné que le micrologiciel gère essentiellement le matériel d’un terminal et joue le rôle d’arbitre entre ce matériel et le système d’exploitation, il offre aux attaquants un accès incroyable aux ressources précieuses d’une entreprise, tout en leur fournissant la couverture dont ils ont besoin pour rester à l’abri du regard vigilant du service informatique.
« Tout le monde a les yeux rivés sur le cloud, ce qui est important, mais quelqu’un doit se charger de collecter et d’étudier le micrologiciel de son organisation », déclare Roger Thompson , , fondateur et PDG de la société de recherche en sécurité Thompson Cyber Security Labs, spécialisée dans la sécurité du processus de démarrage des systèmes et les vulnérabilités des micrologiciels. « Nous sommes dans une course permanente pour descendre plus bas dans la pile », ajoute-t-il. « Même si les attaques visant les micrologiciels ne sont pas un phénomène nouveau, je pense qu’elles vont constituer l’un des principaux fronts de lutte contre les logiciels malveillants à l’avenir. »
Les pirates qui s'attaquent aux micrologiciels redoublent d'activité. (Environ 83 % des entreprises déclarent avoir subi au moins une attaque visant leur micrologiciel au cours des deux dernières années, selon une récente enquête menée par Microsoft en collaboration avec l' .) Et ils n'ont que l'embarras du choix en matière de cibles. La base de données nationale sur les vulnérabilités (NVD) du gouvernement américain, , qui recense les données relatives à la gestion des vulnérabilités conformément aux normes, regorge cette année encore de vulnerabilities—162 liés au micrologiciel — qui n’attendent qu’à être exploités par des pirates informatiques.
Malgré la gravité et l'ampleur de la menace, les dépenses n'ont pas encore augmenté pour faire face à ces risques. L'enquête de Microsoft a révélé que seuls 29 % des budgets consacrés à la sécurité sont affectés à la protection des micrologiciels.
Face à la multiplication des attaques visant le micrologiciel, il est important que les équipes informatiques et de sécurité sachent comment les pirates informatiques spécialisés dans le micrologiciel s’y prennent, quels sont les signes à surveiller pour les en empêcher et comment riposter une fois qu’ils ont obtenu l’accès.
Pourquoi le micrologiciel constitue une cible viable
Outre le manque de budget consacré à la protection des micrologiciels, plusieurs autres facteurs font de ces derniers un terrain propice au piratage, selon l'enquête de Microsoft :
- 21 % des responsables de la sécurité reconnaissent que leurs données de micrologiciel ne font l'objet d'aucune surveillance.
- Les cycles réactifs et les processus manuels freinent les efforts en matière de sécurité. Environ 82 % des décideurs estiment que l'on consacre trop de temps et de ressources à des tâches peu rentables, telles que l'application manuelle de correctifs logiciels et les mises à niveau matérielles.
Comment fonctionnent les attaques visant le micrologiciel ?
Les pirates s'attaquent aux micrologiciels de la même manière qu'ils s'attaquent aux autres logiciels. Ils utilisent des rootkits, des logiciels malveillants et autres outils similaires comme vecteurs de diffusion. Ils altèrent les configurations du micrologiciel et tirent parti d'une gestion défaillante des clés de chiffrement. Et une fois infiltrés, les pirates bénéficient souvent d'un mode furtif que la plupart des exploits logiciels ne permettent pas. Voici comment cela fonctionne. Les attaquants :
- Cibler le code situé sous le système d'exploitation d'un appareil et exploiter ses vulnérabilités.
- Introduire du code malveillant dans le système.
- Apportez des modifications au système d'exploitation.
- Concentrez-vous plutôt sur les logiciels du système, où ils causent des ravages et passent souvent inaperçus.
Le Forum UEFI (Unified Extensible Firmware Interface) de l' , , est un organisme de normalisation sectoriel qui a pour objectif d'améliorer la sécurité des micrologiciels. Sa norme d'interface définit la communication entre le micrologiciel fourni par le fabricant de l'appareil et le système d'exploitation de celui-ci.
« Il existe toujours un risque qu’une attaque aboutisse », déclare Dick Wilkins, membre du conseil d’administration de l’UEFI Forum . « Nous avons travaillé sans relâche pour veiller à ne laisser aucune porte dérobée et pour garantir que l'UEFI soit aussi sécurisé que possible. »
Comment se prémunir contre les attaques visant le micrologiciel
Les pirates qui ciblent les micrologiciels redoublent d'efforts pour accéder à cette partie du système, qui est trop souvent négligée par les équipes de sécurité. Les organisations peuvent riposter en adoptant de bonnes pratiques de cybersécurité et en prenant quelques mesures essentielles :
- Améliorez la visibilité sur les systèmes et renforcez les capacités de détection, tant en interne que tout au long de la chaîne d'approvisionnement.
- Mettez à jour le micrologiciel du terminal.
- Formez les équipes de sécurité à reconnaître les signes d'attaques visant le micrologiciel.
- Automatisez les processus manuels, tels que l'application des correctifs, afin que les équipes de sécurité aient le temps d'évaluer le micrologiciel à la recherche de vulnérabilités potentiellement très graves.
- Intégrez des évaluations de la sécurité du micrologiciel dans le processus d'acquisition des produits.
Outre la surveillance des vulnérabilités connues du micrologiciel, les équipes chargées de la sécurité et de l'informatique peuvent gagner du temps et économiser des ressources en automatisant la gestion de leurs correctifs. « Veiller à ce que chaque appareil soit intégré aux cycles normaux de correctifs et de mises à jour permet de réduire au minimum le risque de violation de données si un pirate parvient à y accéder », explique John Bock , chercheur principal chez Optiv Security, dans un article publié sur .
Et même dans ce cas, explique M. Bock, il peut être judicieux de simplement mettre le terminal hors service et de le remplacer : « En règle générale, si le coût de l'intervention est supérieur à celui du remplacement, il vaut mieux le remplacer. »
