Piratage d'or : Nortel à l'ouest durant 10 ans !

Nortel Networks Corporation (ou Nortel) est l'un des principaux fournisseurs mondiaux en matière d'équipements de réseaux et de télécommunications. Jusqu'à ces dernières heures, c'était aussi l'une des entreprises de haute-technologie parmi les plus innovantes. Et ce, malgré ses déboires en 2008 et 2009 : une mise sous protection de la loi nord-américaine sur les faillites et une restructuration de sa dette.

En 2004, un employé (probablement un administrateur réseau compétent et curieux) remarque que des téléchargements inhabituels de documents se sont produits. L'auteur de ces étranges faits, l'un des dirigeants de l'entreprise, est interrogé mais répond qu'il n'a jamais téléchargé ces documents. Une enquête soi-disant approfondie est conduite avec pour résultat majeur de faire changer le mot de passe de ce responsable !

La contradiction entre une action (le téléchargement) et la négation sincère de celle-ci par son auteur aurait sans doute dû mettre la puce à l'oreille à tout responsable de la sécurité digne de ce nom (et de ses fonctions) qui, cela est bien connu, en bon paranoïaque se serait sans doute montré aussi tenace qu'un épagneul breton en période de chasse ! C'est (presque) à prendre au second degré mais pour qui a déjà été confronté à ce genre de situation, je ne connais personnellement pas une intervention qui ne se soit achevée sans qu'il n'y ait résolution complète de l'incident. Quitte à y passer la soirée voire la nuit ! Ou des jours entiers...

En réalité, le ver était déjà dans le fruit depuis le début des années 2000 et il semblerait que les comptes et les mots de passe associés des 7 principaux dirigeants (y compris le PDG) combinés avec des spywares sur de nombreuses machines au sein du système d'information de l'entreprise ont permis l'extraction d'innombrables données et informations vers une adresse IP à Shangaï, en Chine.

Documents techniques, financiers, rapports de R&D, mails, etc. la moisson est colossale et les pirates n'ont eu qu'à choisir durant près de 10 ans !! La légèreté avec laquelle Nortel semble avoir traité cette affaire révèle une incroyable incompétence et l'excuse selon laquelle les techniques employées étaient peu connues à l'époque ou ciblaient essentiellement le secteur bancaire sont la preuve d'une irresponsabilité qui relève autant de la mauvaise foi, que d'un manque évident de professionnalisme et assurément d'une lourde culpabilité qui n'est pas assumée.

On relèvera cependant que cette affaire, révélée par le Wall Street Journal dont je recommande la lecture de l'excellent article, tombe bien à propos tandis que Xi Jinping, donné comme le futur n°1 chinois est en tournée aux USA. Entre cyber-espionnage mutuel et montée en puissance aux États-Unis du lobby politico-industriel de la cybersécurité, il serait surprenant que cet effort de communication et de transparence n'ait que valeur de simple mea culpa.

Hacking : Google et Bing comme outils de 1er rang

Il y a quelques semaines, j'évoquais la notion de cyber-arsenal, d'un ton presque badin. Aujourd'hui, c'est un peu plus sérieusement que j'y reviens puisque un article paru hier sur Infosec Island, (re)met sur le devant de la scène des travaux de recherche consistants mais aussi inquiétants sur la puissance du Google Hacking dans le cadre d'une utilisation malveillante.

Tout d'abord, un mot sur ce dont il s'agit : le Google hacking est une technique qui utilise les fonctions étendues des moteurs de recherche, au premier rang desquels Google et dorénavant Bing. Cette technique donne accès à une incroyable mine dans laquelle on trouverait  en même temps de l'or autant que du pétrole ou des métaux rares ! L'analogie de cette fabuleuse mine avec l'information me parait judicieuse puisque cette technique est donnée comme de premier rang pour la plupart des exploits des Lulzsec et, surtout, des Anonymous. 

L'ensemble permet de collecter de l'information sur les vulnérabilités logicielles, des erreurs de programmation tout comme de trouver de nombreux documents, de simples fichiers texte par exemple, dans lesquels peuvent se trouver des informations sensibles qui ne devraient pas être (aussi facilement) accessibles : fichiers personnels (facilitant l'ingénierie sociale), documents d'entreprise à usage interne, éléments d'administration de réseaux, etc. 

Toutes ces informations sont utiles voire nécessaires pour élaborer puis mettre en œuvre un scénario d'attaque et, cerise sur le gâteau, le Google hacking permet également de découvrir d'innombrables mots de passe facilitant largement les attaques. L'irresponsabilité de nombreux internautes mais aussi d'entreprises peut ainsi être qualifiée de pousse-au-crime, le B-A-BA n'étant même pas respecté.

La présentation faite à Miami dans le cadre de Hacker Halted  en octobre 2011 est technique mais n'en demeure pas moins éloquente, d'autant plus que Francis Brown a élaboré un outil permettant l'automatisation des recherches et facilitant l'interprétation des résultats. Parmi leurs cibles, les failles embarquées par Flash pour des pénétrations malveillantes et déconcertantes de facilité ainsi que la mise en lumière des faiblesses du cloud. Ses principaux opérateurs fournissent un service qui n'est, pour le moment, pas fiable en terme de protection de l'information : les accords contractuels précisent qu'ils ne sont pas responsables d'une quelconque fuite d'information ni de perte d'intégrité des données ! Un comble pour un service donné comme la révolution informationnelle actuelle au sein des entreprises alors qu'il s'agit, une fois de plus, de la confirmation la plus élémentaire de prudence recommandée par ce blog et bien d'autres.

La présentation de Francis Brown démontre particulièrement la facilité qu'il y a de récupérer des informations dans "le nuage", en particulier sur l'EC2 d'Amazon qui est l'une des plate-formes les plus utilisées et qui a déjà connu de sérieux problèmes l'année dernière. Il est donc recommandé de ne pas stocker, pour le moment, de données sensibles dans le cloud. Tout comme il pourrait être "amusant" pour un RSSI, si ce n'est déjà fait, de faire passer son système d'information au travers des fourches caudines du Google hacking !