Obama autorise les sanctions ciblées contre les cyberattaquants

Signé un 1er avril, l'ordre exécutif ("Executive Order") du président Obama permettant de sanctionner notamment financièrement "toute personne ou entité" qui portera dorénavant préjudice aux systèmes d'information d'un secteur d'infrastructure critique étasunien (1) n'est pas un poisson d'avril. Ou alors, il est sacrément bien fichu tant il est crédible et cohérent avec la stratégie générale de l'administration US en matière de lutte contre les agressions et, plus globalement, de conflictualités dans le cyberespace (2).

Le Sony hack 2014 ou comment des "Gardiens de la paix" ont failli déclarer la (cyber) guerre mondiale

Environ quinze secondes. C'est la durée de l'hésitation qui s'est emparée de moi avant de débuter cet article. Allais-je commencer l'année en ânonnant fièrement une liste de prévisions (1) ressemblant à un cyber-horoscope insipide ? Ou partir d'un fait récent, aussi vite disparu des Unes qu'il s'en était emparé ? Car, tout observateur attentif a sans doute pu remarquer qu'une presque énième guerre mondiale (2) avait failli éclater juste avant Noël. Et tout cela pour une énième cyberattaque. Retour mi-sérieux mi-ironique sur le piratage de Sony.

RoMOS : le "presque Android" russe

L'information date de quelques jours mais semble être un peu passée inaperçue même si elle a été relayée (1). Présenté à l'IFA 2012 de Berlin, l'un des plus grands salons mondiaux ayant trait aux technologies et à l'électronique, un nouveau système d'exploitation pourrait faire une percée inattendue.

Operation Buckshot Yankee : le retour ?

La vitesse d'évolution des technologies de l'information induit une accélération du temps ayant trait au cyber-espace. Lorsqu'on entend parler de l'Agent.btz, on pourrait presque se prendre pour un archéologue numérique puisque ce code malveillant, de la famille des vers évolués, avait causé des sueurs froides au Pentagone à partir de l'automne 2008. 

La caractéristique première d'un ver est de se dupliquer sans cesse afin d'infecter un système d'information sur l'échelle de "surface" la plus large possible. L'Agent.btz était de plus chargé de trouver des points de connexion Internet afin d'exfiltrer les données collectées. Sachant que la cible première était le protocole SIPRNet, utilisé par le ministère de la Défense américain afin de faire circuler les informations confidentielles jusqu'au niveau Secret. On imagine aisément la valeur de telles informations pour toute entité dotée d'intentions possiblement inamicales envers les USA !

Plus de 14 mois (!) avaient alors été nécessaires pour éradiquer la menace et remettre d'aplomb les milliers de postes et serveurs infectés ainsi que les dizaines de réseaux militaires qui avaient été "fermés" dans l'urgence. L'opération portait le nom de "Buckshot Yankee" (buckshot signifiant chevrotine ou plomb) et est toujours qualifiée de "plus grande brèche dans l'histoire des réseaux informatiques militaires U.S.". D'ailleurs, la création de l'U.S. Cyber Command fut la conséquence la plus visible et la plus immédiate de cette opération. L'histoire détaillée peut être lue sur Wired (en anglais) avec une variante un peu plus technique ici (et toujours en anglais).

Ce "retour vers le futur" est revenu au devant de l'actualité (cybersécurité en tout cas) ces derniers jours : il semble que des variantes de l'Agent.btz, plus élaborées, ont fait leur apparition sur les réseaux américains. Gouvernementaux et/ou militaires, on n'en sait pas plus pour le moment mais l'accent est mis sur les présomptions, déjà à l'époque, des services officiels : l'origine russe de l'attaque semble toujours de mise. Et même si des indications trouvées dans un échantillon du code désigneraient...la Chine !

A l'heure où les grandes manœuvres commencent à peine dans le cyber-espace, le brouillard est loin de se dissiper. On peut même présager une augmentation de l'épaisseur de ce dernier !

HBGary/Anonymous : nouvelles révélations

L'information a surgi hier de l'autre côté de l'Atlantique et semble être relativement passée inaperçue de ce côté-ci. Tout du moins en Gaule, se pâmant peut-être devant le suspense Hitchcockien de l'affaire dite de Bercy (se pâmant...ou pas ! :).

Début février 2011, et entrant dans le champ des mesures de rétorsion dans l'affaire Wikileaks, des pirates (qualifiés à tort ou raison de l'étiquette Anonymous)  pénètrent le Système d'Information d'HBGary, une société spécialisée dans la...sécurité de l'Information (les cordonniers, toussa) et récupèrent des dizaines de milliers de courriels confidentiels et sensibles pour la plupart d'entre eux.

L'information du jour concerne les attaques, apparemment réussies, dont ont été la cible des entreprises d'envergure mondiale : DuPont, Johnson & Johnson, Walt Disney, SonyCorp ou encore General Electric. L'affaire ou plutôt les affaires, ne s'arrête(nt) pas là puisque c'est le FBI qui est sur la brèche et révèle que DuPont subit là sa deuxième série d'attaque en moins d'un an ! La première série d'attaques ayant été du type Google,  affaire largement médiatisée et ayant donné lieu à des frictions certaines entre le géant de Mountain View, le gouvernement chinois mais aussi américain (même si moins médiatisé).

Au-delà de l'importance économique et concurrentielle de ces affaires, on découvre à travers les mails dérobés le portrait d'un espionnage élevé au niveau industriel dont les pirates opèrent à partir de la Chine, de la Russie et d'autres pays. Les autorités américaines poussent évidemment un énième cri d'alarme en soulignant que les dangers de ces cyber-attaques sont sous-estimés. L'affaire DuPont le prouve d'une certaine manière mais il est difficile de réduire une douzaine d'attaques forcément d'importance puisque touchant de grandes entreprises tandis que c'est toute l'industrie qui subit en permanence ces  cyber-assauts. 

C'est ce que dit Steven Chabinsky, l'un des responsables de la cyber division du FBI qui s'inquiète de la permanence et de l'augmentation incroyable de ces attaques. On apprend d'ailleurs, sans surprise d'ailleurs, que tous les secteurs sont visés : l'énergie, l'industrie pharmaceutique, les entreprises de défense, etc. 

Que dire de plus si ce n'est que l'article* d'où j'ai extrait ces informations recèle d'informations très intéressantes. On y apprend, entre autre, comment la 2ème attaque sur DuPont a pu fonctionner : les ordinateurs portables de certains de ses cadres  avaient été "piégés" lors d'un voyage d'affaires en...Chine. Sans forcément les partager, on comprend aussi les silences de nombreux responsables du fait des contraintes légales américaines mais aussi de l'atteinte en terme d'image de marque vis à vis de leurs clients.

Cet article met davantage en lumière, puisqu'il semble que c'est nécessaire, la réalité d'une guerre qui se déroule dans l'ombre depuis des décennies mais franchit un nouveau palier par l'usage des technologies de l'information : la guerre économique mondiale où le cyberespace semble avoir atteint sa "taille d'adulte" dans les échanges d'informations et les transactions dématérialisées. Et il ne faudrait pas croire que cette guerre ne concerne que les États-Unis, la Russie ou la Chine : les nations dites moyennes, font aussi partie du jeu. Sous-estimer la réalité stratégique des enjeux ou balayer les conséquences sous couvert de restrictions budgétaires n'est plus de l'ordre de la légèreté ou de l'inconscience : c'est celui de l'irresponsabilité** politique, économique et technologique.

* Pour les non-anglophones, la traduction Google devrait suffire.  
** Le lecteur, dans sa bienveillance, reconnaîtra que si je me montre offensif sur ce sujet (une fois encore), veillera également à noter la constance de mes propos en cohérence avec le titre de ce blog :) Si tu veux la paix... 

2011, Stuxnet, Internet détourné : business...as usual !

Il n'est pas inutile de rappeler combien la cyber période qui s'ouvre est et sera également une source de profits (très) importants pour certains acteurs de la sécurité. C'est la réflexion que je me suis faite, sourire en coin, à la lecture de cet article d'Infosecurity Magazine.

En étant attentif, on pourrait presque confondre cet article avec un "bon vieux" publi-reportage qui utilise certains ressorts propres aux hoaxes : intervenant apparemment sérieux, crédibilité de ses assertions, légitimité par l'utilisation de figures respectables, bref, de la pub à moindre coût et à fort retour sur investissement avec en filigrane la peur, le sentiment généralement irrationnel le plus vendeur et quelques volailles éventrées pour y lire dans les entrailles !

Alors décryptons ensemble cet article : ça commence fort par l'évocation de Stuxnet et du détournement d'internet en avril 2010 par la Chine (lire mes billets précédents sur tous ces sujets) qui annonce la tendance 2011 : détournement du trafic internet et attaques sophistiquées. Jusque là, pourquoi pas, même si le propos est loin d'être révolutionnaire.

Ensuite, ces assertions ne viennent pas de n'importe qui puisque l'on nous dit que c'est Rodney Joffe, senior VP (Vice President) et technologiste (tiens, au passage, j'apprends qu'il existe ce nouveau métier ! :) de la société...mais j'y reviendrai à la fin de ce billet.

Saupoudrage de mots clés comme Wikileaks et évocation du cyber conflit de 2007 entre la Russie et l'Estonie (! - Pour info, je rappelle que les attaques ont eu lieu à partir du territoire estonien, ceci n'enlevant rien aux possibles imbrications du côté russe) et l'on rentre dans le vif du sujet : les cibles et les indices.

Les cibles seraient avant tout les systèmes financiers, en particulier les distributeurs d'argent. Au-delà des grandes entreprises, les entreprises de taille moyenne seraient aussi visées à travers leurs infrastructures physiques : climatisation, chauffage, ascenseur. Bref, un joyeux bordel qui ferait presque passer Die Hard 4 pour une bluette !

J'en arrête là dans l'ironie car je ne sais pas si ce monsieur Joffe est le fils caché de Madame Soleil et d'Elisabeth Teissier mais je sais au moins que sa société possède les compétences et les ressources pour répondre aux problématiques sus-citées. Et lui-même est connu comme un loup blanc de la communication et du marketing intrusif : CQFD ! :)

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...

Cyber intentions au sommet de l'OTAN à Lisbonne

Le prochain sommet de l’OTAN aura lieu à Lisbonne les 19 et 20 novembre et accueillera un invité de marque : la Russie. Certains spécialistes se font l’écho depuis des années des avantages voire de l’expression naturelle qu’il y aurait d’intégrer la Russie à l’OTAN. Géographiquement et historiquement cette hypothèse est pleine de bon sens tandis que du point de vue politique et culturel, des réserves se font jour.

Mon propos du jour est cependant tout autre puisque ce sommet essaiera, parmi les autres thèmes, d’unifier à travers un accord le besoin de coordonner la lutte dans le cyberespace. 

C'est en tout cas ce que laisse entrevoir William Lynn dans l'interview plus qu'intéressante donnée à Foreign Affairs.

Là où le bât blesse gravement, c’est que bien peu de choses empêcheraient qu'un tel accord soit conclu mais qu’en serait-t-il des moyens traduisant ces bonnes intentions ? On peut maintenant parfaitement mesurer le chemin parcouru ces dernières années par le sponsor principal de l’Alliance, les Etats-Unis : celui-ci s’est doté d’un commandement militaire unifié, s'appuie déjà depuis des années sur le DHS pour la collaboration inter-agences, a élaboré une doctrine d'emploi (si ce n’est plusieurs) et abonde un budget qui, s’il n’est pas encore monstrueux, est tout à fait respectable. 

De deux choses l’une : soit l’on risque d'assister à une dépendance complète de l’Europe vis-à-vis des moyens technologiques et financiers, sans compter la possible (dés)information quant aux cybermenaces et à leurs propriétaires avérés, désignés ou supposés. Autre hypothèse, il est encore possible de construire une force autonome, adossée à une hypothétique défense européenne, force qui travaillerait en coopération avec les américains (et pourquoi pas les russes ?) tout en conservant le regard critique et en développant ses moyens techniques et surtout en conservant une autonomie de décision ?

Il va sans dire que les restrictions budgétaires actuelles, particulièrement les budgets de la défense au niveau de l'UE, et le silence assourdissant de l'hôtel de Brienne ou du Quai d'Orsay ne semblent pas plaider pas pour une telle hypothèse !

Edit : Wired évoque ce jour-même l'existence d'un rapport fédéral (draft = avant-projet, brouillon) qui annoncerait une diminution importante des cyber attaques contre le département de la Défense U.S. Il s'agirait de la première année de la décennie où les "incidents liés à la de la cyber-activité malveillante" seraient en baisse. Paradoxe apparent à l'heure où la mobilisation se déchaîne depuis plusieurs mois. Je retiens l'hypothèse  évoquée en conclusion de l'article d'attaques moins nombreuses mais potentiellement plus sophistiquées et ciblées.

Agent.BTZ, proto Stuxnet ?

Raccourci éditorial s'il en est, qui se souvient encore de l'année 2008 et du Pentagone qui avait subi une longue épidémie de l'Agent.BTZ (une analyse technique intéressante peut être lue ici) liée à du code malveillant s'étant indifféremment propagée sur des réseaux classifiés et non-classifiés ? Les américains, assurément, s'en souviennent puisque la création récente de l'U.S. Cyber Command dont l'un de mes précédents billets traitait en serait la conséquence la plus visible.

Cette affaire fait en tout cas l'objet d'un article a priori intéressant dans la vénérable revue "Foreign Affairs", volume 89, numéro 5. L'auteur,  William J. Lynn III, qui est aussi l'adjoint du secrétaire américain à la défense, rappelle longuement cet épisode et pose ses réflexions quant au nouveau paradigme que conduit l'insertion d'actes malveillants et ciblés dans le cyberespace. A priori intéressant puisque seul un aperçu est disponible, le reste l'étant par paiement.

Quel lien alors avec les récentes attaques de Stuxnet ? Indirect me semble-t-il et touchant principalement la partie désinformation : il est dit que les américains suspectèrent alors les Russes puisque la souche .BTZ avait déjà utilisée par des hackers russes. Coupable facile voire idéal, c'est là où la prudence commande de faire attention et c'est bien ainsi que Wired s'interrogeait à haute-voix : "Pourquoi une agence de renseignement lancerait une attaque molle *" ?

* Le côté mou relevant d'avantage de la faiblesse d'emploi voire de l'absence de mécanismes compliquant la tâche d'analyses forensiques. Qui ont eu lieu, d'ailleurs.

Edit : le blog Mars Attaque a lui aussi rapidement réagi sur le sujet donc j'en fais part, courtoisie oblige !