L'intervention russe en Ukraine, cas d'école cyber de la guerre hybride moderne ?

L'expression "guerre hybride" existe depuis longtemps mais a investi sinon réinvesti ces dernières années le champ de la dialectique militaire et de travaux de recherche associés [1] tout en faisant l'objet de divergences entre les tenants de son existence [2] et ses détracteurs [3]. Pour autant l'objet de cet article n'est pas de prendre position [4] mais plutôt de s'intéresser à l'exemple de l'intervention russe en Ukraine depuis 2014 (annexion de la Crimée et soutien aux rebelles du Donbass), probablement représentatif des conflits asymétriques du 21ème siècle mais côté État(s), cette fois-ci [5]. Pour lesquels le domaine cyber joue un rôle de plus en plus majeur sans pour autant sembler pouvoir emporter à lui seul la décision dans un conflit. Pour le moment ?

Tensions en Mer de Chine méridionale, conflictualités dans le cyberespace et survie de l'humanité

Vendredi 27 mai 2016 s'est tenue à Ventiane, au Laos, la 10ème réunion annuelle des ministres de la Défense de l'ASEAN [1] qui a entériné la proposition du ministre de la Défense des Philippines [2] d'établir un groupe de travail qui "servira de cadre pour la coopération en matière de cybersécurité" [3]. 

Si cette déclaration est parfaitement demeurée inexistante dans les media européens et notamment français, elle souligne cependant si besoin était les tensions qui se jouent au voisinage de la Mer de Chine méridionale.

Cyberattaques : les papillons (de nuit), les experts (auto-proclamés) et les oies (forcément) blanches

Cyberattaques Sony (2014), "SCADA" Ukraine (2015) et le week-end dernier la Banque du Bengladesh (février 2016) [1]. Difficile, en apparence, d'y trouver un point commun, notamment sur les aspects techniques. A y regarder de plus près, pourtant, il est assez remarquable de relever :

- des commentateurs qui commentent en ne sachant rien mais en disant tout et ce faisant, parfois, n'importe quoi ;

- une attribution quasiment immédiate [2] des cyberattaquants, de l'incontrôlable Corée du Nord [3] pour Sony à l'ours russe pour l'Ukraine. Ne manque que la Chine pour que le trio infernal soit complet ;

- la médiatisation croissante de ces cyberattaques ce qui, en soi, n'est pas une mauvaise nouvelle, la cybersécurité sortant du placard réservé aux sujets "techniques" [4] dans lequel elle était reléguée jusqu'ici.

Obama autorise les sanctions ciblées contre les cyberattaquants

Signé un 1er avril, l'ordre exécutif ("Executive Order") du président Obama permettant de sanctionner notamment financièrement "toute personne ou entité" qui portera dorénavant préjudice aux systèmes d'information d'un secteur d'infrastructure critique étasunien (1) n'est pas un poisson d'avril. Ou alors, il est sacrément bien fichu tant il est crédible et cohérent avec la stratégie générale de l'administration US en matière de lutte contre les agressions et, plus globalement, de conflictualités dans le cyberespace (2).

Le Sony hack 2014 ou comment des "Gardiens de la paix" ont failli déclarer la (cyber) guerre mondiale

Environ quinze secondes. C'est la durée de l'hésitation qui s'est emparée de moi avant de débuter cet article. Allais-je commencer l'année en ânonnant fièrement une liste de prévisions (1) ressemblant à un cyber-horoscope insipide ? Ou partir d'un fait récent, aussi vite disparu des Unes qu'il s'en était emparé ? Car, tout observateur attentif a sans doute pu remarquer qu'une presque énième guerre mondiale (2) avait failli éclater juste avant Noël. Et tout cela pour une énième cyberattaque. Retour mi-sérieux mi-ironique sur le piratage de Sony.

Avant Stuxnet 2010 et Aramco 2012, BTC 2008 ?

La semaine qui vient de s'écouler aura particulièrement été riche en événements cyber. Pourtant, ce n'est ni la téléconférence d'Edward Snowden (1) ni la remarquable "surprise" (2) linuxienne Turla (3) qui retiennent mon attention. C'est davantage un incident qui s'est produit en août 2008 sur un oléoduc en Turquie et qui pourrait avoir été délibérément provoqué (4). En effet, des pirates informatiques utilisant une vulnérabilité logicielle des caméras de vidéosurveillance auraient réussir à s'introduire dans le système d'information, désactivé les alarmes, les communications et surtout modifié le débit du pétrole acheminé conduisant à la rupture explosive de l'une des 101 stations de vannes d'arrêt.

Russie : la cybersécurité et la cyberdéfense comme outils de puissance géopolitique ?

La création de deux groupes de travail, l'un concernant le secteur spatial l'autre la cyberdéfense, a été annoncée à l'occasion de la visite du ministre russe de la défense au Brésil à la mi-octobre (1). Plus complet, l'ensemble des engagements pris à l'occasion du 14ème sommet russo-indien (2) traite notamment d'échanges dans le secteur spatial et de ceux liés à la "sécurité de l'information internationale".

Géopolitique du monde en 2030/2040 - Conférence de Jacques Attali à l'IHEDN du 14 octobre 2013 (2/2)

(Cet article est la suite de la première partie)

Après d'intéressants parallèles entre 1913 et 2013 et le recensement des "bonnes nouvelles", J. Attali s'attaque aux "nombreuses faces noires" au premier rang desquelles le climat.

RoMOS : le "presque Android" russe

L'information date de quelques jours mais semble être un peu passée inaperçue même si elle a été relayée (1). Présenté à l'IFA 2012 de Berlin, l'un des plus grands salons mondiaux ayant trait aux technologies et à l'électronique, un nouveau système d'exploitation pourrait faire une percée inattendue.

Iran : la meilleure (cyber)défense ? Se déconnecter d'Internet !

L'Iran, au travers de son programme de recherche nucléaire, sert de laboratoire à une guerre de l'ombre abusivement appelée cyber-guerre. Stuxnet, Flame et peut-être DuQu sont les programmes malveillants complexes qui ont ciblé, ces dernières années, une partie des infrastructures et des réseaux iraniens. En premier lieu le nucléaire, en second lieu l'infrastructure pétrolière mais aussi nombre de ministères et d'organismes d'Etat ayant trait à la sécurité du régime des Mollahs.

Pour lutter efficacement contre les cyber-attaques, commençons par virer les décideurs actuels !

C'est d'un surprenant direct du droit tout en faisant d'une pierre deux coups (au moins !) que Rose Gottemoeller fait une entrée remarquée sur la (de plus en plus) grande scène cybersécurité ! Elle assure depuis deux mois l'intérim du Under Secretary for Arms Control and International Security dont la mission est d'importance. Elle officie en effet en tant que conseillère spéciale du président Obama et de sa ministre de tutelle et des Affaires étrangères, Hillary Clinton, en matière de contrôle, de non-prolifération et de démantèlement des armements.

Elle vient d'achever une mini-tournée européenne d'une dizaine de jour qui l'aura conduite de Vienne à Moscou en passant par Londres et surtout Tallinn. La capitale de l'Estonie est devenue en quelques années l'une des places fortes mondiales en matière de cyberdéfense puisque y est localisé le Centre d'excellence cyber de l'OTAN (le CCDCOE). On y trouve aussi plusieurs établissements d'enseignement spécialisés en sciences des technologies et de l'information comme l'Estonian IT College. 

C'est lors d'une présentation à ce dernier que R. Gottemoeller a expliqué que "la stagnation pour contrer la menace croissante des cyber-attaques peut être imputée à la génération de décideurs en perte totale de contact avec les changements technologiques rapides" ! Elle a également ajouté que "la vérité est qu'il y a beaucoup de hauts-fonctionnaires dans de nombreux pays qui savent à peine utiliser un email ! Le changement viendra avec la nouvelle génération".

Son approche est de considérer que les technologies IT, open source ou les réseaux sociaux peuvent amplement permettre d'améliorer la surveillance, la vérification et l'expertise en ce qui concerne le contrôle des armements, qui est sa mission première. Des mots forts qui permettent à ce personnage de, peut-être, transformer son intérim en future titularisation tout en lançant plusieurs messages à différents destinataires. La résultante, en somme, d'un esprit brillant, spécialiste de la Russie*, coutumière des négociations de haut-niveau (donc des jeux politiques) et plutôt à l'aise avec les technologies de l'information. Au moins sur Twitter.

* le message délivré à Tallinn n'est évidemment pas le fruit du hasard mais relève bien d'une stratégie probablement plus générale dont R. Gottemoeller est l'un des nombreux rouages

Source : http://www.defensenews.com/article/20120402/DEFREG01/304020003/Cyber-Defence-Slow-Due-Generation-Gap-U-S-Official?odyssey=tab|topnews|text|FRONTPAGE

Iran : sanctions, Stuxnet et mines magnétiques !

Humour noir s'il en est, la dernière fois qu'un "accident" de la circulation à Téhéran avait fait des victimes parmi du personnel en rapport direct avec le programme nucléaire iranien, j'avais relayé l'information (novembre 2010) puisque les victimes faisaient partie d'une équipe chargée de lutter contre Stuxnet. Et pour être bien-sûr que ces personnes ne pouvaient s'en sortir, deux équipes avaient agi de concert : l'une pour poser une mine magnétique sous le véhicule, la seconde pour mitrailler le véhicule.

Hier, un nouvel "accident" de la circulation a fortuitement causé la mort d'un chercheur, Ahmadi Roshan, travaillant sur le site d'enrichissement de Natanz, chargé des recherches sur un un "projet de membranes polymères utilisées pour la séparation de gaz" (source Le Monde). Modus operandi similaire à l'attaque précédente, une mine magnétique a explosé causant la mort du chercheur et blessant ses deux passagers.

Malgré les tensions et les gesticulations actuelles entre l'Iran et les USA dans le détroit d'Ormuz, nul doute que le programme nucléaire continue d'être la cible de puissances ayant décidé l'emploi de moyens cinétiques très ciblés (des responsables du programme nucléaire) et d'autres moyens non-cinétiques mais également très ciblés (Stuxnet, Duqu, autre...non détecté/dévoilé jusqu'à présent). L'hypothèse qui se développe depuis plusieurs mois est que l'Iran finira par détenir l'arme nucléaire et, hormis une confrontation directe qui n'arrangerait en réalité personne, ralentir le programme permet de laisser un peu  plus de temps aux sanctions successives, de plus en plus importantes voire inédites. Pas sûr cependant que les effets cumulés de ces différentes actions amènent l'Iran à négocier pour de bon puisqu'en excellents joueurs de Go, la Chine et la Russie dans une moindre mesure, disposent là, comme avec la Corée du Nord, d'une commode épée...de Damoclès !

Operation Buckshot Yankee : le retour ?

La vitesse d'évolution des technologies de l'information induit une accélération du temps ayant trait au cyber-espace. Lorsqu'on entend parler de l'Agent.btz, on pourrait presque se prendre pour un archéologue numérique puisque ce code malveillant, de la famille des vers évolués, avait causé des sueurs froides au Pentagone à partir de l'automne 2008. 

La caractéristique première d'un ver est de se dupliquer sans cesse afin d'infecter un système d'information sur l'échelle de "surface" la plus large possible. L'Agent.btz était de plus chargé de trouver des points de connexion Internet afin d'exfiltrer les données collectées. Sachant que la cible première était le protocole SIPRNet, utilisé par le ministère de la Défense américain afin de faire circuler les informations confidentielles jusqu'au niveau Secret. On imagine aisément la valeur de telles informations pour toute entité dotée d'intentions possiblement inamicales envers les USA !

Plus de 14 mois (!) avaient alors été nécessaires pour éradiquer la menace et remettre d'aplomb les milliers de postes et serveurs infectés ainsi que les dizaines de réseaux militaires qui avaient été "fermés" dans l'urgence. L'opération portait le nom de "Buckshot Yankee" (buckshot signifiant chevrotine ou plomb) et est toujours qualifiée de "plus grande brèche dans l'histoire des réseaux informatiques militaires U.S.". D'ailleurs, la création de l'U.S. Cyber Command fut la conséquence la plus visible et la plus immédiate de cette opération. L'histoire détaillée peut être lue sur Wired (en anglais) avec une variante un peu plus technique ici (et toujours en anglais).

Ce "retour vers le futur" est revenu au devant de l'actualité (cybersécurité en tout cas) ces derniers jours : il semble que des variantes de l'Agent.btz, plus élaborées, ont fait leur apparition sur les réseaux américains. Gouvernementaux et/ou militaires, on n'en sait pas plus pour le moment mais l'accent est mis sur les présomptions, déjà à l'époque, des services officiels : l'origine russe de l'attaque semble toujours de mise. Et même si des indications trouvées dans un échantillon du code désigneraient...la Chine !

A l'heure où les grandes manœuvres commencent à peine dans le cyber-espace, le brouillard est loin de se dissiper. On peut même présager une augmentation de l'épaisseur de ce dernier !

HBGary/Anonymous : nouvelles révélations

L'information a surgi hier de l'autre côté de l'Atlantique et semble être relativement passée inaperçue de ce côté-ci. Tout du moins en Gaule, se pâmant peut-être devant le suspense Hitchcockien de l'affaire dite de Bercy (se pâmant...ou pas ! :).

Début février 2011, et entrant dans le champ des mesures de rétorsion dans l'affaire Wikileaks, des pirates (qualifiés à tort ou raison de l'étiquette Anonymous)  pénètrent le Système d'Information d'HBGary, une société spécialisée dans la...sécurité de l'Information (les cordonniers, toussa) et récupèrent des dizaines de milliers de courriels confidentiels et sensibles pour la plupart d'entre eux.

L'information du jour concerne les attaques, apparemment réussies, dont ont été la cible des entreprises d'envergure mondiale : DuPont, Johnson & Johnson, Walt Disney, SonyCorp ou encore General Electric. L'affaire ou plutôt les affaires, ne s'arrête(nt) pas là puisque c'est le FBI qui est sur la brèche et révèle que DuPont subit là sa deuxième série d'attaque en moins d'un an ! La première série d'attaques ayant été du type Google,  affaire largement médiatisée et ayant donné lieu à des frictions certaines entre le géant de Mountain View, le gouvernement chinois mais aussi américain (même si moins médiatisé).

Au-delà de l'importance économique et concurrentielle de ces affaires, on découvre à travers les mails dérobés le portrait d'un espionnage élevé au niveau industriel dont les pirates opèrent à partir de la Chine, de la Russie et d'autres pays. Les autorités américaines poussent évidemment un énième cri d'alarme en soulignant que les dangers de ces cyber-attaques sont sous-estimés. L'affaire DuPont le prouve d'une certaine manière mais il est difficile de réduire une douzaine d'attaques forcément d'importance puisque touchant de grandes entreprises tandis que c'est toute l'industrie qui subit en permanence ces  cyber-assauts. 

C'est ce que dit Steven Chabinsky, l'un des responsables de la cyber division du FBI qui s'inquiète de la permanence et de l'augmentation incroyable de ces attaques. On apprend d'ailleurs, sans surprise d'ailleurs, que tous les secteurs sont visés : l'énergie, l'industrie pharmaceutique, les entreprises de défense, etc. 

Que dire de plus si ce n'est que l'article* d'où j'ai extrait ces informations recèle d'informations très intéressantes. On y apprend, entre autre, comment la 2ème attaque sur DuPont a pu fonctionner : les ordinateurs portables de certains de ses cadres  avaient été "piégés" lors d'un voyage d'affaires en...Chine. Sans forcément les partager, on comprend aussi les silences de nombreux responsables du fait des contraintes légales américaines mais aussi de l'atteinte en terme d'image de marque vis à vis de leurs clients.

Cet article met davantage en lumière, puisqu'il semble que c'est nécessaire, la réalité d'une guerre qui se déroule dans l'ombre depuis des décennies mais franchit un nouveau palier par l'usage des technologies de l'information : la guerre économique mondiale où le cyberespace semble avoir atteint sa "taille d'adulte" dans les échanges d'informations et les transactions dématérialisées. Et il ne faudrait pas croire que cette guerre ne concerne que les États-Unis, la Russie ou la Chine : les nations dites moyennes, font aussi partie du jeu. Sous-estimer la réalité stratégique des enjeux ou balayer les conséquences sous couvert de restrictions budgétaires n'est plus de l'ordre de la légèreté ou de l'inconscience : c'est celui de l'irresponsabilité** politique, économique et technologique.

* Pour les non-anglophones, la traduction Google devrait suffire.  
** Le lecteur, dans sa bienveillance, reconnaîtra que si je me montre offensif sur ce sujet (une fois encore), veillera également à noter la constance de mes propos en cohérence avec le titre de ce blog :) Si tu veux la paix... 

2011, Stuxnet, Internet détourné : business...as usual !

Il n'est pas inutile de rappeler combien la cyber période qui s'ouvre est et sera également une source de profits (très) importants pour certains acteurs de la sécurité. C'est la réflexion que je me suis faite, sourire en coin, à la lecture de cet article d'Infosecurity Magazine.

En étant attentif, on pourrait presque confondre cet article avec un "bon vieux" publi-reportage qui utilise certains ressorts propres aux hoaxes : intervenant apparemment sérieux, crédibilité de ses assertions, légitimité par l'utilisation de figures respectables, bref, de la pub à moindre coût et à fort retour sur investissement avec en filigrane la peur, le sentiment généralement irrationnel le plus vendeur et quelques volailles éventrées pour y lire dans les entrailles !

Alors décryptons ensemble cet article : ça commence fort par l'évocation de Stuxnet et du détournement d'internet en avril 2010 par la Chine (lire mes billets précédents sur tous ces sujets) qui annonce la tendance 2011 : détournement du trafic internet et attaques sophistiquées. Jusque là, pourquoi pas, même si le propos est loin d'être révolutionnaire.

Ensuite, ces assertions ne viennent pas de n'importe qui puisque l'on nous dit que c'est Rodney Joffe, senior VP (Vice President) et technologiste (tiens, au passage, j'apprends qu'il existe ce nouveau métier ! :) de la société...mais j'y reviendrai à la fin de ce billet.

Saupoudrage de mots clés comme Wikileaks et évocation du cyber conflit de 2007 entre la Russie et l'Estonie (! - Pour info, je rappelle que les attaques ont eu lieu à partir du territoire estonien, ceci n'enlevant rien aux possibles imbrications du côté russe) et l'on rentre dans le vif du sujet : les cibles et les indices.

Les cibles seraient avant tout les systèmes financiers, en particulier les distributeurs d'argent. Au-delà des grandes entreprises, les entreprises de taille moyenne seraient aussi visées à travers leurs infrastructures physiques : climatisation, chauffage, ascenseur. Bref, un joyeux bordel qui ferait presque passer Die Hard 4 pour une bluette !

J'en arrête là dans l'ironie car je ne sais pas si ce monsieur Joffe est le fils caché de Madame Soleil et d'Elisabeth Teissier mais je sais au moins que sa société possède les compétences et les ressources pour répondre aux problématiques sus-citées. Et lui-même est connu comme un loup blanc de la communication et du marketing intrusif : CQFD ! :)

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...

Cyber intentions au sommet de l'OTAN à Lisbonne

Le prochain sommet de l’OTAN aura lieu à Lisbonne les 19 et 20 novembre et accueillera un invité de marque : la Russie. Certains spécialistes se font l’écho depuis des années des avantages voire de l’expression naturelle qu’il y aurait d’intégrer la Russie à l’OTAN. Géographiquement et historiquement cette hypothèse est pleine de bon sens tandis que du point de vue politique et culturel, des réserves se font jour.

Mon propos du jour est cependant tout autre puisque ce sommet essaiera, parmi les autres thèmes, d’unifier à travers un accord le besoin de coordonner la lutte dans le cyberespace. 

C'est en tout cas ce que laisse entrevoir William Lynn dans l'interview plus qu'intéressante donnée à Foreign Affairs.

Là où le bât blesse gravement, c’est que bien peu de choses empêcheraient qu'un tel accord soit conclu mais qu’en serait-t-il des moyens traduisant ces bonnes intentions ? On peut maintenant parfaitement mesurer le chemin parcouru ces dernières années par le sponsor principal de l’Alliance, les Etats-Unis : celui-ci s’est doté d’un commandement militaire unifié, s'appuie déjà depuis des années sur le DHS pour la collaboration inter-agences, a élaboré une doctrine d'emploi (si ce n’est plusieurs) et abonde un budget qui, s’il n’est pas encore monstrueux, est tout à fait respectable. 

De deux choses l’une : soit l’on risque d'assister à une dépendance complète de l’Europe vis-à-vis des moyens technologiques et financiers, sans compter la possible (dés)information quant aux cybermenaces et à leurs propriétaires avérés, désignés ou supposés. Autre hypothèse, il est encore possible de construire une force autonome, adossée à une hypothétique défense européenne, force qui travaillerait en coopération avec les américains (et pourquoi pas les russes ?) tout en conservant le regard critique et en développant ses moyens techniques et surtout en conservant une autonomie de décision ?

Il va sans dire que les restrictions budgétaires actuelles, particulièrement les budgets de la défense au niveau de l'UE, et le silence assourdissant de l'hôtel de Brienne ou du Quai d'Orsay ne semblent pas plaider pas pour une telle hypothèse !

Edit : Wired évoque ce jour-même l'existence d'un rapport fédéral (draft = avant-projet, brouillon) qui annoncerait une diminution importante des cyber attaques contre le département de la Défense U.S. Il s'agirait de la première année de la décennie où les "incidents liés à la de la cyber-activité malveillante" seraient en baisse. Paradoxe apparent à l'heure où la mobilisation se déchaîne depuis plusieurs mois. Je retiens l'hypothèse  évoquée en conclusion de l'article d'attaques moins nombreuses mais potentiellement plus sophistiquées et ciblées.