DHS + Siemens = TakeDownCon - SCADA

C'est de nouveau grâce à Twitter qui, une fois encore prouve sa pertinence comme outil pointu de veille, que l'on a appris l'annulation d'une présentation lors des sessions Security TakeDownCon à Dallas. Il faut d'abord remercier Jason E. Street avant de se pencher sur le pourquoi du comment.
 

Deux chercheurs en sécurité, l'un semi-indépendant Dillon Beresford (déjà relayé sur ce blog), l'autre Brian Meixell travaillant pour NSS Labs devaient présenter mais surtout faire une démonstration physique aujourd'hui autour du thème "Réactions en chaîne - Hacking SCADA". L'idée semblait être de démontrer comment des attaquants motivés (et non-étatiques) pourraient pénétrer tout système industriel même le plus protégé du monde ! Et comment il serait possible d'écrire le code malveillant sans avoir accès physiquement à la cible. En clair, reprendre les principes ayant conduit à la création de Stuxnet et, a priori, sa réussite opérationnelle.
 

Mais une discussion, quelques heures avant la présentation, avec des représentants de l'ICS-CERT...du DHS (qui a préalablement discuté avec Siemens) semble avoir convaincu les deux chercheurs qu'il était dans "l'intérêt national" de ne pas se produire devant les plus de 300 participants. Les choses ne sont pas exactement dites comme cela mais il faut ainsi comprendre l'exercice "langue de bois" qui s'en est suivi. A lire ici pour quelques précisions supplémentaires et les commentaires, passablement remontés.

On notera simplement qu'il ne peut y avoir de coïncidence entre les mesures annoncées cette semaine par l'administration Obama sur la cybersécurité et cet événement, confiné au petit monde de la sécurité et de ses chercheurs. Le fait que la cybersécurité soit officiellement devenue un enjeu de sécurité nationale trouve ici sa première concrétisation. Il y en aura d'autres...

Incident à la centrale nucléaire d'Heysham 1 (2/2)

L'incident s'est produit le jour ou EDF a cédé le marché de la distribution d'énergie (presque 8 millions de clients à Londres, dans l'est et le sud-est de l'Angleterre) au groupe Cheung Kong basé à Hong Kong. Si l'on se penche quelques instants sur cette entreprise (rapport annuel 2009 de CK - Holdings - Ltd) on a la composition page 142 des principaux actionnaires du conglomérat : 

- Bank of China  
- Hang Seng Bank (Chine)

- Industrial and Commercial Bank of China  
- China Merchants Bank
- Bank of Communications Co., Ltd (Chine)

On relativisera néanmoins avec la présence britannique (HSBC), canadienne (CIBC) et française (BNP).

En page 26 se trouvent les biographies des responsables clefs visibles :

- Ka-Shing LI est le président fondateur du Groupe, d'origine et de nationalité chinoise, détenteur des principaux avoirs de Hutchison Wampoa (entité du conglomérat dans laquelle on trouve en particulier la branche s'occupant de génération énergétique, distribution, infrastructures, etc.).

- Victor (Tzar-Kuoi) LI, fils de son père président, est le managing director. Origine chinoise, nationalisé canadien.

- Le staff est à 100% d'origine chinoise, je ne saurai en dire autant des nationalité en cours. 

Au passage, on remarquera les fonctions de :

- Davy (Sun Keung) CHUNG, executive director depuis 1993 (pas mal pour un simple architecte !), membre du PC chinois (la section exacte du Parti est indiquée).

- Siu Hon LEUNG, non executive Director, est représentant à la Haute Court de la région administrative spéciale de Hong Kong et officier officiel du Parti.

- Comme on fait ça en famille, on retrouve son cousin Roland (Kun Chee) CHOW, également représentant de l'administration chinoise de Hong Kong. 
- Katherine (Siu Lin) HUNG, Audit du Groupe, pointe au PC chinois (section précise encore une fois indiquée).

- pareil pour Rosanna (…) WONG.

Au sujet de la centrale de Heysham constituée de deux usines (0,76TWh et 8,32Twh) à deux blocs réacteurs (soit 4 réacteurs), on s'étonnera peu de savoir que le site doit être rénové prochainement (arrêt de Heysham 1 en 2013 ou 2014) pour accueillir une nouvelle infrastructure plus puissante et plus moderne (d'où les mouvements velociraptoresques Areva / Rosatom (russe) avec les chinois en embuscade… qui eux ont déjà remporté un gros point avec la reprise du site à EDF.

Les mouvements de ces derniers jours pour la gestion de la production et de la distribution de l'énergie au Royaume-Uni illustrent parfaitement la partie d'échec qui se déroule en Europe. Partie à plusieurs niveaux et entre plusieurs acteurs : Siemens et Areva frontalement pour prendre le leadership au niveau continental et se positionner en éventuel numéro 1 mondial, EDF et Rosatom en embuscade avec des entreprises chinoises disposant de capitaux très importants.

Que l'arrêt d'Heysham 1 se soit produit le jour de son rachat est une coïncidence intrigante qui ne doit pas faire oublier que, parfois ou souvent, les coïncidences ne sont que ce à quoi elles ressemblent. On peut néanmoins affirmer, sans jugement de valeur aucun, que l'approvisionnement énergétique de la zone urbaine londonienne n'est plus sous contrôle national ni même européen mais dorénavant chinois. Affaire à suivre.

Incident à la centrale nucléaire d'Heysham 1 (1/2)

Le dimanche 31 octobre 2010, la tranche 1 de la centrale nucléaire d'Heysham a été mise hors de service suite à une "interruption imprévue". Opérée par British Energy, détenue pour partie par EDF Energy PLC la filiale britannique d'EDF, il n'aura pas fallu longtemps pour que certains spéculateurs s'interrogent sur un rapport éventuel : systèmes de contrôles Siemens + Stuxnet = clash ? 

En tout cas le blog The Firewall de Jeffrey Carr sur le site de Forbes, expert qui a gagné en audience par ses interventions antérieures sur Stuxnet, n'aura pas mis longtemps à franchir le Rubicon. Dès le lendemain, on pouvait trouver son article spéculant sur un lien possible entre l'interruption d'Heysham 1 et le code sophistiqué et malveillant, tube de l'été et de l'automne.

Je n'apporterai aucun commentaire spéculant dans un sens ou dans l'autre, me bornant à livrer les faits, dont le démenti de l'un(e) des porte-paroles de la compagnie en date également du 1er novembre.

Au-delà d'une affaire qui, somme toute, n'a probablement pas d'origine malveillante, il faut noter ce que dit Jeffrey Carr. Et ce qu'il n'ose pas non plus dire. La suite est dans la partie 2 de ce billet...

Stuxnet change de rive ?

Kali

Chaque semaine, Stuxnet nous apporte son lot de surprises, d'informations et de...désinformation. Il est certain qu'à force de patience, d'erreurs et de tâtonnements, la vérité poindra, jamais complètement mais en tout cas suffisamment pour bâtir deux ou trois scenarii probables.

J'évoquais l'Inde dans mon dernier billet, un peu à contre-courant, et il semble effectivement que le sous-continent soit la première victime du ver. Dès le 29 septembre 2010, c'est Jeffrey Carr qui évoquait une relation possible entre le code ciblant et agressif et les étranges difficultés du satellite indien de recherche INSAT-4B. Son article, assez remarquable, se trouve ici sur le site Forbes. Pour résumer l'intuition de J. Carr, l'ISRO (Organisme spatial indien) utilise des machines Siemens de type S7-400 PLC et SIMATIC WinCC. Il compte d'ailleurs donner davantage d'éléments sur les cibles potentiellement compromises à travers un modèle analytique qui sera présenté lors du Black Hat à Abu Dhabi.

La direction de l'ISRO a depuis démenti la possession de systèmes Siemens mais il semblerait que certains cadres aient contredit l'affirmation, sous couvert évidemment.

Bref, Stuxnet n'a pas fini de faire couler de l'encre et, potentiellement, de créer des perturbations supplémentaires. La seule certitude que nous ayons pour le moment concerne les statistiques de contamination tenues par Kaspersky : Le nombre d’infections en Inde dans les 5 premiers jours atteint les 8500 cas, contre environ 5000 en Indonésie et un peu plus de 3000 en Iran. Le recensement de fin septembre montre que l’infection est toujours importante en Inde avec plus de 8000 cas contre 3000 en Indonésie et 1300 au Kazahkstan, alors que le nombre de cas en Iran chute à moins de 800. 

Stuxnet préfèrerait-il les rives du Gange à celles du Chatt-el-Arab ? Tant qu'a rajouter une hypothèse supplémentaire, pourquoi diable Siemens ne serait-il pas également la cible ? Mais c'est là s'embarquer sur des hypothèses de guerre économique délicates et non étayées. Surtout qu'il s'agit aussi de garder en tête la perspective (autrement dit pourquoi maintenant et de manière aussi coordonnée ?) l'offensive médiatique et généralisée qui a commencé avant l'été. Celle-ci insiste régulièrement sur les risques de cyber-attaques (US, OTAN, GB ces jours-ci). Dans ce cas, nous assistons à une partie à plusieurs étages et aux multiples acteurs.

Edit : ne faisant preuve d'aucune originalité et devant bien rendre à César ce qui lui appartient, Pierre Caron dans ZDNet pousse encore un peu plus loin ma dernière assertion.