Microsoft a déclaré, il y a deux semaines, avoir détecté une mise à jour d’un logiciel de SolarWinds comportant une porte dérobée sur son réseau, mais un porte-parole a aussi dit que la société n’a trouvé aucune preuve d’accès à ces services de production ou aux données des clients. Reuters avait rapporté précédemment que les propres produits de Microsoft avaient été utilisés comme effet de levier dans l’attaque attribuée aux pirates informatiques russes. Jeudi dernier, Microsoft a maintenant déclaré que les cybercriminels à l’origine d’une brèche de sécurité massive contre le gouvernement américain ont également consulté une partie du code source de la société.
Microsoft avait précédemment reconnu avoir utilisé le logiciel de gestion de réseau de SolarWinds Orion, qui a donné aux attaquants une fenêtre potentielle sur des milliers d’organisations des secteurs public et privé. Un correctif logiciel a été utilisé par les cyberespions qui seraient liés à la Russie comme une porte dérobée potentielle dans les systèmes des victimes. Un porte-parole de Microsoft avait démenti l’essentiel d’un rapport de Reuters selon lequel ces cybercriminels avaient réussi à compromettre les réseaux du géant américain de logiciels.
L’Agence de sécurité nationale américaine a aussi publié en décembre un avis de cybersécurité détaillant comment certains services Cloud de Microsoft Azure ont pu être compromis par des pirates et enjoignant les utilisateurs à verrouiller leurs systèmes. Plusieurs agences fédérales américaines, y compris l’administration nationale de la sécurité nucléaire (NNSA) et le Département de l’Énergie (DOE), ainsi que des sociétés privées ont été piratées au cours de ce que les experts ont qualifié d’une campagne d’attaque sophistiquée.
« Comme d’autres clients de SolarWinds, nous avons recherché activement des indicateurs de cet acteur et pouvons confirmer que nous avons détecté des binaires SolarWinds malveillants dans notre environnement, que nous avons isolés et supprimés. Nous n’avons trouvé aucune preuve d’accès aux services de production ou aux données des clients. Nos enquêtes, qui sont en cours, n’ont trouvé absolument aucune indication que nos systèmes ont été utilisés pour attaquer d’autres personnes », avait-il déclaré.
La divulgation de jeudi est la première fois que Microsoft a confirmé que les attaquants ont exploité la porte dérobée et profité de leur accès aux systèmes du géant de la technologie. Selon un billet de blog, Microsoft dit que les pirates informatiques ont consulté le code source de la société, le plan architectural d’un logiciel propriétaire potentiellement précieux. Microsoft, cependant, n’a pas spécifié le type de code source auquel les attaquants ont eu accès. Les intrus ont compromis le compte d’un employé par lequel ils ont consulté le code, a déclaré la société.
« Notre enquête a cependant révélé des tentatives d’activités allant au-delà de la simple présence de code SolarWinds malveillant dans notre environnement ». « Nous avons détecté une activité inhabituelle sur un petit nombre de comptes internes et après examen, nous avons découvert qu’un compte avait été utilisé pour consulter le code source dans plusieurs dépôts de code source », a déclaré la société dans son article de blog.
Les responsables du gouvernement américain ont déclaré en décembre que le simple téléchargement de la mise à jour de logiciel de SolarWinds ne constitue pas un piratage, mais il ne fait aucun doute que l’accès au code source en constitue un. Et ces derniers développements placent Microsoft, l’une des plus grandes entreprises de logiciels et de Cloud Computing au monde, parmi les victimes de l’une des campagnes de cyberespionnage les plus médiatisées de ces dernières années. La divulgation de Microsoft suggère également que l’espionnage d’entreprise pourrait avoir été un motif aussi bien qu’une chasse aux secrets gouvernementaux.
Le secrétaire d’État Mike Pompeo a publiquement accusé les Russes d’être les auteurs de cette campagne massive de cyberespionnage. Le président Trump a, quant à lui, cherché à détourner les soupçons contre la Russie, suggérant sans fondement que la Chine pourrait être le coupable. Il a même supposé que la cyberattaque aurait touché le système de vote en novembre. Des experts et d’autres officiels américains pensent également que le service de renseignement étranger de Moscou est derrière l’opération.
Les pirates informatiques n’ont pas modifié le code source, selon Microsoft
Le code source – l’ensemble des instructions sous-jacentes qui font fonctionner un logiciel ou un système d’exploitation – fait généralement partie des secrets les mieux gardés d’une entreprise technologique et Microsoft a toujours été particulièrement prudent pour le protéger. Plusieurs dépôts de code de Microsoft ont pourtant été consultés lors de l’attaque. Mais la société a déclaré que les pirates n’avaient pas l’autorisation de modifier le code ou les systèmes d’ingénierie.
« Le compte n’avait pas l’autorisation de modifier le code ou les systèmes techniques et notre enquête a confirmé qu’aucune modification n’avait été effectuée. Ces comptes ont fait l’objet d’une enquête et de mesures correctives », lit-on dans le billet. « Cette activité n’a pas mis en danger la sécurité de nos services ou des données de nos clients, mais nous voulons être transparents et partager ce que nous apprenons en luttant contre ce que nous pensons être un acteur très sophistiqué de l’État-nation ».
Bien que l’entreprise souligne que l’intrusion n’a pas mis en danger la sécurité de ses services ou des données de ses clients, certains experts affirment que l’accès au code source – ne serait-ce qu’à des fins de visualisation – pourrait potentiellement permettre aux pirates de mener des actes malveillants.
« Les intrus peuvent rechercher dans le code source des failles logicielles qu’ils pourraient exploiter, ajoutant ainsi de nouvelles armes à leur arsenal de cyberguerre », a déclaré Mike Chapple, professeur d’informatique à l’Université de Notre Dame et ancien informaticien de l’Agence nationale de sécurité.
« Avoir accès au code source donne aux pirates informatiques le plan de la création du logiciel et facilite la tâche. L’accès au code source donne aux pirates informatiques le schéma directeur de la création du logiciel et leur permet de découvrir plus facilement de nouvelles vulnérabilités », a déclaré Chapple, qui a quitté la NSA en 2001. « Les pirates peuvent toujours essayer de faire de l’ingénierie inverse sur les vulnérabilités des logiciels, mais le fait d’avoir le code source leur donne un raccourci », a-t-il déclaré.
Malgré l’accès au code source, « L’enquête, qui est en cours, n’a également trouvé aucune indication que nos systèmes ont été utilisés pour attaquer d’autres personnes », a déclaré la société.
Cependant, Mike Chapple a déclaré que les attaquants étaient probablement à la recherche de failles de sécurité potentielles dans les produits Microsoft qu’ils pourraient exploiter pour accéder aux utilisateurs de ces produits. « Les professionnels de la cybersécurité doivent maintenant s’inquiéter du fait que ces informations tombant entre de mauvaises mains pourraient créer la prochaine vulnérabilité de niveau SolarWinds dans un produit Microsoft », a-t-il déclaré.
Toutefois, Microsoft a déclaré que ses pratiques de sécurité commencent par supposer de manière préventive que les pirates ont déjà accès au code source de l’entreprise, et protège ses services en conséquence. « Nous ne nous appuyons pas sur le secret du code source pour la sécurité des produits, et nos modèles de menace supposent que les attaquants ont connaissance du code source », a déclaré la société. « Donc, la consultation du code source n’est pas liée à l’élévation du risque ».
Au début de ce mois, le président de Microsoft, Brad Smith, a déclaré que l’attaque était un « moment de réflexion » et a mis en garde contre le danger qu’elle représentait. « Il ne s’agit pas d’espionnage comme d’habitude », a déclaré Smith. « En effet, il ne s’agit pas seulement d’une attaque contre des cibles spécifiques, mais contre la confiance et la fiabilité des infrastructures critiques du monde afin de faire progresser l’agence de renseignement d’une nation ».
La modification du code source – que les pirates n’ont pas pu faire, selon Microsoft – pourrait avoir des conséquences potentiellement désastreuses étant donné l’omniprésence des produits Microsoft, qui comprennent la suite bureautique Office et le système d’exploitation Windows. Andrew Fife de Cycode, une société israélienne de protection du code source, a dit dans une déclaration : « Le code source est le plan architectural de la façon dont le logiciel est construit ». « Si vous avez le plan, il est beaucoup plus facile de concevoir des attaques ».
Reuters a rapporté il y a moins de deux semaines que des revendeurs autorisés par Microsoft ont été piratés et que leur accès à des programmes de productivité à l’intérieur des cibles a été utilisé pour tenter de lire des courriels. Microsoft a reconnu que l’accès de certains fournisseurs a été mal utilisé, mais n’a pas dit combien de revendeurs ou de clients ont pu être piratés, d’après Reuters. Par ailleurs, Reuters a rapporté le jeudi, en citant des sources bien informées, que Microsoft savait depuis des jours que ses dépôts de code source avaient été consultés, avant de l’annoncer jeudi.
Ronen Slavin, directeur de la technologie de Cycode, a déclaré, selon Reuters, qu’une question clé sans réponse était de savoir quels dépôts de code source étaient accessibles. Microsoft propose une vaste gamme de produits, allant de Windows, largement utilisé, à des logiciels moins connus tels que l’application de réseau social Yammer et l’application de design Sway.
Slavin s’est dit inquiet de la possibilité que les hackers de SolarWinds se penchent sur le code source de Microsoft en prélude à une offensive beaucoup plus ambitieuse. « Pour moi, la plus grande question est de savoir si cette reconnaissance était destinée à la prochaine grande opération », a-t-il déclaré.
Selon des sources du gouvernement américain et du secteur privé, le nombre total de victimes – d’agences et d’entreprises ayant vu des données volées – devrait se compter tout au plus par centaines, et non par milliers comme beaucoup le craignaient auparavant. Pour l’heure, Microsoft et le gouvernement américain poursuivent leurs enquêtes sur les brèches, une tâche qui devrait prendre des mois.
source : developpez
