Notamment en téléchargeant une partie du code source d’Azure, Exchange et Intune
À la suite du piratage inédit qui a frappé SolarWinds en 2020, et révélé mi-décembre, les organisations des secteurs public et privé continuent les investigations pour connaître l’ampleur des dégâts et colmater les brèches. Microsoft, qui avait précédemment annoncé que les cyberattaquants avaient bien sûr réussi à consulter des parties de son code source, mais sans les avoir modifiés, a déclaré jeudi que ces derniers ont néanmoins étudié son code source pour l’authentification et le courrier électronique en les téléchargeant. Cela concerne notamment des produits Azure relatifs à la sécurité, Microsoft Exchange, Microsoft Intune.
Microsoft dit avoir terminé son analyse et n’a pas constaté d’incidents majeurs
Après que l’existence d’une brèche dans le logiciel de SolarWinds, qui a permis aux pirates d’attaquer toute la chaîne d’approvisionnement ciblant les clients de l’entreprise, a été signalée en décembre dernier, Microsoft a rapidement procédé à des enquêtes internes sur leur utilisation de la plateforme SolarWinds. L’entreprise a ensuite annoncé qu’il a été touché par l’attaque et que les pirates ont pu accéder à un nombre limité de dépôts de code source, mais qu’ils n’avaient pas pris l’initiative de modifier les dépôts concernés. Jeudi, Microsoft a déclaré avoir terminé son analyse de l’incident et a publié son dernier rapport.
L’équipe de sécurité de Microsoft a déclaré dans le rapport qu’elle n’a trouvé aucune preuve que des pirates aient abusé de ses systèmes internes ou de ses produits officiels afin de pivoter et attaquer les utilisateurs finaux et les clients professionnels. En outre, le géant de Redmond a ajouté que les pirates avaient étudié certaines parties des instructions du code source qu’ils ont pu consulter, notamment en les téléchargeant. « Il n’y a eu aucun cas où tous les référentiels liés à un seul produit ou service ont été consultés. Il n’y avait pas d’accès à la grande majorité du code source », a déclaré l’équipe.
« Pour presque tous les référentiels de code consultés, seuls quelques fichiers individuels ont été visualisés à la suite d’une recherche dans le référentiel ». Microsoft a expliqué que les cybercriminels ont accédé à quelques parties du code source de ses programmes Azure liés à l’identité et à la sécurité, du serveur de messagerie Exchange et d’Intune, son service cloud de gestion des appareils mobiles (MDM) et de gestion des applications mobiles (MAM). Selon la société, une partie du code a été téléchargée, ce qui aurait permis aux pirates informatiques d’avoir encore plus de liberté pour rechercher des failles de sécurité.
Ils pourraient ainsi créer des copies avec de nouvelles failles ou examiner la logique pour trouver des moyens d’exploiter les installations des clients. En effet, à travers la faille, qui a été initialement découverte par le fournisseur de sécurité FireEye Inc, les attaquants ont utilisé des compétences avancées pour insérer des logiciels d’espionnage dans des programmes de gestion de réseau largement utilisés. Parmi les milliers de clients de SolarWinds qui ont été exposés l’année dernière (plus de 18 000 clients utilisent les logiciels de SolarWinds) les pirates ont ajouté de nouvelles identités Azure.
Ils ont en outre ajouté des droits à des identités existantes ou manipulé les programmes Microsoft, principalement pour voler les courriels. Des rapports ont révélé que certains pirates ont également utilisé de telles méthodes sur des cibles qui n’utilisaient pas SolarWinds. Microsoft a précédemment reconnu que certains de ses revendeurs, qui ont souvent un accès continu aux systèmes des clients, avaient été utilisés dans les piratages. L’entreprise réfute toutefois l’affirmation selon laquelle des failles dans tout ce qu’elle fournit directement ont été utilisées comme vecteur d’attaque initial.
La Maison Blanche enquête toujours et des réponses devraient arriver bientôt
Les autorités américaines ont déclaré mercredi que les violations révélées en décembre s’étaient étendues à neuf agences fédérales et à 100 entreprises privées, dont de grands fournisseurs de technologies et des sociétés de sécurité. « À ce jour, 9 agences fédérales et au moins 100 entreprises du secteur privé ont été compromises », a déclaré Anne Neuberger, la conseillère adjointe à la sécurité nationale pour les cybertechnologies et les technologies émergentes, lors d’un point de presse mercredi, bien qu’elle se soit opposée à l’idée de nommer les organisations concernées de façon spécifique.
« Comme vous le savez, environ 18 000 entités ont téléchargé la mise à jour malveillante. L’ampleur de l’accès potentiel a donc largement dépassé le nombre de compromissions connues. Plusieurs compromissions du secteur privé sont des entreprises technologiques, y compris des réseaux d’entreprises dont les produits pourraient être utilisés pour lancer des intrusions supplémentaires », a-t-elle ajouté. Selon les autorités américaines, le gouvernement russe est probablement à l’origine de cette frénésie, ce que Moscou a nié.
Cela dit, si ces dernières estiment que le piratage est “probablement d’origine russe”, Neuberger a déclaré mercredi que les pirates ont lancé leur attaque depuis l’intérieur des États-Unis. Les remarques de Neuberger surviennent alors que les législateurs et les analystes politiques américains se demandent qui, au sein de l’administration Biden, dirige la réponse du gouvernement au piratage. En effet, au regard de la portée de l’attaque, la société civile américaine est impatiente et attend des réponses plus précises de la part du gouvernement.
Les analystes notent que, depuis l’investiture du 20 janvier dernier, des rôles clés restent à pourvoir au sein de l’administration Biden, dont le directeur de l’Agence de la cybersécurité et de la sécurité des infrastructures du ministère de la Sécurité intérieure. De même, le siège du directeur national de la cybernétique, un poste nouvellement créé par le Congrès le mois dernier, est également vacant. Cependant, en s’adressant aux journalistes mercredi, Neuberger a toutefois refusé de donner un délai pour la réponse de l’administration à ce piratage.
« En raison de la sophistication des techniques qui ont été utilisées, nous pensons que nous sommes au début de la compréhension de la portée et de l’échelle, et nous pourrions trouver d’autres compromis », a déclaré Neuberger face aux journalistes, en compagnie de l’attaché de presse de la Maison Blanche Jen Psaki. « Ce que l’on sait déjà sur l’étendue et l’échelle de l’espionnage, cependant, fait de la campagne russe “plus qu’un cas isolé d’espionnage », a-t-elle ajouté. Le mois dernier, Jen Psaki a déclaré que « l’administration se réservera le droit de répondre à tout moment et de la manière de notre choix à toute cyberattaque ».
D’après les analystes, l’allocution de Neuberger a mis en évidence la manière dont l’administration Biden tente toujours de contourner ce piratage dévastateur par les armes. Elle a déclaré qu’elle a eu de fréquentes discussions avec les législateurs sur la question, et a promis une action exécutive prochaine pour combler les lacunes en matière de sécurité que l’enquête a révélées jusqu’à présent. Neuberger a déclaré que l’action exécutive pourrait inclure au moins huit dispositions, sans toutefois donner trop de détails.
source : developpez
