Des pirates informatiques franchissent les pare-feux fédéraux américains

Selon un haut fonctionnaire fédéral, des pirates informatiques ont contourné les défenses en compromettant des dispositifs de pare-feu à l'intérieur du gouvernement fédéral.

Jeudi, l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a envoyé une directive urgente, ordonnant aux agences de sécuriser les dispositifs de pare-feu Cisco et de rechercher tout signe de compromission.

Chris Butera, directeur exécutif adjoint par intérim de la division cybersécurité de la CISA, a même demandé à d'autres organismes gouvernementaux et entreprises privées de prendre des précautions similaires, notant que la menace est généralisée.

Selon un responsable américain, environ 10 organisations dans le monde ont été piratées, bien que ce nombre puisse augmenter. Le responsable a déclaré qu'il restait « beaucoup d'inconnues » concernant cette campagne. Un autre responsable américain a qualifié la campagne de « très sophistiquée » et a noté que le malware des pirates était hautement complexe.

« La CISA est profondément préoccupée par cette activité », a déclaré le deuxième responsable. « Si les agences ne s'y mettent pas immédiatement, cela pourrait être mauvais pour elles ».

Cisco qualifie les méthodes des attaquants de complexes et sophistiquées

Le groupe, que Cisco appelle ArcaneDoor, mène apparemment des opérations d'espionnage depuis l'année dernière. Selon la CISA, leur attaques pourrait nuire aux infrastructures critiques aux États-Unis. Néanmoins, Washington se prépare à quelques jours chargés alors que les équipes s'efforcent de détecter les pirates et de sécuriser les dispositifs vulnérables avant que des dommages supplémentaires ne surviennent. Les agences doivent mettre à jour et soumettre des rapports d'ici vendredi.

Cisco a déclaré aux journalistes qu'il avait collaboré avec plusieurs agences en mai pour enquêter sur les piratages et a ensuite découvert trois vulnérabilités supplémentaires exploitées par les attaquants. Il a déclaré que les pirates avaient utilisé ces failles pour installer des logiciels malveillants, exécuter des commandes et potentiellement voler des données. L'entreprise a également conseillé aux clients de patcher leurs systèmes immédiatement. Le gouvernement britannique a également émis sa propre avertissement jeudi, décrivant le malware des pirates comme une « avancée majeure » par rapport à leurs outils précédents.

Selon l'analyse de Cisco, les pirates ont exploité plusieurs vulnérabilités zero-day et utilisé des tactiques furtives comme la désactivation de la journalisation, le détournement de commandes et le crash des dispositifs pour éviter la détection. L'entreprise décrit même ces tactiques comme complexes et sophistiquées. Les dispositifs compromis comprenaient certains modèles de la série ASA 5500-X de Cisco, qui servent de pare-feu pour protéger les réseaux d'entreprise contre les attaques. 

Les analystes croient qu'un groupe lié à la Chine était impliqué dans l'attaque

Jusqu'à présent, les autorités n'ont nommé aucun suspect pour l'attaque, mais les chercheurs croient que les pirates sont liés à Chine et ciblent les vulnérabilités de Cisco depuis une période prolongée. Butera a affirmé que leur directive aidera à cartographier l'étendue complète de la compromission affectant les réseaux fédéraux.

L'unité 42 de Palo Alto Networks a également déclaré à CNN qu'elle pense que la campagne est liée à la Chine et a noté que d'autres groupes pourraient bientôt cibler les mêmes faiblesses une fois que les vulnérabilités et les correctifs sont publics. Sam Rubin, vice-président senior chez Unit 42, a insisté : « Comme nous l'avons vu auparavant, maintenant que les correctifs sont disponibles, nous pouvons nous attendre à ce que les attaques s'intensifient à mesure que les groupes de cybercriminels comprennent rapidement comment exploiter ces vulnérabilités. » Palo Alto surveille les pirates dans le monde entier et, selon eux, le groupe a changé de tactiques et s'oriente davantage vers des entités américaines. 

Cette divulgation intervient quelques jours après que Mandiant, filiale de Google, a annoncé qu'un groupe distinct de pirates informatiques chinois présumés s'était infiltré chez des développeurs de logiciels et des cabinets d'avocats américains dans le cadre d'une campagne d'espionnage liée au différend commercial entre les États-Unis et la Chine. L'entreprise a indiqué que la résolution complète du problème pourrait prendre plusieurs mois.