Microsoft enquête sur une fuite d'exploitation de SharePoint liée à des pirates informatiques chinois

Microsoft enquête sur une éventuelle fuite provenant de son Microsoft Active Protections Program (MAPP) – un système d'alerte précoce pour les partenaires en cybersécurité – qui aurait permis aux pirates informatiques chinois d'exploiter des vulnérabilités non corrigées dans son logiciel de serveur SharePoint.

Le dernier correctif de l'entreprise technologique n'a pas parfaitement résolu une faille critique, exposant les systèmes du géant de la technologie à une campagne sophistiquée d'espionnage cybernétique mondial.

Dans un article de blog publié mardi, Microsoft a déclaré que l'exploitation est menée par deux groupes affiliés à l'État chinois, Linen Typhoon et Violet Typhoon, ainsi que par un troisième groupe, également soupçonné d'être basé en Chine.

Microsoft enquête sur une fuite suspectée provenant d'un programme de partenaires en cybersécurité

L'entreprise enquête désormais sur la possibilité que des détails de son programme MAPP – partagés avec les partenaires avant les publications publiques des correctifs – aient été divulgués, accélérant ainsi la propagation de ces attaques.

Microsoft a confirmé qu'elle « évalue continuellement l'efficacité et la sécurité de tous nos programmes de partenaires et apporte les améliorations nécessaires si besoin. »

Le Vulnérabilité SharePoint a été révélée pour la première fois en mai, lorsque le chercheur vietnamien en sécurité Dinh Ho Anh Khoa l'a démontrée lors de la conférence de cybersécurité Pwn2Own à Berlin, organisée par le Zero Day Initiative de Trend Micro. Khoa a reçu une récompense de 100 000 $, et Microsoft a publié un correctif initial en juillet.

Cependant, Dustin Childs, responsable de la sensibilisation aux menaces chez Trend Micro, a déclaré que les partenaires du programme MAPP avaient été informés de la vulnérabilité lors de trois vagues successives : le 24 juin, le 3 juillet et le 7 juillet. Par coïncidence, Microsoft a noté que les premières tentatives d'exploitation ont commencé le 7 juillet.

Childs a suggéré que le scénario le plus probable est que « quelqu'un du programme MAPP a utilisé ces informations pour créer les exploits ». Bien qu'il n'ait nommé aucun fournisseur, il a noté que les tentatives d'exploitation provenaient principalement de Chine, ce qui rend « raisonnable de spéculer » que la fuite provenait d'une entreprise de cette région.

Des hackers soutenus par l'État chinois exploitent une vulnérabilité non corrigée de SharePoint

Ce n'est pas la première fois que Microsoft fait face à ce type de fuite liée au MAPP. Il y a dix ans, l'entreprise avait résilié la société Hangzhou DPTech Technologies Co., Ltd., basée en Chine, pour violation de son accord de non-divulgation. Microsoft a admis à l'époque qu'il existait des risques et qu'elle comprenait que des données vulnérables pourraient être abusées.

Le programme MAPP, lancé en 2008, avait pour objectif de fournir aux fournisseurs de sécurité un préavis sur les détails techniques des vulnérabilités — et, occasionnellement, des exemples de code de preuve de concept — afin qu'ils puissent mieux protéger leurs clients. Une fuite de ce type irait directement à l'encontre de la mission du programme : autonomiser les défenseurs, et non les attaquants.

Microsoft n'a pas divulgué s'il avait identifié la source de la fuite, mais a souligné que toute violation de l'accord de non-divulgation serait prise au sérieux.

Les fuites passées resurgissent alors que Microsoft reconsidère l'intégrité du programme MAPP

En 2021, Microsoft soupçonnait au moins deux autres partenaires chinois du MAPP d'avoir divulgué des informations sur des vulnérabilités de ses serveurs Exchange. Cela a conduit à une campagne de piratage mondiale que Microsoft a attribuée à un groupe d'espionnage chinois appelé Hafnium. Il s'agissait de l'une des pires fuites de l'entreprise : des dizaines de milliers de serveurs Exchange ont été piratés, y compris ceux de l'Autorité bancaire européenne et du Parlement norvégien.

Après l'incident 2021, l'entreprise a envisagé de réviser le programme MAPP. Mais elle n'a pas divulgué si des modifications avaient finalement été apportées, ou si des fuites avaient été découvertes.

En vertu d'une loi chinoise de 2021, les entreprises et les chercheurs en sécurité doivent signaler les nouvelles vulnérabilités découvertes au ministère de l'Industrie et des Technologies de l'information dans un délai de 48 heures, selon un rapport du Conseil de l'Atlantique. Certaines entreprises chinoises encore impliquées dans le MAPP, comme Beijing CyberKunlun Technology Co Ltd., participent également à la base de données nationale chinoise des vulnérabilités — gérée par le ministère de la Sécurité d'État — ce qui soulève de nouvelles inquiétudes quant aux obligations de déclaration double.

Eugenio Benincasa, chercheur au Centre d'études sur la sécurité de l'ETH Zurich, pointe du doigt le manque de transparence sur la manière dont les entreprises chinoises concilient les règles de confidentialité de Microsoft avec les obligations de déclaration à l'État. « Nous savons que certaines de ces entreprises travaillent avec les agences de sécurité, et la gestion des vulnérabilités en Chine est très centralisée », a-t-il déclaré. « C'est un domaine qui nécessite clairement un examen plus approfondi. »