Agence américaine de sécurité nucléaire piratée lors d’une récente attaque Microsoft

La National Nuclear Security Administration, qui supervise la conception et l’entretien de l’arsenal nucléaire américain, faisait partie des entités dont les systèmes ont été compromis dans le cadre de la récente attaque Microsoft SharePoint.

Une source anonyme de la NNSA a déclaré qu’aucune donnée classifiée ou sensible ne semble avoir été volée lors de la violation de la NNSA. Interrogée sur la violation, la NNSA a orienté toutes les demandes d’informations vers le Département de l’Énergie, qui supervise l’administration dans le cadre de ses responsabilités plus larges.

« Vendredi 18 juillet, l’exploitation d’une vulnérabilité zero-day de Microsoft SharePoint a commencé à affecter le Département de l’Énergie », a déclaré un porte-parole de l’agence. 

« Le département a été minimisé en raison de son utilisation généralisée du cloud Microsoft M365 et de systèmes de cybersécurité performants. Un petit nombre de systèmes ont été touchés. Tous les systèmes touchés sont en cours de restauration. »

La NNSA accomplit une large gamme de tâches au-delà de la gestion des armes nucléaires. Elle construit des réacteurs navals pour la flotte de sous-marins de la Marine, répond aux urgences sur le territoire national et à l’étranger, aide au transport sûr des armes nucléaires à travers les États-Unis et soutient les efforts de contre-terrorisme.

Ce n’était pas la première fois que des pirates pénétraient dans les réseaux liés à la NNSA via un outil tiers. En 2020, l’agence a été la cible d’une attaque contre SolarWinds Corp., dont les logiciels sont utilisés pour la gestion des réseaux. À l’époque, le Département de l’Énergie a déclaré que le logiciel malveillant avait « été isolé aux seuls réseaux commerciaux ».

Microsoft accuse des pirates parrainés par l’État chinois

La violation a exploité les faiblesses de la plateforme SharePoint et a touché des gouvernements et des entreprises du monde entier. Dans certains cas, les attaquants ont volé des informations de connexion telles que les noms d’utilisateur et les mots de passe, ainsi que des jetons et des codes hachés, selon un rapport Bloomberg antérieur.

Au-delà du Département de l’Énergie, cette violation s’est étendue aux systèmes de gouvernements nationaux au Moyen-Orient et en Europe, ainsi qu’à plusieurs agences américaines, y compris le Département de l’Éducation, l’Assemblée générale du Rhode Island et le Département des revenus de la Floride.

Les enquêteurs disent que l’étendue complète de l’intrusion est encore en cours de détermination. Les failles logicielles affectent les organisations qui exécutent SharePoint localement plutôt que via le service cloud de Microsoft, laissant les installations sur site particulièrement à risque.

Dans un article de blog publié mardi, Microsoft a nommé deux équipes de piratage liées à la Chine. Il s’agit de Violet Typhoon et Linen Typhoon. L’article mentionnait un troisième groupe appelé Storm-2603 utilisant des tactiques similaires pour compromettre les systèmes.

Lundi, Charles Carmakal, directeur technologique de Mandiant, une entreprise de cybersécurité détenue par Google, a déclaré dans un post LinkedIn : « Nous estimons qu’au moins l’un des acteurs responsables de l’exploitation précoce est un acteur de menace lié à la Chine. »

L’agence américaine de cybersécurité et de sécurité des infrastructures, ou CISA, a confirmé dimanche qu’elle était « au courant de l’exploitation active » de la faiblesse de SharePoint. Microsoft a répondu en émettant des correctifs pour les versions locales de SharePoint, puis a publié un troisième correctif lundi.

SharePoint est une partie intégrante de la suite Office de Microsoft. Il sert de hub de collaboration, permettant aux employés au sein des organisations d’accéder à des fichiers et documents partagés via un portail central.

Microsoft a déjà été attaqué par des équipes de pirates chinois

L’année dernière, le directeur général de Microsoft, Satya Nadella, a déclaré que la cybersécurité était la priorité absolue de l’entreprise après qu’un rapport gouvernemental a critiqué la réponse de l’entreprise à une violation chinoise de comptes e-mail appartenant à des fonctionnaires. 

Plus tôt ce mois-ci, Microsoft a informé ses clients qu’il ne s’appuierait plus sur des ingénieurs chinois pour les services cloud fournis au Pentagone, suite à des rapports médiatiques indiquant que la configuration aurait pu permettre des attaques contre des systèmes de défense appartenant aux États-Unis.

En 2021, un autre groupe appelé Hafnium, lié à la Chine, a exploité une autre faille dans le logiciel Microsoft Exchange Server pour pénétrer les réseaux d’organisations du monde entier.

Dans un communiqué envoyé aux journalistes, l’ambassade de Chine à Washington a déclaré que Pékin s’opposait à « toutes les formes de cyberattaques » et a mis en garde contre la « diffamation d’autrui sans preuves solides ».

Les chercheurs en sécurité ont repéré la vulnérabilité pour la première fois en mai lors d’un concours de piratage à Berlin organisé par Trend Micro. L’événement offrait des prix en argent à ceux qui pouvaient trouver des bugs logiciels non divulgués. La compétition comprenait un prix de 100 000 dollars pour les exploits zero-day ciblant SharePoint, soulignant à quel point ces failles cachées peuvent être à hauts enjeux.