Chaque année, à l’occasion de la petite semaine de sports d’hiver helvète réunissant le gratin mondial, un rapport sur les risques globaux est publié. Au delà du côté anxiogène de l’affaire, il reste toujours plus utile de savoir pour anticiper, que de rester dans l’ignorance… A noter cette année, un chapitre important dédié aux risques technologiques dont les « cyber-attaques » et « défaillances de systèmes critiques« .

Voici un court extrait :

Objectives of Cyber Attacks :

Sabotage

• Users may not realize when data has been maliciously, surreptitiously modified and make decisions based on the altered data. In the case of advanced military control systems, effects could be catastrophic. National critical infrastructures are increasingly connected to the Internet, often using bandwidth leased from private companies, outside of government protection and oversight.

Espionage

• Sufficiently skilled hackers can steal vast quantities of information remotely, including highly sensitive corporate, political and military communications.

Subversion

• The Internet can spread false information as easily as true. This can be achieved by hacking websites or by simply designing misinformation that spreads virally. Denial-of-service attacks can prevent people from accessing data, most commonly by using “botnets” to drown the target in requests for data, which leaves no spare capacity to respond to legitimate users.

Voici un des schémas associés :

Le mini-site en cliquant sur l’image :

Et le site du WORLD ECONOMIC FORUM en lui-même : http://www.weforum.org/issues/global-risks

Et toujours la « totale » ici : http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_stuxnet_dossier.pdf

Alors, pour mémoire, une petite vidéo, très british, mais très claire sur le sujet :

Ce type d’attaque n’est pas récent et à toujours été difficile à gérer, bien que des solutions existent, s’il l’on y a pensé avant, et que des précautions ont été prises au niveau de l’hébergeur.

Le DDoS est utilisé pour exercer du chantage et extorquer de l’argent à des sites marchands ou de paris en ligne, en menaçant de les « faire tomber » (cf l’affaire CANBET, qui avait été rançonné par des cyber-criminels Russes, en prison depuis), ou encore paralyser des infrastructures plus larges comme lors de la cyber-attaque contre l’Estonie en avril 2007.

Les lancements de DDoS de ces derniers jours autour des affaires WikiLeaks, l’opération Payback etc…etc… fait bien partie de ce que j’appelle la 3ieme vague, dont font déjà partie les fameux Aurora et Stuxnet. Après les « petits malins » à lunettes, sans vrai but précis, puis les « cyber-criminels » uniquement motivés par l’appât du gain, voici les « Hacktivistes » à motivation « idéologique » (?!)…

Les 3 vagues :

Au passage, et juste pour le plaisir des yeux, une copie d’écran de l’outil L.O.I.C utilisé dans une partie des DDoS :

On reparlera bientôt plus en détails des ces « toolkits »…

Propre, l’interface est !

Maître Yoda.

Car après Stuxnet, clairement classé dans la catégorie cyber-sabotage, compte tenu de son fonctionnement et ceci quelque fut la cible, la question des cyber-attaques à motivation politique ou idéologique se pose quand même (Cassandre sort de ce corps !). Notamment sur la manière et les moyens d’aborder ce type de risque, dont je rappelle les types de traitement génériques : Prévention, Acceptation, Réduction, Transfert.

Donc, un « MUST SEE » absolu si le sujet vous intéresse, même 30 minutes et en anglais, si si, j’insiste…:

Par chez nous, on appelle cela plutôt LID (Lutte Informatique Défensive) et LIO (Lutte Informatique Offensive), sujet qui semble moins souvent faire la une de nos médias…bien que des initiatives sérieuses ont été prises depuis la publication du Livre Blanc sur la Défense et la Securité Nationale à travers notamment la création de l’Agence Nationale de la Sécurité des Systèmes d’information – ANSSI. D’ailleurs, en septembre dernier, la France a participé pour la première fois à l’exercice CYBERSTORM, pendant international de notre PIRANET, pour faire court.

Si vis Pacem, Para bellum…ou pas.

Un romain.

Derniers développements sur la vie et l’oeuvre de Stuxnet, basé sur le travail de l’équipe Security Response de Symantec.

Après analyse plus poussée du code, il s’avère qu’il cherchait à communiquer avec 2 serveurs « Command&Control », qui jusqu’à la semaine dernière pointaient vers un autre serveur en Malaisie (Je rappelle à toutes fins utiles que la localisation d’une machine ne donne aucunes informations sur l’origine de l’attaque, encore moins de l’attaquant). Nous avons pu dérouter et intercepter le trafic vers ces serveurs, les empêchant ainsi de contrôler les machines infectées et d’en récupérer les informations.

Durant la première partie de la semaine dernière, nous avons identifié près de 14.000 adresses IP distinctes tenter de contacter les dits serveurs. A noter que compte tenu de l’utilisation fréquente d’adressage NAT, le nombre réel de machines infectées est vraisemblablement beaucoup plus important, comme en témoignent certaines données récoltées.

Voici la ventilation des détections par pays :

A souligner concernant les « auteurs/commanditaires/bénéficiaires » :

• - Nous n’avons aucune idée de qui est derrière cette attaque. Ce qui est extrêmement rare à notre niveau d’information.
• - Si l’architecture de l’attaque se dessine (technologies, cibles, géographie…), la motivation reste très floue.
• - Si l’on nous avait présenté ce schéma d’attaque il y quelques semaines, bien que théoriquement possible, nous aurions plutôt pensé à un scénario à la « 24 Heures »…
• - Mais il est clair que ce sont loin d’être des amateurs.

En effet, revenons sur les faits majeurs :

• Les attaquants ont découvert et utilisé une vulnérabilité zero-day affectant toutes les versions de Windows
• Ils ont développé et mis en place une technologie de type rootkit pour dissimuler leur présence
• Ils ciblent des logiciels utilisés pour contrôler des processus et éléments industriels SCADA; démontrant au passage une profonde connaissance de ces outils.
• Ils ont été capables de signer leurs fichiers en utilisant des certificats volés à des tiers innocents.
• L’attaque n’est pas ciblée. La menace se réplique en utilisant des périphériques USB et peut infecter n’importe quelle machine Windows.

Vulnérabilité zero-day, rootkit, vols de certificats, connaissance détaillée des logiciels SCADA…la combinaison de tous ces facteurs d’attaques, particulièrement sophistiqués, est extrêmement rare, voire même totalement inédite.

Alors, imaginons quelques scénarii et leur possibles acteurs :

Le solitaire

Une possibilité est que cette attaque est perpétrée par l’archétype du « hacker », depuis sa chambre, chez Pôpa et Môman. Sa motivation peut être basée sur la soif de notoriété, le vol de propriété intellectuelle lui permet de démontrer ses capacités, se faire remarquer et peut-être même en tirer bénéfice…Cela dit, bien que possible, voler 2 certificats, découvrir/utiliser une vulnérabilité zero-day, mettre en place un rootkit, maîtriser des technologies SCADA font beaucoup pour un seul individu, même très déterminé. Cette option est donc à écarter.

L’employé mécontent (ou menacé…)
La connaissance approfondie de produits SCADA pourrait amener à conclure que l’attaque aurait été conduite par un employé (mécontent ou manipulé) d’une entreprise utilisant ce type de logiciel. Cependant, la probabilité qu’une telle personne soit également capable de découvrir une vulnérabilité zero -day et de voler deux certificats est très faible. 

Des concurrents

Une autre possibilité est qu’un concurrent des organisations ciblées essaye de prendre l’avantage par tous les moyens possibles. Il pourrait utiliser les documents subtilisés pour comprendre et compromettre des processus industriels secrets ou même lancer une attaque en déni de service à l’encontre de ses compétiteurs. Mais les attaques de cette nature sont généralement plus ciblées. Ici, le maliciel se propage largement, à l’aveugle, sur n’importe quelle machine Windows, quelle appartienne à l’entreprise visée ou non, qu’un logiciel SCADA soit installé ou pas, rendant de ce fait la détection par les entreprises de sécurité plus rapide.

L’espionnage d’état

Récemment, certains gouvernements ont pu être accusés de favoriser le « hacking » à l’extérieur de leurs frontières (vols de secrets d’état, militaires…) et dans ce cas les motivations sont proches du cas précédent, l’aspect commercial en moins. La complexité et la qualité des éléments utilisé dans l’attaque pourrait amener certains à penser que seul un état pourrait avoir les ressources nécessaires. Mais des éléments comme notamment la gestion maladroite du vols des certificats ont alerté les spécialistes de la sécurité, et ainsi dévoilé définitivement ce modus operandi.

Motivations politiques, nationalistes, religieuses…

Souvent, des attaques attribués à des états sont le fait d’individus motivés et liés par des causes politiques, nationalistes, religieuses ou autres. Ils peuvent décider d’attaquer tout pays ou organisation qu’ils estiment ennemi. Ces groupes ont la patience et l’expertise nécessaire pour faire évoluer leurs « outils » en fonction des contre-mesures mises en place.

Le terrorisme

L’option la plus sombre est celle à motivation terroriste. Si un attaquant arrivait à contrôler une centrale électrique ou toute autre infrastructure critique, les dommages pourraient être importants. Et même si, jusqu’à présent, ce type de scénario restait plutôt au niveau hollywoodien, force est de reconnaître que c’est dans le domaine du possible.

 Conclusion

Lorsqu’ils regardent ces de films, ou un « hacker » génial rançonne une organisation ou même un état, la plupart des professionnels de sécurité informatique sourient (grimacent ?) et savent bien qu’il ne s’agit que de fiction. Cependant bien que le cas STUXNET puisse se lire comme la bande annonce du dernier blockbuster hollowoodien, c’est clairement la première fois qu’une menace, diffusée largement, montre la possibilité de prendre le contrôle de processus industriels.

Cela démontre également que dans ce monde interconnecté, vigilance et sécurité sont plus importantes que jamais et se préparer, même au pire, est toujours d’actualité.

Le pire n’est jamais certain.

Calderon (1600-1681)

Nouvelle méthode de propagation furtive :

• Il exploite une vunérabilité jamais détectée auparavant (donc zero-day) pour se répandre via des clefs ou des disques USB (via les extension .lnk), et utilise un composant « rootkit » pour se dissimuler. (Nouveau mais rien de vraiment boulversifiant…)

Nouveau type de cible :

• Parmi les nombreuses fonctions (toujours à l’étude…) figure l’utilisation de certaines DLL du produit Siemens Step 7 permettant l’accès à des systèmes SCADA. (C’est la partie inquiétante…)

Comme chacun sait, SCADA est l’acronyme anglais pour Supervisory Control And Data Acquisition et comme indiqué dans l’article Wikipedia :

Exemple d'automatisme dans le traitement de l'eau

• surveillance de processus industriels
  
  
• transport de produits chimiques
  
  
• systèmes municipaux d’approvisionnement en eau
  
  
• commande de la production d’énergie électrique
  
  
• distribution électrique
  
  
• canalisations de gaz et de pétrole

A l’origine bien sûr, ces systèmes n’étaient pas connectés à l’internet et utilisaient leur propose réseau….à l’origine…

Compris le danger du truc ???

Un certain nombre de « proof of concept » et d’incidents avaient été démontrés ou relevés jusque là,(voir le document du CLUSIF http://www.clusif.asso.fr/fr/production/ouvrages/pdf/CLUSIF-SCADA-Intro.pdf) mais pas à cette échelle…

Alors, ou trouve-t-on TMPHIDER à ce jour ?

Sur quelles plateformes voit-on ces attaques :

A savoir que Microsoft ne fournit plus de correctifs de sécurité pour Windows XP Service pack 2 depuis le 13 juillet 2010… :-/

Affaire à suivre donc…

Le danger que l’on pressent, mais que l’on ne voit pas, est celui qui trouble le plus.

Jules César.

PS : les « bons » systèmes de protection détectent déjà cette menace…