À la mi-septembre, la CISA, l'agence américaine de sécurité informatique, a ordonné à toutes les agences fédérales de corriger deux failles de sécurité zero-day affectant les systèmes d'exploitation OS, iPadOS et macOS. Il s'agissait des dernières vulnérabilités logicielles jamais découvertes auparavant, exploitées pour diffuser le tristement célèbre logiciel espion Pegasus, dont le développeur, NSO Group, est visé par de multiples poursuites judiciaires.
La société israélienne est l’une des nombreuses sociétés commerciales de logiciels espions qualifiées de « cybermercenaires » par les gouvernements occidentaux et les entreprises technologiques. Ces pirates informatiques, ainsi qu'un groupe plus obscur de pirates informatiques à gages, représentent une menace croissante pour les organisations de toutes tailles et de tous secteurs, facilitant l'espionnage industriel, la surveillance gouvernementale et d'autres activités néfastes.
Si même le téléphone de Jeff Bezos peut être piraté par ces groupes, il est temps de prendre la menace au sérieux.
Qui sont les cyber-mercenaires ?
Le cybermercenaire est un terme utilisé de différentes manières par différentes parties. D’une manière générale, nous pouvons le diviser en deux types d’acteurs menaçants :
Fabricants de logiciels espions commerciaux : ces entreprises opèrent dans une zone grise juridique, prétendant vendre des logiciels espions et des exploits aux gouvernements uniquement à des fins légitimes de maintien de l’ordre et de renseignement. En réalité, leurs outils ciblent souvent des journalistes, des dissidents, des militants des droits de l’homme et d’autres opposants à des régimes généralement autocratiques. Citizen Lab a découvert les deux failles zero-day mentionnées ci-dessus sur le téléphone d’un employé d’une organisation de la société civile basée à Washington.
Des exemples de ces entreprises incluent NSO Group, Circles, Intellexa, Cytrox et BellTroX InfoTech Services.
Pirates informatiques à gages : Il s’agit de groupes ouvertement criminels qui ne prétendent pas opérer comme des organisations commerciales semi-légitimes. Cependant, à l’instar des éditeurs de logiciels espions commerciaux, leur collaboration avec leurs clients est strictement confidentielle. Bien qu’ils ciblent également les journalistes, les militants et autres individus à haut risque, ces groupes peuvent aussi proposer leurs services en matière d’espionnage industriel, permettant ainsi à des organisations par ailleurs respectables de maintenir une forme de déni plausible.
Les groupes comprennent les Deceptikons, Dark Basin et Void Balaur.
Dans les deux cas, des groupes de cybermercenaires sont soupçonnés d'avoir des liens avec divers services de renseignement. Trois anciens officiers du renseignement américain ont été démasqués en 2021 pour avoir travaillé comme pirates informatiques à la solde du gouvernement des Émirats arabes unis et ont par la suite été poursuivis en justice aux côtés de l'éditeur de logiciels espions DarkMatter. Intellexa serait dirigée par un ancien espion israélien. Par ailleurs, un rapport distinct a révélé un lien ponctuel et éphémère entre l'infrastructure d'attaque utilisée par Void Balaur et le Service fédéral de protection russe (FSO).
Comment fonctionnent les attaques ?
Les pirates informatiques disposent d’une vaste gamme de techniques, tactiques et procédures (TTP). Mais comme la plupart des auteurs de menaces, lorsqu’ils le peuvent, ils optent pour le moyen le plus rapide et le plus simple d’atteindre leurs objectifs. Cela pourrait signifier des logiciels malveillants de phishing et de vol d'informations et leurs principaux outils pour compromettre leurs victimes et l'utilisation d'outils légitimes comme PowerShell pour les activités post-intrusion. Ils peuvent cibler les comptes commerciaux de courrier électronique, de réseaux sociaux et de messagerie ainsi que leurs équivalents d'entreprise et les systèmes informatiques back-end.
« La plus grande menace que représentent ces groupes de mercenaires est qu'ils ne se soucient pas de leur cible. Pour la bonne somme d’argent, les mercenaires, par définition, exécuteront un contrat au détriment de toute éthique. Cela place les infrastructures critiques, les soins de santé et d'autres secteurs vitaux dans la ligne de mire de ceux qui sont prêts à payer », a déclaré Morgan Wright, conseiller en chef en sécurité de SentinelOne, à ISMS.online.
« Les personnes et les organisations les plus exposées sont celles qui font le moins pour se protéger. Les employés s’exposent à des risques lorsqu’ils partagent excessivement des informations les concernant sur des sites comme LinkedIn ou diverses plateformes de médias sociaux.
Découvrir la menace des logiciels espions
Toutefois, dans le cas d’entités commerciales, le TTPS peut être nettement plus sophistiqué. Les vulnérabilités Zero Day font l'objet de recherches minutieuses, ciblant souvent les appareils Apple avec des intrusions sans clic avec lesquelles l'utilisateur n'a même pas besoin d'interagir pour être infecté. Ensuite, un logiciel espion est déployé pour accéder aux messages, e-mails, photos, connexions, carnets d'adresses, utilisation des applications, données de localisation, ainsi qu'au microphone et à la caméra de l'appareil.
Le spécialiste de la cybersécurité de Corelight, Matt Ellison, décrit les groupes à l'origine de telles menaces comme affichant « l'apparence et les comportements d'un marchand d'armes sans scrupules ». Personne dans une organisation n’est en sécurité, même si les cadres supérieurs semblent être une cible naturelle compte tenu du niveau d’influence et d’accès dont ils disposent.
"Cela peut varier et dépend du rôle, de l'organisation et de l'objectif du client du cybermercenaire", explique Ellison à ISMS.online. « Il s’agit sans aucun doute d’un niveau de menace supplémentaire par rapport aux cybermenaces typiques observées par la majorité des organisations commerciales. »
Les États-Unis ripostent
Heureusement, le gouvernement américain a récemment revu sa position de manière significative, en ajoutant plusieurs éditeurs de logiciels espions commerciaux à une « liste d'entités » – notamment Candiru, NSO Group, Intellexa et Cytrox . Il sera ainsi plus difficile, en théorie, pour ces entreprises d'acheter des composants auprès de sociétés américaines. Un décret présidentiel vise également à empêcher le gouvernement fédéral d'acquérir des logiciels espions utilisés par des pays étrangers pour espionner des militants et des dissidents. Cela devrait limiter les opportunités commerciales pour ces développeurs.
Les États-Unis tentent également d'inciter d'autres gouvernements à adopter une position tout aussi ferme . Le secteur technologique s'est mobilisé pour endiguer les activités des cyber-mercenaires, préoccupé non seulement par le respect des droits humains, mais aussi par l'accumulation de vulnérabilités, qui, en fin de compte, rend le monde numérique plus dangereux.
Un SMSI et au-delà
Mais en attendant, que peuvent faire les organisations pour atténuer la menace qui pèse sur leurs dirigeants et leurs actifs informatiques/données critiques ? Un système de gestion de la sécurité de l’information (ISMS) peut fournir une bonne base de sécurité, ce qui peut aider à atténuer de nombreuses techniques utilisées par les pirates informatiques pour compromettre leurs cibles. Cependant, Wright de SentinelOne met en garde contre toute complaisance.
« Rien ne garantit qu’on ne sera pas compromis. L’identification des faiblesses et des problèmes politiques est le début d’un voyage vers une capacité de cybersécurité robuste », affirme-t-il. « La conformité contribue à maintenir la conscience des grandes choses. »
Les organisations doivent également aller au-delà de l’essentiel si elles veulent repousser les attaques de logiciels espions commerciaux plus avancées exploitant les vulnérabilités du jour zéro.
« La nature même de ces outils et la manière dont ils sont utilisés et déployés signifie généralement qu'ils présentent un niveau de difficulté à détecter nettement supérieur à celui d'un malware ou d'un ransomware moyen », explique Ellison de Corelight. « Si vous faites partie d'une organisation plus susceptible d'être menacée par ces outils, il est important de les aborder séparément dans le cadre que vous utilisez pour sécuriser votre organisation. »
Kaspersky explique que les utilisateurs doivent être formés à repérer les signes avant-coureurs d'un logiciel espion : une décharge rapide de la batterie et une consommation de données potentiellement élevée. Pour atténuer cette menace, il est également recommandé de mettre à jour régulièrement le système d'exploitation et les autres logiciels de l'appareil, d'activer l'authentification multifacteur (AMF), d'installer un logiciel anti-malware et de redémarrer quotidiennement l'appareil. Sur les appareils iOS, les utilisateurs les plus vulnérables sont invités à désactiver iMessage et FaceTime. Le mode de verrouillage est également utile pour les attaques mentionnées en début d'article.
Pourtant, même Kaspersky a été victime d'une opération sophistiquée de logiciels espions. Les organisations doivent gérer ce risque au mieux, mettre en pratique régulièrement leurs plans de réponse aux incidents et intégrer les cybercriminels à leur analyse des menaces.
