if ( !emtpy($headline_subheadline ) ) : ?>
Les chercheurs en sécurité craignent les cyberattaques à venir, car les récentes attaques contre des infrastructures critiques jettent les bases de quelque chose de plus sinistre.
endif; ?>
Dans une analyse approfondie de la tactique d’attaque Silent Train utilisée par le groupe de cybercriminalité chinois Volt Typhoon, Black Lotus Labs de Lumen a mis en évidence des preuves d’efforts visant à prépositionner l’accès au sein de ce qu’il a décrit comme « des communications stratégiques, des infrastructures critiques et d’autres écosystèmes qui deviennent essentiels lors de tensions ou de crises géopolitiques ».
Le rapport, publié mercredi, indique que Silent Train est construit autour de « chaînes à rotation rapide d’appareils SOHO, IoT et d’entreprise compromis qui sont exploités à la demande, utilisés contre des cibles soigneusement sélectionnées, nettoyés après chaque opération et actualisés en permanence. Cette approche a permis à Volt Typhoon d’effectuer des activités d’exploitation et de post-exploitation en toute sécurité tout en réduisant le risque de détection, d’attribution et de perturbation ».
De multiples intrusions via Silent Train ont été confirmées dans la nature, a déclaré Lumen, toutes sur des cibles de grande valeur.
Son rapport décrit au moins quatre vulnérabilités zero-day confirmées et une probable exploitées par Volt Typhoon, qui ciblaient les systèmes de gestion de réseau et de points de terminaison, les orchestrateurs SD-WAN et l’infrastructure de plan de contrôle qui offrent visibilité, administration et accès dans les environnements d’entreprise et clients. Il a noté que les victimes comprenaient des fournisseurs de télécommunications, des gouvernements, des entrepreneurs de la défense, des services de communication par satellite et critiques, des universités, des entreprises informatiques et des infrastructures critiques telles que l’eau, l’énergie, les transports, les transports maritimes, ferroviaires, aériens, les services d’urgence et d’autres opérations essentielles.
Lumen a déclaré que la nature de ces victimes « indique des efforts délibérés pour maintenir l’accès aux écosystèmes critiques qui soutiennent la défense, la logistique, les communications, les opérations militaires et civiles, en particulier lors de tensions ou de crises accrues dans la région Indo-Pacifique ».
Bien que l’attaque Silent Train se déroule depuis des années et ait été suivie par diverses équipes de cybersécurité, le niveau de détails opérationnels rapporté par Lumen mercredi allait bien au-delà de ce qui était connu.
En fait, Frank Dickson, analyste principal chez Dickson Research, qui suit ce domaine, a déclaré que le rapport Lumen « pourrait être l’une des recherches les plus précieuses publiées cette année ».
Principales conclusions
Certaines des principales conclusions du rapport décrivent la rapidité et l’efficacité surprenantes des attaques.
« Les sessions étaient souvent remarquablement efficaces. Les opérateurs pouvaient exploiter et assembler des chaînes d’appareils en moins de deux minutes, et en sortant, ils ne laissaient aucune preuve que les défenseurs pourraient découvrir », a déclaré Lumen. « Leur rythme opérationnel suggère l’utilisation d’un processus de provisionnement semi-automatisé à la demande. » Mais un processus strict est resté cohérent tout au long de nombreuses attaques, souligne-t-il.
« Un autre aspect remarquable était l’affectation cohérente par Volt Typhoon de types d’appareils spécifiques à des positions au sein des chaînes Silent Train », indique le rapport. « Nous avons remarqué que les types d’appareils étaient réservés à des rôles opérationnels spécifiques qui ne déviaient jamais. Les modems Intelbras n’apparaissaient que comme nœuds de relais à l’étranger, tandis que les appareils Netgear Orbi servaient de sauts basés aux États-Unis qui interagissaient avec les victimes. Des modèles similaires sont apparus sur tous les autres types d’appareils dans Silent Train. «
Il a observé que, bien qu’il dispose d’une infrastructure mondiale suffisante pour échanger les types d’appareils entre les sauts à l’étranger et aux États-Unis, Volt Typhoon a maintenu ces rôles fixes tout au long de trois années de surveillance, et que son infrastructure VPS utilisait également des fournisseurs et des emplacements distincts plutôt qu’un environnement partagé.
Le rapport conclut que l’infrastructure d’attaque « était délibérément compartimentée entre les couches, ce qui compliquait l’attribution et réduisait le risque que l’accès à un appareil ou à un fournisseur expose une plus grande partie du réseau. L’infrastructure sous-jacente changeait constamment, mais l’architecture et le rôle de chaque couche restaient très structurés ».
Poser les fondations
Les analystes et les consultants ont noté que les attaques n’avaient pas nécessairement entraîné de dégâts ou de vols au départ, mais qu’elles avaient plutôt jeté les bases d’une attaque ultérieure.
« Je ne dirais pas qu’il s’agit nécessairement d’une approche nouvelle, mais elle est intelligente », a déclaré Sav Wheeler, ingénieur de recherche sur les logiciels malveillants chez Malwarebytes. « Ne pas profiter de ressources compromises jusqu’à ce qu’une opportunité se présente est en soi une forme stratégique de gestion des ressources. »
Mike Wilkes, RSSI d’entreprise chez Aikido Security, a convenu que la gratification différée est une tactique de groupe d’attaque dangereuse.
« Maîtriser le plan de contrôle des télécommunications et des infrastructures critiques est à la fois logique et, malheureusement, souvent assez simple », a-t-il déclaré. « Pourquoi attaquer des systèmes individuels quand vous pouvez compromettre l’infrastructure qui les gère, les connecte et les authentifie ? L’objectif stratégique n’est pas nécessairement une perturbation immédiate. Il s’agit d’établir la capacité de perturber, de manipuler ou de refuser des services à une époque d’avantage géopolitique. »
Dickson est également d’accord, affirmant que les détails publiés montrent une tendance qui « ne constitue pas de l’espionnage en soi. Il semble que l’accès soit réservé pour une crise dans le Pacifique ».
Repenser les défenses
« Cela brise le manuel de jeu habituel des défenseurs », a déclaré Dickson. « Une liste de blocage ne fait rien contre une adresse qui a servi de relais pendant quatre heures mardi dernier. Les indicateurs expirent avant que quiconque puisse les publier. C’est aussi une réponse directe au démantèlement du botnet KV. Retirez le pont et ils construisent un ferry. »
Il a ajouté : « Une console de gestion de réseau est conçue pour tout voir, tout atteindre et tout changer. Ce sont exactement les pouvoirs recherchés par un attaquant. Nous avons passé une décennie à construire des murs de château plus hauts, puis nous avons accroché le porte-clés près de la porte. »
Mais c’est la vitesse de Silent Train qui inquiète le plus Dickson. Bien qu’une entreprise ne puisse pas vaincre un adversaire qui reconstruit son réseau en deux minutes, « cela peut rendre la destination beaucoup plus difficile à atteindre. Retirez chaque console de gestion, orchestrateur SD-WAN et portail d’administration de l’Internet ouvert et placez-les derrière un VPN, un hôte de saut ou un réseau de gestion dédié. Corrigez la technologie du plan de contrôle en premier, et non en dernier », a-t-il conseillé.
Aman Mahapatra, directeur de la stratégie de la société de conseil en technologie Tribeca Softech, basée à New York, a déclaré que les implications de l’étude approfondie de Silent Train obligeront les RSSI à repenser une grande partie de leurs stratégies défensives.
« Les défenses basées sur IP touchent à la fin de leur utilité contre cette classe d’adversaires. Lorsque l’origine du réseau est jetable, l’identité, le comportement et le timing restent visibles », a-t-il déclaré. « Un adversaire prêt à graver un exploit sur un routeur pour protéger un exploit sur un orchestrateur SD-WAN indique aux défenseurs la valeur exacte de cet accès. »
Une autre préoccupation, a déclaré Mahaptra, est révélée par la façon dont Lumen a pu détecter une grande partie de la méthodologie d’attaque, ce qui échappera probablement à la plupart des SOC d’entreprise.
« Lumen a détecté Silent Train parce qu’un transporteur principal peut voir toute la chaîne », a déclaré Mahapatra. « Aucune entreprise ne voit jamais plus que son propre segment. Les organisations des secteurs figurant sur cette liste de victimes devraient formaliser des accords de notification des menaces avec leurs opérateurs, car la détection qui a fonctionné ici s’est produite en dehors du réseau de chaque victime. »
Il a conseillé aux entreprises de surveiller également le comportement sortant de leurs propres appareils de pointe. Lumen a documenté les appareils FortiGate et Cisco, PRTG, CyberPanel et même les serveurs d’intégration de soins de santé Mirth Connect servant de derniers sauts, certains pendant un à trois mois, a-t-il souligné ; Le SSH sortant vers des hôtes inconnus, les tunnels inversés construits avec des outils tels que Chisel ou FRP et le trafic sur des ports inhabituellement élevés « peuvent indiquer que l’appliance d’une entreprise sert de visage national à l’attaquant pour une intrusion ailleurs ».
Mark Child, directeur de recherche associé chez IDC, s’inquiète également des méthodes tactiques de Silent Train.
« Silent Train abandonne la persévérance », a déclaré Child. « Au lieu de maintenir un réseau permanent, Volt Typhoon assemble et démantèle rapidement l’infrastructure transitoire. Cela la rend plus efficace contre les défenses centrées sur le réseau : listes de blocage IP, flux d’informations sur les menaces des adresses IOC, géorepérage et retraits. Tout cela suppose une infrastructure qui reste en place. »
Cependant, a-t-il noté, « il n’est pas plus efficace contre une bonne détection des points finaux et comportementaux sur la cible ». Quel que soit le nombre de sauts, l’exploitation, le vol d’informations d’identification et l’abus des outils d’administration s’exécutent toujours sur le serveur.
« Le véritable multiplicateur de force réside dans le choix de la cible », a-t-il déclaré. « Le recours à une plate-forme de gestion offre un accès administrateur à des milliers d’appareils et des chemins fiables aux clients en aval, sans mouvement latéral, ce qui supprime les signaux de mouvement latéral sur lesquels EDR s’appuie habituellement. Pour les équipes de sécurité des points finaux, la détection basée sur IP perd ici de sa valeur. La surveillance comportementale des serveurs de gestion privilégiés et de ce qu’ils font aux points finaux devient le contrôle décisif. »
