Posté le février 24, 2022 à 10:00

DES HACKERS SOUTENUS PAR LA RUSSIE LANCENT UN NOUVEAU LOGICIEL MALVEILLANT SOPHISTIQUÉ

Les agences de renseignement du Royaume-Uni et de la Grande-Bretagne ont publié un rapport conjoint sur la cybercriminalité, avertissant que des acteurs de menaces russes sont derrière un nouveau logiciel malveillant sophistiqué.

Selon le rapport, le nouveau logiciel malveillant, nommé Cyclops Blink, est lié au célèbre groupe APT (Advanced Persistent Threat ») Sandworm. Ce groupe est lié au centre principal ou aux technologies spéciales du GRU russe. C’est le même groupe qui a attaqué le réseau de distribution d’électricité en Ukraine il y a sept ans.

L’avis a été publié par le CISA (Cybersecurity and Infrastructure Security Agency) du Royaume-Uni et le NCSC (National Cyber Security Center) des États-Unis.

Pour l’instant, les agences ont noté que Cyclops Blink n’affecte que les périphériques réseau WatchGuard, mais le logiciel malveillant peut être modifié pour étendre sa puissance à d’autres périphériques.

Le logiciel malveillant peut résister à plusieurs remèdes

Cyclops Blink a été largement utilisé contre des cibles intéressant la Russie, mais l’attaque s’est limitée jusqu’à présent aux dispositifs WatchGuade. Les agences américaines et britanniques ont averti que le groupe Sandworm pourraient équiper le logiciel malveillant et le rendre capable de cibler d’autres micrologiciels et architectures.

Le Cyclops Blink est généralement implanté dans une mise à jour du micrologiciel qui parvient à persister lorsque le dispositif ciblé est redémarré. Il est donc très difficile de le supprimer.

Par la suite, les appareils affectés sont disposés en grappes, chaque déploiement disposant d’une liste de ports et d’adresses de commande et de contrôle (C2) qui peuvent être utilisés. Mais le NCSC a déclaré que toutes les infections par Cyclops Blinks ne signifient pas que l’organisation est la cible principale. Dans certains cas, le dispositif est utilisé comme un lien ou une connexion à la cible principale.

Selon le rapport, le logiciel malveillant est suffisamment sophistiqué pour contourner les différents contrôles de sécurité et résister aux remèdes tels que les redémarrages.

Cette affaire survient à un moment où les États-Unis et le Royaume-Uni sont en état d’alerte élevé face aux piratages informatiques commandités par l’État russe. La Russie a déclaré la guerre à l’Ukraine alors que les tensions politiques entre les deux pays s’intensifient. La Russie est connue pour utiliser ses cyberespions pour mener des attaques massives dans le cadre de sa réponse militaire à ses ennemis.

Les agences ont toutefois précisé que leur déclaration n’était pas directement liée à la situation en Ukraine, mais qu’il s’agissait d’un « avis de routine ».

La société américaine de cybersécurité Mandiant a toutefois déclaré que cet avis rappelle directement que Sandworm est toujours un logiciel malveillant très dangereux et puissant, capable d’infliger de graves dommages à des cibles.

Les entreprises de cybersécurité mettent en garde contre les dangers du logiciel malveillant

John Hultquist, vice-président de Mandiant Threat Intelligence, a déclaré que Sandworm reste un adversaire « capable et intelligent ».

Il a ajouté que le monde de la cybersécurité est préoccupé par le groupe, à la lumière de la crise en Ukraine. Mandiant a déclaré qu’en termes de sophistication et de puissance, Sandworm a mis au point certains des logiciels malveillants les plus dangereux pour les grandes organisations et les institutions gouvernementales. Il a surpassé toutes les autres menaces en matière d’opérations d’information et de cyberattaques agressives.

 « Aucun autre acteur russe n’a été aussi effronté et n’a réussi à perturber les infrastructures critiques en Ukraine et ailleurs », a déclaré M. Hultquist. L’Ukraine a été le théâtre d’une attaque massive par déni de service distribué (DDoS) il y a quelques jours. Cette attaque a visé des banques ukrainiennes et les sites Web de certaines agences gouvernementales du pays.

Le ministre de l’information numérique, Mykhailo Fedorov, a déclaré que le site web du parlement a également été touché par l’attaque, tandis que des données importantes de certaines banques ont été affectées.

Les autorités ukrainiennes ont déclaré avoir reçu, en début de semaine, des avertissements selon lesquels des acteurs malveillants cherchaient à lancer des attaques par déni de service et par logiciel malveillant contre le gouvernement et les principales institutions financières du pays.

L’attaque est conforme aux tactiques de la Russie

Le directeur de l’information de la société de cybersécurité Digital Shadows, Rick Holland, a déclaré que la dernière cyberattaque contre l’Ukraine était conforme à la tactique russe consistant à distraire et à perturber les adversaires tout en « offrant un niveau de déni plausible ». Il a ajouté que les cyberattaques sont toujours méticuleusement planifiées, ce qui signifie que le plan de la Russie d’envahir le cyberespace de l’Ukraine n’a pas été réalisé en quelques semaines. Il a déclaré que les services de renseignement militaire du pays planifiaient l’invasion depuis des années.

Il a déclaré que les plans de bataille ont été élaborés depuis longtemps, ce qui inclut les faux drapeaux, la désinformation, les logiciels malveillants perturbateurs et les attaques DDoS.

La Maison Blanche a indiqué qu’elle était en contact avec les autorités ukrainiennes au sujet des cybermenaces auxquelles elles sont confrontées. Les gouvernements britannique et américain ont imputé à la Russie la responsabilité de la cyberattaque contre l’Ukraine, bien que le gouvernement russe ait démenti avec véhémence toute implication.