Posté le mai 8, 2019 à 7:53

LES HACKERS CHINOIS ONT UTILISÉ LES OUTILS DE PIRATAGE DE LA NSA DURANT UNE ANNÉE ENTIÈRE AVANT D’ÊTRE PUBLIÉ PAR SHADOW BROKERS.

Symantec, le fabricant de Norton Anti-Virus, a publié des informations sur un groupe de hackers chinois qui a utilisé une version unique de la porte dérobée DoublePulsar, sous la responsabilité de la NSA.

Le groupe qui a été suivi par divers fournisseurs de services de sécurité de l’information pendant de nombreuses années a été rendu tristement célèbre quand ils ont été inculpés par les autorités fédérales américaines en 2017. BuckEye, APT3, Gothic Panda et UPS figurent parmi les noms les plus connus.

Les hackers utilisent une couverture des Chinois.

Les autorités américaines ont affirmé que les trois hackers exploitaient une société d’Infosec du nom de Boyusec et allèguent en outre que cette société est une couverture du ministère chinois de la sécurité de l’État. Il est largement admis que cette société est responsable du piratage de plusieurs sociétés occidentales de renommée tels que Moody’s Analytics et Siemens.

Le trio était connu comme une APT, Advanced Persistant Threat (menace persistante avancée) et ne s’appuyait pas trop sur la porte dérobée de Double Pulsar, mais se concentre sur ses propres outils personnalisés et trouve les exploits du zéro jour par eux-mêmes. Cependant, dans un rapport publié par Symantec il y a quelques jours, il est clairement prouvé que le trio avait utilisé DoublePulsar bien avant que la porte dérobée ne soit largement disponible en raison de la fuite des Shadow Brokers.

Symantec ne dit pas que le groupe n’a utilisé aucun autre outil de la NSA, tel que le framework FuzzBunch, qui est l’outil de prédilection des agents de la NSA qui souhaitent déployer DoublePulsar sur les machines cibles. Le groupe utilisait leur propre logiciel, appelé Bemstour.

Selon Symantec, l’utilisation de DoublePulsar est ironique, car elle est très différente de la version de base divulguée en avril 2017. Selon Symantec, la seule différence serait que les Chinois ne l’aient pas obtenue à la source. Ce qui voudrait dire que DoublePulsar a été trouvé sur des systèmes chinois, puis remanié à partir de ce moment. Il contient du code pour les nouvelles versions de Windows et des couches supplémentaires qui signifie que les Chinois n’étaient pas satisfaits du logiciel malveillant original et ont plutôt décidé de l’améliorer.

Le logiciel malveillant de la NSA a aidé dans la lutte contre le vol d’informations en Chine.

Le logiciel malveillant a été utilisé pour fournir une charge utile permettant d’obtenir un accès permanent à diverses organisations à travers le monde. Les infections se sont produites aux Philippines, au Vietnam, à Hong Kong, en Belgique et au Luxembourg. Le motif principal de ces attaques était le vol d’informations. C’est pourquoi les entreprises de télécommunication et les universités ont été ciblées. Des laboratoires de recherche spécifiques de SciTech ont également été attaqués par des Chinois.

Les Chinois ont déjà manipulé la loi sur la propriété intellectuelle et ce type d’espionnage industriel n’a rien de nouveau pour eux. Ce qui est nouveau, c’est qu’ils ont utilisé un outil conçu par la NSA, qui a gravement nui aux relations des États-Unis avec le reste du monde.

Ce fut un choc lorsque l’on a découvert que les États-Unis espionnaient leurs alliés, mais c’est maintenant un problème encore plus grave puisque des acteurs malveillants ont utilisé exactement les mêmes logiciels malveillants pour porter atteinte à ces mêmes alliés (et les États-Unis pour commencer). Personne dans l’industrie de la sécurité de l’information ne saurait ignorer ce type d’ironie et beaucoup pensent qu’il s’agit d’un signal d’alarme pour le gouvernement américain et les régulateurs en général. Le fait d’insister pour mettre des portes dérobées dans le logiciel peut avoir des conséquences beaucoup plus importantes que prévu. Il y aura toujours quelqu’un qui le découvrira et ceux qui les découvriront ne feront pas toujours ce qu’il faut, comme le cas de fuite des Shadow Brokers.

La transparence est extrêmement importante dans les logiciels, de même que l’évaluation par les collègues, ce qui explique pourquoi les logiciels libres sont plus sûrs, même si certaines choses échappent encore à l’ensemble de la communauté. Il y a beaucoup de hackers qui vivent grâce aux primes des programmes Bug Bounty, mais beaucoup dans l’industrie sont convaincus qu’ils ne représentent qu’une fraction des acteurs sur la scène mondiale en matière de test d’intrusion.