La semaine dernière, on a appris qu’un adversaire très sophistiqué avait pénétré le réseau de FireEye et dérobé les outils d’évaluation « Red Team » de l’entreprise. Cette attaque serait liée à une offensive plus vaste campagne de cyberattaques visant la chaîne d'approvisionnement qui a touché des organismes gouvernementaux, des cabinets de conseil, des entreprises technologiques et des opérateurs de télécommunications à travers l’Amérique du Nord, l’Europe, l’Asie et le Moyen-Orient.
Pour avoir une idée de ce dont cet ensemble d'outils volés est capable, vous pouvez consulter laliste prioritaire des CVE que FireEye recommande aux organisations de traiter immédiatement.-en substance, la liste des vulnérabilités connues dont FireEye (et désormais tout adversaire disposant de ses outils) peut facilementtirer parti.D'après cette liste, tout est menacé, de Citrix à Terminal Services, en passant par Microsoft Exchange, les terminaux Windows et Microsoft Outlook. La vulnérabilité de NETLOGON, qui entraîne une escalade des privilèges dans Microsoft Active Directory et donne à l'attaquant un accès d'administrateur de domaine, estparticulièrement alarmanteet figure en tête de la liste des priorités. Si un pirate utilise cette vulnérabilité particulière, étant donné la nature de l'Active Directory, les privilèges obtenus pourraient faciliter l'accès à n'importe quel élément de votre réseau.
Selon certaines informations, l’adversaire aurait compromis FireEye, parmi d’autres cibles telles que le Trésor américain et le ministère du Commerce, à l’aide de «mises à jour infectées par un cheval de Troie» destinées à SolarWinds, un fournisseur de technologies qui aide le gouvernement fédéral et les entreprises du classement Fortune 500 à surveiller l’état de leurs réseaux informatiques. Ces mises à jour ont diffusé un logiciel malveillant que FireEye a baptisé SUNBURST. Cette dernière attaque par la chaîne d’approvisionnement a ébranlé la communauté informatique, et à juste titre compte tenu de l’importante base de clients de SolarWinds. Dans des documents déposés auprès de la SEC le 14 décembre, SolarWinds a déclaré que 18 000 clients ont installé la mise à jour contaminée par le logiciel malveillant. L’affaire est toujours en cours, et l’ampleur des dégâts reste inconnue.
Lors d'une interview accordée àAl Jazeerale matin même, Richard Stiennon, analyste en chef chez IT-Harvest, a comparé l'attaque de la chaîne d'approvisionnement à NotPetya, qui s'est propagée de la même manière en se déguisant en une mise à jour logicielle légitime.NotPetya est sans conteste la cyberattaque la plus destructrice à ce jour.10 milliards de dollars de dommages totauxen 2017, selon des responsables de la Maison Blanche. À l'instar de nombreuses entreprises de premier plan touchées par NotPetya, la plus grande entreprise de transport maritime au monde, Maersk,a passé plus d'une semaineà récupérer manuellement son Active Directory.
Active Directory dans la ligne de mire des attaquants
Tout d'abord, l'industrie s'accorde à dire que FireEye a très bien réagi à l'incident en faisant preuve d'une grande transparence au sujet des outils volés de la Red Team.Red Teamqui contiennent des scripts personnalisés, des outils de piratage accessibles au public et des ensembles d'outils développés sur mesure.
Selon FireEye, ces outils ne contiennent aucune faille de type « zero-day » ; il existe donc des correctifs pour chaque CVE mentionné. Cela ne garantit toutefois pas que tous les systèmes, applications et plateformes concernés par cette liste soient à jour. Prenez connaissance de cette liste et assurez-vous que votre environnement est à jour.
Il y a quelques leçons à tirer de cette histoire :
1. Les cyberattaques exploitent de plus en plus les faiblesses de la chaîne d'approvisionnement comme méthode efficace de distribution de logiciels malveillants à grande échelle.
2. Les malfaiteurs ne se contentent plus de mener des campagnes d'intrusion de type "spray and pray" et commencent à devenir extrêmement ciblés, en s'attaquant aux bons éléments et en tirant parti de toute propriété intellectuelle (dans ce cas, les outils de piratage interne) pour prendre l'avantage.
3. Si une entreprise comme FireEye, qui se consacre exclusivement à la cybersécurité, n'est pas totalement à l'abri des attaques, votre entreprise ne l'est pas non plus.
4. Des outils automatisés sophistiqués peuvent facilement tomber entre les mains d'un attaquant novice, ce qui en fait un adversaire tout aussi dangereux qu'une personne ayant des années d'expérience au sein d'une équipe rouge.
5. Windows et Active Directory sont des cibles privilégiées des cyberattaques modernes. La nature centralisée de l'accès aux comptes d'utilisateurs dotés de privilèges élevés fait d'Active Directory la cible idéale des cyberattaques. C'est pourquoi les organisations doivent garder un œil sur les modifications apportées à Active Directory, voire mettre en place des mesures pour surveiller en permanence les indicateurs d'exposition, empêcher les modifications qui permettraient d'étendre l'accès à d'autres parties de l'environnement, et être prêtes à se remettre d'un ransomware ou d'une autre attaque visant l'intégrité des données.
Même si l'attaque contre FireEye ne s'accompagne pas de la divulgation d'outils ou d'exploits inédits, elle souligne l'importance de maintenir votre environnement à jour pour le protéger contre les vulnérabilités connues, ainsi que le rôle crucial qu'Active Directory joue dans les cyberattaques actuelles. En tant que gardien des applications et des données critiques, Active Directory est devenu une cible de choix pour les attaques à grande échelle qui ont paralysé de nombreuses entreprises ces dernières années. En comprenant les cibles privilégiées des cybercriminels, vous devriez chercher à adapter votre stratégie de sécurité afin de renforcer votre dispositif de protection autour des parties de votre environnement qui présentent un intérêt particulier pour les attaquants.
Compte tenu de l'ampleur de l'attaque de la chaîne d'approvisionnement contre SolarWinds et des violations ultérieures d'agences gouvernementales et d'entreprises de premier plan, nous verrons probablement d'autres victimes faire des révélations dans les jours à venir.Si vous avez des questions sur la sécurisation de votre Active Directory contre la liste de vulnérabilités publiée par FireEye ou contre toute attaque en cours, n'hésitez pas àcontacterles gens de Semperis.
