Rester caché le plus longtemps possible pour continuer d’espionner et être prêt à s’activer en cas de crise. C’était l’objectif supposé derrière l’infiltration de grande ampleur menée de façon discrète par la Chine au sein d’infrastructures américaines dénoncée par les États-Unis mercredi 24 mai.
Derrière cette attaque, on trouve « un foyer d’activité associé à un cyberacteur parrainé par l’État de la République populaire de Chine, aussi connu sous le nom de Volt Typhoon », relate un avis conjoint des autorités chargées de la cybersécurité aux États-Unis, Canada, au Royaume-Uni, Australie et Nouvelle-Zélande — une alliance connue sous le nom de Five Eyes. Si elles étaient généralisées, leurs techniques feraient craindre des cyberattaques de plus en plus indétectables.
Une cible stratégique espionnée incognito
La cible ? Les États-Unis, mais aussi l’île de Guam, dans l’océan Pacifique, qui abrite une base militaire américaine cruciale. Volt Typhoon chercherait en fait à « perturber les infrastructures de communication essentielles entre les États-Unis et la région asiatique lors de crises futures », estime Microsoft dans un communiqué. Il faut dire que l’hypothèse d’un conflit armé dans la région n’est plus si aberrante, alors que les relations sino-américaines se tendent au sujet de Taïwan.
« Le comportement observé suggère que l’acteur de la menace comptait poursuivre son espionnage et maintenir son accès sans être détecté, le plus longtemps possible », poursuit le rapport de Microsoft. Dans le détail, la campagne visait « les secteurs des communications, de l’industrie, des services publics, des transports, de la construction, de la marine, du gouvernement, des technologies de l’information et de l’éducation. »
La méthode « living off the land », ou comment rester caché
Pour ne pas éveiller l’attention, les attaquants ont usé d’une tactique discrète, appelée « living off the land » (LotL), littéralement « vivre de la terre », en l’occurrence, s’appuyer sur ce qui est déjà présent. Ce type de cyberattaque infecte des logiciels existants sur le poste. Ici, c’est les outils d’administration réseau. Les moyens d’accès utilisés étant des outils de confiance, voire faisant partie de la configuration de base du système, ceux-ci ne suscitent pas d’alerte… ce qui permet aux intrus de maintenir leur présence incognito et de collecter des données en toute quiétude.
Volt Typhoon a exploité une faille informatique dite « zero-day » — c’est-à-dire jamais connue jusqu’ici — sur des appareils connectables à Internet et utilisant la suite de cybersécurité FortiGuard, commercialisée par Fortinet, a détaillé Microsoft. Pour se mêler à l’activité normale du réseau, l’assaillant a fait passer le trafic par des outils connectés piratés — comme des routeurs, des pare-feux ou des réseaux privés virtuels (VPN).
Une fois entrés, et plutôt que d’infecter les appareils avec des logiciels malveillants, les attaquants semblent avoir préféré des techniques plus discrètes. Ainsi, après avoir volé des identifiants d’accès valides appartenant à des utilisateurs réels sur le réseau, ils les utilisaient pour mettre la main sur d’autres comptes.
« Cyberactivité basse et lente »
« C’est ce que j’appellerais une cyberactivité basse et lente », a expliqué à l’AFP Alastair McGibbon, directeur de la stratégie de la société australienne CyberCX et ancien directeur du Centre australien de cybersécurité. « C’est comme quelqu’un qui porte une veste de camouflage et un fusil de tireur d’élite. On ne le voit pas, il n’est pas là. »
Le recours à ce type de procédés inquiète l’agence américaine de cyberdéfense (CISA), qui craint qu’ils ne soient utilisés dans d’autres secteurs et à travers le monde, en particulier par des Etats ennemis. « La Chine est certainement capable de lancer des attaques informatiques qui pourraient perturber les infrastructures américaines, comme les oléoducs et les gazoducs, ou le système ferroviaire », estime la direction des renseignements américains dans son rapport 2023 d’évaluation des menaces.
De son côté, Pékin n’a pas encore réagi à ces accusations spécifiques, mais nie fréquemment toute implication dans des cyberattaques. Des chercheurs avaient, par exemple, découvert en mai 2022 qu’un groupe de hackers chinois espionnaient depuis 2019 des entreprises stratégiques dans les secteurs de la technologie et de la chimie sur trois continents.
Cette affaire éclaire ainsi sur la méthodologie de la Chine, qui semble user de méthodes perfectionnées pour ne pas laisser de traces et échapper aux systèmes de détection, davantage que d’attaques visibles et destructrices.
[Mise à jour 15h : La Chine a depuis rejeté ces accusations d’espionnage avancées par les Five Eyes, accusant les Etats-Unis en retour.]
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
