Fait rare, jeudi 28 mai : la célèbre National Security Agency (NSA) a prévenu le public au sujet d’une campagne de cyberattaque en cours. Détail encore plus exceptionnel, elle attribue directement les actes de cybermalveillance à Sandworm, un célèbre groupe de hackers rattaché au renseignement militaire russe.
La NSA accuse les cyberespions russes d’avoir exploité, pendant près d’un an, une faille sur le MTA (mail transfer agent) Exim. Les MTA sont les logiciels en charge du transfert d’email d’une adresse à l’autre. Des géants du courrier électronique, comme Gmail, ont développé leur propre brique logicielle, mais d’autres s’appuient sur un logiciel tiers. Les plus populaires s’appellent Postfix, Microsoft Exchange ou Sendmail, mais Exim s’est imposé comme une solide alternative aux géants de son marché.
Les autorités américaines craignent que Sandworm tente à nouveau de s’immiscer dans l’élection présidentielle. // Source : Gage Skidmore / Flickr
Si des hackers parviennent à s’infilter sur le MTA, ils peuvent accéder aux courriers (et pièces jointes attachées) en transit, de la même manière qu’ils se serviraient dans les sacs de courrier d’un facteur. Ils peuvent aussi introduire leurs propres messages malveillants dans la distribution du courrier.
Les cyberespions russes auraient commencé à exploiter des failles sur les serveurs d’Exim en août 2019. Ils s’en sont servis pour créer un point d’entrée sur les systèmes informatiques de leurs victimes, et déployer des malwares virulents. Avare en détail comme à son habitude, l’agence américaine n’a pas communiqué les noms ni le nombre de victimes. Quant aux motivations exactes de l’armée russes, elles restent également mystérieuses.
L’activité de Sandworm scrutée de près à quelques mois de l’élection présidentielle
Sandworm, découvert en 2014, est bien connu des autorités. Ce groupe s’est par le passé illustré par l’agressivité et la dangerosité de ses méfaits. On lui attribue notamment l’exploitation du ver informatique NotPetya — qui a causé des dommages évalués à 10 milliards de dollars –, des cyberattaques contre le gouvernement ukrainien, contre l’infrastructure des Jeux olympiques de 2018, ou encore des tentatives de déstabilisations de l’appareil de vote américain lors de l’élection présidentielle de 2016. Et c’est bien ce dernier point qui préoccupe le plus, alors que la nouvelle échéance présidentielle n’est que dans quelques mois.
Les hackers militaires russes ont utilisé une faille découverte en juin 2019. Elle permettait, par le simple envoi d’un email malveillant, de gagner la capacité d’exécuter du code sur le serveur, à distance. Les cyberespions ont profité de cette faille très simple à exploiter pour s’ouvrir la porte en grand : gain de privilège, désactivation de la sécurité du réseau, mise à jour de la sécurité du noyau pour la rendre plus perméable… Ils ont ensuite armé les serveurs d’Exim afin de s’en prendre à leurs véritables cibles. En raison de son rôle central dans l’échange d’emails, le MTA offre un excellent angle d’attaque contre toutes sortes de systèmes.
Le renseignement russe clairement accusé depuis février
La faille exploitée par Sandworm a rapidement été patchée par Exim, mais certains clients n’ont pas encore fait les mises à jour, notamment car il faut faire passer le client mail hors ligne le temps qu’elle s’effectue. La NSA recommande aux administrateurs réseau de le faire, et d’en profiter pour analyser l’historique de leur trafic à la recherche de signes d’exploitation de la faille.
Le site Wired précise que la mise en avant de Sandworm (parmi d’autres cyberacteurs qui auraient exploité la faille) pourrait aussi faire partie d’une manœuvre de mise en lumière des activités du groupe russe.
Ce n’est qu’en février de cette année que Sandworm a été clairement attribué au GRU — le service de renseignement militaire russe — par les gouvernements britanniques et américains, à la suite de cyberattaques contre la Géorgie qui ont paralysées des centaines de sites et chaînes de télévision. Peut-être que la NSA prépare déjà le terrain contre d’éventuelles tentatives de déstabilisation lors de l’élection d’octobre.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !
