Le gouvernement am\u00e9ricain a d\u00e9clar\u00e9 mercredi qu’il avait pris des mesures pour neutraliser un botnet comprenant des centaines de routeurs de petites entreprises et de bureaux \u00e0 domicile (SOHO) bas\u00e9s aux \u00c9tats-Unis, pirat\u00e9s par un acteur malveillant parrain\u00e9 par l’\u00c9tat et li\u00e9 \u00e0 la Chine, appel\u00e9 Volt Typhoon, et att\u00e9nuer l’impact du piratage. campagne.<\/p>\n
L’existence du botnet, baptis\u00e9 Botnet KV<\/strong>a \u00e9t\u00e9 divulgu\u00e9 pour la premi\u00e8re fois par l’\u00e9quipe Black Lotus Labs de Lumen Technologies \u00e0 la mi-d\u00e9cembre 2023. Les efforts d’application de la loi ont \u00e9t\u00e9 signal\u00e9<\/a> par Reuters plus t\u00f4t cette semaine.<\/p>\n \u00ab La grande majorit\u00e9 des routeurs qui composaient le botnet KV \u00e9taient des routeurs Cisco et NetGear qui \u00e9taient vuln\u00e9rables car ils avaient atteint le statut \u00ab en fin de vie \u00bb\u00a0; c’est-\u00e0-dire qu’ils n’\u00e9taient plus pris en charge par les correctifs de s\u00e9curit\u00e9 de leur fabricant ou d’autres mises \u00e0 jour logicielles. ” le minist\u00e8re de la Justice (DoJ) dit<\/a> dans un communiqu\u00e9 de presse.<\/p>\n Volt Typhoon (alias DEV-0391, Bronze Silhouette, Insidious Taurus ou Vanguard Panda) est le surnom attribu\u00e9 \u00e0 un collectif accusateur bas\u00e9 en Chine qui a \u00e9t\u00e9 attribu\u00e9 \u00e0 des cyberattaques ciblant des secteurs d’infrastructures critiques aux \u00c9tats-Unis et \u00e0 Guam.<\/p>\n “Les cyberacteurs chinois, notamment un groupe connu sous le nom de “Volt Typhoon”, s’enfouissent profond\u00e9ment dans nos infrastructures critiques pour \u00eatre pr\u00eats \u00e0 lancer des cyberattaques destructrices en cas de crise majeure ou de conflit avec les \u00c9tats-Unis”, a d\u00e9clar\u00e9 Jen Easterly, directrice de la CISA. not\u00e9<\/a>.<\/p>\n Le groupe de cyberespionnage, soup\u00e7onn\u00e9 d’\u00eatre actif depuis 2021, est connu pour son recours \u00e0 des outils l\u00e9gitimes et \u00e0 des techniques de vie hors du territoire (LotL) pour passer inaper\u00e7u et persister dans les environnements des victimes pendant de longues p\u00e9riodes afin de recueillir des informations sensibles. information.<\/p>\n Un autre aspect important de son mode op\u00e9ratoire est qu’il tente de se fondre dans l’activit\u00e9 normale du r\u00e9seau en acheminant le trafic via des \u00e9quipements r\u00e9seau SOHO compromis, notamment des routeurs, des pare-feu et du mat\u00e9riel VPN, dans le but d’obscurcir leurs origines.<\/p>\n Ceci est accompli gr\u00e2ce au botnet KV, qui r\u00e9quisitionne les appareils de Cisco, DrayTek, Fortinet et NETGEAR pour les utiliser comme r\u00e9seau de transfert de donn\u00e9es secret pour les acteurs de menaces persistantes avanc\u00e9es. On soup\u00e7onne que les op\u00e9rateurs de botnet proposent leurs services \u00e0 d’autres groupes de piratage, dont Volt Typhoon.<\/p>\n En janvier 2024, un rapport de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SecurityScorecard a r\u00e9v\u00e9l\u00e9 comment le botnet avait compromis jusqu’\u00e0 30 % \u2013 soit 325 sur 1\u00a0116 \u2013 des routeurs Cisco RV320\/325 en fin de vie sur une p\u00e9riode de 37 jours \u00e0 compter du 1er d\u00e9cembre. , 2023, au 7 janvier 2024.<\/p>\n “Volt Typhoon est au moins un utilisateur du botnet KV et […] ce botnet englobe un sous-ensemble de leur infrastructure op\u00e9rationnelle”, a d\u00e9clar\u00e9 Lumen Black Lotus Labs, ajoutant que le botnet “est actif depuis au moins f\u00e9vrier 2022”.<\/p>\n Le botnet est \u00e9galement con\u00e7u pour t\u00e9l\u00e9charger un module de r\u00e9seau priv\u00e9 virtuel (VPN) sur les routeurs vuln\u00e9rables et mettre en place un canal de communication crypt\u00e9 direct pour contr\u00f4ler le botnet et l’utiliser comme n\u0153ud de relais interm\u00e9diaire pour atteindre ses objectifs op\u00e9rationnels.<\/p>\n “L’une des fonctions du botnet KV est de transmettre du trafic crypt\u00e9 entre les routeurs SOHO infect\u00e9s, permettant aux pirates d’anonymiser leurs activit\u00e9s (c’est-\u00e0-dire que les pirates semblent op\u00e9rer \u00e0 partir des routeurs SOHO, plut\u00f4t que de leurs ordinateurs r\u00e9els en Chine)”, selon aux affidavits d\u00e9pos\u00e9s par le Federal Bureau of Investigation (FBI) des \u00c9tats-Unis.<\/p>\n Dans le cadre de ses efforts visant \u00e0 perturber le botnet, l’agence a d\u00e9clar\u00e9 avoir \u00e9mis des commandes \u00e0 distance pour cibler les routeurs aux \u00c9tats-Unis en utilisant les protocoles de communication du malware afin de supprimer la charge utile du botnet KV et d’emp\u00eacher leur r\u00e9infection. Le FBI a d\u00e9clar\u00e9 avoir \u00e9galement inform\u00e9 chaque victime de l’op\u00e9ration, soit directement, soit via son fournisseur d’acc\u00e8s Internet si ses coordonn\u00e9es n’\u00e9taient pas disponibles.<\/p>\n “L’op\u00e9ration autoris\u00e9e par le tribunal a supprim\u00e9 le malware KV-botnet des routeurs et a pris des mesures suppl\u00e9mentaires pour rompre leur connexion au botnet, comme le blocage des communications avec d’autres appareils utilis\u00e9s pour contr\u00f4ler le botnet”, a ajout\u00e9 le DoJ.<\/p>\n Il est important de souligner ici que les mesures de pr\u00e9vention non sp\u00e9cifi\u00e9es utilis\u00e9es pour supprimer les routeurs du botnet sont temporaires et ne peuvent pas survivre \u00e0 un red\u00e9marrage. En d\u2019autres termes, le simple red\u00e9marrage des appareils les rendrait susceptibles d\u2019\u00eatre r\u00e9infect\u00e9s.<\/p>\n “Le malware Volt Typhoon a permis \u00e0 la Chine de dissimuler, entre autres choses, des op\u00e9rations de reconnaissance pr\u00e9-op\u00e9rationnelles et d’exploitation de r\u00e9seaux contre des infrastructures critiques telles que nos secteurs des communications, de l’\u00e9nergie, des transports et de l’eau – des mesures que la Chine prenait, en d’autres termes, pour trouver et se pr\u00e9parer \u00e0 d\u00e9truire ou d\u00e9grader les infrastructures civiles critiques qui assurent notre s\u00e9curit\u00e9 et notre prosp\u00e9rit\u00e9”, a d\u00e9clar\u00e9 le directeur du FBI, Christopher Wray. dit<\/a>.<\/p>\n Cependant, le gouvernement chinois, dans un d\u00e9claration<\/a> partag\u00e9 avec Reuters, a ni\u00e9 toute implication dans les attaques, les qualifiant de “campagne de d\u00e9sinformation” et affirmant qu’il “s’\u00e9tait cat\u00e9goriquement oppos\u00e9 aux attaques de piratage informatique et \u00e0 l’abus des technologies de l’information”.<\/p>\n Co\u00efncidant avec le retrait, l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) a publi\u00e9 de nouvelles directives exhortant les fabricants d’appareils SOHO \u00e0 adopter une approche s\u00e9curis\u00e9e d\u00e8s la conception<\/a> pendant le d\u00e9veloppement et d\u00e9placer le fardeau des clients.<\/p>\n Plus pr\u00e9cis\u00e9ment, il recommande aux fabricants d’\u00e9liminer les d\u00e9fauts exploitables dans les interfaces de gestion Web des routeurs SOHO et de modifier les configurations par d\u00e9faut des p\u00e9riph\u00e9riques pour prendre en charge les capacit\u00e9s de mise \u00e0 jour automatique et d’exiger une substitution manuelle pour supprimer les param\u00e8tres de s\u00e9curit\u00e9.<\/p>\n La compromission des appareils de pointe tels que les routeurs destin\u00e9s \u00e0 \u00eatre utilis\u00e9s dans des attaques persistantes avanc\u00e9es organis\u00e9es par la Russie et la Chine met en \u00e9vidence un probl\u00e8me croissant qui est aggrav\u00e9 par le fait que les appareils existants ne re\u00e7oivent plus de correctifs de s\u00e9curit\u00e9 et ne prennent pas en charge les solutions de d\u00e9tection et de r\u00e9ponse des points finaux (EDR).<\/p>\n “La cr\u00e9ation de produits d\u00e9pourvus de contr\u00f4les de s\u00e9curit\u00e9 appropri\u00e9s est inacceptable compte tenu de l’environnement de menace actuel”, a d\u00e9clar\u00e9 CISA. dit<\/a>. “Ce cas illustre comment un manque de pratiques s\u00e9curis\u00e9es d\u00e8s la conception peut entra\u00eener des dommages r\u00e9els \u00e0 la fois aux clients et, dans ce cas, \u00e0 l’infrastructure critique de notre pays.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-gouvernement-federal-americain-ferme-les-activites-liees-a-la.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n