Les cybercriminels courants sont une menace, cela ne fait aucun doute – des pirates de chambre aux groupes de ran\u00e7ongiciels, les cybercriminels causent beaucoup de d\u00e9g\u00e2ts. Mais les outils utilis\u00e9s et la menace pos\u00e9e par les cybercriminels ordinaires sont p\u00e2les par rapport aux outils utilis\u00e9s par des groupes plus professionnels tels que les c\u00e9l\u00e8bres groupes de piratage et les groupes parrain\u00e9s par l’\u00c9tat.<\/p>\n
En fait, ces outils peuvent s’av\u00e9rer presque impossibles \u00e0 d\u00e9tecter \u2013 et \u00e0 \u00e9viter. BVP47 en est un bon exemple. Dans cet article, nous expliquerons comment ce puissant logiciel malveillant parrain\u00e9 par l’\u00c9tat circule discr\u00e8tement depuis des ann\u00e9es, comment il se d\u00e9guise si intelligemment et expliquerons ce que cela signifie pour la cybers\u00e9curit\u00e9 dans l’entreprise.<\/p>\n
Histoire de fond derri\u00e8re BVP47<\/h2>\n
C’est une longue histoire, digne d’un roman d’espionnage. Plus t\u00f4t cette ann\u00e9e, un groupe de recherche chinois sur la cybers\u00e9curit\u00e9 appel\u00e9 Pangu Lab a publi\u00e9 un rapport approfondi de 56 pages couvrant un morceau de code malveillant que le groupe de recherche a d\u00e9cid\u00e9 d’appeler BVP47 (parce que BVP \u00e9tait la cha\u00eene la plus courante dans le code, et 47 \u00e9tant donn\u00e9 que l’algorithme de chiffrement utilise la valeur num\u00e9rique 0x47).<\/p>\n
Le rapport est vraiment d\u00e9taill\u00e9 avec une explication technique approfondie, y compris une plong\u00e9e en profondeur dans le code du malware. Il r\u00e9v\u00e8le que Pangu Lab a initialement trouv\u00e9 le code lors d’une enqu\u00eate de 2013 sur l’\u00e9tat de la s\u00e9curit\u00e9 informatique dans une organisation qui \u00e9tait tr\u00e8s probablement un d\u00e9partement du gouvernement chinois – mais pourquoi le groupe a attendu jusqu’\u00e0 maintenant pour publier le rapport n’est pas indiqu\u00e9.<\/p>\n
En tant que facteur cl\u00e9, le rapport relie BVP47 au “groupe d’\u00e9quations”, qui \u00e0 son tour a \u00e9t\u00e9 li\u00e9 \u00e0 l’unit\u00e9 des op\u00e9rations d’acc\u00e8s sur mesure de l’Agence de s\u00e9curit\u00e9 nationale des \u00c9tats-Unis (la NSA). Pangu Lab est arriv\u00e9 \u00e0 cette conclusion car il a trouv\u00e9 une cl\u00e9 priv\u00e9e qui pourrait d\u00e9clencher BVP47 dans un ensemble de fichiers publi\u00e9s par le groupe The Shadow Brokers (TSB). Le TSB a attribu\u00e9 ce vidage de fichier au groupe d’\u00e9quations, ce qui nous ram\u00e8ne \u00e0 la NSA. Vous ne pouviez tout simplement pas l’inventer, et c’est une histoire digne d’un film cin\u00e9matographique.<\/p>\n
Comment fonctionne BVP47 en pratique ?<\/h2>\n
Mais assez parl\u00e9 de l’\u00e9l\u00e9ment espion contre espion de l’histoire. Que signifie BVP47 pour la cybers\u00e9curit\u00e9 ? Essentiellement, cela fonctionne comme une porte d\u00e9rob\u00e9e tr\u00e8s intelligente et tr\u00e8s bien cach\u00e9e dans le syst\u00e8me de r\u00e9seau cible, ce qui permet \u00e0 la partie qui l’exploite d’obtenir un acc\u00e8s non autoris\u00e9 aux donn\u00e9es – et de le faire sans \u00eatre d\u00e9tect\u00e9.<\/p>\n
L’outil a quelques astuces tr\u00e8s sophistiqu\u00e9es dans sa manche, reposant en partie sur l’exploitation d’un comportement que la plupart des administrateurs syst\u00e8me ne rechercheraient pas – simplement parce que personne ne pensait qu’un outil technologique se comporterait comme \u00e7a. Il commence son chemin infectieux en mettant en place un canal de communication secret dans un endroit o\u00f9 personne ne penserait \u00e0 regarder : les paquets TCP SYN.<\/p>\n
Dans une tournure particuli\u00e8rement insidieuse, BVP47 a la capacit\u00e9 d’\u00e9couter sur le m\u00eame port r\u00e9seau utilis\u00e9 par d’autres services, ce qui est tr\u00e8s difficile \u00e0 faire. En d’autres termes, il peut \u00eatre extr\u00eamement difficile \u00e0 d\u00e9tecter car il est difficile de faire la diff\u00e9rence entre un service standard utilisant un port et BVP47 utilisant ce port. <\/p>\n
La difficult\u00e9 \u00e0 se d\u00e9fendre contre cette ligne d’attaque<\/p>\n
Dans un autre tour encore, l’outil teste r\u00e9guli\u00e8rement l’environnement dans lequel il s’ex\u00e9cute et efface ses traces en cours de route, cachant ses propres processus et l’activit\u00e9 du r\u00e9seau pour s’assurer qu’il ne reste aucune trace \u00e0 trouver. <\/p>\n
De plus, BVP47 utilise plusieurs m\u00e9thodes de cryptage sur plusieurs couches de cryptage pour la communication et l’exfiltration de donn\u00e9es. C’est typique des outils de premier plan utilis\u00e9s par les groupes de menaces persistantes avanc\u00e9es, y compris les groupes parrain\u00e9s par l’\u00c9tat.<\/p>\n
Pris ensemble, cela \u00e9quivaut \u00e0 un comportement incroyablement sophistiqu\u00e9 qui peut \u00e9chapper m\u00eame aux d\u00e9fenses de cybers\u00e9curit\u00e9 les plus astucieuses. La combinaison la plus performante de pare-feu, de protection avanc\u00e9e contre les menaces, etc., peut toujours \u00e9chouer \u00e0 arr\u00eater des outils tels que BVP47. Ces portes d\u00e9rob\u00e9es sont si puissantes en raison des ressources que les acteurs \u00e9tatiques aux poches profondes peuvent consacrer \u00e0 leur d\u00e9veloppement.<\/p>\n
Comme toujours, la bonne pratique est votre meilleur pari<\/h2>\n
Cela ne signifie pas, bien s\u00fbr, que les \u00e9quipes de cybers\u00e9curit\u00e9 doivent simplement se retourner et abandonner. Il existe une s\u00e9rie d’activit\u00e9s qui peuvent rendre, \u00e0 tout le moins, plus difficile pour un acteur le d\u00e9ploiement d’un outil tel que BVP47. Les activit\u00e9s de sensibilisation et de d\u00e9tection valent la peine d’\u00eatre poursuivies, car une surveillance \u00e9troite peut encore d\u00e9tecter un intrus \u00e0 distance. De m\u00eame, les pots de miel peuvent attirer les attaquants vers une cible inoffensive \u2013 o\u00f9 ils pourraient bien se r\u00e9v\u00e9ler.<\/p>\n
Cependant, il existe une approche simple, bas\u00e9e sur les premiers principes, qui offre une \u00e9norme protection. M\u00eame des outils sophistiqu\u00e9s tels que BVP47 s’appuient sur des logiciels non corrig\u00e9s pour s’implanter. Patcher constamment le syst\u00e8me d’exploitation et les applications dont vous d\u00e9pendez est donc votre tout premier port d’escale.<\/p>\n
Le fait d’appliquer un patch en soi n’est pas l’\u00e9tape la plus difficile \u00e0 franchir, mais comme nous le savons, appliquer rapidement un patch \u00e0 chaque fois est une chose avec laquelle la plupart des organisations ont du mal.<\/p>\n
Et bien s\u00fbr, c’est exactement ce sur quoi les acteurs de la menace tels que l’\u00e9quipe derri\u00e8re BVP47 s’appuient, alors qu’ils mentent et attendent leur cible, qui aurait in\u00e9vitablement trop de ressources pour appliquer des correctifs de mani\u00e8re coh\u00e9rente, manquant finalement un correctif critique. <\/p>\n