Le FBI a neutralisé sept domaines Internet liés à des pirates informatiques associés à la Chine, perturbant des outils utilisés pour rechercher des failles de sécurité et dérober des données sensibles à des organisations du monde entier.
Le 8 octobre, le département de la Justice américain et le FBI ont annoncé la saisie, autorisée par un tribunal, de sept domaines associés à Integrity Technology Group, une entreprise basée en Chine. Les autorités ont établi un lien entre les outils et les activités de l’entreprise et des pirates informatiques suivis sous le nom de Flax Typhoon, qui ciblaient des infrastructures critiques et d’autres organisations.
L’infrastructure saisie prenait en charge deux outils : MicroScan, qui recherche les vulnérabilités sur les réseaux, et FishHub, qui aide les attaquants à diffuser des logiciels malveillants par des campagnes d’hameçonnage ciblé. Le septième domaine, 98aiblog[.]com, prenait en charge les connexions établies par SoftEther, un logiciel VPN légitime que les enquêteurs affirment que les attaquants ont installé sur des serveurs universitaires compromis.
Selon les documents judiciaires, les analyses de MicroScan ont ciblé une compagnie d’électricité de Caroline du Sud, des aéroports au Japon et en Pologne, des fournisseurs taïwanais de gaz naturel et d’électricité, ainsi que des universités. Les enquêteurs ont confirmé des intrusions réussies dans deux universités taïwanaises après ces analyses.
Le DOJ a déclaré que les victimes confirmées des activités de FishHub comprenaient environ 20 universités taïwanaises. Le logiciel malveillant pouvait donner aux attaquants un accès à distance aux réseaux des victimes, ou localiser des fichiers précis et les envoyer vers des serveurs contrôlés par Integrity Tech.
Le FBI a saisi les domaines utilisés pour accéder aux outils et distribuer des logiciels malveillants, coupant ainsi des éléments importants de l’infrastructure opérationnelle. Toutefois, les autorités n’ont pas établi que toutes les organisations dont le réseau a été analysé avaient subi une compromission effective.
La liste des domaines saisis est la suivante :
- youtubecard[.]com
- c0cc[.]cc
- 98aiblog[.]com
- outlook3650[.]com
- 98aicode[.]com
- linkedinns[.]net
- 98aicai[.]com
Un botnet a contribué à dissimuler les attaquants
Les enquêteurs affirment qu’Integrity Tech a utilisé un botnet constitué d’appareils connectés à Internet infectés par une variante du logiciel malveillant Mirai. Les appareils compromis ont permis d’effectuer des opérations de reconnaissance à grande échelle tout en masquant l’origine des analyses.
MicroScan, une application basée sur Python contenant plus de 1 300 scripts de test d’intrusion, pouvait rechercher des failles dans des logiciels largement utilisés, notamment WordPress, Jenkins, Oracle WebLogic et Apache Struts.
Cette opération fait suite à la perturbation, en septembre 2024, d’un botnet lié à Integrity Tech qui avait touché plus de 200 000 appareils grand public dans le monde, selon Bleeping Computer.
Pourquoi la saisie pourrait ne pas mettre fin à la menace
L’avis conjoint décrit des attaquants combinant l’analyse automatisée des vulnérabilités, les attaques contre les identifiants et des logiciels VPN légitimes pour compromettre les réseaux et conserver leur accès. Pour les défenseurs, cette combinaison rend indispensable l’examen à la fois des applications exploitées et des activités d’accès à distance apparemment légitimes.
La saisie des domaines par le FBI perturbe l’accès aux outils identifiés, mais elle ne garantit pas que les systèmes compromis sont assainis ni que les opérateurs ont perdu toutes les voies d’accès aux réseaux des victimes. Les attaquants qui ont déjà installé un logiciel d’accès à distance ou dérobé des identifiants peuvent conserver leur accès si les défenseurs n’enquêtent pas sur ces points d’ancrage et ne les suppriment pas.
Un avis conjoint des agences aux États-Unis, au Royaume-Uni, en Australie, au Canada, au Japon, en Nouvelle-Zélande et en Espagne fournit des indicateurs de compromission pour aider les équipes de sécurité à rechercher d’éventuelles infections. Les agences recommandent d’appliquer les correctifs aux systèmes exposés, de désactiver les services inutiles, d’imposer l’authentification multifacteur et de surveiller les outils d’accès à distance non autorisés ainsi que les activités suspectes dans les journaux réseau.
Ce que les équipes de sécurité doivent vérifier dès maintenant
Les organisations qui exploitent des infrastructures critiques, des universités et d’autres cibles potentielles devraient utiliser l’avis conjoint pour rechercher une éventuelle compromission. Commencez par les applications accessibles depuis Internet et les services d’accès à distance : identifiez les systèmes exposés, appliquez les correctifs nécessaires et désactivez les services ou ports qui ne sont pas indispensables.
Examinez les journaux d’authentification et des applications web à la recherche de connexions inhabituelles, d’activités de pulvérisation de mots de passe et de tentatives d’exploitation. Vérifiez les serveurs et les appareils des employés pour repérer d’éventuels logiciels VPN ou autres outils d’accès à distance inattendus, et confirmez que les logiciels installés répondent à un besoin professionnel autorisé. Une application légitime peut malgré tout fournir à un attaquant un accès non autorisé.
L’enquête doit aller au-delà des sept domaines saisis. L’avis documente des indicateurs, outils et techniques supplémentaires, notamment des activités visant des comptes de messagerie et des fichiers sensibles. Les équipes de sécurité devraient combiner ces indicateurs avec une surveillance comportementale et exiger une authentification multifacteur chaque fois que possible, en particulier pour la messagerie web, les VPN et les comptes qui accèdent aux systèmes critiques.
Si des éléments attestant une compromission apparaissent, traitez-la comme un incident nécessitant un confinement et une remédiation, plutôt que de compter sur la saisie des domaines. Déterminez comment l’accès a été obtenu, corrigez les vulnérabilités exposées et examinez les comptes et identifiants potentiellement compromis. En pratique, la perturbation de l’infrastructure externe ne permet pas d’établir que les propres systèmes d’une organisation sont sains.
Pour en savoir plus : découvrez comment des pirates informatiques liés à la Chine ont transformé des routeurs Cisco en passerelles réseau furtives et pourquoi supprimer un point d’accès peut laisser d’autres voies vers les systèmes d’une organisation.