L’Anssi se penche sur la menace qui vise l’aéronautique

Code malveillant et vol d’identifiants

L’agence décrit une chaîne d’attaque qui commence par l’exploitation « de vulnérabilités sur des services exposés sur Internet et peu sécurisés ». De quoi jeter un nouvel éclairage sur l’alerte lancée par le Cert-FR durant l’été, même s’il y a bien (trop) souvent bien plus que des serveurs exposés sur Internet et potentiellement vulnérables ou à tout le moins mal sécurisés. Mais les assaillants ne manquent pas de recourir aussi à des « courriels piégés » pour leurrer leurs cibles et prendre pied dans leur système d’information.

Après, les assaillants utilisent « des comptes VPN légitimes dont les identifiants ont probablement été dérobés pour revenir sur le réseau ». À cela s’ajoute l’utilisation potentielle d’outils d’accès à distance, de portes dérobées comme des « webshells » – comme nous en avions trouvé lors d’une enquête début 2018. L’Anssi évoque également le maliciel PlugX dont elle fournit des éléments de code en annexe. Plus loin, la chaîne décrite ne surprendra aucun expert : élévation de privilèges, latéralisation – « principalement avec des connexions RDP avec des identifiants récupérés ».

L’apport principal du rapport de l’agence tient aux indicateurs de compromission, faisant ressortir des attaquants mettant à profit des services commerciaux de VPN, ou encore Tor, ainsi que des machines virtuelles VMware pour se connecter à l’infrastructure de la victime.

Et là, il y a de quoi lancer des alertes : « des utilisateurs se connectant à des VPN d’entreprise depuis un nœud de sortie de VPN public sont des anomalies ». C’est là que l’on touche au second apport du rapport de l’Anssi : des conseils à destination des équipes de sécurité sur quoi chercher, et comment, que ce soit sur le réseau ou sur les postes de travail Windows, dans le registre.

Des détails jusqu’ici peu connus

Samuel Hassine, patron du renseignement sur les menaces à l’Anssi, indique que la publication de ce rapport survient « après plusieurs mois de procédures internes, à attendre les autorisations et les bonnes opportunités ». Et l’une d’entre elles n’est peut-être que la publication du rapport de Context Information Security, ce 3 octobre, sur la campagne qu’il appelle Avivore.

Car Florian Roth, créateur du Thor Scanner, aujourd’hui œuvrant chez Nextron Systems, relève que le rapport de l’Anssi renvoie en fait à cette même campagne, « contenant des détails qui étaient précédemment partagés en TLP : Green ». À savoir, ils n’avaient vocation à n’être partagés qu’au sein de la communauté concernée, et pas au-delà, probablement pour éviter de porter préjudice aux efforts d’investigation.

Aujourd’hui, l’Anssi a donc décidé d’aller plus loin, passant certains de ces éléments en TLP : White, comme le confirme d’ailleurs Samuel Hassine. Et cela recouvre probablement tous les indicateurs de compromission présents dans son rapport : Context s’était bien gardé d’en publier un seul. Avec cette publication, l’agence française apporte probablement une contribution à la sécurité d’un écosystème élargi de partenaires des grands industriels concernés, mais elle indique implicitement estimer l’enquête terminée pour l’essentiel. Et puis elle ne se prive assurément pas d’un petit exercice d’autopromotion, au passage.

Un secteur alléchant

Reste que la menace sur les grands industriels, et en particulier l’aéronautique, n’est pas nouvelle, même si un Asco vient récemment d’en rappeler la réalité. Début 2014, on apprenait ainsi, par la voix de Websense, que les acteurs français de l’industrie aéronautique, spatiale et militaire avaient fait l’objet d’une attaque par point d’eau. Un peu plus tard, Reuters affirmait que Snecma comptait parmi les victimes. En 2016, la division 42 de Palo Alto Networks détaillait un cheval de Troie taillé pour macOS et apparemment utilisé pour cibler des acteurs précis de l’industrie aéronautique.

En tout début d’année, c’était Airbus lui-même qui reconnaissait, sans le détailler, un « incident » de sécurité. Début 2016, Stéphane Lenco, alors RSSI d’Airbus, passé chez Thales en fin d’année dernière, expliquait d’ailleurs que le groupe aéronautique européen faisait l’objet de « milliers de tentatives d’attaque » par jour, la plupart ne représentant pas de réelle menace. Parmi celles-ci, une dizaine, quotidiennement, méritaient investigation, dont des attaques soutenues par des États. Et de préciser alors que ces pirates-là « existent, et ils entrent ».

Des menaces importantes

Surtout, la publication de son rapport d’activité 2018 a été récemment l’occasion pour l’Anssi de souligner l’importance du sujet : « en ciblant un ou plusieurs intermédiaires (fournisseur, prestataire, etc.), les attaquants parviennent à contourner les mesures de sécurité de très grandes organisations, pourtant de plus en plus conscientes du risque numérique ». Et justement, « la compromission d’un seul intermédiaire suffit parfois à accéder à plusieurs organisations ».

Les attaques par rebond avaient été évoquées en ouverture du Forum International de la Cybersécurité (FIC), fin janvier, à Lille. Difficile d’imaginer, dans ce contexte, que le message choisi par l’Anssi pour 2019 l’ait été au hasard : « tous connectés, tous impliqués, tous responsables ».

Une attribution délicate

Mais attention encore une fois à la tentation de l’attribution. Nos confrères de l’AFP faisaient état de sources évoquant le groupe APT10, réputé pour ses attaques sur la chaîne logistique de cibles à haut profil, visant notamment les fournisseurs de services managés. Il est soupçonné de liens avec le renseignement chinois, à l’instar d’un autre groupe, APT31, que d’autres experts, de Microsoft cette fois-ci, estiment avoir été à la manœuvre contre Visma. Pour Duo Security, APT10 et APT31 pourraient être étroitement liés. Le premier était soupçonné, en début d’année, d’être derrière l’attaque ayant visé Airbus.

Mais Context Information Security estime « si l’implication [d’APT10 ou du ministère de la Sécurité intérieure de la province de Jiangsu] ne peut pas être écartée, les indices disponibles suggèrent que cette campagne est le travail d’un groupe distinct ».