L'attaque informatique la plus sophistiquée de l'histoire

Summary

Le 29 mars, la découverte d'une porte dérobée dans XZ, un outil de compression utilisé par des millions d'ordinateurs, révèle une attaque de type Supply Chain d'une sophistication exceptionnelle. Jantan, un développeur infiltré pendant trois ans, a obtenu progressivement la confiance des mainteneurs pour introduire un code malveillant difficile à détecter, ciblant uniquement certaines distributions Linux. La backdoor exploitait SSH pour un contrôle à distance discret. Détectée à temps grâce à Andr Frund, l'attaque aurait pu avoir un impact mondial. L'enquête sur l'identité de Jantan suggère une possible implication étatique, avec des indices pointant vers l'Europe de l'Est ou le groupe russe APT29.

Takeaways

• 😀 Une attaque ciblée visant spécifiquement des systèmes d'exploitation basés sur Debian, avec une porte dérobée qui ne s'installe que sur des versions bien particulières d'ordinateurs.
• 😀 La porte dérobée ne se trouve pas dans le code source du projet sur GitHub, mais dans les versions packagées envoyées aux distributions Linux, ce qui la rend plus difficile à détecter.
• 😀 La découverte de l'attaque a eu lieu grâce à une version de test d'une distribution Linux, ce qui a limité son impact.
• 😀 La durée de l'infiltration de l'attaque est impressionnante, plusieurs années, ce qui montre la sophistication de l'opération.
• 😀 Le hacker, surnommé 'Jatan', a utilisé des techniques de sécurité opérationnelle (obsec) pour garder son anonymat, laissant peu de traces de son identité.
• 😀 Les experts suspectent que cette attaque pourrait être l'œuvre d'un acteur étatique, notamment en raison de la complexité de l'attaque de type 'Supply Chain'.
• 😀 Des attaques similaires, comme celle de SolarWinds en 2020, sont des exemples de cyberattaques d'une telle envergure, souvent liées à des groupes de hackers d'État.
• 😀 L'attaque ciblait des logiciels largement utilisés, comme XZ, pour infiltrer les systèmes avant leur distribution, dans le but de propager la porte dérobée.
• 😀 L'hypothèse selon laquelle Jatan pourrait être lié au groupe de hackers APT 29 du service de renseignement russe (SVR) prend forme en raison de certains indices, notamment les fuseaux horaires.
• 😀 Les commits de Jatan ont souvent été effectués dans le fuseau horaire UTC+8, mais quelques erreurs ont révélé des horaires correspondants à l'Europe de l'Est, suggérant une possible localisation en Russie ou en Israël.
• 😀 Malgré l'énorme discrétion de l'attaque, la disparition soudaine de Jatan après l'investigation laisse présager que d'autres attaques similaires pourraient se cacher dans les coulisses, avec des failles dormantes dans des systèmes mondiaux.

Q & A

Qu'est-ce que le logiciel XZ et pourquoi est-il important dans le contexte de cette attaque ?

XZ est un outil de compression de fichiers utilisé massivement dans les distributions Linux et intégré automatiquement dans de nombreux programmes. Sa compromission pouvait toucher des millions de systèmes dans le monde, y compris des serveurs gouvernementaux et bancaires.

Comment André Frund a-t-il découvert la porte dérobée dans XZ ?

En réalisant des tests de performance sur Debian, André a observé un délai inhabituel de 500 millisecondes dans le processus SSH, ce qui l'a conduit à enquêter et à découvrir le code malveillant injecté dans XZ.

Qui est Jantan et comment a-t-il infiltré le projet XZ ?

Jantan est un développeur anonyme qui a progressivement gagné la confiance de la communauté open source et de Lascoline, le mainteneur principal de XZ, pour devenir co-mainteneur et introduire la porte dérobée en toute discrétion.

Pourquoi la porte dérobée était-elle particulièrement difficile à détecter ?

Elle n'était pas présente dans le code source original sur GitHub mais uniquement dans les versions packagées envoyées aux distributions Linux. De plus, le code malicieux était dormant et ne s'activait que dans des conditions spécifiques, rendant sa détection extrêmement difficile.

Quels mécanismes Jantan a-t-il utilisés pour s'assurer que son attaque reste discrète ?

Il a ciblé uniquement certaines distributions Debian et dérivées, intégré la porte dérobée dans SSH pour un contrôle à distance silencieux, et a modifié les métadonnées et l'infrastructure pour conserver un maximum de contrôle sans éveiller les soupçons.

Qu'est-ce qu'une attaque de type Supply Chain et comment cela s'applique à XZ ?

Une attaque Supply Chain consiste à compromettre un logiciel largement distribué pour atteindre ses utilisateurs finaux indirectement. Dans le cas de XZ, Jantan a infiltré le projet pour distribuer la porte dérobée via les mises à jour officielles des distributions Linux.

Pourquoi la communauté open source n'a-t-elle pas détecté la porte dérobée plus tôt ?

Jantan a exploité la confiance accordée aux mainteneurs et la complexité du processus de mise à jour, tout en injectant le code malicieux dans des fichiers de test apparemment légitimes, ce qui a rendu l'analyse et la détection plus difficiles.

Quels indices ont permis aux enquêteurs de déduire la localisation potentielle de Jantan ?

Les heures de commit majoritairement à UTC+8 et quelques anomalies à UTC+2/3 ont permis d'estimer un fuseau horaire correspondant à l'Europe de l'Est ou Israël, suggérant un lien possible avec le SVR russe.

Quelles sont les différences entre l'attaque de XZ et une attaque classique sur un logiciel propriétaire ?

Dans un logiciel propriétaire, une porte dérobée peut être ajoutée rapidement et sans surveillance publique. Ici, la difficulté résidait à cacher le code malicieux dans un projet open source extrêmement vérifié et transparent.

Quels enseignements peut-on tirer de cette attaque pour la sécurité des logiciels open source ?

Même les projets open source largement audités peuvent être vulnérables si un attaquant gagne la confiance des mainteneurs. Il est crucial de diversifier la maintenance, de surveiller les contributions et de tester les packages avant diffusion.

Comment l'attaque de XZ se compare-t-elle à celle de SolarWinds ?

Les deux sont des attaques Supply Chain complexes touchant des logiciels largement utilisés. SolarWinds a ciblé les serveurs de mises à jour pour atteindre des clients américains, tandis que XZ visait les distributions Linux globales, probablement pour un impact à large échelle.

Quelles mesures ont limité l'impact de l'attaque XZ ?

La porte dérobée a été détectée par chance dans une version test grâce à l'observation d'André Frund. Son intervention a empêché que la version infectée soit déployée massivement dans des distributions finales comme Fedora 40.