Alert Defense : Drones, fournisseurs et personnel clé sous une cybermenace croissante

Les entreprises et les entrepreneurs de l'industrie de la défense reçoivent une attention croissante de la part des acteurs de l'État, des pirates et des bandes criminelles, ce qui n'est pas un phénomène isolé : c'est ce que l'équipe de renseignement sur les menaces de Google a documenté dans un récent rapport. La pression est simultanée de plusieurs fronts, avec des objectifs allant des technologies déployées sur le champ de bataille aux chaînes d'approvisionnement industrielles apparemment non-conflit.

L'une des lignes d'attaque les plus concernées est le ciblage de plates-formes autonomes et d'aéronefs sans pilote. Comme les drones et les véhicules indépendants deviennent essentiels dans les conflits modernes, ils deviennent des cibles précieuses pour l'espionnage et le sabotage. Google GTIG note que plusieurs groupes ont concentré leur curiosité sur ces systèmes, cherchant des informations sur la conception, le contrôle et le déploiement, et essayant parfois d'approprier les références et les données opérationnelles utilisées par leurs opérateurs. Vous pouvez lire l'analyse complète de Google sur votre blog de menace: Menaces contre la base industrielle de la défense.

Outre l'obsession de la technologie de combat, il existe une autre stratégie récurrente : attaquer les personnes qui construisent, maintiennent ou exploitent ces systèmes. Différents groupes ont exploité les faux processus de recrutement et les offres d'emploi pour gagner la confiance des techniciens et des spécialistes, leur envoyer des logiciels malveillants ou accéder à leurs appareils personnels. Ces "emplois de rêve" ou campagnes de recrutement malveillantes non seulement cherchent des qualifications, mais aussi ont recours à l'ingénierie sociale hautement à l'écoute, avec des documents et des portails qui imitent les entreprises réelles.

Les voies d'entrée choisies par les attaquants sont variées et souvent créatives. Les groupes liés à la Chine ont fait preuve d'une préférence pour profiter des dispositifs de bord - comme la connexion des portes, des applications et des équipements industriels IoT - pour ouvrir une première brèche sans toucher directement les serveurs d'entreprise. L'utilisation des réseaux de relais opérationnels (ORB) pour masquer la source du trafic et compliquer la détection est un exemple de la façon dont ces tactiques rendent difficile l'attribution: une analyse technique de l'utilisation de l'ORB dans les réseaux de télécommunications explore ce modèle et ses implications, et est disponible dans le blog de Équipe Cymru.

L'exposition de la chaîne d'approvisionnement manufacturière est une autre préoccupation majeure. Lorsqu'un fournisseur de pièces, de logiciels ou de services est compromis, l'étendue des dommages peut être multipliée : composants infectés, mises à jour manipulées ou accès persistant insérés dans les processus de production. Google et d'autres observateurs ont documenté des incidents dans lesquels la modification des processus de mise à jour ou des fonds sur les plates-formes de gestion de la recherche a servi à déployer des portes arrière capables de voler des titres de compétence et de maintenir un accès à long terme.

Le catalogue des acteurs et des outils impliqués est vaste et présente différentes tactiques selon l'origine et les objectifs. Certains groupes ont cherché à extraire des données des applications de messagerie sécurisées après avoir obtenu un accès physique aux appareils dans les zones de combat; d'autres ont utilisé des formulaires en ligne comme des leurres pour reconnaître des cibles et distribuer des logiciels malveillants conçus pour les stations de contrôle de l'UAV. Il y a des campagnes qui ont abusé des fonctionnalités légitimes des applications sécurisées pour enlever des comptes, ou qui ont remplacé les mises à jour de logiciels de contrôle par des installateurs malveillants. Sur un autre front, des acteurs qui utilisent des familles de logiciels malveillants mobiles pour collecter des fichiers, des contacts et des données à partir d'applications spécifiques sur le terrain ont été observés.

Dans certains cas, des logiciels malveillants et des techniques très spécifiques ont été identifiés: des binaires qui exfiltrent les données des versions de messagerie cryptée bureau à Android Trojan camouflé comme des outils de contrôle de combat. L'utilisation de gestionnaires à distance légitimes, déployés par des rejets, a également été identifiée pour faciliter la gestion secrète des environnements compromis. Pour les menaces suivantes, il existe des rapports et des analyses techniques qui aident à identifier les modèles et les signes d'engagement : par exemple, la recherche sur les campagnes qui ont touché les secteurs de l'aérospatiale et de la défense peut être comparée aux rapports des entreprises de sécurité et des médias spécialisés.

Cette carte de menace n'est pas statique : les groupes évoluent pour dessiner des défenses. Une caractéristique commune est la recherche délibérée pour éviter les solutions de protection des paramètres, en utilisant des intrusions dirigées vers des dispositifs ou vecteurs spécifiques qui ne sont pas couverts par la détection habituelle. Cela vous oblige à penser à la sécurité au-delà du périmètre classique. et d'examiner les contrôles aux points les moins valorisés, des ordinateurs portables employés sur le terrain aux mises à jour du firmware de fournisseurs externes.

Pour les organisations sectorielles, la réponse consiste à combiner des mesures techniques avec des changements dans les processus et la culture. Examiner et renforcer les protocoles de recrutement et de validation du personnel, segmenter rigoureusement les réseaux industriels, surveiller l'intégrité de l'approvisionnement en logiciels et mettre à jour les itinéraires, et déployer des capacités de détection, y compris la télémétrie du réseau et l'analyse des comportements, sont des mesures nécessaires. De plus, le partage de renseignements sur les menaces avec les organismes et les pairs facilite une intervention précoce et coordonnée dans le cadre de campagnes ciblées. Dans la sphère publique, des ressources et des guides sur la sécurité dans la chaîne d'approvisionnement sont disponibles sur le site Internet de la Commission. CISA.

S'il y a une leçon claire, c'est que l'industrie de la défense ne peut se permettre la complaisance : la combinaison de motivation de l'État, de capacités techniques sophistiquées et d'objectifs de grande valeur fait de ce secteur un objectif prioritaire et résilient. Une protection efficace exige visibilité, coopération et adaptation continue et les organisations privées et les organismes gouvernementaux doivent garder la garde haute pour anticiper et atténuer les menaces qui peuvent affecter des systèmes de première ligne aux composants qui ne sont apparemment qu'une partie de la périphérie industrielle.

Pour approfondir les conclusions spécifiques et les exemples techniques auxquels se réfère cette image, l'analyse GTIG de Google offre un point de départ détaillé et accessible: Menaces contre la base industrielle de défense (Google GTIG). D'autres analyses spécialisées, comme les liens techniques mentionnés dans le texte, permettent de mettre en contraste les tactiques et les procédures et servent de référence pour les techniciens et les responsables de la sécurité qui devraient accorder la priorité aux mesures d'atténuation dans leur organisation.