OFAC prend un coup historique punissant l'opération Zéro pour avoir vendu zéro jour d'exploitation

Le Foreign Asset Control Office of the United States Treasury Department (OFAC) a connu un succès qui combine l'espionnage économique, la cybercriminalité et les risques internes : il a sanctionné une société russe connue sous le nom de Matrix LLC - qui opère sous le nom commercial Opération Zero - ainsi que son propriétaire et plusieurs associés pour l'achat et la revente d'outils de piratage volés qui avaient été initialement mis au point pour une utilisation exclusive par des organismes gouvernementaux alliés. Ces mesures sont fondées sur une loi visant à poursuivre le vol de la propriété intellectuelle par des acteurs étrangers, ce qui constitue un précédent dans la manière dont Washington entend mettre fin au trafic d'exploitations commerciales et militaires.

Selon la déclaration officielle du Département du Trésor, l'opération Zero a récompensé quiconque a fourni un code capable de tirer parti des vulnérabilités des logiciels à usage collectif, même en payant des outils propriétaires qui n'auraient pas dû quitter un entrepreneur américain. Le Département d'État lui-même a publié des informations relatives à la désignation et à l'action coordonnée, soulignant la dimension diplomatique et sécuritaire derrière la sanction. Pour plus de détails, voir l'état de trésorerie Voilà. et dans la note du Département d ' État Voilà..

L'opération n'était pas simplement un échange anonyme sur le Web profond : derrière elle se trouvait l'intervention d'un ancien employé ayant un accès privilégié aux programmes secrets. Un ancien gestionnaire d'une unité de cybersécurité appartenant à un grand entrepreneur américain de défense a accepté et vendu plusieurs vulnérabilités « zéro jour » et outils d'exploitation pour les paiements dans cryptomonedas. Cette personne a été poursuivie et condamnée, ce qui, selon les autorités, confirme le chemin par lequel ces capacités techniques sont passées de l'environnement protégé d'un fournisseur militaire aux mains d'un courtier qui les commercialise.

Pourquoi est-ce important ? Un «jour zéro» est une vulnérabilité qui n'a pas été divulguée ou corrigée; sa possession signifie la capacité de compromettre les systèmes sans que le propriétaire sache se défendre. Les entreprises et les organismes sont convaincus que ceux qui développent ces capacités dans le cadre des programmes gouvernementaux les garderont en sécurité et ne les commercialiseront pas sur le marché clandestin. Lorsque ces outils sont divulgués, les possibilités d'abus sont accrues : de l'espionnage sur des cibles sensibles aux attaques qui peuvent affecter les infrastructures essentielles.

Operation Zero a publié des offres économiques pour ceux qui obtiennent des exploits qui affectent les logiciels populaires, y compris les systèmes d'exploitation et les applications de messagerie cryptée. Sur ses propres pages, il présente une offre de «récompenses» et affirme qu'il travaille avec des clients russes, privés et officiels; cependant, les sanctions et les enquêtes soulignent le fait qu'une partie de ce marché a inclus du matériel volé d'un entrepreneur américain. Vous pouvez voir l'offre de récompense sur le site de l'entreprise Voilà. et votre liste de clients Voilà..

L'action du Trésor était fondée sur le nouvel outil juridique visant à protéger la propriété intellectuelle américaine contre les acteurs étrangers. C'est la première fois que cette législation spécifique est utilisée, ce qui suggère que les régulateurs américains sont prêts à utiliser des ressources réglementaires et financières pour punir les chaînes commerciales opaques de cyberexploitations. Les sanctions comprennent le gel de tout bien relevant de la juridiction américaine et l'exposition de tiers à des sanctions secondaires s'ils ont des relations commerciales avec les personnes désignées.

En plus de l'opération Zéro, les annonces indiquent que les entreprises et autres entités opérant en tant qu'intermédiaires aux Émirats arabes unis et en Asie centrale, ainsi que les personnes ayant des liens antérieurs avec des groupes de cybercriminalité connus, sont contrôlées. Dans le domaine des malwares et des gangs criminels, il y a une histoire d'acteurs tels que Trickbot qui ont été documentés par des chercheurs et de grandes entreprises technologiques; Microsoft, par exemple, a signalé des efforts pour interrompre ces réseaux dans des campagnes publiques d'atténuation. Pour approfondir le fonctionnement de ces réseaux et actions contre eux, il est utile de passer en revue les analyses antérieures d'acteurs tels que Trickbot publiées par des entreprises de sécurité et de technologie, comme le rapport de Microsoft sur les interruptions de ces réseaux Voilà..

Cette affaire combine plusieurs vecteurs de risque qui doivent concerner les responsables de la sécurité : la menace interne, le marché noir des vulnérabilités et l'économie de cryptomonéda comme moyen de paiement. L'un des principaux défis pour la cybersécurité moderne est que les incitations économiques peuvent conduire les professionnels ayant un accès privilégié à vendre des informations sensibles. Par conséquent, les normes de contrôle d'accès, la surveillance des activités privilégiées et les audits continus sont aussi pertinents que la protection technique des systèmes.

La sanction n'est pas seulement une sanction symbolique; elle a pour but d'augmenter le coût pour les personnes impliquées dans cette entreprise et de dissuader les intermédiaires et les acheteurs de devenir des canaux secondaires. Toutefois, l'efficacité dépendra de la coordination internationale : les avoirs gelés et les obstacles financiers font partie intégrante, mais la réduction de la demande nécessite une collaboration entre les gouvernements, les entreprises technologiques et les fournisseurs de services de sécurité pour réduire les marchés opaques et améliorer la traçabilité des achats de cryptomonéda.

Pour les entreprises de défense et les entrepreneurs, la leçon est claire : en plus de protéger le code et les outils, les politiques internes, la rotation des références, la segmentation de l'accès aux projets sensibles et l'éducation sur les risques éthiques et juridiques pour le personnel doivent être renforcées. Pour le reste du secteur de la technologie, il convient de comprendre que lorsqu'une vulnérabilité est mise sur le marché en dehors des canaux de communication responsables, le risque s'étend à tous les utilisateurs du logiciel concerné.

Qu'une politique publique - en l'occurrence la loi utilisée par l'OFAC - soit d'abord activée contre un courtier en exploitation reflète un changement : les gouvernements commencent à traiter la vente et le transfert de cybercapacités comme une question de sécurité nationale et de propriété intellectuelle, et non seulement comme un problème technique. Il reste à voir si cela obligera les acheteurs à aller plus loin ou s'il réduira l'approvisionnement légitime en explosifs sur les marchés clandestins.

Quoi qu'il en soit, l'épisode rappelle que la cybersécurité est un mélange de technologie, de personnes et de lois. La protection des biens essentiels exige des mesures sur les trois fronts : contrôles techniques, culture organisationnelle qui empêche les abus internes et cadres juridiques et diplomatiques qui pénalisent ceux qui tirent profit des compétences conçues pour protéger, et non pour nuire. Le lien officiel est disponible pour lire la déclaration du Département d'État sur la désignation. Voilà., et les détails de l'action du Trésor sont disponibles Voilà.. En ce qui concerne le contexte de l'entrepreneur concerné, la page d'entreprise de L3Harris peut être consultée à votre site officiel.