{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:34K5LPE5VL2GQXXHQF2TO7KYHQ6BU4WI", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00033.parquet"}
Sécurité : la cyberattaque sur l'Elysée en cinq questions
Sécurité : Ca y est, c'était la "cyberguerre". Pendant la campagne présidentielle, une intrusion venue des USA aurait eu lieu sur le réseau de l'Elysée. Pas si vite, répond Tony Massé, expert en sécurité informatique interrogé par ZDNet.fr.
Antoine Duvauchelle
La semaine dernière, un article de l'Express mettait le feu un peu partout en annonçant que le piratage de l'Elysée venait des Etats-Unis. Le doigt était bien pointé : pas vers un gus planqué dans un garage d'une banlieue de ville moyenne, non : THE United States of America, themselves. L'administration Obama, en clair.
Mazette. L'accusation est grave, mais les preuves semblent assez minces. N'en tirons pas de conclusion trop hâtive : les journalistes de l'Express ont très bien pu baser leur argumentation sur des faits qu'ils préfèrent garder pour eux, que ce soit pour protéger leurs sources ou pour ne pas enfreindre le secret entourant les affaires liées à la sécurité nationale.
Pour autant, et parce qu'on aime avoir les idées claires, nous avons discuté avec Tony Massé, consultant technique chez LogRythm, spécialiste de la sécurité. Ils nous a fait part de son analyse de l'attaque, point par point.
1. Le phishing, un peu gros
Ce qu'il se serait passé : selon l'Express, "tout a commencé sur Facebook. Les assaillants ont d'abord identifié (...) le profil de personnes travaillant au palais présidentiel. Se faisant passer pour des amis, ils les ont ensuite invitées, par un message électronique, à se connecter sur l'Intranet du Château." Fausse page web, récupération des identifiants, accès au vrai Intranet avec lesdits identifiants par les pirates... On connait la suite.
L'avis de Tony Massé : "Pour faire un bon phishing, il faut avoir accès au site visé au préalable. Un phishing fonctionne soit si la fausse page créée par le hacker est crédible, soit si la victime n'est pas vigilante du tout. Les gens de l'Elysée sont formés par l'Anssi, donc la piste de l'absence de formation sur la question semble étonnante, même si elle est toujours possible."
Evidemment, l'expert que nous avons interrogé ne peut que supputer. Après tout, les personnes qui ont été victimes du phishing ont peut-être été particulièrement inattentive, et se sont laissées avoir par un phishing mal fait. En cliquant sur un lien vers l'intranet du Château, envoyé par email.
Ca peut sembler étrange, d'autant que l'infographie de l'Express indique clairement que la requête de "l'ami" qui a envoyé le lien pour la page de phishing vient de Facebook... "Pourquoi un collègue m'enverrait un lien sur Facebook pour accéder à mon intranet ?" s'interroge Tony Massé. Mais pourquoi pas, après tout.
L'autre possibilité, c'est que les hackers aient eu un accès visuel quelconque à la page d'authentification de l'intranet : soit indirect, grâce à des copies d'écran envoyées de l'intérieur (ce qui pose d'autres questions), soit direct, après avoir pénétré sur le réseau de l'Elysée.
"Or ce phishing nous est présenté comme une mission de reconnaissance. Y aurait-il eu une mission de reconnaissance pour préparer la mission de reconnaissance ?" Comme Tony Massé, on ne peut que s'interroger sur ce phishing, qui "ouvre plus de questions qu'il n'en résout."
2. Le ver se réplique à la barbe des administrateurs
Ce qu'il se serait passé : le ver informatique entre sur les ordinateurs et se réplique sur les machines du réseau. Normal, c'est l'une des fonctions basiques d'un ver. Pour le journal, "les pirates ont installé un logiciel espion qui s'est propagé d'un ordinateur à l'autre. (...) Malheureusement pour les assaillants, le code malveillant a laissé des empreintes." Origine des serveurs : "à l'étranger."
L'avis de Tony Massé : "Dans notre métier, on voit assez souvent ces opérations de réplication. Et ce qu'on constate, c'est que l'activité de réplication ne ressemble en rien à l'activité humaine. Les logs [historique d'activité, NDLR] montrent une activité, même ponctuelle, qui ne correspond à rien. Cela aurait dû mettre la puce à l'oreille des administrateurs."
Là encore, la négligence humaine est toujours possible : "ce sont des choses assez basiques que de surveiller l'activité du réseau pour voir des échanges, des volumes ou des types d'activité inhabituels. Il est toujours possible que des individus aient fait preuve de négligence, mais une fois encore, l'Anssi est très compétente."
Difficile de croire que le réseau de l'Elysée n'est pas surveillé très efficacement. Là encore, on ne peut qu'être dans la supposition, et Tony Massé n'a évidemment pas de solution toute faite à offrir. Mais le doute est relevé.
3. Exfiltration du ver ni vu ni connu
Ce qu'il se serait passé : "Doté des fonctions de Flame, le ver exfiltre des informations sensibles via une multitude de serveurs pour brouiller les pistes," explique l'Express, petit globe du monde en illustration pour montrer les serveurs d'exfiltration sur les cinq continents.
L'avis de Tony Massé : "C'est plus un doute qu'une remise en question complète de la version présentée, mais pourquoi une activité vers les cinq continents n'a-t-elle pas été repérée par les responsables de la sécurité ? Même le service communication, sans doute le seul à utiliser Facebook pour le travail, est sans doute surtout en contact avec des journalistes français."
En clair : alors que l'activité de l'Elysée est probablement en grande partie franco-française, des données ont commencé à sortir du réseau sans raison apparente vers des serveurs situés dans le monde entier, si l'on en croit le journal. Pourquoi, comment, avec quelle réponse de l'équipe dédiée à la sécurité ?
"Ce type d'outils est le BA-ba. Ce sont des choses simples à mettre en place, pour surveiller les données sortantes. Soit le réseau n'a pas été bien monitoré, soit il n'a pas été monitoré du tout." Ce qui pose, ici encore, des questions sur la sécurité du réseau de l'Elysée.
4. Une attaque "hypersophistiquée"
Ce qu'il se serait passé : "Hypersophistiquée." Dès la titraille de l'article, l'Express met en avant la cyberguerre, la complexité de l'attaque, pour développer ensuite sur un "vrai travail de pro, digne du dernier James Bond, Skyfall." Ce qui en soit frise l'insulte.
L'avis de Tony Massé : "L'article se base sur une idée erronée : puisque l'Anssi a mis plusieurs jours à effacer la menace, elle est très sophistiquée. Or on peut acheter sur Internet des malwares qui ne sont pas forcément très avancés, et qui sont une tannée à effacer. Là, c'est un bon coup d'ingénierie sociale et de phishing. Les éléments mis bout-à-bout montrent une certaine sophistication de l'attaque, mais dans l'ensemble ça ne l'est pas vraiment."
Quiconque a lu un livre ou deux sur les hackers se souvient sans doute du premier coup d'éclat de Mendax - probablement Julian Assange : il avait pénétré un système de sécurité en se faisant passer pour un technicien informatique en enregistrant des bruits de bureau sur son magnétophone en arrière plan.
Les exemples sont nombreux et tout aussi parlants, donc autant dire que "l'ingénierie sociale, ça a au moins 25 ans. Et le phishing on connait ça depuis au moins dix ans aussi. Donc on ne peut pas dire que c'est très sophistiqué ou avancé. En tous cas, rien qui ne soit impossible à repérer."
5. Ca vient des Etats-Unis !
Ce qu'il se serait passé : c'est le point central de l'article, et la principale information apportée. "Doté des fonctions de Flame", un ver qu'on suppose créé par les Etats-Unis et Israël, "le virus porte la marque de son auteur. (...) Très perfectionné, il peut collecter les fichiers présents sur une machine, réaliser des captures d'écran et même activer le microphone d'un PC pour enregistrer les conversations."
L'avis de Tony Massé : "Cela veut dire quoi, avoir les mêmes fonctionnalités ? Est-ce qu'on parle de code identique ou d'actions faites par le ver identiques ? Dans ce second cas, se répliquer et faire des captures d'écran, c'est une fonction basique de beaucoup de virus depuis longtemps. Et même si c'est au niveau du code qu'on retrouve des similitudes, qu'est-ce qui prouve que ça vient de l'administration des Etats-Unis ?"
Car pour prouver qu'un ver a réellement été créé par la même personne, il ne suffit pas de comparer les "fonctionnalités" mais de s'attacher à étudier le code. "Il faut assurer qu'il y a des gros blocs en binaire identique. Donc il faudrait déjà savoir si le code est identique."
Ensuite, même si le ver s'avère effectivement être proche de Flame, il n'y a toujours pas eu de preuve que c'étaient les Etats-Unis qui l'avaient créé. A moins que l'Express ait eu des informations qu'il ne publie pas.
Enfin, en admettant qu'une étude du code ait permis de rapprocher le ver de Flame, et que celui-ci a bien été fait pour le compte des Etats-Unis, rien ne prouve que ce sont eux qui l'ont utilisé cette fois-ci. "On dit qu'un malware est si compliqué à faire que seul un Etat a les moyens d'en développer un. Mais cela ne signifie pas pour autant qu'il a été créé par l'armée directement. Ils ont pu engager des freelances."
"Sur ce marché tellement critique, des gens capables de réaliser des malwares de ce niveau peuvent facilement être embauchés par quelqu'un d'autre : un autre Etat, une mafia... Rien ne permet, de ce qui ressort de l'article en tous cas, de dire que ce sont bien les Etats-Unis qui ont commandité l'attaque."
Conclusion : des doutes et du secret
Au final, loin de nous l'idée d'attaquer les informations révélées par nos confrères. Tony Massé ne s'y risque d'ailleurs pas non plus. Il estime simplement qu'en "l'état des choses, cela pose plus de questions que cela n'en résout. L'Express n'a peut-être pas tout publié, pour différentes raisons."
D'ailleurs, précise le consultant technique, il est tout-à-fait possible qu'on n'en sache jamais plus, sécurité nationale oblige. Au moins, on relèvera peut-être des lacunes dans la sécurité du réseau de l'Elysée.
"S'il n'y a pas de coup de sang, d'action officielle de l'Elysée, il n'y a rien de plus qui en sortira." Et l'histoire restera un sujet de discussion chez les experts de la sécurité, parmi lesquels, selon l'aveu de Tony Massé, "on rigole" ou "on est inquiet", mais dans tous les cas, "on s'étonne que quelque chose d'aussi énorme n'ait pas été aperçu plus tôt."
Sujet: Cybercriminalité Virus Sécurité Suivre via: RSS
Articles relatifs	Flame : le virus le plus puissant de l'histoire du cyber-espionnage ?
Flame, le fruit d’une coopération entre les Etats-Unis et Israël ?
Piratage de l'Elysée : Paris ne se contente pas du démenti américain
L’Elysée piraté par les Etats-Unis ? Ferme démenti de Washington
Réagissez à l'article	4 réponses
﻿ Au dela cette "affaire d'intruision à l'Elysée", je n'ai aucun doute sur le fait que nous sommes en cyberguerre et cette guerre est domine par les américain et Israel!Pour avoir le contrôle sur internet et sur le monde il faut mettre les gros moyens!C'est le cas d'oncle SAM.http://etat-du-monde-etat-d-etre.net/de-la-societe/big-brother/un-gigantesque-centre-despionnage-en-construction-dans-le-desert-americainUn gigantesque centre d’espionnage en construction dans le désert américain=======================================================Ce centre puissamment gardé devrait être opérationnel en septembre 2013. La NSA a consacré 2 milliards d’euros au chantier, qui doit permettre d’abriter quatre halls à serveurs de 2 300 mètres carrés chacun, plus 8 hectares de bâtiments destinés au support technique et à l’administration du site.L’objectif de cette Babel du renseignement est de capter, décoder et analyser des données issues de communications classiques (courriels, conversations téléphoniques, recherches sur Google), de tous types de données personnelles (factures de parking, itinéraires de voyages, achats en librairies…) et de données issues du « Web profond », non directement accessible (informations financières, transactions boursières, accords commerciaux, communications militaires et diplomatiques étrangères, documents légaux, informations personnelles confidentielles…).http://etat-du-monde-etat-d-etre.net/de-la-societe/big-brother/un-gigantesque-centre-despionnage-en-construction-dans-le-desert-americainPuis il avait l'affaire GEMPLUS, souvenez vous?=================================http://www.dailymotion.com/video/xixasj_affaire-gemplus-cartes-a-puces-1ere-partie_webcamIl y à une dizaine d’années les américain ont pris le contrôle d’un fleuron de l’industrie française Gemplus, une spoliation orchestré avec la participation des services de la CIA et la société du renseignement privé Kroll.L’entreprise « Gemplus » fut créée 1988 par 6 ingénieurs de Thompson. Ces derniers décidèrent de fonder une société à la conquête du marché des technologies de cryptologie et de la carte à puce. Le démarrage de Gemplus sur le marché international fut fulgurant. Dix ans après sa création, l’entreprise Gemplus comptait 6000 employés répartis dans le monde entier et capitalisait un chiffre d’affaires de l’ordre de 200 Millions d’Euros pour un marché de 100 Millions de consommateurs. Ces résultats faisaient de Gemplus le leader du marché de la carte à puce. Ses clients étaient internationaux et seuls les américains n’avaient pas encore fait appel aux services de la société française, craignant de confier à une entreprise étrangère la protection d’informations d’intérêt national.Puis Gemplus est passé sous contrôle américaine via l’intervention des agents de la CIA.L’affaire Gemplus est une parfaite illustration du redéploiement des intérêts américains suite aux attentats du 11 septembre. Le renforcement de la doctrine de sécurité économique des Etats-Unis s’est fortement développé depuis 2001 et a pour but précis de rediriger les intérêts technologiques du monde entier vers « l’Oncle Sam », afin de dresser des barrières de protection infranchissables. http://www.dailymotion.com/video/xixasj_affaire-gemplus-cartes-a-puces-1ere-partie_webcamConclusion:Je me demande à puoi sert le service sécret français DGSE?==========================================La France souséstime la défense des intérêts nationals français et la sécurité informatique de nos entreprises et nous sommes entrent de payer le prix fort (économiquement parlent...)! Quel naivité!Ayant accepté le le traité de Lisbonne en 2008 le parlement français à ignoré (contourne et annulé) les 55% des élécteurs ayant rejetté le traité de Maastricht en 2005.La France à déjà perdu ça souverenité nationale par délégation des poivoirs vers Bruxelles et cela n'est pas bon pour préserver les emplois en France... sans parler du reste.
Répondre ﻿ Vous oubliez la Chine bien plus efficace et surtout discrete .... parceque Windows on connait la bete mais l'empire du milieu lui a compris tout l'interet de l'Open Source .... Quand on sait qu'avec un Live CD Linux on peut decortiquer Windows et ouvrir a peu pret tous se qui s'y trouve ....Alors que le meme Windows ne reconnait meme pas l'existance d'une partition linux ! http://iw-linux.over-blog.com/
iwjcg
Répondre ﻿ Les questions posées par M. Massé sont pertinentes. En l'absence des éléments précis détenus par les journalistes et les enquêteurs de l'ANSSI, on ne peut qu'émettre des suppositions.Toutefois ne perdons pas de vue que le phishing fonctionne statistiquement dans 3,8 % des cas (source : enquête aux US en 2006). Même si on divise le chiffre par 2 ou 3, il se révèle que le plus "sensibilisé" des collaborateurs peut statistiquement se faire piéger de temps en temps. Même à l'Elysée, le quotidien n'est pas fait de paranoïa sécuritaire mais d'urgences du métier, d'exigences du chef, etc. et on peut aisément se faire "avoir" dans le feu de l'action.Enfin notons que ce M. Massé, "consultant technique" (ça rassure : un technicien n'a évidemment d'autre intérêt que la technique pure) travaille précisément pour LogRythm, société 100%... américaine.
Talonachy
Répondre ﻿ Cet article présente lui-même des naïvetés touchantes. Le point 3, par exemple. Pourquoi les serveurs piratés de l'Elysée devraient-ils entrer en communication avec le monde entier alors qu'il suffit de louer une simple Dedibox chez Free et d'en faire un proxy qui lui communiquera avec le monde entier, mais qui ne sera pas surveillé. Les serveurs piratés dialogueront avec ce proxy et ne seront donc pas du tout aussi facilement repérables : une seule communication avec un serveur situé en France. Le temps de remonter jusque là, l'oiseau s'est envolé depuis longtemps.
Les news les plus populaires	publicité Proposé par Dell
Les 5 sens de l’entreprise « Future Ready »