Menaces cloud, rapport Unit 42, 2e sem. 2021

Attaques contre la supply chain : les clés pour bien se protéger

Les attaques contre la supply chain logicielle font de plus en plus de ravages dans le cloud. Mais faute d’une bonne compréhension de leurs modes opératoires, il est difficile, à l’heure actuelle, de déterminer la stratégie de défense adéquate. Pour comprendre les mécanismes de ce fléau émergent, les chercheurs d’Unit 42®, l’équipe de Palo Alto Networks spécialisée dans les menaces cloud, ont analysé les données issues de diverses sources publiques aux quatre coins du globe. Nos experts ont également mené un exercice Red Team à la demande d’un grand fournisseur SaaS qui souhaitait tester la solidité des remparts de son environnement de développement logiciel hébergé dans le cloud. Les résultats de l’étude montrent clairement que la plupart des entreprises sont encore bercées par un sentiment de fausse sécurité.

Fruit d’une analyse minutieuse d’incidents antérieurs, le rapport d’Unit 42 fait la lumière sur l’étendue complète des attaques de la supply chain, tout en dissipant le flou qui entoure leur nature et leurs modes opératoires. Les chercheurs font également le point sur les bonnes pratiques à mettre en œuvre dès aujourd’hui pour améliorer la protection des supply chains dans le cloud.

Matthew Chiodi
CSO, cloud Palo Alto Networks

Si l’attaque majeure perpétrée contre la supply chain logicielle de SolarWinds a été la première à faire les gros titres de la presse internationale, elle était loin d’être un coup d’essai. Depuis longtemps, les chercheurs d’Unit 42 pistent ce type de menaces dont on retrouve les premières traces dès 2015. Petit rappel chronologique...

September 2015 – XcodeGhost: un cybercriminel a diffusé une version du logiciel Xcode d’Apple (utilisé pour développer des applications iOS et macOS) qui injectait du code additionnel dans les applications iOS. L’attaque a compromis des milliers d’applications dans l’App Store®.
Mars 2016 – KeRanger: Transmission, un client BitTorrent open-source très répandu, a été compromis par l’injection d’un ransomware macOS dans son programme d’installation. En téléchargeant et en exécutant ce logiciel, les victimes introduisaient à leur insu un malware capable de paralyser l’accès à leurs fichiers. Les attaquants sont parvenus à injecter le ransomware en prenant le contrôle des serveurs de distribution de Transmission.
Juin 2017 – NotPetya: des cybercriminels ont compromis un éditeur de logiciels ukrainien et diffusé un ver destructeur via une mise à jour du programme « MeDoc ».
Après avoir infecté les systèmes exécutant ce logiciel, le malware se propageait vers d’autres hôtes du réseau et a fini par contaminer des milliers d’entreprises dans le monde entier.
September 2017 – CCleaner: un groupe cyber a détourné le célèbre outil de nettoyage informatique d’Avast, installé sur des millions d’ordinateurs. Cette compromission a permis de cibler de grandes entreprises dans les secteurs des technologies et des télécommunications à l’aide d’une deuxième vague de payload.

Dans chacun de ces exemples, les auteurs des faits s’en prennent aux pipelines de développement logiciel, et à la confiance qui leur est implicitement accordée, pour obtenir in fine l’accès à d’autres réseaux.