ProjectSauron: une plate-forme d’espionnage de haut vol qui extrait secrètement des communications gouvernementales chiffrées
ProjectSauron, une menace étatique qui s’en prend aux organisations gouvernementales avec des outils uniques pour chaque victime, rendant les indicateurs traditionnels de compromission quasiment inutiles. Les attaques semblent avoir pour but principal le cyber-espionnage. En septembre 2015, la solution Kaspersky Lab Anti-Targeted Attack Platform a signalé un élément inhabituel sur le réseau d’une organisation cliente.
ProjectSauron semble vouloir en priorité accéder aux communications chiffrées, les traquant en utilisant une plate-forme de cyber-espionnage modulaire qui intègre des outils et des techniques uniques. Particulièrement notable, l’une des fonctionnalités de ProjectSauron lui permet d’éviter de reproduire des modèles : ses implants et infrastructures s’adaptent spécifiquement à chaque cible, sans jamais être réutilisés. Cette approche, couplée à la multiplicité des chemins pour exfiltrer les données volées, comme par exemple des canaux d’emails légitimes et le DNS, permet à ProjectSauron de réaliser des campagnes secrètes d’espionnage de longue durée sur les réseaux ciblés.
ProjectSauron donne l’impression d’être un acteur expérimenté et traditionnel qui a déployé d’importants efforts pour étudier d’autres acteurs extrêmement avancés, y compris Duqu, Flame, Equation et Regin. ProjectSauron a adopté certaines de leurs techniques les plus innovantes pour les améliorer et ainsi rester indétectable.
Actuellement, plus de 30 organisations victimes de ProjectSauron ont été identifiées, principalement en Russie, en Iran, au Rwanda et peut-être des pays italophones. D’autres organisations sont probablement touchées, dans d’autres endroits.
Certaines attaques ciblées se servent maintenant d’outils clé-en-main et à bas prix. À l’inverse, ProjectSauron repose sur des outils solides, faits maison et des scripts personnalisables, assure Kaspersky Lab. En plus de l’utilisation de techniques de pointe empruntées à d’autres groupes de menace, l’usage unique d’indicateurs spécifiques, comme le serveur de contrôle, les clés de chiffrement et d’autres, est relativement nouveau. Le seul moyen de résister à ce type de menace est d’utiliser plusieurs couches de sécurité, basées sur une chaine de capteurs capables de remarquer la plus petite anomalie dans le flux d’informations de l’entreprise. À cela doivent être associées des capacités de veille et d’intelligence des menaces ainsi que de forensic pour traquer des schémas et des comportements, même lorsqu’il semble n’y en avoir aucun…
Le coût, la complexité, la persistance et les objectifs finaux de cette opération, à savoir le vol d’informations confidentielles et secrètes à des organisations critiques, semble indiquer qu’elle pourrait impliquer ou être soutenue par un état.
