L'opération récente de la Chine contre des sociétés de téléphonie cellulaire - appelée « opération Soft Cell » - fait partie d'une campagne d'espionnage qui exploite les accès aux comptes à privilèges. La compromission des identifiants reste en effet l'arme de choix des cyber-attaquants et est un modèle d'attaque récurrent.

Ce phénomène a débuté lorsque Edward Snowden a révélé l'opération Socialist, une campagne de la CIA et du Global Communication Headquarters (GCHQ) britannique, qui aurait tenté de prendre le contrôle d'un réseau majeur : Belgacom, société de télécommunications belge.

Cet accès aurait permis aux agences de renseignements d'obtenir les métadonnées nécessaires pour suivre à la trace des individus spécifiques.

Pour Lavi Lazarovitz, responsable de l'équipe de recherche en sécurité du CyberArk Labs, Soft Cell trouve son origine ailleurs - l’APT 10, un groupe de cyber-espionnage chinois - mais son modèle d’exécution est très similaire :

« L'opération Socialist, à l'instar de Soft Cell, a exploité les accès à privilèges pour prendre le contrôle des systèmes de télécommunications, en restant dans l'ombre. Aucune de ces attaques n’a eu besoin d’exploiter des vulnérabilités, ou d’utiliser des outils sophistiqués et agressifs, chers à développer.

Dans les deux cas, les groupes ont compromis des accès à privilèges de l’organisation, c’est-à-dire les comptes d’administrateurs de domaine disposant de droits sur un domaine entier, ce qui les rend extrêmement pertinents pour les attaquants.

Les comptes d’administrateurs de domaine, et autres accès à privilèges bien connus, sont généralement contrôlés et surveillés de près. Cependant, il reste bien souvent des vulnérabilités exploitables.

Les attaquants ont probablement visé des "administrateurs fantômes", c’est-à-dire des accès à privilèges qui ne sont pas répertoriés dans l’Active Directory, les rendant invisibles et donc ignorés par les équipes de sécurité des organisations. Ces types de comptes disposent de privilèges particuliers, qui permettent à un attaquant de contrôler des réseaux complets, sans être associés à un groupe de privilèges.

En conséquence, l’attaque laisse peu de traces, tout en offrant de la souplesse au hacker. Lors de l'opération Soft Cell, les cybercriminels ont lancé un service VPN pour obtenir un accès fantôme au réseau, potentiellement basé sur des comptes d'administrateurs fantômes.

Le recours à ces derniers n’est pas le seul raccourci utilisé par les assaillants des opérations Soft Cell et Socialist. Dans ces deux cas, les attaques contre les sociétés de télécommunications ont visé la chaîne logistique. 

En effet, tout comme les usines de fabrication de hardwares, les éditeurs de logiciels qui fournissent des mises à jour de produits, ou des serveurs de réseau de trafic internet, sont vulnérables aux attaques de la chaîne logistique.

Cette stratégie d’attaque est même devenue courante. De nombreux cybercriminels redirigent leurs efforts : au lieu de cibler directement des organisations bien sécurisées, ils visent désormais leurs chaînes logistiques qui le sont moins.

Les hackers, souhaitant accéder discrètement et en continu aux données et à l’IP d’une entreprise, n’envoient plus massivement des emails de phishing et préfèrent compromettre le matériel de la société. 

Les pirates qui souhaitent accéder aux métadonnées, à la localisation et aux appels d’un individu pendant une période plus longue peuvent alors remplacer l’exposition coûteuse d’une vulnérabilité de WhatsApp par la compromission du téléphone d’un individu spécifique. »

Lavi Lazarovitz, responsable de l'équipe de recherche en sécurité du Labs de CyberArk