Quand les outils en lesquels vous avez confiance deviennent la menace
Une série d'incidents de sécurité qui font les gros titres cette semaine partage un fil inconfortable : les systèmes compromis étaient ceux en lesquels les organisations et les individus étaient censés avoir le plus confiance. Google a corrigé une faille zero-click activement exploitée dans les modems Pixel, des attaquants ont retourné la plateforme de gestion à distance ScreenConnect contre des fournisseurs de services gérés, l'infrastructure d'identité WSO2 fait l'objet d'une exploitation active, et une cyberattaque a frappé un pétrolier. Pris ensemble, ces incidents illustrent un schéma que les chercheurs en sécurité ne cessent de signaler : la confiance elle-même est devenue la surface d'attaque.
Aucun de ces événements n'existe isolément. Une puce de modem, un outil de support à distance, une plateforme d'identité et une infrastructure maritime critique sont tous conçus pour être fiables par défaut. C'est exactement ce qui en fait des cibles attractives.
La faille zero-click de Pixel : aucun clic nécessaire
Google a publié un correctif pour une vulnérabilité zero-click dans le firmware du modem utilisé dans les appareils Pixel, et la faille a été découverte en cours d'exploitation active avant la diffusion du correctif. Un exploit zero-click est particulièrement dangereux car il ne nécessite aucune interaction de la victime. Il n'y a pas de lien de phishing à cliquer, pas de pièce jointe malveillante à ouvrir, et pas d'application suspecte à installer. La vulnérabilité peut être déclenchée simplement par le traitement de données entrantes au niveau du modem par l'appareil, ce qui signifie que le propriétaire du téléphone n'a essentiellement aucune possibilité de l'éviter par la prudence ou la vigilance.
C'est pourquoi les vulnérabilités au niveau du modem et de la bande de base sont considérées comme parmi les failles les plus graves en matière de sécurité mobile. Elles opèrent en dessous de la couche où la plupart des utilisateurs, et même la plupart des outils antivirus, ont de la visibilité. Le fait que cette faille ait été exploitée dans la nature avant la divulgation publique souligne à quel point ces bugs de bas niveau sont précieux pour des attaquants sophistiqués.
L'abus de ScreenConnect cible les MSP dont dépendent les entreprises
Les attaquants retournent également ScreenConnect, un outil d'accès et de support à distance largement utilisé, contre les fournisseurs de services gérés qui l'utilisent. Les MSP occupent une position particulièrement sensible : on leur confie un accès administratif à des dizaines ou des centaines de réseaux clients à la fois. Lorsqu'un outil de gestion à distance utilisé par un MSP est compromis ou détourné, le rayon d'impact s'étend bien au-delà du fournisseur lui-même et atteint chaque client en aval qui dépend de cet accès.
Ce type d'attaque de type chaîne d'approvisionnement fait écho à d'autres incidents récents où les attaquants ont exploité des relations de confiance plutôt que de percer un périmètre durci. L'attaque Megalodon qui a frappé des milliers de dépôts GitHub en quelques heures a démontré un principe similaire : automatisez l'abus d'une plateforme de confiance, et les dégâts s'accumulent rapidement. Les MSP et les entreprises qui en dépendent devraient partir du principe que tout point unique d'accès à distance privilégié est une cible de grande valeur.
L'infrastructure d'identité WSO2 face à une exploitation active
L'infrastructure d'identité comme WSO2 se situe au cœur de la manière dont les organisations vérifient qui est autorisé à accéder à quoi. Lorsque cette couche est activement exploitée, les conséquences se propagent vers chaque application et service qui en dépend pour l'authentification. Cela reflète une tendance plus large des attaquants à cibler directement les systèmes d'identité et d'accès plutôt que d'essayer de percer les applications individuelles une par une, une stratégie également observée dans les récentes vulnérabilités Netlogon activement exploitées affectant les protocoles d'authentification d'entreprise. Une fois l'infrastructure d'identité compromise, les défenseurs ne peuvent souvent plus faire confiance à leurs propres journaux ni à leurs contrôles d'accès, ce qui rend la récupération nettement plus difficile.
Une cyberattaque atteint un pétrolier
Le signalement d'une cyberattaque frappant un pétrolier rappelle que la compromission numérique ne se limite plus aux serveurs et aux logiciels. Le transport maritime dépend de plus en plus de systèmes de navigation, de communication et d'exploitation en réseau, et une attaque contre cette infrastructure entraîne des conséquences dans le monde physique qui vont au-delà de la perte de données.
Ce que cela signifie pour vous
La plupart des lecteurs ne géreront pas directement un pétrolier ni une plateforme d'identité, mais la leçon sous-jacente s'applique largement. La faille zero-click de Pixel affecte les utilisateurs quotidiens de smartphones, et c'est un argument solide pour maintenir les appareils à jour immédiatement plutôt que de différer les correctifs. Si vous faites appel à un MSP pour le support informatique, ou si votre organisation dépend d'un outil d'accès à distance tiers, demandez quels contrôles de surveillance et d'accès sont en place. La confiance dans la chaîne d'approvisionnement, qu'il s'agisse d'un modem mobile, d'une plateforme de support à distance ou d'un téléchargement de logiciel, n'est aussi solide que le maillon le plus faible de cette chaîne, une leçon également visible dans la compromission de la chaîne d'approvisionnement de JDownloader qui a remplacé des installateurs légitimes par des malveillants.
Points à retenir et actions concrètes
Installez la dernière mise à jour de sécurité Pixel dès qu'elle est disponible, car la faille zero-click ne nécessite aucune erreur de l'utilisateur pour être exploitée. Si votre entreprise utilise ScreenConnect ou un outil de gestion à distance similaire, vérifiez auprès de votre MSP que les journaux d'accès sont examinés et que l'authentification multifacteur est imposée sur tous les comptes administratifs. Les organisations exploitant WSO2 ou une infrastructure d'identité similaire devraient appliquer immédiatement les correctifs disponibles et auditer les journaux d'authentification pour détecter des anomalies. Et pour quiconque dans des secteurs touchant aux infrastructures critiques, cette série d'incidents est un signal pour revoir les plans de réponse aux incidents maintenant, et non après qu'une attaque se produise.
