Menace physique : des pirates se font passer pour le support informatique
Le Google Threat Intelligence Group tire la sonnette d'alarme : une nouvelle menace se dessine, dans laquelle des cybercriminels complètent leurs méthodes d'attaque numériques par des composantes physiques. Le groupe de pirates UNC3753, également connu sous les noms de Luna Moth, Chatty Spider ou Silent Ransom Group, se fait passer pour des techniciens informatiques et obtient un accès direct aux locaux des entreprises. Avec des clés USB, les attaquants récupèrent ensuite des données sensibles directement sur les postes de travail.
Cette évolution marque une escalade dangereuse de la cybercriminalité. Alors que les attaquants opèrent normalement à distance via des courriels d'hameçonnage ou d'autres méthodes numériques, ils passent désormais à des attaques directes et physiques lorsque leurs tactiques à distance échouent.
Cibles et mode opératoire des attaquants
Le groupe UNC3753 se concentre principalement sur des cabinets d'avocats aux États-Unis, mais s'attaque aussi à des entreprises d'assurance, de finance et de santé. Il vise en particulier les accords juridiques, les données à caractère personnel et les documents financiers, destinés à servir ultérieurement à des extorsions.
L'attaque commence dans le numérique
La démarche des criminels suit un schéma bien pensé. Ils recherchent d'abord des coordonnées sur les sites des entreprises et contactent leurs victimes par téléphone ou par courriel. Ils se présentent alors comme des collaborateurs du service informatique ou de sécurité de l'entreprise concernée.
Les attaquants attirent l'attention de la victime sur de prétendues failles de sécurité ou proposent leur aide dans le cadre de projets fictifs de migration de données. Par ces manœuvres de tromperie, ils instaurent méthodiquement la confiance et tentent de convaincre leurs victimes de participer à des sessions de télémaintenance.
Recours à des logiciels légitimes
L'usage de logiciels de partage d'écran courants tels que Zoom, Microsoft Terminal Services, Microsoft Teams ou Quick Assist est particulièrement perfide. Dans un cas documenté, un attaquant s'est entretenu cinq fois en trois jours avec sa victime via Teams.
Les criminels tentent en outre d'amener leurs victimes à installer des logiciels d'accès à distance spécifiques, parmi lesquels AnyDesk, Bomgar ou Zoho Assist. Dans un cas, un utilisateur devait même télécharger un « SuperOps RMM agent » via cURL.
Transfert de données et attaques physiques
Vol de données numérique
Une fois la confiance de leurs victimes acquise, les attaquants passent à l'extraction proprement dite des données. Ils se connectent directement, depuis le navigateur de la victime, à des comptes de partage de fichiers et y téléversent des documents – soit eux-mêmes, soit en guidant la victime. Ils imitent même la charte graphique de l'entreprise ciblée.
Pour le transfert de données, des programmes tels que WinSCP ou Rclone sont utilisés. Dans un cas documenté, les attaquants ont transféré environ 1,7 gigaoctet de données d'un dossier OneDrive local vers un compte Google Drive. Ils ont en outre demandé à des victimes d'envoyer directement par courriel aux pirates des fichiers issus du logiciel juridique iManage.
L'infiltration physique en dernier recours
Si leurs tactiques à distance échouent, les attaquants vont plus loin et tentent d'accéder physiquement aux données. Le FBI a déjà mis en garde contre cette évolution fin mai. Les criminels se présentent une nouvelle fois comme le support informatique et prétendent devoir réaliser une sauvegarde. Ils utilisent à cette fin des disques durs externes ou de simples clés USB.
Après une extraction réussie, vient l'extorsion : les pirates envoient un courriel de chantage à l'entreprise concernée et menacent de publier les informations dérobées.
Mesures de protection et stratégies de prévention
Contrôle d'accès et formation des collaborateurs
Le FBI recommande un contrôle strict des autorisations de toutes les personnes pénétrant dans les locaux de l'entreprise. Un contrôle d'accès professionnel peut aider à identifier les personnes non autorisées et à restreindre l'accès aux zones sensibles.
La formation des collaborateurs est en même temps déterminante. Ils doivent être sensibilisés aux attaques d'ingénierie sociale et apprendre à reconnaître les prises de contact suspectes. Restreindre la possibilité de connecter des supports externes constitue une autre mesure de protection importante.
Supervision et contrôle techniques
Google conseille une surveillance stricte du trafic sortant et du réseau. La sortie de plusieurs gigaoctets de données ne devrait pas passer inaperçue. Les entreprises devraient bloquer les services de partage de fichiers non autorisés et consigner les volumes de données transférés dans les journaux de leur pare-feu.
Une attention particulière doit être portée au trafic SSH sur le port 22, qui devrait être spécifiquement examiné à la recherche de transferts massifs. Des sauvegardes régulières offrent une protection supplémentaire contre la perte de données.
Portée pour la sécurité des entreprises
Cette nouvelle méthode d'attaque montre que la cybersécurité dépasse aujourd'hui largement le seul domaine numérique. La combinaison d'ingénierie sociale, d'attaques numériques et d'intrusion physique exige un concept de sécurité global.
Les entreprises doivent repenser leurs stratégies de sécurité et mettre en œuvre des mesures de protection à la fois numériques et physiques. La menace que représente UNC3753 montre que les criminels sont prêts à consentir des efforts considérables pour accéder à des données de valeur.
Les avertissements de Google et du FBI soulignent l'urgence de créer une conscience de la sécurité et de mettre en place les protections correspondantes. Ce n'est que par une combinaison de solutions techniques, de mesures organisationnelles et de collaborateurs formés que les entreprises pourront se protéger efficacement contre cette menace d'un genre nouveau.
