Jeux Olympiques : Atos a-t-il suffisamment protégé ses systèmes ?

Fin janvier, lors du Forum International de la Cybersécurité, qui se déroulait alors à Lille, Atos, partenaire clés des Jeux Olympiques pour l'IT, se vantait d’avoir obtenu le label France Cybersecurity pour ses solutions de gestion des identités, habilitations et accès. A l’automne 2016, il avait annoncé un partenariat avec CyberArk parallèlement au lancement de la nouvelle génération de son offre d’IAM, Evidian. Il y a fort à parier que ces systèmes d’IAM vont être fortement mis à contribution et vont avoir l’occasion de faire la démonstration de leurs qualités.

Car comme l’expliquaient Warren Mercer et Paul Rascagneres, des équipes Talos de Cisco, celui qu’ils ont baptisé Olympic Destroyer s’appuie sur des identifiants inscrits directement dans son code. Mais ces identifiants évoluent régulièrement : ils sont ajoutés au maliciel à la volée,  directement dans son code binaire, et sans recompilation, pour la poursuite de la propagation. Cet ajout survient après la capture des identifiants sur l’hôte infecté.

I updated our #OlympicDestroyer post. The malware has the capability to generate new binaries with the stolen credentials (by patching the PE). The list in the screenshot comes from previous executions and was not created by the devevelopers themself https://t.co/VwkNNSI06Q

— Paul Rascagnères (@r00tbsd) February 13, 2018

Certains identifiants s’étalent désormais publiquement dans les commentaires d’échantillons sur Virus Total ou dans le rapport d’analyse en bac à sable d’Hybrid Analysis. On trouve là des identifiants de comptes, selon toute vraisemblance techniques, mais aussi de collaborateurs d’Atos, s’il l’on en croît l’adresse e-mail en @atos.net. Les échantillons en question ont été créés le 27 décembre dernier. Mais compte tenu du polymorphisme dont Olympic Destroyer fait preuve, cela n’indique en rien que les comptes concernés avaient été compromis à cette date ou avant.

Le malware est compilé, l'attaque est lancée, si des credentials sont trouvés le malware est modifié à la volé sans recompilation pour continuer sa propagation

— Benkøw moʞuƎq (@benkow_) February 15, 2018

Un porte-parole d’Atos a indiqué à nos confrères de CyberScoop qu’une enquête « complète est en cours », tout en expliquant qu' « ensemble, avec notre partenaire McAfee Advanced Threat Research, nous pouvons confirmer que l’attaque […] a utilisé des identifiants codés en dur dans le maliciel ». Pour autant, à ce stade, ces identifiants « n’indiquent pas l’origine de l’attaque ». 

Ces affirmations tendent à confirmer la découverte des équipes Talos de Cisco, ainsi que l’authenticité des échantillons désormais publiquement accessibles. Pour autant, ces derniers n’apportent, à ce stade, pas d’éclairage sur la manière dont le maliciel a été invité sur l’infrastructure des Jeux Olympiques. 

Toutefois, ils soulèvent des questions sur la manière dont a été conçue la protection de leurs hôtes contre les maliciels - par Atos ou un autre partenaire. Comme l’ont montré certaines expériences, détecter des implémentations personnalisées de Mimikatz pour voler des identifiants en mémoire vive n’est pas trivial. Mais ce n’est pas pour autant impossible, surtout quand la mise en œuvre reste peu personnalisée. D’ailleurs, Benjamin Delpy, créateur de Mimikatz, n’a pas manqué d’ironiser sur le sujet. 

Friends don't let attackers push #mimikatz "as-is" in malware, especially for Olympic games...
*Especially* when it's sooooo easy to trap in memory....
cc:@guardian, @r00tbsd , @SecurityBeard pic.twitter.com/JnKqUlqU60

— Benjamin Delpy (@gentilkiwi) February 12, 2018

Nous avons sollicité le service de presse d'Atos et nous restons dans l'attente de réponses à nos questions complémentaires. Nous ne manquerons pas de mettre à jour cet article à leur réception.

En attendant, certains ne manquent déjà pas de souligner l’ironie de la situation pour celui qui annonçait fièrement, en juillet dernier, « le premier Security Operations Center prescriptif », capable de « contrecarrer les cyberattaques avant même qu’elles ne se produisent » grâce à un « temps de détection et de réponse inédit ».