FireEye, l’une des plus grandes entreprises de cybersécurité au monde, a déclaré mardi avoir été victime d’un attaque parrainée par l’État par un «acteur de la menace hautement sophistiqué» qui lui a volé son arsenal d’outils de test d’intrusion Red Team qu’il utilise pour tester les défenses de ses clients.

La société a déclaré qu’elle enquêtait activement sur la violation en coordination avec le Federal Bureau of Investigation (FBI) des États-Unis et d’autres partenaires clés, dont Microsoft.

Il n’a pas identifié de coupable spécifique qui pourrait être à l’origine de la violation ou n’a pas révélé le moment exact du piratage.

cependant, Le New York Times et Le Washington Post a rapporté que le FBI avait confié l’enquête à ses spécialistes russes et que l’attaque était probablement l’œuvre de APT29 (ou Cozy Bear) – des pirates informatiques parrainés par l’État et affiliés au service russe de renseignement extérieur SVR – citant des sources anonymes

Au moment de la rédaction de cet article, les outils de piratage n’ont pas été exploités dans la nature, ni ne contiennent d’exploits zero-day, bien que des acteurs malveillants en possession de ces outils puissent en abuser pour renverser les barrières de sécurité et prendre le contrôle des systèmes ciblés.

Les outils Red Team sont souvent utilisés par les organisations de cybersécurité pour imiter ceux utilisés dans les attaques du monde réel dans le but d’évaluer les capacités de détection et de réponse d’une entreprise et d’évaluer l’état de sécurité des systèmes d’entreprise.

La société a déclaré que l’adversaire avait également accédé à certains systèmes internes et recherchait principalement des informations sur les clients du gouvernement, mais a ajouté qu’il n’y avait aucune preuve que l’attaquant avait exfiltré des informations client liées à la réponse aux incidents ou aux missions de conseil ou aux métadonnées collectées par son logiciel de sécurité.

«Cette attaque est différente des dizaines de milliers d’incidents auxquels nous avons répondu au fil des ans», a déclaré Kevin Mandia, PDG de FireEye a écrit dans un article de blog.

«Les attaquants ont spécialement adapté leurs capacités de classe mondiale pour cibler et attaquer FireEye. Ils sont hautement qualifiés en sécurité opérationnelle et exécutés avec discipline et concentration. Ils ont opéré clandestinement, en utilisant des méthodes qui contrecarrent les outils de sécurité et les examens médico-légaux. techniques dont nous ou nos partenaires n’ont pas assisté dans le passé. « 

le accédé aux outils de l’équipe rouge exécutez toute la gamme des scripts utilisés pour automatiser la reconnaissance à des frameworks entiers qui sont similaires aux technologies disponibles publiquement telles que CobaltStrike et Metasploit. Quelques autres sont des versions modifiées d’outils accessibles au public conçus pour échapper aux mécanismes de détection de sécurité de base, tandis que les autres sont des utilitaires d’attaque propriétaires développés en interne.

Pour minimiser l’impact potentiel du vol de ces outils, la société a également publié 300 contre-mesures, y compris une liste de 16 défauts critiques précédemment révélés cela devrait être traité pour limiter l’efficacité des outils de l’équipe rouge.

Si quoi que ce soit, le développement est une autre indication qu’aucune entreprise, en comptant les entreprises de cybersécurité, n’est à l’abri d’attaques ciblées.

De grandes entreprises de cybersécurité telles que Kaspersky Lab, RSA Security, Avast et Bit9 ont déjà été victimes de piratages dommageables au cours de la dernière décennie.

L’incident présente également de faibles similitudes avec Les courtiers fantômes«  fuite d’outils de piratage offensifs utilisés par l’Agence de sécurité nationale américaine en 2016, qui comprenait également l’exploit zero-day EternalBlue qui a ensuite été armé pour distribuer le ransomware WannaCry.

«Les entreprises de sécurité sont une cible de choix pour les opérateurs des États-nations pour de nombreuses raisons, mais ce n’est pas le moindre de tous. [the] capacité à obtenir des informations précieuses sur la manière de contourner les contrôles de sécurité au sein de leurs cibles ultimes, », le co-fondateur de Crowdstrike, Dmitri Alperovitch m’a dit.

La sortie des outils de l’équipe rouge volés par l’adversaire « contribuera grandement à atténuer l’impact potentiel de cette intrusion pour les organisations du monde entier », a-t-il ajouté.