Réseau d'espionnage en profondeur touché 103 pays

Le rapport de 53 pages, publié dimanche, fournit Certaines des preuves les plus convaincantes et les détails des efforts des pirates motivés politiquement tout en soulevant des questions sur leurs liens avec les opérations de cyberspying sanctionnées par le gouvernement.

Il décrit un réseau que les chercheurs ont appelé GhostNet, qui utilise principalement un logiciel malveillant appelé gh0st RAT (outil d'accès à distance) pour voler des documents sensibles, contrôler les caméras Web et contrôler complètement les ordinateurs infectés.

[Plus d'informations: Comment supprimer «GhostNet représente un réseau d'ordinateurs compromis résidant dans des sites politiques, économiques et médiatiques de grande valeur répartis dans de nombreux pays à travers le monde», a déclaré le rapport, écrit par des analystes avec Information Warfare Monitor, une étude le projet du Groupe SecDev, un groupe de réflexion, et le Centre Munk d'études internationales de l'Université de Toronto. "Au moment d'écrire ces lignes, ces organisations sont presque certainement inconscientes de la situation compromise dans laquelle elles se trouvent."

Les analystes ont cependant déclaré n'avoir aucune confirmation si les informations obtenues ont fini par être utiles aux hackers

Espionnage depuis 2004

L'opération a probablement débuté en 2004, à l'époque où les chercheurs en sécurité ont remarqué que bon nombre de ces institutions recevaient de faux messages électroniques contenant des fichiers exécutables. Selon Mikko Hypponen, directeur de la recherche antivirus chez F-Secure. Hypponen, qui suit les attaques depuis des années, affirme que les tactiques de GhostNet ont considérablement évolué depuis ces premiers jours. «Depuis trois ans et demi, c'est assez avancé et assez technique.»

«C'est vraiment bien de voir ce qui se passe en ce moment, parce que ça dure depuis si longtemps.

Bien que les preuves montrent que les serveurs en Chine recueillaient certaines des données sensibles, les analystes étaient prudents quant à la possibilité de relier l'espionnage au gouvernement chinois. La Chine compte un cinquième des utilisateurs d'Internet dans le monde, ce qui peut inclure des pirates informatiques ayant des objectifs alignés sur les positions officielles chinoises.

"Attribuer tous les logiciels malveillants chinois à des opérations délibérées ou ciblées de collecte de renseignements par l'Etat chinois est faux et trompeur. "La Chine a fait un effort concerté depuis les années 1990 pour utiliser le cyberespace à des fins militaires" L'accent mis par la Chine sur les cybercapacités dans le cadre de sa stratégie de guerre asymétrique nationale implique de développer délibérément des capacités qui contournent la supériorité américaine.

Les ordinateurs du Tibet ont été falsifiés

Un deuxième rapport, rédigé par des chercheurs de l'Université de Cambridge et publié conjointement avec le journal de l'Université de Toronto, était moins circonspect, affirmant que les attaques contre le le Bureau de Sa Sainteté le Dalaï Lama (OHHDL) a été lancé par des «agents du gouvernement chinois». L'équipe de Cambridge a intitulé son rapport, "The Snooping Dragon."

Les recherches des analystes ont commencé après qu'ils aient eu accès aux ordinateurs appartenant au gouvernement du Tibet en exil, aux organisations non gouvernementales tibétaines et au bureau privé du Dalaï Lama. À propos de la fuite d'informations confidentielles, selon le rapport.

Ils ont trouvé des ordinateurs infectés par des logiciels malveillants qui permettaient aux pirates distants de voler des informations. Les ordinateurs ont été infectés après que les utilisateurs ont ouvert des pièces jointes malveillantes ou cliqué sur lié menant à des sites Web nuisibles.

Les sites Web ou les pièces jointes malveillantes tenteraient alors d'exploiter les vulnérabilités logicielles afin de prendre le contrôle de la machine. Dans un exemple, un courrier électronique malveillant a été envoyé à une organisation affiliée au Tibet avec une adresse de retour de "[email protected]" avec une pièce jointe Microsoft Word infectée.

Alors que les analystes sondaient le réseau, ils ont constaté que les serveurs collectant les données n'étaient pas sécurisés. Ils ont eu accès à des panneaux de contrôle utilisés pour surveiller les ordinateurs piratés sur quatre serveurs.

Ces groupes de contrôle ont révélé des listes d'ordinateurs infectés, qui dépassaient de loin le gouvernement du Tibet et les ONG. Trois des quatre serveurs de contrôle étaient situés en Chine, y compris Hainan, Guangdong et Sichuan. L'un était aux États-Unis, selon le rapport. Cinq des six serveurs de commande se trouvaient en Chine, le reste à Hong Kong

Le rapport de l'Université de Toronto a classé près de 30% des ordinateurs infectés comme étant des cibles «de grande valeur». Ces machines appartiennent au ministère des affaires étrangères du Bangladesh, de la Barbade, du Bhoutan, du Brunéi, de l'Indonésie, de l'Iran, de la Lettonie et des Philippines. Ont également été infectés des ordinateurs appartenant aux ambassades de Chypre, d'Allemagne, d'Inde, d'Indonésie, de Malte, du Pakistan, du Portugal, de Roumanie, de Corée du Sud, de Taïwan et de Thaïlande. SAARC (Association sud-asiatique de coopération régionale) et la Banque asiatique de développement; certaines organisations de presse telles que l'affilié britannique de l'Associated Press;

Pleins feux sur les besoins de sécurité

L'existence de GhostNet souligne la nécessité d'accorder une attention urgente à la sécurité de l'information, ont écrit les analystes. "Nous pouvons émettre l'hypothèse que [GhostNet] n'est ni le premier ni le seul en son genre."

Les chercheurs de Cambridge prédisent que ces attaques hautement ciblées sont associées à des logiciels malveillants sophistiqués - ils les appellent "malware social" - deviendra plus répandue à l'avenir. "Les logiciels malveillants sociaux sont peu susceptibles de rester un outil des gouvernements", écrivent-ils. "Ce que les Chinois ont fait en 2008, les escrocs russes feront l'affaire en 2010."

Alors que F-Secure n'a subi que quelques milliers de ces attaques, ils sont déjà un problème pour les entreprises du secteur de la défense, a déclaré Hypponen.. "Nous voyons seulement cela maintenant à une échelle minuscule", a-t-il dit. "Si vous pouviez prendre des techniques comme celle-ci et le faire sur une grande échelle, bien sûr cela changerait le jeu."

(Robert McMillan à San Francisco a contribué à ce rapport)