Un pirate informatique russe avec des photos

Cert.gov.geUne des deux images d'un prétendu pirate russe. La photo a été publiée par le gouvernement géorgien.

Dans l'une des photos, un utilisateur barbu aux cheveux noirs regarde l'écran de son ordinateur, peut-être perplexe devant ce qui se passe. Quelques minutes plus tard, il coupe la connexion de son ordinateur, réalisant qu'il a été découvert.

Les photos sont contenues dans un reportage selon lequel les intrusions provenaient de Russie, qui a lancé une campagne militaire de cinq jours contre la Géorgie en août 2008.

[Plus d'informations: Comment faire pour supprimer les logiciels malveillants de votre PC Windows]

Les photos en question ont été prises après que les enquêteurs de l'équipe d'intervention d'urgence informatique du gouvernement géorgien (Cert.gov.ge) ont réussi à appâter l'utilisateur de l'ordinateur à télécharger ce qu'il pensait être un fichier contenant des informations sensibles. En fait, il contenait son propre programme d'espionnage secret. La photo a été prise de sa propre webcam.

Contexte

Géorgie a commencé à enquêter sur la cyberespionnage liée à cet homme en mars 2011 après qu'un fichier sur un ordinateur appartenant à un fonctionnaire a été signalé comme "suspect" par un antivirus russe programme appelé Dr. Web.

L'enquête a révélé une opération sophistiquée qui a planté des logiciels malveillants sur de nombreux sites d'information géorgiens, mais uniquement sur des pages contenant des articles spécifiques qui intéresseraient les personnes qu'un pirate voudrait cibler, selon Giorgi Gurgenidze, un spécialiste de la cybersécurité avec Cert.gov.ge, qui s'occupe des incidents de sécurité informatique.

Les reportages sélectionnés pour attirer les victimes ont fait la manchette comme «visite de délégation de l'OTAN en Géorgie» et «accords et réunions américano-géorgiens», selon au rapport, publié conjointement avec le ministère de la Justice de la Géorgie et l'Agence d'échange de données LEPL, qui fait partie du ministère.

Détails de la bataille

CERT-Géorgie ne dira pas exactement qui st ordinateur infecté appartenait à. Mais ce qui suit est mieux décrit comme une bataille électronique épique entre les bons gars de Géorgie et un hacker hautement qualifié - ou probablement une équipe de pirates - basée en Russie.

L'agence a rapidement découvert que 300 à 400 ordinateurs étaient infectés et transmettre des documents sensibles pour supprimer des serveurs contrôlés par la personne en question. Les ordinateurs compromis ont formé un botnet surnommé "Georbot".

Le logiciel malveillant a été programmé pour rechercher des mots-clés spécifiques - USA, Russie, OTAN et CIA - dans des documents Microsoft Word et PDF, et a finalement été modifié pour enregistrer prendre des captures d'écran. Les documents ont été supprimés en quelques minutes des serveurs de dépôt, après que l'utilisateur ait copié les fichiers sur son propre PC.

La Géorgie a bloqué les connexions aux serveurs de dépôt recevant les documents. Les ordinateurs infectés ont ensuite été nettoyés du logiciel malveillant. Mais en sachant que son opération avait été découverte, l'utilisateur ne s'est pas arrêté. En fait, il a intensifié son jeu.

Au prochain tour, il a envoyé une série de courriels aux fonctionnaires du gouvernement qui semblaient provenir du président de la Géorgie, avec l'adresse "[email protected]". Ces courriels contenaient une pièce jointe PDF malveillante, contenant prétendument des informations juridiques, avec un exploit qui fournissait des logiciels malveillants.

Ni l'exploit ni le logiciel malveillant n'ont été détectés par le logiciel de sécurité

Fonctionnement des attaques PDF

Les attaques PDF utilisaient le format de fichier XDP, qui est un fichier de données XML contenant une copie codée en Base64 d'un fichier PDF standard. La méthode à un moment donné a évité tous les logiciels antivirus et les systèmes de détection d'intrusion. Ce n'est qu'en juin de cette année que l'équipe d'intervention d'urgence informatique du Royaume-Uni l'a mise en garde après que ses agences gouvernementales aient été ciblées. La Géorgie a vu de telles attaques plus d'un an avant l'avertissement.

C'était l'un des indices majeurs que la Géorgie ne traitait pas avec un pirate moyen, mais qui faisait partie d'une équipe ayant une connaissance solide des attaques complexes. »

« Ce type avait des compétences de haut niveau », a déclaré Gurgenidze.

Tout au long de l'année 2011, les attaques se sont poursuivies et sont devenues plus sophistiquées. Les enquêteurs ont découvert que la personne en question était en relation avec au moins deux autres pirates informatiques russes et allemands. Il était également actif sur certains forums de cryptographie. Ces indices, ainsi que certaines pratiques de sécurité faibles, ont permis aux enquêteurs de se rapprocher de lui.

Ensuite, un piège a été mis en place.

Les responsables géorgiens ont permis à l'utilisateur d'infecter un de leurs ordinateurs. Sur cet ordinateur, ils ont placé une archive ZIP intitulée «Accord géorgien-OTAN». Il a pris l'appât, ce qui a provoqué l'installation du propre programme d'espionnage des enquêteurs.

De là, sa webcam a été allumée, ce qui a eu pour résultat des photos assez claires de son visage. Mais après cinq à dix minutes, la connexion a été coupée, vraisemblablement parce que l'utilisateur savait qu'il avait été piraté. Mais dans ces quelques minutes, son ordinateur - comme ceux qu'il ciblait dans le gouvernement géorgien - était miné pour des documents.

Un document Microsoft Word, écrit en russe, contenait des instructions du gestionnaire de l'homme sur les cibles à infecter et comment. D'autres preuves circonstancielles pointant vers la participation de la Russie comprenaient l'enregistrement d'un site Web utilisé pour envoyer des courriels malveillants. Il a été enregistré à une adresse à côté du service de sécurité fédéral du pays, anciennement connu sous le nom de KGB, le rapport dit.

"Nous avons identifié des agences de sécurité russes, encore une fois," concluent

en raison des relations tendues entre la Russie et la Géorgie, il est peu probable que l'homme sur la photo - dont le nom n'a pas été révélé - serait poursuivi s'il vivait en Russie.