Du nouveau sur le piratage de Cisco [MAJ]

Il y a un an, un groupe de sécurité Russe publiait deux fichiers extraits du code source du fameux Cisco IOS (Version 12.3). Environ 800 Mo de ce code source avaient été dérobés au numéro 1 des équipements réseaux. L’enquête progresse et mène les forces de l’ordre en Suède...

En mai 2004, un pirate informatique parvient à s'introduire dans le réseau de l'équipementier américain Cisco et à lui voler une partie de son code source propriétaire (environ 800 Mo). À l'époque, l'entreprise explique qu'il lui est difficile de déterminer l'impact réel d'une telle fuite sur ses produits.

Au regard des éléments actuels, on peut affirmer que ce piratage ne représentait que les prémices d’un projet de grande envergure impliquant des intrusions dans plusieurs milliers d’ordinateurs.



Depuis un an, policiers et experts ont traqué ces activités malveillantes et ont acquis la certitude qu'elles sont le fait d'une seule et même personne, qui a éventuellement pu recevoir l'aide d'un petit groupe d'autres pirates. Les enquêteurs ont remonté la piste jusqu’à certaines attaques sur des systèmes de l’armée Américaine, de la NASA et de plusieurs laboratoires de recherche importants. Ce cas démontre bien la facilité avec laquelle il est parfois possible de pénétrer des réseaux d’entreprises ou de gouvernements, pour peu que ces derniers soient connectés à internet. Et inversement à quel point il peut être difficile de remonter jusqu’à la source des d’attaques.

La chasse au pirate est toujours ouverte, cependant une récente arrestation, en mars dernier, semble amener les enquêteurs sur une piste intéressante. Il s’agit d’un jeune suédois de 16 ans déjà accusé de s'être frauduleusement introduit sur le réseau de son université, à Uppsala. Car plusieurs des intrusions repérées sur le territoire américain ont été effectuées depuis le réseau de cette université.



Les experts expliquent que l’attaque en elle-même n’avait rien d’innovant, mais que sa complexité résidait dans le fait qu’elle exploite un véritable réseau de machines configurées pour récupérer automatiquement les « logs » et mots de passe des ordinateurs piratés, ces machines étant situées dans plus de sept pays.

L’élément majeur qui a permis de voler ces mots de passe et codes chez Cisco et les autres était l’utilisation d’une version corrompue d’OpenSSH.

Le pirate scanne les réseaux à la recherche des machines vulnérables et procède systématiquement à l’installation de cette version corrompue d’Openssh. Ainsi, dès que l’administrateur de la machine se connecte, son login et mot de passe sont capturés puis transmis au pirate. L’utilisation de « rootkit » aurait également permis de récupérer tous les mots de passe utilisés sur la machine ou pour se connecter à d’autres serveurs voisins.

Avant même d’avoir touché Cisco en mai 2004, l’activité du pirate avait été remarquée une première fois en avril 2004 par Wren Montgomery, chercheur de l’université Berkeley en Californie, qui avait étrangement perdu tous les fichiers de son ordinateur ainsi qu’un an et demi d’archives de courriers électroniques.

Notre confrère Silicon.fr apporte quelques précisions importantes sur cette affaire.

D'une part, Cisco affirme qu'il est impossible de récupérer l'intégralité de IOS sur un serveur unique. Le code source non compilé de IOS représente, d'après le constructeur, plusieurs dizaines de giga-octets, et n'est stocké en intégralité sur aucun serveur de part le monde. Si les responsables admettent bien qu'il y a eu vol de ce code source, il n'est que partiel.

D'autre part, le jeune suédois arrêté dans la cadre de l'enquête ne revendique pas avoir pénétré les serveurs de Cisco.

• Plus de détails