L' (en français "groupe Équation") est le nom attribué à un groupe informatique de cyber-espionnage de haut niveau lié à la National Security Agency (NSA). Cela provient notamment de la proximité avec les vers informatiques Flame et Stuxnet, voire le logiciel malveillant Regin.

En raison de la prédilection du groupe pour des méthodes de chiffrement sophistiquées dans leurs opérations, le nom d' a été choisi par Kaspersky Lab qui a documenté près de de logiciels malveillants par les outils du groupe dans au moins . Il s'agirait de , remontant les premières traces au début des années 2000 et même possiblement à 1996.

En , le groupe de hackers The Shadow Brokers dévoile une série d'outils d'espionnage et de cyberarmes appartenant à l’.

Vecteurs d'infection Kaspersky Lab a identifié qu' exploitait au moins sept failles de sécurité liées à Microsoft Windows, Internet Explorer et Java, dont quatre étaient des vulnérabilités dites « zero-day » (qui ne sont pas corrigées ou connues de l’éditeur au moment de leur utilisation). L’éditeur russe décrit également l’exploitation d'autres failles inconnues début 2015 - probablement également de type zero-day - dans Mozilla Firefox 17 et le navigateur Tor Browser Bundle.

Fanny, le logiciel malveillant développé par l' se loge dans le firmware des disques durs et donc résiste à un reformatage du disque ou l'installation d'un nouveau système d'exploitation.

Pour infecter leurs victimes, l' utilise un arsenal d'« implants » (logiciel malveillant) : EquationLaser (2001-2004) est un implant de première génération; EquationDrug (2003-2013) est une plate-forme d'attaque très complexe qui prend en charge un système modulaire de plugins; DoubleFantasy (2004-2011) est un cheval de Troie conçu pour confirmer que la cible atteinte est la bonne. Si tel est le cas, le trojan est alors remplacé par une plate-forme plus complète comme EquationDrug ou GrayFish; TripleFantasy (2012-2014) est une porte dérobée qui semble être une version plus évoluée de DoubleFantasy; Fanny (2008-2010) est un ver informatique utilisé pour dérober des informations. Il utilise deux vulnérabilités dites « zero-day » qui ont été découvertes ultérieurement avec Stuxnet; GrayFish (2008-2014) est la plate-forme d'attaque la plus sophistiquée d', qui réside entièrement dans la base de registre de windows.

Au-delà des vecteurs classiques, le rapport de Kaspersky relate également un cas spécifique d’infection d’un chercheur via un cédérom reçu à la suite d'une conférence scientifique s’étant déroulée à Houston en 2009.

Profils des cibles Pays En , Kasperky Lab indique avoir identifié des victimes dans , en Asie, Afrique, Europe (Allemagne, Belgique, France, Grande-Bretagne et Suisse) et Amérique du Sud. Les principaux pays visés seraient l'Iran, la fédération de Russie, le Pakistan, l’Afghanistan, l'Inde, la Chine, la Syrie et le Mali.

Secteurs d'activités En se basant sur la liste des 500 victimes recensées, Kaspersky Lab indique que les organisations visées appartiennent généralement aux catégories suivantes : .

Attribution Kaspersky Lab ne cite jamais la National Security Agency (NSA) dans son rapport publié en février, mais indique qu' aurait travaillé de manière rapprochée avec les équipes à l'origine de Flame et de Stuxnet. Selon l'expert en sécurité Claudio Guarnieri et plusieurs anciens agents du renseignement américain anonymes, serait lié à la NSA.

Notes et références

Annexes

Articles connexes Fuite d'information Logiciel espion Logiciel malveillant Logiciels similaires : Regin, Flame, Stuxnet Vulnérabilité (informatique)

Liens externes

Catégorie:Logiciel malveillant Catégorie:Advanced Persistent Threat Catégorie:National Security Agency