Supply Chain Attack est un type de cyberattaque qui cible des éléments moins sécurisés dans la chaîne d'approvisionnement d'une organisation plutôt que d'attaquer directement l'organisation.
Table des matières
Attaque par la chaîne d’approvisionnement
Ces dernières années, les attaques par la chaîne d’approvisionnement ont causé des dégâts à l’échelle mondiale. Une attaque de ce type est une cyberattaque qui cible les relations de confiance entre entreprises, en utilisant un partenaire compromis comme tremplin pour infiltrer d’autres organisations. L’objectif est d’infiltrer le réseau ou les systèmes d’une organisation en compromettant un fournisseur tiers ou un partenaire qui a accès à ses données, logiciels ou infrastructures réseau.
La particularité de ces attaques est qu’elles permettent aux attaquants d’entrer indirectement dans les systèmes, en compromettant d’abord les maillons les moins sécurisés de la chaîne, comme les prestataires tiers. Ces acteurs étant intégrés aux opérations quotidiennes, l’intrusion peut passer inaperçue jusqu’à ce qu’elle ait causé des dommages importants.
Principales caractéristiques des attaques de la chaîne d'approvisionnement
Approche indirecte
Au lieu d'attaquer directement l'organisation cible, les attaquants compromettent un tiers de confiance, tel qu'un fournisseur de logiciels, un fournisseur de matériel ou un prestataire de services. Ce tiers devient ensuite un canal pour fournir la charge utile malveillante à la cible finale.
Complexité et échelle
Les attaques de la chaîne d'approvisionnement peuvent être complexes, impliquer plusieurs étapes et affecter un grand nombre d'organisations. Les attaquants peuvent insérer du code ou du matériel malveillant à différentes étapes de la chaîne d'approvisionnement, ce qui rend la détection difficile.
Exploitation de la confiance
Ces attaques exploitent les relations de confiance entre une organisation et ses fournisseurs. Étant donné que les fournisseurs tiers ont souvent un accès privilégié aux systèmes d’une organisation ou aux données sensibles, ils deviennent une cible attrayante pour les attaquants.
Impact étendu
L'impact d'une attaque de la chaîne d'approvisionnement peut être important, affectant non seulement la cible principale, mais potentiellement des milliers d'autres organisations qui comptent sur le tiers compromis.
Types d’attaques par la chaîne d’approvisionnement
Ces attaques peuvent être classées en trois grandes catégories selon leur point d’origine :
Attaques de la chaîne d’approvisionnement logicielle
Ce type d’attaque vise à compromettre les processus de développement ou de livraison de logiciels afin d’y insérer du code malveillant. Cela permet aux attaquants de s’introduire dans les systèmes via des logiciels en apparence légitimes.
Les vecteurs d’attaque courants incluent le code open source, les outils d’administration système et les applications populaires. Plutôt que de s’attaquer directement à une entreprise, les cybercriminels ciblent d’abord un fournisseur de confiance qui développe ou héberge le logiciel. Ensuite, ils utilisent les serveurs de mise à jour ou les canaux de distribution pour propager des versions compromises.
Si le logiciel est largement utilisé, l’impact peut être massif et toucher de nombreuses organisations.
Attaques de la chaîne d’approvisionnement des services
Ces attaques ciblent les prestataires de services, comme les Managed Service Providers (MSP), et exploitent leurs accès privilégiés pour propager des malwares chez plusieurs clients.
L’exemple le plus connu est l’attaque par ransomware de 2021 contre Kaseya VSA, une solution de gestion IT à distance. Les attaquants ont compromis des MSP utilisant Kaseya VSA, puis diffusé le ransomware à leurs clients finaux. Comme ces prestataires gèrent les réseaux des entreprises clientes, ils servent de point de relais pour des malwares comme le ransomware.
On estime qu’environ 1.500 entreprises ont été impactées par cet incident.
Attaques de la chaîne d’approvisionnement commerciale
Ces attaques visent l’écosystème plus large de partenaires, fournisseurs, prestataires logistiques et autres acteurs impliqués dans le fonctionnement quotidien, pour atteindre la cible principale.
Cette méthode est devenue si répandue qu’elle est aujourd’hui considérée comme une technique d’intrusion standard.
Trend Micro observe régulièrement des groupes comme Earth Hundun (BlackTech) et Earth Tengshe (associé à APT10) qui compromettent d’abord des filiales internationales avant d’infiltrer les opérations principales des entreprises ciblées.
Catégories d'attaques de la chaîne d'approvisionnement
- Mises à jour logicielles compromises : Les attaquants injectent du code malveillant dans les mises à jour logicielles qui sont distribuées à un grand nombre d’utilisateurs.
- Bibliothèques de logiciels tiers compromis : Insertion de code malveillant dans des bibliothèques tierces ou des dépendances intégrées à des produits logiciels légitimes.
- Matériel ou firmware compromis : Insertion de composants matériels malveillants ou de firmware dans des produits pendant le processus de fabrication ou de distribution.
- Piratage des outils de développement : Compromettre les outils utilisés par les développeurs, tels que les IDE (Integrated Development Environments) ou les pipelines CI/CD (Continuous Integration/Continuous Deployment).
- Dépendances logicielles compromises : Injecter du code malveillant dans des dépendances logicielles légitimes largement utilisées.
- Exfiltration de données via des protocoles exploités : Exploiter les vulnérabilités dans des protocoles tels que SMB, TLS, SSH ou cibler directement les bases de données via des méthodes telles que l'injection SQL pour exfiltrer les données.
- Ciblage des projets open source : Attaquant des projets open source largement utilisés, en insérant un code malveillant qui peut affecter de nombreux projets en aval.
Exemples d'attaques de la chaîne d'approvisionnement
Attaque SolarWinds (2020)
Les attaquants ont infiltré le mécanisme de mise à jour du logiciel Orion de SolarWinds, fournissant des mises à jour malveillantes à plus de 18 000 clients, y compris des agences gouvernementales et des grandes entreprises.
Ressources : Alerte CISA sur SolarWinds
RockYou2024 (2024)
La fuite de mot de passe « RockYou2024 », où près de 10 milliards d’informations d’identification précédemment compromises ont été compilées et publiées sur un forum de piratage, souligne le risque important posé par l’agrégation, la réutilisation et l’exposition publique des informations d’identification violées sur plusieurs plateformes et services.
Ressources : Près de 10 milliards de mots de passe ont fui lors de la plus grande compilation de tous les temps
Modèles grand langage (LLM) et chatbots publics (2024)
Les chatbots publics alimentés par les LLM peuvent exposer par inadvertance des informations internes sensibles partagées pendant les interactions, en exploitant la confiance que les entreprises placent dans ces services d’IA, ce qui souligne les risques de s’appuyer sur des plateformes d’IA externes qui peuvent involontairement divulguer des données confidentielles via leurs processus d’apprentissage et d’interaction.
Ressources : Les chatbots personnalisés d'OpenAI fuient leurs secrets
PHP Git Server Compromise (2021)
Les attaquants ont compromis le serveur Git de PHP, tentant d'insérer une porte dérobée dans le code source du langage de script Web populaire.
Ressources : ZDNet sur PHP Git Server Hack
Compromis IoT et OT
Le mouvement latéral d’un vecteur d’attaque initial, comme le spear phishing, vers des appareils IoT ou OT comme des caméras et des imprimantes, peut également être considéré comme un saut d’îlot.
Ressources : Krebs sur le rapport de sécurité
Données publiques nationales américaines (2024)
La violation a été activée par des vulnérabilités dans une propriété sœur, RecordsCheck, qui a permis aux attaquants d’exploiter les relations de confiance entre les services connexes pour accéder à des données sensibles.
Trend Vision One Platform
Une plateforme unique peut vous aider à arrêter les adversaires plus rapidement et à contrôler vos cyber-risques. Gérez la sécurité de manière globale grâce à des fonctionnalités complètes de prévention, de détection et de réponse alimentées par l’IA, ainsi qu’une recherche et une veille leaders sur les menaces.
Trend Vision One soutient les environnements IT hybrides diversifiées, automatise et orchestre les flux de travail, et fournit des services d’experts en cybersécurité. Vous pouvez ainsi simplifier et faire converger vos opérations de sécurité.