SolarWinds : la mise à jour de confiance transporte un espion

Une entreprise installe une mise à jour de son outil de supervision. C’est normalement un geste de maintenance et de sécurité. Dans l’affaire SolarWinds révélée en 2020, cette habitude devient une porte d’entrée : certaines mises à jour d’Orion contiennent un composant malveillant appelé SUNBURST.

L’intrusion vise la chaîne de fabrication du logiciel. Le code hostile est intégré avant la distribution, ce qui lui permet de voyager dans un produit que les clients ont de bonnes raisons d’accepter. La confiance accordée au fournisseur facilite ainsi son arrivée chez les victimes.

La présence d’une mise à jour piégée ne signifie pas que chaque client reçoit ensuite la même exploitation. Les opérateurs choisissent des cibles et poursuivent certaines intrusions pour obtenir des accès, des informations ou des identités supplémentaires. Le nombre d’installations exposées et le nombre d’organisations activement espionnées sont différents.

Les investigations de FireEye révèlent la campagne et conduisent à l’analyse du composant compromis. Les autorités publient des consignes d’urgence, notamment la déconnexion des installations concernées, tandis que les équipes cherchent les accès persistants que les attaquants ont pu obtenir.

En avril 2021, les autorités américaines et britanniques attribuent cette opération au service russe de renseignement extérieur, le SVR. Les chercheurs la relient à l’acteur généralement suivi comme APT29. Ce n’est pas le récit d’une rançon versée pour récupérer un serveur.

SolarWinds montre pourquoi une défense ne peut pas se limiter à refuser les fichiers manifestement suspects. Le fichier dangereux peut arriver au bon moment, par le bon canal, au nom du bon fournisseur.