L’État russe Hacker Group connu sous le nom de Turla a effectué certains des exploits de piratage les plus innovants de l’histoire du cyberespionnage, Cacher les communications de leurs logiciels malveillants dans les connexions satellites ou détournement des opérations d’autres pirates pour cacher leur propre extraction de données. Cependant, lorsqu’ils fonctionnent sur leur gazon domestique, il s’avère qu’ils ont essayé une approche tout aussi remarquable, mais plus simple,: ils semblent avoir utilisé leur contrôle des fournisseurs de services Internet de la Russie pour planter directement les logiciels espions sur les ordinateurs de leurs cibles à Moscou.

L’équipe de recherche sur la sécurité de Microsoft axée sur le piratage des menaces a publié aujourd’hui un rapport détaillant une nouvelle technique d’espionnage insidieuse utilisée par Turla, qui est censée faire partie de l’agence de renseignement FSB du Kremlin. Le groupe, également connu sous le nom de Snake, Venomous Bear, ou le propre nom de Microsoft, Secret Blizzard, semble avoir utilisé son accès sanctionné par l’État aux FAI russes pour se mêler du trafic Internet et tromper les victimes travaillant dans des ambassades étrangères opérant à Moscou dans l’installation du logiciel malveillant du groupe sur leurs PC. Que les logiciels espions ont ensuite désactivé le cryptage sur les machines de ces cibles afin que les données qu’elles transmettent sur Internet ne soient pas cryptées, laissant leurs communications et leurs informations d’identification comme les noms d’utilisateur et les mots de passe entièrement vulnérables à la surveillance par ces mêmes FAI – et toute agence de surveillance de l’État avec laquelle ils coopérent.

Sherrod DeGrippo, directeur de la stratégie de renseignement sur les menaces de Microsoft, affirme que la technique représente un mélange rare de piratage ciblé pour l’espionnage et l’approche plus ancienne et plus passive de la surveillance de masse, dans laquelle les agences d’espionnage recueillent et passent les données des FAI et des télécommunications pour surveiller les cibles. «Cela brouille la frontière entre la surveillance passive et l’intrusion réelle», explique DeGrippo.

Pour ce groupe particulier de pirates de FSB, ajoute DeGrippo, il suggère également une nouvelle arme puissante dans leur arsenal pour cibler quiconque à l’intérieur des frontières de la Russie. «Cela montre potentiellement comment ils pensent des infrastructures de télécommunications basées en Russie dans le cadre de leur boîte à outils», dit-elle.

Selon les chercheurs de Microsoft, la technique de Turla exploite certains navigateurs de demande Web lorsqu’ils rencontrent un «portail captif», les fenêtres qui sont le plus couramment utilisées pour maintenir l’accès à Internet dans des paramètres tels que les aéroports, les avions ou les cafés, mais aussi dans certaines entreprises et agences gouvernementales. À Windows, ces portails captifs atteignent un certain site Web de Microsoft pour vérifier que l’ordinateur de l’utilisateur est en fait en ligne. (Il n’est pas clair si les portails captifs utilisés pour pirater les victimes de Turla étaient en fait légitimes utilisés régulièrement par les ambassades cibles ou celles que Turla a en quelque sorte imposées aux utilisateurs dans le cadre de sa technique de piratage.)

En profitant de son contrôle des FAI qui connectent certains membres du personnel de l’ambassade étrangers à Internet, Turla a pu rediriger des cibles afin qu’ils aient vu un message d’erreur qui les a incités à télécharger une mise à jour vers les certificats cryptographiques de leur navigateur avant qu’ils ne puissent accéder au Web. Lorsqu’un utilisateur sans méfiance a convenu, il a plutôt installé un logiciel malveillant que Microsoft appelle Apolloshadow, qui est déguisé – quelque chose inexplicablement – comme une mise à jour de sécurité de Kaspersky.

Le fait que les logiciels malveillants Apolloshadow désactiveraient ensuite essentiellement le cryptage du navigateur, éliminant silencieusement les protections cryptographiques pour toutes les données Web que l’ordinateur transmet et reçoit. Cette altération relativement simple des certificats était probablement destinée à être plus difficile à détecter qu’un élément de logiciel espion complet, dit DeGrippo, tout en atteignant le même résultat.