Les techniques de l'APT Salt Typhoon détaillées

C’est un travail collectif que des agences gouvernementales de renseignement et de cybersécurité de 13 pays (Etats-Unis, Allemagne, Canada,...) ont réalisé sur Salt Typhoon. Le rapport a lié les activités du groupe APT à plusieurs entités chinoises dont trois travaillent dans l’IT et fournissent des produits et services à l’Armée populaire de Chine et au ministère chinois de la sécurité d’Etat (MSS). « Les données volées lors de cette activité contre les fournisseurs d'accès à Internet (FAI) étrangers, ainsi que les intrusions dans les secteurs de l'hôtellerie et des transports, peuvent donner aux services de renseignement chinois la capacité d'identifier et de suivre les communications et les déplacements de leurs cibles à travers le monde », ont indiqué les agences dans leur rapport.

Également connu dans le secteur de la cybersécurité sous les noms d'Operator Panda, RedMike, UNC5807 et GhostEmperor, Salt Typhoon a fait la Une des médias fin 2024 et plus tôt cette année, lorsque les autorités ont révélé que le groupe avait piraté les systèmes d'information de grands opérateurs de télécommunications et de FAI américains, dont AT&T, Verizon, T-Mobile, Lumen Technologies, Charter, Consolidated et Windstream Communications, afin d'espionner les communications sensibles. Sur la méthode, Salt Typhoon n’a pas été associé à l’exploitation de failles de type zero-day, mais sur des vulnérabilités déjà connues pour lesquelles les victimes n’avaient pas déployé de correctifs.

Les failles sur les matériels edge privilégiées

Les équipements en bordure de réseau (VPN, gateway,…) semblent être une cible fréquente pour le groupe. Le rapport commun met en évidence la faille CVE-2024-21887 dans Ivanti Connect Secure et Ivanti Policy Secure, la faille CVE-2024-3400 dans Palo Alto Networks PAN-OS GlobalProtect et la faille CVE-2024-3400 dans Palo Alto Networks PAN-OS GlobalProtect. CVE-2023-20273 et CVE-2023-20198 dans Cisco Internetworking Operating System (IOS) XE ; et CVE-2018-0171 dans Cisco IOS et IOS XE. « Les auteurs d'APT peuvent cibler des solutions edge quel que soit leur propriétaire », indique l’analyse.

Le groupe est également connu pour utiliser des routeurs compromis et des serveurs privés virtuels (VPS) non associés à des botnets ou à des activités malveillantes comme proxys, en créant des tunnels. Les terminaux sont également inspectés pour détecter d'éventuels liens de confiance entre fournisseurs ou entre fournisseurs et clients, susceptibles d'être détournés pour accéder à d'autres réseaux. Une technique couramment utilisée pour maintenir la persistance consiste à modifier les listes de contrôle d'accès (ACL) des appareils afin d'ajouter des adresses IP contrôlées par les attaquants. L'ouverture de services sur des ports non standard, tels que SSH, SFTP, FTP, RDP, HTTP et autres, a également été fréquemment observée sur les équipements compromis. « Selon la configuration du protocole SNMP (Simple Network Management Protocol) sur les appliances réseau compromises, les acteurs APT énumèrent et modifient, lorsque cela est possible, les configurations des autres dispositifs du même groupe communautaire », ont indiqué les agences.

Déplacement latéral et collecte de données

Pour pénétrer plus profondément dans les réseaux, les attaquants exploitent les protocoles d'authentification existants, tels que Tacacs+ (Terminal Access Controller Access Control System Plus) et Radius (Remote Authentication Dial-In User Service). La base d'informations gérée (MIB), diverses interfaces de routeur, les sessions RSVP (Resource Reservation Protocol), les routes BGP (Border Gateway Protocol) et les logiciels déjà installés sur les équipements sont également ciblés. Les cyber-espions recherchent également les fichiers de configuration et les données détenues par les fournisseurs, telles que les informations sur les abonnés, les dossiers clients, les schémas réseau, les configurations des appareils, les listes de fournisseurs, les mots de passe, etc.

Les capacités natives de capture de paquets des routeurs compromis sont régulièrement exploitées pour capturer le trafic d'authentification Radius ou Tacacs+ afin d'extraire les identifiants transmis sous des formes non sécurisées. Il arrive que les cybercriminels dirigent la configuration du serveur Tacacs+ du routeur vers une adresse IP qu'ils contrôlent pour capturer les requêtes d'authentification. Les routeurs compromis, notamment ceux de Cisco, subiront diverses modifications de configuration, notamment l'ajout de comptes, l'exploitation de la surveillance du trafic sur les interfaces, l'exécution de commandes via différents protocoles pour afficher les fichiers de configuration ou nettoyer les journaux, la configuration des tunnels, la mise à jour des tables de routage, l'exécution de conteneurs Guest Shell, etc. Par ailleurs, les attaquants exploitent généralement les connexions de peering existantes entre les réseaux afin d'exfiltrer des données sans éveiller les soupçons, en les dissimulant dans le bruit généré par les nœuds à fort trafic et en les encapsulant dans des tunnels chiffrés tels que GRE ou IPsec.

Des recommandations pour se protéger

Le rapport comprend de nombreux indicateurs de compromission, des TTP, une étude de cas avec l'activité et les commandes enregistrées de Salt Typhoon, ainsi que des recommandations de chasse aux menaces et des règles Yara pouvant être utilisées pour la détection d'activité. « Les agences encouragent les défenseurs des réseaux des organisations d'infrastructures critiques, en particulier les entreprises de télécommunications, à effectuer une chasse aux menaces et, le cas échéant, à intervenir en cas d'incident », ont déclaré les participants au rapport. En cas de suspicion ou de confirmation d'activité malveillante, les entreprises doivent tenir compte de toutes les obligations de signalement aux agences et régulateurs compétents en vertu des lois et réglementations en vigueur, ainsi que de tout signalement volontaire supplémentaire aux agences compétentes, telles que les services de cybersécurité ou les forces de l'ordre, qui peuvent fournir des conseils en matière de réponse aux incidents et une assistance en matière d'atténuation. Sur ce dernier point, la première étape consiste à corriger les vulnérabilités connues dès que possible, en particulier sur les périphériques réseau. Il est également important d'effectuer une surveillance régulière des fichiers de configuration et des journaux des routeurs afin de détecter toute activité suspecte et toute modification non autorisée.

D'autres recommandations générales incluent pêle-mêle la désactivation des connexions sortantes des interfaces de gestion, la désactivation des ports et services inutilisés, la modification des identifiants d'administration par défaut. De même, la mise en œuvre de l'authentification par clé publique pour les administrateurs au lieu de l'authentification par mot de passe est préconisée. Tout comme le retrait progressif des équipements réseau non pris en charge. Enfin, le rapport comprend également des suggestions plus spécifiques pour le renforcement des protocoles de gestion, la mise en œuvre de journaux robustes et l'exploitation des meilleures pratiques en matière de routage et de réseaux privés virtuels.