Cyber War/Guerre informatique

Rappel du premier message :

Citation :

la Marine victime du virus Conficker-Downadup
Thierry Noisette, publié le 9 février 2009

Sécurité - Le réseau interne de la Marine française a été touché par le virus Conficker (ou Downadup) qui a infecté des millions de PC dans le monde. Elle a dû couper son réseau pour le traiter le mois dernier, en collaborant directement avec Microsoft.
L'armée française a été victime en janvier du virus Downadup-Conficker, comme l'a rapporté la lettre Intelligence Online, elle-même citée sur le blog du spécialiste de la défense de Libération, Jean-Dominique Merchet.
Contactée par ZDNet.fr, la Marine confirme ce lundi que « dans la seconde quinzaine de janvier, le virus Conficker a été introduit par négligence, par une clé USB, dans le réseau interne de la Marine, Intramar ». Le lieutenant de vaisseau Rivayrol, du Sirpa Marine, nous indique que le réseau a dès lors été coupé « pour éviter la propagation du virus et procéder à la maintenance sur les postes ». « Intramar a été isolé des autres réseaux du ministère de la Défense, avec lesquels existent en temps normal des passerelles de communication. »
Mais « cela n'a eu aucun effet sur les systèmes opérationnels de la Marine, ni avions ni autres ». Intelligence Online affirmait que les Rafale de la Marine auraient été cloués au sol faute d'avoir pu télécharger leurs paramètres de vol. Ce qui a été arrêté quelques jours concernait seulement la messagerie, précise notre interlocutrice : « On a des réseaux sécurisés militaires, qui ont servi en remplacement pendant la coupure d'Intramar, et Internet. Mais ces trois réseaux, Intramar, Internet et réseaux sécurisés sont complètement séparés, il n'y a aucun lien entre eux. »
Intramar relie plusieurs milliers de postes informatiques, dont « moins de 2 % ont été touchés par le virus ».

Une faille traitée en 48 heures
Pourquoi ce décalage entre un patch publié par Microsoft (le virus touche une faille Windows, notamment sous Windows 2000, XP et Vista) en octobre et des ordinateurs atteints en janvier ?
« Il y avait un petit défaut dans le patch qui ne prenait pas en compte en totalité Conficker, explique le lieutenant Rivayrol. Ce patch avait été installé sur l'ensemble des postes de la Marine, mais cela n'a pas suffi. Par contre, le réseau d'alerte ministériel et interministériel a immédiatement été mobilisé. Il a directement travaillé avec Microsoft pour mettre au point un patch traitant cette faille-là, ce qui a été fait en moins de 48 heures. Le dispositif d'alerte a très bien fonctionné, et le virus n'a du coup eu aucune conséquence pour d'autres armes ni ailleurs dans le ministère. »
Les experts américains du Computer Emergency Response Team (Cert) avaient mis en cause la méthode de Microsoft pour bloquer la propagation du ver Downadup.
L'armée française n'est pas la seule à avoir été éprouvée par Conficker, qui a contaminé des millions d'ordinateurs dans le monde. Le ministère britannique de la Défense, et en particulier la Royal Navy, ont également été touchés par le virus le mois dernier.

http://www.zdnet.fr/actualites/informatique/0,39040745,39387036,00.htm

Citation :

Cyberguerre: comment les Américains ont piraté l'Élysée

Par Charles Haquet et Emmanuel Paquette (L'Express) - publié le 20/11/2012

EXCLUSIF. En mai, l'équipe de Nicolas Sarkozy a été victime d'une opération d'espionnage informatique hypersophistiquée. Les sources de L'Express concordent : le coup vient de... l'ami américain. Révélations sur une attaque qui s'inscrit dans une bataille planétaire.


CYBERGUERRE - Les intrus qui se sont introduits dans les réseaux informatiques de l'Elysée en mai dernier ont subtilisé des notes secrètes et des plans stratégiques à partir des ordinateurs de proches conseillers de Nicolas Sarkozy.
DR


C'est l'un des hold-up les plus audacieux réalisés contre l'Etat français. En mai dernier, quelques jours avant le second tour de l'élection présidentielle, des pirates ont réussi à s'introduire dans les réseaux informatiques de l'Elysée. Révélée par le quotidien régional Le Télégramme, cette intrusion avait alors été soigneusement étouffée par le Château. Une omerta qui, jusqu'à présent, n'avait pas été brisée. Aucune information n'avait filtré sur la nature des agresseurs, ou même sur le préjudice subi. Pourtant, l'affaire est grave, d'autant qu'elle constituerait une cyberattaque sans précédent entre pays alliés.

L'Express peut révéler que les intrus ont non seulement réussi à pénétrer au coeur même du pouvoir politique français, mais qu'ils ont pu fouiller les ordinateurs des proches conseillers de Nicolas Sarkozy. Des notes secrètes ont été récupérées sur des disques durs, mais aussi des plans stratégiques. Du vrai travail de pro, digne du dernier James Bond, Skyfall. Et, comme souvent dans ce type d'attaque, une négligence humaine est à l'origine de la catastrophe.

L'ordinateur du secrétaire général de l'Elysée pillé
Tout a commencé sur Facebook. Les assaillants ont d'abord identifié, sur le réseau social, le profil de personnes travaillant au palais présidentiel. Se faisant passer pour des amis, ils les ont ensuite invitées, par un message électronique, à se connecter sur l'intranet du Château. Sauf que ce lien menait à une fausse page Web - une réplique de celle de l'Elysée. Les victimes n'y ont vu que du feu ; et lorsque est apparu, à l'écran, un message leur demandant leur identifiant et leur mot de passe, elles les ont donnés en toute bonne foi. Une technique bien connue des hackers, qui leur a permis de récupérer les clefs numériques pour s'inviter en toute quiétude dans le saint des saints.

Une fois à l'intérieur, les pirates ont installé un logiciel espion qui s'est propagé d'un ordinateur à l'autre. Très élaboré, ce "ver" n'a infecté que quelques machines. Et pas n'importe lesquelles : celles des conseillers les plus influents du gouvernement... et du secrétaire général, Xavier Musca. Nicolas Sarkozy y a, lui, échappé. Et pour cause, il ne possédait pas de PC. Malheureusement pour les assaillants, le code malveillant a laissé des empreintes. "Telles des marionnettes actionnées par des fils invisibles, les machines infectées communiquent avec leur maître pour prendre leurs ordres, décrypte un expert, Olivier Caleff, responsable sécurité du Cert-Devoteam, une société de sécurité informatique. Lorsque l'on essaie de remonter ces fils sur Internet, on arrive souvent sur des serveurs situés à l'étranger."


C'est ce travail de fourmi qu'ont mené les enquêteurs français. Le degré de sophistication de l'attaque était tel que les suspects se limitaient, d'emblée, à une poignée de pays. Pour preuve, le cyberpompier de l'Etat, l'Agence nationale de la sécurité des systèmes d'information (Anssi), a mis plusieurs jours pour restaurer le réseau de l'Elysée. Difficile de trouver l'origine de l'offensive. Souvent, les assaillants brouillent les pistes en passant par des pays tiers. Autant de rebonds, sur des serveurs situés sur les cinq continents, qui rendent ce fil d'Ariane très compliqué à suivre, même pour les "cyberdétectives" de l'Etat mobilisés pour l'occasion. Mais, selon les informations recueillies par L'Express auprès de plusieurs sources, leurs conclusions, fondées sur un faisceau de présomptions, convergent vers le plus vieil allié de la France : les Etats-Unis.
Le virus porte la marque de son auteur
Le code malveillant utilisé affiche, en effet, les mêmes fonctionnalités qu'un ver informatique extrêmement puissant, baptisé Flame, identifié à la fin du mois de mai par une grande société russe d'antivirus, Kaspersky. "Très perfectionné, il peut collecter les fichiers présents sur une ma-chine, réaliser des captures d'écran et même activer le microphone d'un PC pour enregistrer les conversations, expli-que Vitaly Kamluk, spécialiste du sujet chez cet éditeur. Sa conception a demandé beaucoup d'argent et des moyens humains que seul un grand pays est en mesure de mobiliser." Ou même deux : selon la presse anglo-saxonne, le ver aurait été créé par une équipe américano-israélienne, car il devait viser initialement des pays du Moyen-Orient (Iran, Egypte). Autre élément à charge : tel un peintre reconnaissable à son trait, un virus porte les marques du savoir-faire de son auteur. Janet Napolitano, secrétaire d'Etat à la Sécurité intérieure de l'administration Obama, n'a ni confirmé ni démenti nos informations.

Contactés à ce sujet, ni l'Anssi ni l'Elysée n'ont souhaité faire de commentaires. Reste une question. Pourquoi un allié de la France lancerait-il une telle opération ? "Vous pouvez être en très bons termes avec un "pays ami" et vouloir, en même temps, vous assurer de son soutien indéfectible, surtout dans une période de transition politique", note un proche du dossier, sous le couvert de l'anonymat. Sans compter que l'Elysée joue un rôle clef dans la signature de grands contrats avec des pays étrangers, notamment au Moyen-Orient. "C'était encore plus vrai à l'époque de Nicolas Sarkozy", rappelle Nicolas Arpagian, directeur scientifique du cycle sécurité numérique à l'Institut national des hautes études de la sécurité et de la justice.


Piratage. Un instantané des cyberattaques en cours...

Quitte à être espionné, sans doute vaut-il mieux l'être par un allié... "Nous avons de grands partenaires avec lesquels nous collaborons et entretenons des relations de confiance, et d'autres avec qui nous ne partageons pas les mêmes valeurs", rappelle le contre-amiral Arnaud Coustillière, responsable du volet militaire de la cyberdéfense française. Il n'empêche, l'attitude de l'administration Obama suscite de nombreuses interrogations.

http://lexpansion.lexpress.fr/high-tech/cyberguerre-comment-les-americains-ont-pirate-l-elysee_361225.html#xtor=AL-189

La futur guerre mondiale sera une guerre Cybernétique mondiale. Une simple attaque au centre nucléaire iranien par des virus informatique a pu le mettre en arrêt pendant plusieurs semaine, c'est juste un exemple qui a été dévulgué dernièrement mais que peut on dire si un hacker prend le commandement des missiles à tête nucléaires...
Cette rubrique mettra de la lumière sur les techniques d'une guerre cybernétique et les dernières mise à jour de la défense Cybernétique.

Le militaire mondiale C'est, de données et le marché informatique est prévue à la valeur US $ 43.7Bn

Citation :

Source: http://www.asdnews.com/news-46043/The_Global_Military_It,_Data_and_Computing_Market_is_Expected_to_Value_US$437Bn.htm#ixzz2EbUQnTWZ

La militaires dans le monde IT, les données et le marché informatique est prévu à la valeur US $ 43,7 milliards à la fin de 2012, ce qui devrait augmenter à US $ 68,6 milliards en 2022, soit un TCAC de 4,6% au cours de la période 2012-2022 prévisions. La demande du marché est prévu pour être entraîné par les développements continus et de dynamisme dans des domaines tels que network centric warfare, informatique embarquée, sécurité de l'information, l'informatique en nuage, et la cybersécurité. Le marché mondial devrait atteindre une valeur cumulative de US $ 605 milliards au cours de la période de prévision. Les militaires et les données informatiques du marché informatique devrait être dominé par l'Amérique du Nord, suivie par l'Asie-Pacifique et en Europe. Dans le sillage d'une transition de la guerre moderne, du champ de bataille à des réseaux et de l'espace cybernétique, les pays à travers le monde passent de manière significative sur le développement de leurs capacités défensives et offensives dans les domaines de network centric warfare et la cybersécurité

Citation :

source http://www.asdnews.com/news-46043/The_Global_Military_It,_Data_and_Computing_Market_is_Expected_to_Value_US$437Bn.htm#ixzz2EbUmoLSA

eljerrari a écrit:

Le militaire mondiale C'est, de données et le marché informatique est prévue à la valeur US $ 43.7Bn

Citation :

Source: http://www.asdnews.com/news-46043/The_Global_Military_It,_Data_and_Computing_Market_is_Expected_to_Value_US$437Bn.htm#ixzz2EbUQnTWZ

La militaires dans le monde IT, les données et le marché informatique est prévu à la valeur US $ 43,7 milliards à la fin de 2012, ce qui devrait augmenter à US $ 68,6 milliards en 2022, soit un TCAC de 4,6% au cours de la période 2012-2022 prévisions. La demande du marché est prévu pour être entraîné par les développements continus et de dynamisme dans des domaines tels que network centric warfare, informatique embarquée, sécurité de l'information, l'informatique en nuage, et la cybersécurité. Le marché mondial devrait atteindre une valeur cumulative de US $ 605 milliards au cours de la période de prévision. Les militaires et les données informatiques du marché informatique devrait être dominé par l'Amérique du Nord, suivie par l'Asie-Pacifique et en Europe. Dans le sillage d'une transition de la guerre moderne, du champ de bataille à des réseaux et de l'espace cybernétique, les pays à travers le monde passent de manière significative sur le développement de leurs capacités défensives et offensives dans les domaines de network centric warfare et la cybersécurité

Citation :

source http://www.asdnews.com/news-46043/The_Global_Military_It,_Data_and_Computing_Market_is_Expected_to_Value_US$437Bn.htm#ixzz2EbUmoLSA

Les États-Unis est la plus haute dépensier les militaires mondiales données informatiques et le marché informatique, avec son plus haut les dépenses engagées pour l'amélioration de ses capacités de réseautage militaires, suivis par le logiciel, le matériel et la cybersécurité. Les dépenses mondiales en matière de cyber guerre systèmes est censé être robuste au cours de la période de prévision en tant que pays en développement, comme le Brésil et l'Inde, sont en train de prendre des mesures importantes pour renforcer leurs capacités dans ce domaine dans le cadre de leur stratégie de sécurité nationale. Le Brésil a mis en place un Centre de Communication Cyber ​​Warfare comme une réponse à de nombreuses attaques sur ses réseaux militaires et l'Inde a récemment annoncé son intention de former environ 500.000 cyberguerriers au cours des cinq prochaines années afin de protéger ses réseaux.

Read more: http://www.asdnews.com/news-46043/The_Global_Military_It,_Data_and_Computing_Market_is_Expected_to_Value_US$437Bn.htm#ixzz2EbV3njoV

Dad's Army of cyber security experts to be created

Citation :

The cyber reservists will be established alongside a new computer emergency response team following the UK’s success in tackling online threats during the Olympics, Francis Maude, the Cabinet Office minister, said.
Nine out of 10 large firms were victims of a cyber attack last year, with each security breach costing up to £250,000, figures showed.
Industry “suffers at the hands of such threats” with internet-related business in the UK estimated to be worth £82 billion a year, Mr Maude said.
The government hopes to bolster the UK’s expertise and take advantage of the market to export its knowledge around the world, senior government officials said.
The Ministry of Defence (MoD) will develop a “cyber reserve” of online security experts which the armed services could draw upon to tackle the increasing problem of online attacks.

http://www.telegraph.co.uk/news/uknews/terrorism-in-the-uk/9719354/Dads-Army-of-cyber-security-experts-to-be-created.html

Le Virus Octobre rouge.

Citation :

Kaspersky Discovers Stealth Virus "Red October"
10:40 AM - January 16, 2013 by Wolfgang Gruener - source: Kaspersky

Called "Rocra", short for "Red October", which refers to the silent submarine at the center of Tom Clancy's 1984 novel "The Hunt for Red October", the malware is the front line of an espionage work that targeted government, research, nuclear energy, military, aerospace, oil and gas as well as trade and commerce institutions primarily in countries of the former Soviet Union, Eastern Europe, as well as Central Asia.

Kaspersky, which said that it has found first evidence of the existence of Red October, whose complexity and sophistication it compares with the Flame malware, identified more than "60 domain names and several server hosting locations in different countries (mainly Germany and Russia)" as a command and control infrastructure , which is set up as "a chain of servers working as proxies and hiding the location of the true -mothership- command and control server".

According to the security researchers, Red October not only attacks PCs, but also smartphones, including iPhone, Nokia-branded phones and Windows Mobile devices, and can dump Cisco enterprise network equipment configurations, hijack files from removable disk drives, including deleted files via its own data recovery capability, steal e-mail databases from local Outlook storage or a remote POP/IMAP server and pull files from local network FTP servers. It appears that the software is mainly based on the exploitation of three Microsoft vulnerabilities, CVE-2009-3129 (Excel), CVE-2010-3333 (Word) and CVE-2012-0158 (Word).

Kaspersky did not say how many computers may be infected by Red October, but mentioned that it found most systems in the area of Russia (35), followed by Kazakhstan (21), Azerbaijan (15), Belgium (15) and India (15). Six infected systems were found in the U.S. The company said that the exploits used by Red October have been developed most likely by Chinese hackers, while malware modules appear to have been created by Russian hackers.

http://www.tomshardware.com/news/kaspersky-virus-malware-rocra-red-october,20445.html

Sur le site, on peut voir une carte où le maroc est victime de ce réseau de cyberespionnage.

Citation :

US Sees Russian Cyberthreat as China Grabs Headlines

WASHINGTON, February 21 (By Carl Schreck for RIA Novosti)

A report linking the Chinese military to cyberattacks on US businesses and government agencies has garnered global headlines this week, arguably stealing the cybertheft limelight from another country American officials cite as a significant threat to US network security: Russia.

“The Russian operations appear to be much more sophisticated and professionally run than the Chinese, since we only ever seem to catch China,” cybersecurity expert Jeffrey Carr told RIA Novosti on Thursday.

The report released this week by the Virginia-based computer security firm Mandiant, traced members of elite Chinese hacking groups to the vicinity of a Chinese military building on the outskirts of Shanghai.
A day after the study was first reported in The New York Times on Tuesday, the White House released its new strategy to protect US businesses from industrial espionage and cyber theft.
But while China has been the focus of Washington officials’ vows to protect US interests from cyberthreats, such attacks emanating from Russia are as advanced—if not as plentiful—as those carried out by Chinese cyberwarriors, Internet security expert Scott Borg told NBC News this week.

“The Russians are technically advanced,” Borg said in the interview. “The Chinese just have more people dedicated to the effort, by a wide margin. They are not as innovative or creative as the US and Russia. China has the greatest quantity, if not quality.”

Russian cyberespionage tends to focus on “military espionage and operations”, Borg, head of the nonprofit US Cyber Consequences Unit, which advises the US government and businesses on cybersecurity, told NBC News.

“China’s main focus is stealing technology,” he said. “These things are quite separate. You use different tools on critical infrastructure than you use for military espionage and different tools again on stealing technology.”

In a briefing Wednesday on US President Barack Obama’s strategy to counter cyberespionage, US Under Secretary of State Robert Hormats called China “a country that does pose serious problems,” but said other countries raise concerns as well.
“We’ve had similar conversations with Russia and other countries,” Hormats said.

US Director of National Intelligence James Clapper said last year that “entities within” China and Russia “are responsible for extensive illicit intrusions into US computer networks and theft of intellectual property.”

Figuring out who exactly is behind cyberattacks is exceedingly difficult, said James Hendler, professor of computer science at Rensselaer Polytechnic Institute in New York.

“We know Russia has significant capability … but a problem in the cyberworld is that it’s very hard to know who’s really doing what,” Hendler told RIA Novosti on Thursday.
Russian hackers were widely alleged to have been behind cyberattacks against the governments of neighboring Estonia and Georgia in 2007 and 2008, though the Russian government has denied any involvement in those attacks.

The United States, meanwhile, is believed to have carried out targeted cyberattacks against Iran’s nuclear program, while Washington accused Tehran of complicity in a cyberattack on the US banking system last month.
Countries including Israel, France, Ukraine, Turkey and Taiwan also have considerable cyberwar capabilities, Carr, head of the cybersecurity firm Taia Global told RIA Novosti.

“Perhaps a little too much attention is being paid to China,” Carr said.
Washington and Moscow announced in 2011 that they were expanding Obama’s “reset” policy with Russia to include cyberspace in order to “help our two governments better communicate about small and large-scale threats to our networks, facilitate better collaboration in responding to those threats, and reduce the prospect of escalation in response to crisis incidents.”

Caitlin Hayden, a spokeswoman for the White House National Security Council, told RIA Novosti on Thursday that the Obama administration is “working with the Russian government to bolster our cyber cooperation and risk reduction efforts, including confidence-building measures in cyberspace.”

“We are committed to working with our Russian counterparts to improve our collective cybersecurity and addressing cybercrime and other common threats,” Hayden said.

RIA

Citation :

Nous avons plusieurs fois ici abordé le sujet de Stuxnet, un virus qui semblait cibler les systèmes de mesure et de controle des centrifugeuses de la centrale nucléaire de Natanz en Iran. L’objectif partiellement atteint du virus était de retarder, si ce n’est littéralement saboter le programme nucléaire iranien. Stuxnet avait agité la communauté de la sécurité car sa propagation, semble-t-il accidentelle, a donné lieu à des analyses minutieuses des plus grands experts pour en percer ses secrets. Et côté secrets, Stuxnet n’a pas déçu. Il embarquait l’exploitation de 4 0day (4 vulnérabilités jusque là inconnues). Ce seul fait d’arme faisait de lui un virus particulièrement intrigant. Un virus qui embarque un 0 day, ça arrive, 2 c’est déjà beaucoup plus rare, 3 c’est quasiment introuvable, 4 c’était jusque là du jamais vu.

Il y a ensuite la cible, excusez du peu, une centrale nucléaire. Il y a enfin les systèmes qu’elle cible, les SCADA… et ça aussi nous vous en avons beaucoup parlé… et même encore plus. Ces systèmes contrôlent des équipements industriels. Ils ne sont à l’origine pas vraiment faits pour être connectés à Internet. La nature même des SCADA implique que les infrastructures qu’ils supervisent, en cas de dysfonctionnement ou d’actes malveillants, peuvent engager le pronostic vital de populations et la destruction matérielle de l’équipement industriel. Stuxnet visait un équipement industriel spécifique, les centrifugeuses de la centrale, en injectant un code malveillant dont la fonction était de ralentir leur vitesse de rotation.

The Bug
Dans un livre à paraitre aujourd’hui, Confront and Conceal: Obama’s Secret Wars and Surprising Use of American Power, son auteur, David Sanger, nous révèle comment est né Stuxnet, venant ainsi confirmer beaucoup de soupçons sur son origine. Ce n’est pas un mais deux États, les USA et Israel qui seraient derrière cette arme redoutable. L’auteur, visiblement renseigné par des sources solides, vient confirmer dans son ouvrage que l’histoire a rattrapé ce qui n’était pour le moment que spéculations : c’est la puissante National Security Agency américaine qui serait finalement à l’origine de Stuxnet, initialement sobrement nommé « The Bug » par ses créateurs.

Son homologue israélienne, l’Unité 8200, spécialisée dans le renseignement d’origine électromagnétique et du déchiffrement de code, aurait modifié le code original dans le dos des américains.

Nous nous étions livrés il y a plusieurs mois à un exercice, celui d’évoquer les doctrines de cyber conflits, leurs acteurs, puis de les définir et les classifier. Nous prenions comme exemple d’acte de cyber guerre le cas de Stuxnet de manière explicite, nos hypothèses étaient donc les bonnes. Mais David Sanger apporte une foule de détails. Stuxnet aurait été modifié par les israéliens, à l’insu des américains. Sa propagation accidentelle aurait inquiété le président, soucieux d’un impact sur d’autres infrastructures que la centrale de Natanz.


Quand Barack Obama en 2008 succède à George W. Bush, ce dernier fait part au nouveau président d’une opération dont le nom de code est « Olympic Games ». Son objectif : retarder le programme nucléaire iranien par l’inoculation d’un virus dans la centrale par l’entremise d’un agent double. L’un des grands luxes de la cyber guerre, c’est d’être en mesure de porter la guerre directement sur le terrain de l’ennemi. Les contours de la menace sont bien plus difficiles à distinguer et ceci implique une métrologie susceptible de provoquer des délais et des typologies de réponses inadaptés. La question du « qui est l’ennemi ?’ est elle aussi source de préoccupation… Bref, la cyber guerre, c’est… déconcertant. Faire face est compliqué, riposter de manière proportionnée en ciblant le bon belligérant, c’est pas non plus gagné.

L’opération « Olympic Games », à l’instar de l’opération Aurora, est un modèle du genre. Une menace parfaitement ciblée sur un équipement industriel sensible, une menace silencieuse dont la médiatisation ne serait qu’un accident (le virus n’aurait jamais dû arriver sur Internet, il l’a été accidentellement, probablement propagé par le biais d’un ordinateur portable infecté relate l’ouvrage de David Sanger)… une menace cybernétique certes, mais ne nous y trompons pas, nous sommes bien en face d’un acte de cyber guerre.

Citation :

30 mai 2012 – 15:46
En avril dernier, les ordinateurs du ministère iranien du Pétrole ont été victimes d’une attaque informatique. Apparemment, un logiciel malveillant a dérobé des informations avant de les détruire. A la demande de l’Union internationale des télécommunications, liée aux Nations unies, la société russe Kaspersky a examiné les machines infectées.

Et les experts de cette entreprise viennent de rendre leur diagnostic : ils ont découvert virus de type cheval de Troie appelé “Flame”, dont “la complexité et la fonctionnalité dépassent toutes les autres cybermenaces connues à ce jour”. Autrement dit, il est d’une autre carrure que le logiciel malveillant Stuxnet, qui, identifié en 2010, a visé le programme nucléaire iranien en s’en prenant aux systèmes SCADA d’installations industrielles.

Après Stuxnet et son cousin Duqu, il s’agirait donc du troisième virus informatique conçu pour être une “cyberarme”. Selon Kapersky, Flame est un logiciel malveillant relativement “lourd” avec ses 20 Méga-octets (MO), ce qui signifie aussi qu’il est plus compliqué étant donné qu’il se compose de beaucoup plus de lignes de code que ses prédécesseurs.

Mais il est aussi en mesure de faire davantage de choses, comme enregistrer des conversations en activant le microphone d’un ordinateur, réaliser des captures d’écran, contrôlee à distance d’un PC, se connecter aux messageries instantanées, de pirater des données, etc… Comme il a fallu 6 mois pour analyser Stuxnet, il est certain que Flame est encore loin d’avoir livré tous ses secrets.

Selon Eugene Kaspersky, Flame constitue une étape supérieure dans la cyberguerre. “Il faut bien comprendre que de telles armes peuvent être facilement utilisées contre n’importe quel pays. Et contrairement à la guerre conventionnelle, les pays les plus développés sont ici les plus vulnérables” a-t-il affirmé.

Au vu de sa complexité, il est très probable qu’il ait été conçu par un agence gouvernementale, comme l’a d’ailleurs été Stuxnet, dont la mise au point fut attribuée à Israël. Et c’est d’ailleurs vers ce pays que se tournent les regards.

Ainsi, le porte-parole des Affaires étrangères iranien, Ramin Mehmanparast, a accusé “certains pays ou régimes illégitimes capables de produire des virus portant atteinte à tous les pays”. Une façon de désigner les Etats-Unis et Israël…

Les autorités israéliennes n’ont pas opposé de démenti à ces accusations. “Il est justifié, pour quiconque considère la menace iranienne comme une menace significative, de prendre différentes mesures, y compris celle-là, pour la stopper” a fait valoir Moshé Yaalon, le ministre israélien des Affaires stratégiques. “Israël est en pointe dans les nouvelles technologie et ces outils nous offrent toutes sortes de possibilités” a-t-il ajouté.

Cela étant, Kaspersky estime que Flame a été lancé il y a entre 2 et 5 ans, étant donné qu’il utilise certaines failles de Windows identiques à celles qu’exploitait Stuxnet, lesquelles ont depuis été corrigées. D’où la question qui se pose : si ce virus a autant de fonctionnalités en ayant été conçu il y a relativement longtemps (le temps passe vite en informatique…), quelles sont celles des logiciels malveillants qui ont été développés depuis?

Citation :

Chine/cyber-attaques : Pékin rejette en bloc les accusations d’Obama

Selon le nouveau Premier ministre chinois Li Keqiang, Washington profère des « accusations infondées » en mettant en cause Pékin dans les récentes attaques informatiques visant les Etats-Unis.

« Nous avons été très clairs avec les Chinois, en leur expliquant que nous attendions d’eux qu’ils respectent les conventions et les lois internationales » déclarait Barack Obama mercredi 13 mars, mettant en cause directement et pour la première fois Pékin au sujet des cybers attaques qui touchent les Etats-Unis depuis plusieurs mois.

« La Chine est elle-même une victime majeure d’attaques informatiques. La Chine ne soutient pas les attaques informatiques. De fait, nous nous opposons à de tels agissements », lui a répondu samedi Li Keqiang, le nouveau Premier ministre chinois, lors d’une conférence de presse. « Nous devons nous garder d’accusations réciproques infondées » a-t-il ajouté. Le nouveau chef du gouvernement chinois, qui répondait à un journaliste étranger, a dit « sentir une présomption de culpabilité » dans la question posée. A part cette phrase, il a répété mot pour mot la ligne classique de défense des autorités chinoises sur la question du piratage informatique.

Depuis plusieurs mois, les Etats-Unis accusent les chinois de piller leurs secrets industriels via des intrusions informatiques malveillantes, ou d’organiser des opérations de sabotage de certains sites de presse en guise de représailles. Les réactions des Etats-Unis à ces tentatives de hackers chinois présumés de pénétrer les réseaux de leurs entreprises ou de leurs administrations d’Etat se sont multipliées ces dernières semaines, suscitant à chaque fois des démentis formels du gouvernement de Pékin. (La Tribune).

Citation :

La Corée du Nord à l'origine de la cyberattaque contre le Sud


SEOUL - L'agence militaire des renseignements de Corée du Nord est à l'origine de la vaste cyberattaque contre les réseaux informatiques de plusieurs chaînes de télévisions et de banques sud-coréennes le mois dernier, ont indiqué les autorités à Séoul mercredi.

L'analyse des codes d'accès et des codes malveillants utilisés lors de ces attaques a révélé que la source se trouvait au Bureau général de reconnaissance de la Corée du Nord, a précisé l'Agence sud-coréenne de sécurité internet (KISA), un organisme d'Etat.

C'était une attaque préméditée et méticuleusement planifiée par la Corée du Nord, a déclaré un porte-parole de KISA. Nous avons collecté beaucoup de preuves montrant que le Bureau général de reconnaissance a mené cette attaque, qui avait été préparée pendant au moins huit mois.

Les experts sud-coréens sont remontés jusqu'à six ordinateurs situés en Corée du Nord.

L'attaque, qui avait eu lieu le 20 mars, visait les réseaux informatiques des chaînes de télévision KBS, MBC et YTN, et les systèmes des banques Shinhan et Nonghyu, qui avaient été partiellement ou entièrement paralysés, avait alors indiqué KISA.

Elle intervenait dans un contexte de montée des tensions sur la péninsule, qui loin de retomber depuis, sont désormais à leur plus haut depuis des années.

http://www.romandie.com/news/n/_La_Coree_du_Nord_a_l_origine_de_la_cyberattaque_contre_le_Sud__RP_100420130927-18-344529.asp?

Citation :

La Chine accusée d'espionnage informatique par le Pentagone

L'Expansion.com avec AFP - publié le 07/05/2013 à 14:04

Alors que de multiples accusations avaient déjà été faites à l'encontre d'entreprises privées chinoises liées au gouvernement, le Pentagone a publié un rapport accusant directement le pouvoir chinois.
La Chine mène une vaste campagne d'espionnage informatique pour tenter de collecter des renseignements sur les programmes de défense du gouvernement américain, affirme un rapport du Pentagone rendu public lundi.

L'espionnage chinois toucherait la diplomatie, l'économie et l'industrie

"La Chine utilise les capacités de son réseau informatique pour mener à bien une campagne de collecte de renseignements contre les secteurs qui soutiennent des programmes de défense nationale aux Etats-Unis, dans les domaines diplomatique, économique et industriel", selon le document remis au Congrès.

Les pirates informatiques chinois ont tenté en 2012 d'atteindre les ordinateurs du réseau gouvernemental, qui auraient pu offrir à Pékin un meilleur aperçu des capacités militaires et des délibérations politiques aux Etats-Unis, ajoute le rapport. "En 2012, de nombreux réseaux informatiques à travers le monde, dont ceux détenus par le gouvernement américain, ont continué à être l'objet de tentatives d'intrusions, dont certaines sont directement attribuables au gouvernement et à l'armée chinoise", souligne encore le Pentagone.

Ce rapport constitue l'affirmation la plus directe à ce jour par les Etats-Unis selon laquelle les pirates informatiques chinois ont ciblé le gouvernement américain, ainsi que des entreprises américaines. Même si l'administration de Barack Obama a déjà demandé à la Chine de cesser ce type d'agissements, les responsables américains avaient jusqu'à présent davantage axé leurs commentaires sur l'espionnage informatique d'entreprises privées.

Un enjeu militaire important

La Chine a cherché à se procurer des informations qui lui auraient été profitables dans les secteurs des armes et de la technologie. Les responsables chinois aimeraient également avoir les points de vue des dirigeants américains sur les sujets liés à la Chine, ainsi que sur l'armée chinoise, selon le rapport. Les manoeuvres de Pékin auraient aussi permis aux généraux chinois "d'établir une image des réseaux aux Etats-Unis dans les secteurs de la défense, de la logistique, et des capacités militaires, qui aurait pu être exploitée en temps de crise", dit encore le Pentagone.

Cet espionnage informatique s'inscrit plus largement dans un vaste espionnage industriel des Chinois qui tentent de réduire la part des fournisseurs d'armes étrangers en s'appropriant la technologie militaire américaine et occidentale, poursuit le rapport. Le Pentagone souligne en outre la montée en puissance constante des forces armées chinoises, qui investissent notamment dans des missiles antinavires, des satellites, un nouveau porte-avions et des chasseurs furtifs. En mars dernier, la Chine avait annoncé une augmentation de 10,7% de son budget de défense annuel, à 114 milliards de dollars. Le Pentagone estime pour sa part qu'en 2012, les dépenses militaires de la Chine ont atteint en réalité entre 135 et 215 milliards de dollars. Le rapport note toutefois que Pékin dépense plus pour ses forces de "sécurité intérieure" que pour son armée.

En savoir plus sur http://lexpansion.lexpress.fr/high-tech/la-chine-accusee-d-espionnage-informatique-par-le-pentagone_383909.html#EqQdbyxOHrwqPIFu.99

https://www.youtube.com/watch?v=_cMJT0qGLvs

Citation :

12 mai 2013

ANONYMOUS – La NSA publie son manuel du parfait cyber-espion



La NSA, l'agence de renseignement américaine, vient de rendre public un guide à destination de ses cyber-agents, intimée par la justice de déclassifier ce document sur le fondement du Freedom of Information Act. Le guide de 643 pages, sobrement intitulé "Démêler la Toile : guide des recherches sur Internet" (Untangling the Web, A Guide to Internet Research), est truffé de conseils pour utiliser au mieux les moteurs de recherche, les archives et autres outils sur le Web, "afin de dénicher des informations confidentielles qui seraient accidentellement tombées dans le domaine public", relate notamment le site Fortune de CNN.

"Il y a tellement de données disponibles sur Internet que même les cyber-espions ont besoin d'aide", note Wired. "Pour les assister, la NSA a donc produit un guide leur permettant de déterrer des informations enfouies dans le Web." Selon les auteurs, rien de ce qui écrit dans ce document est illégal, et il ne permettrait, en aucun cas, de pirater des données confidentielles. Les experts précisent que ces données sont à la portée de chaque internaute avec un certain bagage informatique.




"Disons que vous êtes un cyber-espion à la solde de la NSA et que vous recherchez des informations sensibles sur des entreprises sud-africaines. Que faites-vous ?", s'amuse à demander le journaliste de Wired. "Il suffit de rechercher des documents Excel que l'entreprise aurait publiés, par erreur ou inadvertance, en tapant simplement 'filetype:xls site:za confidential' sur Google", conseillent les experts de la NSA. Pour trouver des documents contenant des mots de passe de sites russes, il suffit d'écrire "filetype:xls site:ru login." "Même pour les sites rédigés dans une autre langue que l'anglais, les termes 'identifiants' ou 'mot de passe' sont en général écrits en anglais", précisent les auteurs.

Rien de neuf sous le soleil, estime toutefois Wired. "Quelqu'un comme Johnny Long décrit ces méthodes depuis plusieurs années déjà, dans des conférences sur le piratage et dans son livre Google Hacking". Les experts de la NSA, eux, se défendent d'encourager le piratage des sites et des serveurs. Ils livrent en tout cas quelques clés pour y parvenir.

http://bigbrowser.blog.lemonde.fr/2013/05/12/anonymous-la-nsa-publie-son-manuel-du-parfait-cyber-espion/#xtor=RSS-3208

Citation :

Rapport : Des systèmes d'armement US espionnés par des Chinois

Reuters - publié le Mardi 28 Mai 2013 à 09:34 modifié le Mardi 28 Mai 2013 - 09:35

Washington - Les plans de plus d'une vingtaine de systèmes d'armement américains ont été espionnés par des pirates informatiques chinois, rapporte le Washington Post.

Citant un rapport rédigé par le conseil scientifique de Défense pour le Pentagone, le journal affirme que les programmes espionnés portent aussi bien sur des avions et des navires de combat que sur des systèmes de missiles essentiels à la sécurité de pays d'Europe, d'Asie et du Golfe.

Le Washington Post mentionne notamment le missile Patriot, le système de défense antimissile Aegis de l'US Navy, l'avion de chasse F/A-18, l'hélicoptère Black Hawk (Faucon noir) et l'avion F-35.

'article ne précise ni l'ampleur ni le calendrier de ces piratages informatiques.

Le Washington Post juge que cet espionnage pourrait permettre à la Chine de perturber le fonctionnement de ces systèmes dans le cadre d'un éventuel conflit, mais aussi d'accélérer le développement technologique de sa propre armée.

Dans un rapport remis ce mois-ci au Congrès, le Pentagone affirmait que la Chine recourait à l'espionnage pour moderniser son armée et que les Etats-Unis avaient été la cible d'actes de piratage informatique "directement imputable à l'armée et au gouvernement chinois".

La Chine a dénoncé un rapport dénué de tout fondement.

Citation :

Le QG des services secrets d'Australie aurait été piraté par des Chinois

Par AFP, le 28 mai 2013 à 09h13


Le ministre australien des Affaires étrangères a assuré mardi que les relations avec la Chine ne seraient pas affectées par des informations de presse évoquant le piratage par des Chinois des plans secrets du nouveau siège qui abritera les services secrets du pays.


Selon la télévision publique ABC, les documents piratés incluent la disposition des câbles censés garantir la protection et assurer la communication de l'énorme bâtiment, le plan des étages et les endroits où se trouvent les serveurs informatiques.

Le ministre Bob Carr a assuré que le gouvernement était "tout à fait conscient" des menaces de cyber-attaques visant la sécurité nationale. "Rien de ce qui est discuté (dans la presse: ndlr) ne nous surprend", a-t-il déclaré. Il a refusé de confirmer ou démentir que des pirates chinois étaient derrière cette dernière attaque, comme l'affirmait l'émission très respectée de journalisme d'investigation Four Corners, diffusée lundi soir sur ABC.

"Je ne vais pas commenter le fait que les Chinois ont fait, ou pas, ce qui est évoqué" dans cette émission, a déclaré le ministre des Affaires étrangères. "Nous ne voulons pas partager avec le monde et des agresseurs potentiels ce que nous savons à propos de leurs actions, ou comment ils les conduisent".

L'Australie est un allié de longue date des Etats-Unis. Mais son premier partenaire commercial est la Chine, grand acheteur des matières premières dont le sous-sol australien regorge, notamment le minerai de fer.

Les affirmations d'ABC "n'ont absolument aucune implication pour un partenariat stratégique", a déclaré le chef de la diplomatie australienne. "Nous avons de vastes domaines de coopération avec la Chine".

Selon l'émission Four Corners, l'attaque portée contre un fournisseur participant à la construction du nouveau siège des services secrets à Canberra a pour origine un serveur en Chine.

Ce vol informatique, dont ABC ne précise pas la date, accroît les risques pour l'agence d'être espionnée et pourrait entraîner d'importants surcoûts et délais. Le bâtiment était censé être opérationnel le mois dernier.

Les plans permettent de déterminer les pièces pouvant être utilisées pour les conversations confidentielles et les endroits où placer des engins d'écoute, selon Des Ball, professeur à l'université nationale d'Australie, interrogé pour l'émission.

Plusieurs affaires d'espionnage informatique impliquant des Chinois se sont produites ces dernières années en Australie. En 2011, les ordinateurs des Premier ministre, ministres des Affaires étrangères et de la Défense avaient été piratés. La presse affirmait que les agences du renseignement chinois étaient soupçonnées, une information que Canberra n'avait pas voulu commenter.

Pékin avait démenti ces accusations, qualifiées de "sans fondement et proférées dans un but bien particulier".

En mars dernier, les réseaux informatiques de la banque centrale australienne ont été piratés, la presse affirmant là aussi que l'attaque avait été menée par des logiciels chinois à la recherche d'informations sensibles.

En 2012, les autorités ont interdite au géant chinois des équipements en télécommunications Huawei de déposer une offre pour le programme national d'internet à bandes larges, craignant des risques d'attaques informatiques.

Début 2013, une firme américaine de sécurité sur internet, Mandiant, a affirmé que l'armée chinoise contrôlait des centaines, voire des milliers de pirates informatiques parmi les plus virulents du monde, un rapport qui a suscité l'ire de Pékin.


http://www.rtl.be/pourlui/article/le-qg-des-services-secrets-d-australie-aurait-ete-pirate-par-des-chinois-208310.htm

Citation :

Cyberdéfense : la France va se doter de capacités offensives


Michel Cabirol | 03/06/2013, 17:16 - 783 mots

Le ministre de la Défense Jean-Yves Le Drian a annoncé ce lundi que la France allait se doter de capacités offensives en matière de cyberdéfense. L'ambition de cette politique de sécurité est d'être en mesure d'identifier l'origine des attaques, d'évaluer les capacités offensives des adversaires potentiels et l'architecture de leurs systèmes, et de pouvoir ainsi les contrer.


C'était dans l'air depuis quelques mois. De quoi parle-t-on précisément ? De la capacité de la France de lancer des attaques informatiques de grande ampleur. Le ministre de la Défense Jean-Yves Le Drian, a été clair, très clair. La France va se doter de capacités "offensives" en matière de cyberdéfense et sortir ainsi d'une posture uniquement défensive, face à la multiplication des attaques, a-t-il annoncé lundi à la veille d'une réunion de l'Otan sur le sujet. "Nous allons mettre en oeuvre, au sein de la doctrine nationale, la capacité informatique offensive, associée à la capacité de renseignement", a-t-il déclaré lors d'un colloque sur la cyberdéfense organisé à Rennes. Le Livre blanc sur la défense et la sécurité nationale a pris toute la mesure de ce qui se présente comme une nouvelle donne stratégique et développe une doctrine alliant prévention, réaction et capacité offensive. La cyberdéfense y est d'ailleurs élevée au rang de "priorité nationale".

Il s'agit pour la France d'être pleinement opérationnelle sur le "cinquième champ de bataille (après la terre, la mer, l'air et le nucléaire, ndlr)", a souligné le ministre. "C'est la première fois que je dis cela aussi clairement : la capacité offensive enrichit la palette des options qui sont à la disposition de l'Etat", a-t-il précisé, en relevant que "le concept de cyberattaque ne nous est plus étranger". Ce dispositif offensif, destiné notamment à "anticiper des attaques", comportera "différents stades, qui sont plus ou moins réversibles, plus ou moins discrets, mais toujours proportionnés à l'ampleur et à la gravité de la situation", a indiqué le ministre. L'ambition de cette politique de sécurité est d'être en mesure d'identifier l'origine des attaques, d'évaluer les capacités offensives des adversaires potentiels et l'architecture de leurs systèmes, et de pouvoir ainsi les contrer, a expliqué le ministère de la Défense.

Réunion de l'Otan sur la cyberdéfense

Si les services de renseignement français n'ont pas attendu pour agir, en toute discrétion, sur ce terrain, le volet offensif en matière de cyberdéfense figure pour la première fois dans le nouveau Livre blanc sur la Défense, présenté fin avril. La cyberdéfense figure également pour la première fois à l'ordre du jour des ministres de la Défense des 28 pays de l'Otan, mardi à Bruxelles, à un moment où les armées occidentales sont confrontées à une recrudescence des attaques informatiques, dont celle, qui selon le Washington Post fin mai, a permis à des pirates chinois de voler des données relatives à de nombreux systèmes d'armes américains. En France, si aucun cas d'une telle gravité n'a été rapporté, le nombre d'attaques traitées par le Centre d'analyse de lutte informatique défensive (Calid) du ministère de la Défense a plus que doublé en un an, passant de 196 en 2011 à 420 en 2012, a rappelé M. Le Drian.

"Ce qui est en jeu désormais, c'est la capacité de prise de contrôle à distance ou de destruction d'infrastructures vitales pour notre pays", a relevé le ministre. "Ces dernières années, des attaques ont pour la première fois visé la neutralisation de systèmes critiques, même non connectés à Internet", a-t-il ajouté, soulignant que "la fiabilité et la résilience des systèmes d'armes" étaient en jeu. La France, qui outre le Calid dispose d'une Agence nationale de la sécurité des systèmes d'information (Ansii), va augmenter de "350 personnes" d'ici à 2019 les personnels affectés à la cyberdéfense, a précisé Jean-Yves Le Drian. Il a également annoncé l'adaptation du modèle d'armée à cet enjeu, à travers la mise en place d'une chaîne de commandement opérationnelle spécifique, unique, centralisée et intégrée au commandement interarmées des opérations.

Renforcement des moyens industriels

Le ministre de la Défense a également précisé que serait renforcée la base industrielle de technologies de défense et de sécurité nationale par un soutien à la R&D et la mise en place d'une politique industrielle coordonnée (les crédits consacrés aux études amont dans le domaine de la cyberdéfense passeront notamment de 10 à 30 millions d'euros par an), ainsi que par un accompagnement à l'innovation technologique. Dans cette perspective, la section maîtrise de l'information de la direction générale de l'armement (DGA) devra constituer un vivier de plusieurs centaines d'experts de très haut niveau, avec un recrutement permettant d'accroître progressivement de 50 % environ les ressources actuelles. Il s'agira de couvrir tous les domaines d'expertise techniques de la cybersécurité : cryptologie, microélectronique, architecture d'équipements de sécurité et de systèmes, analyse de composants logiciels et matériels, etc.

De façon plus générale, "la solution ne peut être qu'européenne", a souligné le ministre, ajoutant qu'"il appartient aux Européens de prendre en charge leurs propres infrastructures vitales", en trouvant une "juste complémentarité avec l'Otan". Le ministre de la Défense a enfin préconisé une valorisation des centres d'excellences déjà existants, à l'image de celui de Tallin, en Estonie.


http://www.latribune.fr/entreprises-finance/industrie/aeronautique-defense/20130603trib000768118/cyberdefense-la-france-va-se-doter-de-capacites-offensives.html

Citation :

Révélations sur le Big Brother français  



  Si les révélations sur le programme d'espionnage américain Prism ont provoqué un concert d'indignation en Europe, la France, elle, n'a que faiblement protesté. Pour deux excellentes raisons : Paris était déjà au courant. Et fait la même chose.

Le Monde est en mesure de révéler que la Direction générale de la sécurité extérieure (DGSE, les services spéciaux) collecte systématiquement les signaux électromagnétiques émis par les ordinateurs ou les téléphones en France, tout comme les flux entre les Français et l'étranger : la totalité de nos communications sont espionnées. L'ensemble des mails, des SMS, des relevés d'appels téléphoniques, des accès à Facebook, Twitter, sont ensuite stockés pendant des années.

Si cette immense base de données n'était utilisée que par la DGSE qui n'officie que hors des frontières françaises, l'affaire serait déjà illégale. Mais les six autres services de renseignement, dont la Direction centrale du renseignement intérieur (DCRI), les douanes ou Tracfin, le service de lutte contre le blanchiment, y puisent quotidiennement les données qui les intéressent. En toute discrétion, en marge de la légalité et hors de tout contrôle sérieux. Les politiques le savent parfaitement, mais le secret est la règle.

Lire aussi : "Tous les services de renseignement occidentaux s'espionnent"

◾Un dispositif clandestin

Ce Big Brother français, petit frère des services américains, est clandestin. Pourtant, son existence figure discrètement dans des documents parlementaires. Les huit députés et sénateurs de la délégation parlementaire au renseignement rappellent, dans leur rapport du 30 avril, que "depuis 2008, des progrès ont été réalisés en matière de mutualisation des capacités, notamment en ce qui concerne le renseignement d'origine électromagnétique, opéré par la DGSE au profit de l'ensemble de la communauté du renseignement".

Les parlementaires proposent même d'aller plus loin, de "renforcer les capacités exploitées par la DGSE" et de "consolider l'accès des autres services aux capacités mutualisées de la DGSE".

◾La cible : les "métadonnées"

Les services de renseignement cherchent non pas le contenu des messages, mais leur contenant. Il est plus intéressant de savoir qui parle et à qui que d'enregistrer ce que disent les gens. Plus que les écoutes, ce sont ces données techniques, les "métadonnées", qu'il s'agit d'éplucher.

La DGSE collecte ainsi les relevés téléphoniques de millions d'abonnés – l'identifiant des appelants et des appelés, le lieu, la date, la durée, le poids du message. Même chose pour les mails (avec possibilité de lire l'objet du courrier), les SMS, les fax... Et toute l'activité Internet, qui passe par Google, Facebook, Microsoft, Apple, Yahoo!... C'est ce que la délégation parlementaire au renseignement appelle très justement "le renseignement d'origine électromagnétique" (ROEM), traduction du Sigint (signal intelligence) de la NSA.

Ces métadonnées permettent de dessiner d'immenses graphes de liaisons entre personnes à partir de leur activité numérique, et ce depuis des années. De dessiner une sorte de journal intime de l'activité de chacun, tant sur son téléphone que sur son ordinateur. A charge ensuite pour les services de renseignement, lorsqu'un groupe intéressant a été identifié, d'utiliser des techniques plus intrusives, comme les écoutes ou les filatures.

◾Un supercalculateur boulevard Mortier

Le dispositif est évidemment précieux pour lutter contre le terrorisme. Mais il permet d'espionner n'importe qui, n'importe quand. La DGSE collecte ainsi des milliards de milliards de données, compressées et stockées, à Paris, sur trois niveaux, boulevard Mortier, dans les sous-sols du siège de la DGSE.

Le directeur technique de la DGSE depuis 2006, Bernard Barbier, a évoqué le dispositif en public à deux reprises, en 2010, lors du Symposium sur la sécurité des technologies de l'information et des communications, puis devant l'Association des réservistes du chiffre et de la sécurité de l'information, des propos rapportés sur de rares sites spécialisés, dont Bug Brother, le blog de Jean-Marc Manach hébergé par Le Monde.

Bernard Barbier a alors parlé du "développement d'un calculateur à base de FPGA" (des circuits logiques programmables), qui est "probablement le plus gros centre informatique d'Europe après les Anglais", capable de gérer des dizaines de pétaoctets de données, – c'est-à-dire des dizaines de millions de gigaoctets. La chaleur dégagée par les ordinateurs suffit à chauffer les bâtiments de la DGSE...

La France est dans le top 5 en matière de capacité informatique, derrière les Etats-Unis, la Grande-Bretagne, Israël et la Chine. M. Barbier estimait à 4 milliards le nombre d'objets connectés en 2013, avec un débit de l'ordre de 1 milliard de communications simultanées. "Aujourd'hui, nos cibles sont les réseaux du grand public, indiquait le directeur, parce qu'utilisés par les terroristes."

La DGSE, à la tête de "la plus forte équipe de crypto-mathématiciens" de France, pénètre les systèmes informatiques – et collecte évidemment des millions de données personnelles.

◾Un renseignement "mutualisé"

Les autres services de renseignement français ont accès en toute discrétion à cette gigantesque base de données, sobrement baptisée "infrastructure de mutualisation". Il s'agit de la direction du renseignement militaire (DRM), la direction de la protection et de la sécurité de la défense (DPSD), la direction centrale de la sécurité intérieure (DCRI), la Direction nationale du renseignement et des enquêtes douanières (DNRED), de Tracfin et même du petit service de renseignement de la préfecture de police de Paris.

Selon le Sénat, 80 % des moyens de la direction technique de la DGSE sont utilisés par ces autres services. Chacun donne le nom de la cible visée à son interlocuteur de la DGSE, qui répond "hit" (touché) ou "no hit" selon qu'elle figure ou non dans la base de données. Puis les services de la DGSE rendent intelligibles les métadonnées, en y ajoutant du renseignement classique.

Les demandes de consultations sont loin de se limiter au seul terrorisme ou à la défense du patrimoine économique. Le libellé très flou de la protection de la sécurité nationale permet notamment d'identifier les entourages de personnalités au plus haut niveau de l'Etat, quelles que soient leur qualité et la nature des liens espionnés.

◾Absence de contrôle

Le dispositif est parfaitement illégal – "a-légal", corrige l'un des patrons d'une des agences de renseignement. "Le régime juridique des interceptions de sécurité interdit la mise en œuvre par les services de renseignement, d'une procédure telle que Prism, assure la Commission nationale de l'informatique et des libertés (CNIL). Chaque demande de réquisition de données ou d'interception est ciblée et ne peut pas être réalisée de manière massive, aussi quantitativement que temporellement. De telles pratiques ne seraient donc pas fondées légalement." La CNIL ne peut infirmer ou confirmer l'existence du système français – elle n'a d'ailleurs pas accès aux fichiers de la DGSE ou de la DCRI.

La loi encadre certes strictement les interceptions de sécurité, autorisées par le premier ministre, sur avis de la Commission nationale consultative des interceptions de sécurité (CNCIS), mais n'a en rien prévu un stockage massif de données techniques par les services secrets. "Voilà des années que nous sommes dans l'autorisation virtuelle, confie l'un des anciens patrons des services. Et chaque agence se satisfait bien de cette liberté permise grâce au flou juridique qui existe autour de la métadonnée."

Un parlementaire confirme "qu'une grande part des connexions électroniques en France est effectivement interceptée et stockée par la DGSE". Mais officiellement, "l'infrastructure de mutualisation" n'existe pas.

Regarder nos explications en vidéo
 


Jacques Follorou et Franck Johannes

http://www.lemonde.fr/societe/article/2013/07/04/revelations-sur-le-big-brother-francais_3441973_3224.html  

Citation :

Et la NSA inventa la guerre cybernétique

Stratégie et politique  11 avril 2014  

Si les malwares (logiciels malveil­lants) américano-israéliens Stuxnet et Flame, en infectant des dizaines de milliers d’ordinateurs au Moyen-Orient dans le but de pénétrer quelques machines cibles, peuvent être considérés comme les premières armes cybernétiques, les derniers documents classifiés publiés par Snowden tendent à démontrer que la centrale d’interception américaine dispose, depuis 2010, d’un pendant offensif à son réseau d’interception PRISM.

Le programme “Own Internet” n’a pour autre but que de passer à une phase plus agressive que le Sigint de masse, en automatisant le piratage de dizaines de millions de machines dans le monde pour en exploiter le contenu ou les instrumentaliser à d’autres fins.

Une unité de dévelop­peurs d’élite fut constituée il y a sept ans et baptisée TAO (Tailored Access Operations), afin de créer des dizai­nes de malwares furtifs aux antivirus du marché. Et dotés d’“implants” ayant pour but de faire exécuter par les smartphones ou les ordinateurs infectés des opérations à l’insu des utilisateurs. Ce qui va de l’enre­gistre­ment systématique des mots de passe à la contamination des clés USB, afin de cibler les machines déconnectées des réseaux. Sans parler de l’activation à distance des micros et webcams et du blocage de l’accès à certaines sources d’informations.

L’usurpation par la NSA du site Facebook semble avoir dopé le rythme auquel ces malwares se sont répandus sur la toile. Mais ce sont surtout les “points nodaux”, que sont les routeurs, les réseaux téléphoniques, les réseaux privés virtuels (VPN) et les administrateurs des réseaux d’entreprises ou d’administrations, qui ont suscité le plus grand intérêt. La pénétration du réseau belge Belgacom aurait ainsi permis d’infecter la majeure partie des téléphones des hauts fonctionnaires européens.

Si des outils analogues se louent désormais sur le Darkweb pour quelques centaines d’euros, la NSA aurait, selon ces documents, bâti un véritable système de systèmes autour de deux composantes principales. Le dispositif TURMOIL a pour but d’identifier et d’assurer le suivi permanent de milliers de cibles par l’exploitation de leurs adresses email ou IP, des cookies publicitaires, des identifiants machines, utilisés lors des rapports d’incidents ou encore des habitudes de navigation, et ce quel que soit le type de média utilisé… Une fois “trackées”, les cibles sont alors traitées par un second dispositif, TURBINE, qui automatise la pénétration des médias utilisés, la gestion des implants et l’exploitation des données collectées.

Cette industrialisation de l’attaque comme de l’analyse a pour but, selon les documents de la NSA, de répondre aux enjeux posés par le “Big Data” ainsi généré, afin d’être en mesure de constituer une “Big Picture” des intentions adverses, finalité étant inaccessible aux analystes humains trop dépendants de leur environ­nement immédiat. Le GCHQ britannique, depuis peu, opérerait également ce dispositif.

http://www.ttu.fr/et-la-nsa-inventa-la-guerre-cybernetique/  

http://warontherocks.com/2016/11/trolling-for-trump-how-russia-is-trying-to-destroy-our-democracy/

Citation :

Trolling for Trump: How Russia Is Trying to Destroy Our Democracy
hoopkb Well done.

In spring 2014, a funny story crossed our social media feeds. A petition on whitehouse.gov called for “sending Alaska back to Russia,” and it quickly amassed tens of thousands of signatures. The media ran a number of amused stories on the event, and it was quickly forgotten.

The petition seemed odd to us, and so we looked at which accounts were promoting it on social media. We discovered that thousands of Russian-language bots had been repetitively tweeting links to the petition for weeks before it caught journalists’ attention.

Those were the days. Now, instead of pranking petitions, Russian influence networks online are interfering with the 2016 U.S. election. Many people, especially Hillary Clinton supporters, believe that Russia is actively trying to put Donald Trump in the White House.

And the evidence is compelling. A range of activities speaks to a Russian connection: the theft of emails from the Democratic National Committee and Clinton campaign officials, hacks surrounding voter rolls and possibly election machines, Putin’s overt praise for Trump, and the curious Kremlin connections of Trump campaign operatives Paul Manafort and Carter Page.

But most observers are missing the point. Russia is helping Trump’s campaign, yes, but it is not doing so solely or even necessarily with the goal of placing him in the Oval Office. Rather, these efforts seek to produce a divided electorate and a president with no clear mandate to govern. The ultimate objective is to diminish and tarnish American democracy. Unfortunately, that effort is going very well indeed.

Russia’s desire to sow distrust in the American system of government is not new. It’s a goal Moscow has pursued since the beginning of the Cold War. Its strategy is not new, either. Soviet-era “active measures” called for using the “force of politics” rather than the “politics of force” to erode American democracy from within.  What is new is the methods Russia uses to achieve these objectives.

We have been tracking Russian online information operations since 2014, when our interest was piqued by strange activity we observed studying online dimensions of jihadism and the Syrian civil war. When experts published content criticizing the Russian-supported Bashar al Assad regime, organized hordes of trolls would appear to attack the authors on Twitter and Facebook. Examining the troll social networks revealed dozens of accounts presenting themselves as attractive young women eager to talk politics with Americans, including some working in the national security sector. These “honeypot” social media accounts were linked to other accounts used by the Syrian Electronic Army hacker operation. All three elements were working together: the trolls to sow doubt, the honeypots to win trust, and the hackers (we believe) to exploit clicks on dubious links sent out by the first two.

The Syrian network did not stand alone. Beyond it lurked closely interconnected networks tied to Syria’s allies, Iran and Russia. Many of these networks were aimed at U.S. political dissenters and domestic extremist movements, including militia groups, white nationalists, and anarchists.

Today, that network is still hard at work, running at peak capacity to destroy Americans’ confidence in their system of government. We’ve monitored more than 7,000 social media accounts over the last 30 months and at times engaged directly with them. Trump isn’t the end of Russia’s social media and hacking campaign against America, but merely the beginning.  Here is what we’ve learned.

The Russian Social Media Approach: Soviet Union’s “Active Measures” On Steroids

The United States and its European allies have always placed state-to-state relations at the forefront of their international strategies. The Soviet system’s effort to undermine those relations during the Cold War, updated now by modern Russia, were known as “active measures.”

A June 1992 U.S. Information Agency report on the strategy explained:

   It was often very difficult for Westerners to comprehend this fundamentally different Soviet approach to international relations and, as a result, the centrality to the Soviets (now Russians) of active measures operations was gravely underappreciated.

Active measures employ a three-pronged approach that attempts to shape foreign policy by directing influence in the following ways: state-to-people, people-to-people, and state-to-state. More often than not, active measures sidestep traditional diplomacy and normal state-to-state relationships. The Russian government today employs the state-to-people and people-to-people approaches on social media and the internet, directly engaging U.S. and European audiences ripe for an anti-American message, including the alt-right and more traditional right-wing and fascist parties. It also targets left-wing audiences, but currently at a lower tempo.

Until recently, Western governments focused on state-to-state negotiations with Putin’s regime largely missed Russian state-to-people social media approaches. Russia’s social media campaigns seek five complementary objectives to strengthen Russia’s position over Western democracies:

   Undermine citizen confidence in democratic governance;
   Foment and exacerbate divisive political fractures;
   Erode trust between citizens and elected officials and democratic institutions;
   Popularize Russian policy agendas within foreign populations;
   Create general distrust or confusion over information sources by blurring the lines between fact and fiction

In sum, these influence efforts weaken Russia’s enemies without the use of force. Russian social media propaganda pushes four general themes to advance Moscow’s influence objectives and connect with foreign populations they target.

Political messages are designed to tarnish democratic leaders or undermine institutions. Examples include allegations of voter fraud, election rigging, and political corruption. Leaders can be specifically targeted, for instance by promoting unsubstantiated claims about Hillary Clinton’s health, or more obviously by leaking hacked emails.

Financial propaganda weakens citizen and investor confidence in foreign markets and posits the failure of capitalist economies. Stoking fears over the national debt, attacking institutions such as the Federal Reserve, and attempts to discredit Western financial experts and business leaders are all part of this arsenal.

In one example from August, Disneyland Paris was the site of a reported bomb scare. Social media accounts on Twitter reported that the park had been evacuated, and several news outlets — including Russian propaganda stations RT and Sputnik — published alarming stories based on the tweets, which escalated in hysteria as the afternoon stretched on. In fact, the park had not been evacuated. But that didn’t stop Disney’s stock from taking a temporary hit. This fluctuation could be exploited by someone who knew the fake scare was coming, but we do not have access to the data that would allow us to know whether this happened.


disney

Social issues currently provide a useful window for Russian messaging. Police brutality, racial tensions, protests, anti-government standoffs, online privacy concerns, and alleged government misconduct are all emphasized to magnify their scale and leveraged to undermine the fabric of society.

Finally, wide-ranging conspiracy theories promote fear of global calamity while questioning the expertise of anyone who might calm those fears. Russian propaganda operations since 2014 have stoked fears of martial law in the United States, for instance, by promoting chemtrails and Jade Helm conspiracy theories. More recently, Moscow turned to stoking fears of nuclear war between the United States and Russia.

For the Kremlin, this is not just focused on the outside world. Russian news organizations bombard Russian citizens with the same combination of content. Steve Rosenberg, a BBC News correspondent in Moscow, filmed the Russian domestic equivalent of this approach on November 1, showing Russian language news headlines inciting fears such as impending nuclear war, a U.S.-Russia confrontation in Syria, and the potential for an assassination of Donald Trump.


russia_active_measures

The Confluence of Information and Cyberspace

Russian active measures use a blend of overt and covert channels to distribute political, financial, social, and calamitous messages (see above). During the Soviet era, “white” active measures were overt information outlets directly attributable to the Central Committee of the Communist Party of the Soviet Union. Today, RT and Sputnik push Kremlin-approved English-language news on television and the Internet. These outlets broadcast a mix of true information (the vast majority of content), manipulated or skewed stories, and strategically chosen falsehoods. RT’s slogan, “Question More,” aptly fits their reporting style — seeding ideas of conspiracy or wrongdoing without actually proving anything.

This “white” content provides ammunition for “gray” measures, which employ less overt outlets controlled by Russia, as well as so-called useful idiots that regurgitate Russian themes and “facts” without necessarily taking direction from Russia or collaborating in a fully informed manner.

During the Cold War, gray measures used semi-covert Communist parties, friendship societies, and non-governmental organizations to engage in party-to-party and people-to-people campaigns. Today, gray measures on social media include conspiracy websites, data dump websites, and seemingly credible news aggregators that amplify disinformation and misinformation.

Conspiracy sites include outlets such as InfoWars and Zero Hedge, along with a host of lesser-known sites that repeat and repackage the same basic content for both right- and left-wing consumers. Sometimes, these intermediaries will post the same stories on sites with opposite political orientations.

Data dump websites, such as Wikileaks and DC Leaks, overtly claim to be exposing corruption and promoting transparency by uploading private information stolen during hacks. But the timing and targets of their efforts help guide pro-Russian themes and shape messages by publishing compromising information on selected adversaries.

The people who run these sites do not necessarily know they are participants in Russian agitprop, or at least it is very difficult to prove conclusively that they do. Some sites likely receive direct financial or operational backing, while others may be paid only with juicy information.

Sincere conspiracy theorists can get vacuumed up into the social networks that promote this material. In at least one case, a site described by its creator as parody was thoroughly adopted by Russian influence operators online and turned into an unironic component of their promoted content stream, at least as far as the network’s targeted “news” consumers are concerned.

A small army of social media operatives — a mix of Russian-controlled accounts, useful idiots, and innocent bystanders — are deployed to promote all of this material to unknowing audiences. Some of these are real people, others are bots, and some present themselves as innocent news aggregators, providing “breaking news alerts” to happenings worldwide or in specific cities. The latter group is a key tool for moving misinformation and disinformation from primarily Russian-influenced circles into the general social media population. We saw this phenomenon at play in recent reports of a second military coup in Turkey and unsubstantiated reports of an active shooter that led to the shutdown of JFK Airport. Some news aggregators may be directly controlled by Russia, while other aggregators that use algorithmic collection may be the victims of manipulation.

“Black” active measures are now easier to execute than they were for the Soviets. During the Cold War, according to the 1992 USIA report, these included:

   … the use of agents of influence, forgeries, covert media placements and controlled media to covertly introduce carefully crafted arguments, information, disinformation, and slogans into the discourse in government, media, religious, business, economic, and public arenas in targeted countries.

Black active measures create both risks and costs. Agents deployed into the West must avoid detection or risk state-to-state consequences. The KGB’s Cold War efforts to keep these operations secret bore significant financial costs while producing little quantifiable benefit. Stories were difficult to place in mainstream media outlets, and the slow process made it challenging to create momentum behind any one theme.

On social media, this process is far easier, more effective, and relatively difficult to attribute. Without stepping foot in America, Russia’s coordinated hackers, honeypots, and hecklers influence Americans through people-to-people engagement.

Hackers provide the fuel for themes and narratives. Initially, hackers concentrated on defacements, denial of service, and misinformation posted on compromised social media accounts. By 2015, the Kremlin’s hacking efforts were much more sophisticated, coalescing into two distinct, competing hacking collectives: Fancy Bear (APT 28), possibly operated by Russian military intelligence (GRU), and Cozy Bear (APT 29), possibly operated by Russia’s foreign intelligence service (FSB).

The most notorious Russian-linked hacker, using the handle Guccifer2.0, targets current and former U.S. government officials, American security experts, and media personalities by seeking access to their private communications and records. Former Secretary of State Colin Powell and Clinton campaign chairman John Podesta provide two current examples, but there will be many more to come. Today, Guccifer2.0 posts threats of election meddling this coming Tuesday.
guccif
Guccifer 2.0 Warning on Election Posted to Social Media

In addition to phishing and cracking attacks, these hackers are aided by honeypots, a Cold War term of art referring to an espionage operative who sexually seduced or compromised targets. Today’s honeypots may include a component of sexual appeal or attraction, but they just as often appear to be people who share a target’s political views, obscure personal hobbies, or issues related to family history. Through direct messaging or email conversations, honeypots seek to engage the target in conversations seemingly unrelated to national security or political influence.

These honeypots often appear as friends on social media sites, sending direct messages to their targets to lower their defenses through social engineering. After winning trust, honeypots have been observed taking part in a range of behaviors, including sharing content from white and gray active measures websites, attempting to compromise the target with sexual exchanges, and most perilously, inducing targets to click on malicious links or download attachments infected with malware.

One of us directly experienced how social media direct messages from hackers or influencers seek to compromise or sway a target by using social engineering to build a rapport. Operators may engage the target’s friends or acquaintances, drawing them into conversations to encourage trust. Once conversations are started, an agent of influence will be introduced into the group and will subsequently post on Russian themes from grey outlets or introduce malicious links.

When targets click on malicious links, Fancy Bear and Cozy Bear extract personal information from public officials, media personalities, and American experts and selectively dump the content obtained at opportune times. The goal is to increase popular mistrust of political leaders and people with expertise or influence in specific circles of interest to Russia, such as national security. In some cases, experts criticizing Russia have had their computers mysteriously compromised by destructive malware and their research destroyed.

Online hecklers, commonly referred to as trolls, energize Russia’s active measures. Ringleader accounts designed to look like real people push organized harassment —  including threats of violence — designed to discredit or silence people who wield influence in targeted realms, such as foreign policy or the Syrian civil war. Once the organized hecklers select a target, a variety of volunteers will join in, often out of simple antisocial tendencies. Sometimes, they join in as a result of the target’s gender, religion, or ethnic background, with anti-Semitic and misogynistic trolling particularly prevalent at the moment. Our family members and colleagues have been targeted and trolled in this manner via Facebook and other social media.

Hecklers and honeypots can also overlap. For instance, we identified hundreds of accounts of ostensibly American anti-government extremists that are actually linked to Russian influence operations. These accounts create noise and fear, but may also draw actual anti-government extremists into compromising situations. Based on our observations, the latter effort has not been widely successful so far among anti-government extremists, who tend to stay in their own social networks and are less likely to interact with Russian influence accounts, but our analysis points to greater overlap with networks involving American white nationalists.

Russia’s honeypots, hecklers, and hackers have run amok for at least two years, achieving unprecedented success in poisoning America’s body politic and creating deep dissent, including a rise in violent extremist activity and visibility. Posting hundreds of times a day on social media, thousands of Russian bots and human influence operators pump massive amounts of disinformation and harassment into public discourse.

This “computational propaganda,” a term coined by Philip Howard, has the cumulative effect of creating Clayton A. Davis at Indiana University calls a “majority illusion, where many people appear to believe something ….which makes that thing more credible.” The net result is an American information environment where citizens and even subject-matter experts are hard-pressed to distinguish fact from fiction. They are unsure who to trust and thus more willing to believe anything that supports their personal biases and preferences.

The United States disbanded the U.S. Information Agency after the Cold War and currently fields no apparatus to detect and mitigate Russia’s social media influence campaign. As seen in America’s disjointed counter narratives against the Islamic State, efforts to create any kind of U.S. information strategy are plagued by disparate and uncoordinated efforts strewn among many military, diplomatic, and intelligence commands. American cyber operations and hacking reside separately with the National Security Agency. Russia, on the other hand, seamlessly integrates the two efforts to devastating effect.

After Election Day: What to do about Russia’s Active Measures?

The most overwhelming element of Russia’s online active measures over the last year relate to the presidential campaign of Donald Trump. Russian promotion of Trump not only plagues Clinton, but likely helped sideline other GOP candidates in early 2016 with a more traditional anti-Russia view of foreign policy. It is impossible to assess whether Donald Trump is even fully aware of these efforts, let alone complicit. Setting aside that question for a moment, some readers will immediately ask how we are so sure all this activity goes back to Russia?

There are a number of technical indicators, most tellingly the synchronization of messaging and disinformation with “white” outlets such as RT and Sputnik, as well as the shocking consistency of messaging through specific social networks we have identified.

Dmitri Alperovich of the cyber-security firm Crowdstrike first attributed the DNC hacks to Russia. He explained in a recent War on the Rocks podcast:

   The important thing about attribution…is that it’s not that much different from the physical world. Just like someone can plan a perfect bank heist and get away with it, you can do that in the cyber-domain, but you can almost never actually execute a series of bank heists over the course of many years and get away with it. In fact, the probability of you not getting caught is miniscule. And the same thing is true in cyber-space because eventually you make mistakes. Eventually you repeat tradecraft. It’s hard to sort of hide the targets you’re going after…

There are other, less subtle indications as well, for instance, a notification from Google: “We believe we detected government backed attackers trying to steal your password. This happens to less than 0.1% of all Gmail users.” When one of us receives these messages, we feel confident we’re on the right trail.

google-hack

For his part, Trump rejects the idea that Russia is involved and claims it is impossible to know either way. Shane Harris commented:

   It is startling how he is the only one, it seems, who does not want to acknowledge what 17 intelligence agencies and a lot of technical experts all agree on and his insistence that it could be anyone just flies in the face of the available evidence.

Trump’s business ties to Russia and those of his key advisers have been documented by several journalists, including Harris, who reported that Republican officials were blocking efforts to investigate ties between Trump and Russia.

Regardless of the extent of Trump’s direct knowledge about Russia’s intelligence activities, active measures have achieved enormous success on the back of his presidential campaign. Russia sees Trump as a tool to undermine its American adversaries. In that regard, they’ve already achieved their goal and possess the potential to exceed their expectations. As noted previously, the goal of these efforts may not be to elect Trump as president, but rather to ensure the election result is as divided and negative as possible, as reflected in historically low approval ratings for both candidates.

A Trump victory could pave the way for Russian ascendance and American acquiescence, but the candidate’s unpredictability may carry more risk than Vladimir Putin would prefer. It is one thing to stoke fears of nuclear war; it is entirely another to risk the actuality. A Trump loss may be adequately beneficial to Russia in the short-term and of even greater benefit over the long term, particularly if the candidate indulges his not-so-veiled hints that he could engage in an ongoing battle to tarnish the legitimacy of the electoral system. A Trump loss may lead to a Trump television and social media venture, a vehicle to sustain his supporters’ angst and perhaps ultimately becoming a high-profile gray active measures outlet.

There are many possible scenarios for the future direction of Russian active measures. Additional damaging information may have been withheld from documented hacks of U.S. political actors, and as-yet undisclosed information — perhaps from a hack of Republican Party emails already suggested by some media reports— may emerge after the election regardless of who wins. Should Russia conduct such data dumps through Wikileaks, for instance, it would create an appearance of balance while also damaging the Republican Party, which almost certainly has at least as much embarrassing material as the DNC. Regardless of who wins, Russian operators might save particularly damaging information for release after the inauguration, when talk of impeachment could further diminish his or her influence in Washington and abroad.

Globally, the implications of Russia’s social media active measures are dire. Social media has played a key role in controversial decisions such as Brexit, and in politics and elections around the world, including those of France, Estonia and Ukraine. In heated political contests such as Brexit and the U.S. presidential election, Russian social media active measures could tip the balance of an electoral outcome by influencing a small fraction of a voting public.

Russian employment of bots and covert personas spells trouble for social media companies, too. Their aggressive behavior erodes trust between consumers and the platforms they enjoy. Social media users will not be sure what to believe or who to trust, and they will either limit their sharing or leave social media life altogether after harassment and misinformation. Mainstream media should also reflect on having fallen victim to Russian propaganda time and again in such a way that has made them accomplices to the Kremlin’s efforts to damage the American body politic. They can claim to be unwitting accomplices, but given all of the public information on the nature of this Russian information warfare campaign, such claims lack credibility.

The Obama administration has been slow to assess and respond to Russia’s social media manipulation, so Russia continues to push the envelope. The U.S. government will need to rapidly develop a strategy to mitigate Russian active measures starting in January 2017. How and when will they counter Russian aggression online? How will they protect citizens from influence operations and hacks? How should we respond to and ultimately deter interference with U.S. elections and the hacking of officials, companies, or citizens?

Meanwhile, the story continues. In late October 2016, Kremlin-linked accounts and bots once again began pushing a White House petition, this time to “remove George Soros-owned voting machines from 16 states.” Of course, no such machines exist, but that didn’t prevent the petition from racking up nearly 129,000 signatures.

But don’t forget about Alaska.

In November 2015, Russian television aired a program arguing that the transfer of Alaska to the United States was invalid. In October 2016, The New York Observer — a newspaper owned by Donald Trump’s son-in-law Jared Kushner — published a story about Putin’s desire to reclaim Alaska for Russia. Well, at least they can point to that totally legitimate petition.

++/src/util/regexp/testdata/testoutput1             C++/src/util/regexp/testdata/testoutput7   6435-aaab-0000   cc  cb  ca  cc      [rand]10:16:45[/rand][/size][

Code:

color=#0000FF                 1111 1 1 1 1 1 1 1 1 1 2 22 2 22    

 
][/color]                            0000 ac c bbddddddddd   hex #ccc0a0
     CAAAEI7CCCDAE6AA-CAAC                                 

[cd] FW: EYE seminar flyer            ff00f0    

                (1-3y  8(                                                                                                                                                                                                   07 09 2016              001 0000 abc 0a  ac bg  cf      001 0000 abc 0a  ac bg  cf              15_2-2017                001  0000 abc     0000 ac c

https://www.volkskrant.nl/tech/dutch-agencies-provide-crucial-intel-about-russia-s-interference-in-us-elections~a4561913/amp

Citation :

Dutch agencies provide crucial intel about Russia's interference in US-elections

- Media
12-16 minutes

It's the summer of 2014. A hacker from the Dutch intelligence agency AIVD has penetrated the computer network of a university building next to the Red Square in Moscow, oblivious to the implications. One year later, from the AIVD headquarters in Zoetermeer, he and his colleagues witness Russian hackers launching an attack on the Democratic Party in the United States. The AIVD hackers had not infiltrated just any building; they were in the computer network of the infamous Russian hacker group Cozy Bear. And unbeknownst to the Russians, they could see everything.

That's how the AIVD becomes witness to the Russian hackers harassing and penetrating the leaders of the Democratic Party, transferring thousands of emails and documents. It won't be the last time they alert their American counterparts. And yet, it will be months before the United States realize what this warning means: that with these hacks the Russians have interfered with the American elections. And the AIVD hackers have seen it happening before their very eyes.

The Dutch access provides crucial evidence of the Russian involvement in the hacking of the Democratic Party, according to six American and Dutch sources who are familiar with the material, but wish to remain anonymous. It's also grounds for the FBI to start an investigation into the influence of the Russian interference on the election race between the Democratic candidate Hillary Clinton and the Republican candidate Donald Trump.

'High confidence'

After Trump's election in May 2017, this investigation was taken over by special prosecutor Robert Mueller. While it also aims to uncover contacts between Trump's presidential campaign and the Russian government, the prime objective is bringing to light the Russian interference with the elections. An attempt to undermine the democratic process, and an act that caused tensions between the two superpowers to rise to new heights, bringing about a string of diplomatic acts of revenge.

Three American intelligence services state with 'high confidence' that the Kremlin was behind the attack on the Democratic Party. That certainty, sources say, is derived from the AIVD hackers having had access to the office-like space in the center of Moscow for years. This is so exceptional that the directors of the foremost American intelligence services are all too happy to receive the Dutchmen. They provide technical evidence for the attack on the Democratic Party, and it becomes apparent that they know a lot more.

The prime objective is bringing to light the Russian interference with the elections

Cozy Bear

It's somewhat of a 'fluke' that the AIVD hackers were able to acquire such useful information in 2014. The team uses a CNA, which stands for Computer Network Attack. These hackers are permitted to perform offensive operations: to penetrate and attack hostile networks. It's a relatively small team within a larger digital business unit of about 80-100 people. All cyberoperations converge here. Part of the unit is focused on intercepting or managing sources, while another team is dedicated to Computer Network Defence. In turn, this team is part of the Joint Sigint Cyber Unit, a collaborative unit of the AIVD and the Dutch Military Intelligence and Security Service MIVD, of about 300 people.

It's unknown what exact information the hackers acquire about the Russians, but it is clear that it contains a clue as to the whereabouts of one of the most well-known hacker groups in the world: Cozy Bear, also referred to as APT29. Since 2010, this group has attacked governments, energy corporations and telecom companies around the world, including Dutch companies and ministries. Specialists from the best intelligence services, among them the British, the Israelis and the Americans, have been hunting Cozy Bear for years, as have analysts from major cybersecurity companies.

Specialists from the best intelligence services have been hunting them for years

Vital information

The Dutch hacker team spends weeks preparing itself. Then, in the summer of 2014, the attack takes place, most likely before the tragic crash of flight MH17. With some effort and patience, the team manages to penetrate the internal computer network. The AIVD can now trace the Russian hackers' every step. But that's not all.

The Cozy Bear hackers are in a space in a university building near the Red Square. The group's composition varies, usually about ten people are active. The entrance is in a curved hallway. A security camera records who enters and who exits the room. The AIVD hackers manage to gain access to that camera. Not only can the intelligence service now see what the Russians are doing, they can also see who's doing it. Pictures are taken of every visitor. In Zoetermeer, these pictures are analyzed and compared to known Russian spies. Again, they've acquired information that will later prove to be vital.

The AIVD hackers manage to gain access to a security camera

Rare battle

The Dutch access to the Russian hackers' network soon pays off. In November, the Russians prepare for an attack on one of their prime targets: the American State Department. By now, they've obtained e-mail addresses and the login credentials of several civil servants. They manage to enter the non-classified part of the computer network.

The AIVD and her military counterpart MIVD inform the NSA-liaison at the American embassy in The Hague. He immediately alerts the different American intelligence services.

What follows is a rare battle between the attackers, who are attempting to further infiltrate the State Department, and its defenders, FBI and NSA teams - with clues and intelligence provided by the Dutch. This battle lasts 24 hours, according to American media.

The Russians are extremely aggressive but do not know they're being spied on. Thanks to the Dutch spies, the NSA and FBI are able to counter the enemy with enormous speed. The Dutch intel is so crucial that the NSA opens a direct line with Zoetermeer, to get the information to the United States as soon as possible.

What follows is a rare battle between the attackers and its defenders

Back and forth

Using so-called command and control servers, digital command centres, the Russians attempt to establish a connection to the malware in the Department, in order to request and transfer information. The Americans, having been told by the Dutch where the servers are, repeatedly and swiftly cut off access to these servers, followed each time by another attempt by the Russians. It goes back and forth like this for 24 hours. Afterwards, sources tell CNN that this was 'the worst hack attack ever' on the American government. The Department has to cut off access to the e-mail system for a whole weekend in order to upgrade the security.

Luckily, the NSA was able to find out the means and tactics of their attackers, deputy director of the NSA Richard Ledgett states at a discussion forum in Aspen in March 2017. 'So we could see how they were changing their methods. That's very useful information.' On the authority of intelligence services, American media write that this was thanks to a 'western ally'. Eventually, the Americans manage to dispel the Russians from the Department, but not before Russian attackers use their access to send an e-mail to a person in the White House.

We could see how they were changing their methods
Richard Ledgett, NSA

Sources tell CNN that this was 'the worst hack attack ever' on the American government

Fake e-mail

He thinks he's received an e-mail from the State Department - the e-mail address is similar - and clicks a link in the message. The link opens a website where the White House employee then enters his login credentials, now obtained by the Russians. And that is how the Russians infiltrate the White House.

They even gain access to the email servers containing the sent and received emails of president Barack Obama, but fail to penetrate the servers that control the message traffic from his personal BlackBerry, which holds state secrets, sources tell The New York Times. They do, however, manage to access e-mail traffic with embassies and diplomats, agendas, notes on policy and legislation. And again, it's the Dutch intelligence agencies who alert the Americans about this.

Goldmine

Access to Cozy Bear turns out to be a goldmine for the Dutch hackers. For years, it supplies them with valuable intelligence about targets, methods and the interests of the highest ranking officials of the Russian security service. From the pictures taken of visitors, the AIVD deduces that the hacker group is led by Russia's external intelligence agency SVR.

There's a reason the AIVD writes in its annual report about 2014 that many Russian government officials, including president Putin, use secret services to obtain information. Recently, the head of the AIVD, Rob Bertholee, said on the Dutch TV program CollegeTour that there is 'no question' that the Kremlin is behind the Russian hacking activities.

There is 'no question' that the Kremlin is behind the Russian hacking activities
Rob Bertholee, head of the AIVD

Unprepared

The Americans were taken completely by surprise by the Russian aggression, says Chris Painter in Washington. For years, Painter was responsible for America's cyber policy. He resigned last August. 'We'd never expected that the Russians would do this, attacking our vital infrastructure and undermining our democracy.'

The American intelligence services were unprepared for that, he says. That is one of the reasons the Dutch access is so appreciated. The Americans even sent 'cake' and 'flowers' to Zoetermeer, sources tell. And not just that. Intelligence is a commodity: it can be traded. In 2016, the heads of the AIVD and MIVD, Rob Bertholee and Pieter Bindt, personally discuss the access to the Russian hacker group with James Clapper, then the highest ranking official of the American intelligence services, and Michael Rogers, head of the NSA.

In return, the Dutch are given knowledge, technology and intelligence. According to one American source, in late 2015, the NSA hackers manage to penetrate the mobile devices of several high ranking Russian intelligence officers. They learn that right before a hacking attack, the Russians search the internet for any news about the oncoming attack. According to the Americans, this indirectly proves that the Russian government is involved in the hacks. Another source says it's 'highly likely' that in return for the intelligence, the Dutch were given access to this specific American information. Whether any intelligence about MH17 was exchanged, is unknown.

We'd never expected that the Russians would do this
Chris Painter

Aftermath

There's a long aftermath to the Russian attacks, particularly the attack on the Democratic Party. Moreover, the FBI investigation into the Russian interference adds a political dimension. After her defeat in November 2016, Clinton will say that the controversy about her leaked emails are what cost her the presidency. President elect Donald Trump categorically refuses to explicitly acknowledge the Russian interference. It would tarnish the gleam of his electoral victory. He has also frequently praised Russia, and president Putin in particular. This is one of the reasons the American intelligence services eagerly leak information: to prove that the Russians did in fact interfere with the elections. And that is why intelligence services have told American media about the amazing access of a 'western ally'.

This has led to anger in Zoetermeer and The Hague. Some Dutchmen even feel betrayed. It's absolutely not done to reveal the methods of a friendly intelligence service, especially if you're benefiting from their intelligence. But no matter how vehemently the heads of the AIVD and MIVD express their displeasure, they don't feel understood by the Americans. It's made the AIVD and MIVD a lot more cautious when it comes to sharing intelligence. They've become increasingly suspicious since Trump was elected president.

It's absolutely not done to reveal the methods of a friendly intelligence service

The AIVD hackers are no longer in Cozy Bear's computer network. The Dutch espionage lasted between 1 and 2,5 years. Hacker groups frequently change their methods and even a different firewall can cut off access. The AIVD declined to respond to de Volkskrant's findings.

https://warontherocks.com/2018/05/defending-the-indefensible-a-new-strategy-for-stopping-information-operations/

Citation :

Defending the Indefensible: A New Strategy for Stopping Information Operations

Daniel Gordon


In the book Snow Crash by Neal Stephenson, malicious viral information is deliberately spread by a nefarious actor to infect computers and people’s brains. The virus is transmitted in a variety of ways: via bodily fluid exchange, exposure by observing code with your eyes, as an injected drug, and via computer networks. Regardless of the method, the key idea is that malicious information can infect software on computers and also the software running in your brain.

As a cyber-intelligence analyst with a degree in modeling & simulation, I’ve spent a lot of time trying to fit information operations into a cyber-attack model. Information operations, sometimes referred to as information warfare or political warfare, have been used for centuries by many different entities but have recently regained prominence. According to the RAND Corporation, “Information operations and warfare, also known as influence operations, includes[…]the dissemination of propaganda in pursuit of a competitive advantage over an opponent.” Historical information operations include Soviet propaganda blaming the United States for creating AIDS as a biological weapon and ISIL falsely claiming responsibility for attacks such as the 2017 massacre in Las Vegas. And of course, contemporary observers are familiar with Russia’s use of information operations in an effort to influence democratic processes around the world.

I had the epiphany that information operations don’t fit the normal cyber-attack models such as the Lockheed Martin Cyber Kill Chain® because they’re not “conventional” state-sponsored cyber-attacks such as the OPM breach or the Sony Hack. Those attacks often take advantage of a software exploit, which is used to execute code on the victim’s device. In the last few years, instead of exploiting software, cyber-attacks have started to exploit people. This typically takes the form of social engineering a victim into enabling macros or trusting content that they should not. Information operations, though they are attempting to accomplish different, more politically motivated goals, also seek to exploit people rather than software.

In this way, information operations more closely resemble the introduction and spread of a computer worm such as NotPetya, which was deliberately introduced via a server but also propagated via infected computers. In cybersecurity, understanding a computer worm is often defined primarily by how it spreads from host to host, how it can be stopped, and what impact it has. The host-to-host transmission process for computer worms is related to that of biological viruses, which offers a more fruitful analogy for information operations.

Both computer worms and biological viruses use a host’s resources to replicate and would be helpless without this host. Information operations are the deliberate introduction of viral information, which then uses brain resources to replicate and “infect” new hosts. Computer technology can facilitate the propagation, but unless people are convinced (infected), the information will not continue to propagate and the operation will be ineffective.

Here is the idea I’m trying to infect you with: We can apply the Centers for Disease Control and Prevention (CDC) strategies for combating emerging epidemics to contain the spread of viral information and reduce the effectiveness of information operations. The CDC’s strategies include educating the public, training responding personnel, using science and technology to understand transmission and treatment, and identifying specific areas in need of additional resources. That’s right, the CDC isn’t just for stopping zombie outbreaks. Its recommendations for containing emerging epidemics can help fill the gaps in, and improve effectiveness of, the response to information operations.

What’s Changed?

Russia has been conducting information operations to influence public opinion and political dialogue in the United States and other nations, using conventional media, bots on social media platforms, advertising campaigns, working through proxies and personas, and sometimes in mixed mode campaigns that also utilize Computer Network Exploitation. These two operational modes can be combined for greater effectiveness, for example, by using the Guccifer 2.0 persona to release hacked emails while also running troll armies and cooperating with platforms such as Wikileaks to increase dissemination of false information about those emails. Some stories would organically spread from one medium to another as websites and journalists would repeat stories introduced elsewhere.

The effectiveness of their operations is hard to measure and difficult to separate from the activity of domestic actors. Russian information operations are still targeting and are likely to continue to target the United States, its allies, and its areas of interest. Emerging technologies are likely to significantly increase the impact of future information operations.

Why Is This So Hard to Fix?

One similarity between information operations and epidemics is that it’s unclear who is responsible for combating them. Just as the CDC counsels for epidemics, in the absence of herd immunity, addressing misinformation and information operations will require cooperation across government, the private sector, the media, and the general public.

Each of these entities, on their own is ill-equipped to handle the problem of information operations. Governments are not suited to fact-checking false information, as they may operate too slowly and relevant data may be classified or difficult to release. Moreover, some may be skeptical of governments “policing” the spread of information, a legitimate credibility concern for both epidemics and information operations. Take, for instance, the rejection of legitimate vaccinations in Pakistan after it was revealed that the CIA used Polio vaccinations to help find Bin Laden.

Some have assigned the responsibility for combating information operations to media outlets. In my private discussions, cyber and counterintelligence experts have suggested engaging neutral third parties such as Bellingcat to call out and fact-check disinformation. Unfortunately, these actors lack the resources and viewership numbers needed for widespread information dissemination. Moreover, in many cases outlets and platforms have direct financial motivation, in the form of advertising dollars and other revenue concerns, to facilitate information operations and not to fact check them. Finally, fact-checking alone may be too slow, can sometimes accidentally amplify misinformation, and may not sufficiently counter propaganda. As the saying goes, a lie can get halfway around the world in the time it takes the truth to put its pants on.

The U.S. State Department Global Engagement Center is “charged with leading the U.S. government’s efforts to counter propaganda and disinformation from international terrorist organizations and foreign countries.” However, the State Department is focused on foreign policy, not exerting influence domestically. Moreover, the GEC has faced serious limitations since being created in April 2016.

How Do We Stop the Infection?

Another issue that will be familiar to disease control experts is that of prevention versus treatment: Can we stop the infection from taking hold in the first place, or should we focus on addressing it after the fact? As far as is publicly known, the U.S. government has not conducted kinetic activity in retaliation for Russian information operations. It has taken a number of other punitive actions including imposing sanctions on Russia, and indicting employees of the Internet Research Organization.

Recommendations from the CDC, translated to apply to information operations, suggest that rather than retaliatory actions, the focus should be on prevention – or, in national security parlance, deterrence. Here are some proposed or enacted solutions borrowed from infectious disease control.

Training

The United States and other vulnerable countries need basic education for the public on “information hygiene” – analogous to contraceptives, public education, and other preventative measures taken to limit the spread of biological epidemics. The equivalent might be awareness campaigns such as Learn to Discern in Ukraine or crisis communication in Scandinavia, along with other methods such as games or even short videos or memes. Similarly, we need to train those in media whose work directly impacts the spread of an information operation (the equivalent of medical personnel). Resources such as First Draft News can be a good start in this regard.

Identify Patterns in the Introduction and Transmission of Misinformation

Precursors of information operation activity can be identified and shared, just as with symptoms of disease. Experts may be able to use creative methods to degrade the information operation before it progresses, including inoculating those who might retransmit it. Russia effectively announces the focus of every information operation by publishing related content in RT and Sputnik. It would be easy to use this content to identify the likely targets of information operations and act to protect them, for instance by notifying victim organizations and engaging fact-checkers.

I also suggest digital watermarking to interfere with forgeries, using file metadata for tracking purposes, and employing data science principles to analyze social media activity. Various experts have cited a lack of research as an obstacle to a coordinated response. Data science and timeline analysis can help identify higher-risk populations and primary transmission methods. In some cases, populations’ risk increases when they self-segregate into separated communities – something that may sound familiar to Facebook users. The analogy of quarantining a high-risk population from infection vectors is valid, but is likely to be more challenging in this case, as information can propagate in many more ways than a biological virus can.

Empower Effective Responders with Resources and Tools

It is important to empower the State Department’s embattled Global Engagement Center, as a RAND paper recently recommended. Combating information operations is the center’s explicit mission, and it already has experience working on countering propaganda from ISIL. Fact-checkers such as FactCheck.org, PolitiFact, Hamilton 68, and Snopes, which can be considered analogous to emergency first responders, should be empowered and recognized for their work as well.

Tools for analyzing trends and activity are being developed for internet activity, but more are needed and equivalent tools for other forms of media, such as television, need more development. Facebook has taken a number of well-publicized steps, including creating the Fake News Challenge to build machine learning solutions for misinformation. The winner, Cisco Talos, posted their code on Github. However, information operations can utilize other platforms and analysis tools must keep pace. HIV can spread through sexual contact, so focusing only on shared needles would be ineffective. In the same way, Reddit, YouTube, Twitter, LinkedIn, 4chan, Tumblr, and other platforms need improved tracking of bot activity, more robust reporting mechanisms, more effective safeguards against mass bot creation, and effective mass mitigation methods.

Conclusion

Information and misinformation have always spread virally. But today, technology has increased the speed, number of vectors, and patterns of transmission. By using CDC strategies to contain information operations, we can apply proven ideas to counter a complicated problem that will exist for the foreseeable future. The lessons learned from countering Russian information operations can also be applied to the potentially greater long-term threat of information operations by China.

The analogy is not perfect, of course. Comparing misinformation to HIV/AIDS or Ebola misrepresents its risk and impact. Comparing media and fact-checkers to medical personnel and first responders has a number of flaws as well. Still, to return to my modeling & simulation background, George Box wrote that “all models are wrong, but some are useful.”

For now, I encourage you to improve your immune system by thinking critically about the information you consume, evaluating the source, seeking out balanced and reliable information, and encouraging those around you to do the same.

Daniel Gordon, CISSP, CEH, GCIA, GCTI is a cyber threat intelligence analyst working for the Department of Defense Cyber Crime Center(DC3). He holds a BA in political science from St Mary’s College of Maryland, an MS in modeling and simulation from the University of Central Florida, and a graduate certificate in modeling and simulation of behavioral cybersecurity from the University of Central Florida. The views and opinions expressed in this article are those of the author and do not necessarily reflect the official policy or position of any organization or employer.

https://www.ft.com/content/b947b46a-f342-11e9-a79c-bc9acae3b654

Citation :

A Russian cyber espionage unit has hacked Iranian hackers to lead attacks in more than 35 countries, a joint UK and US investigation has revealed.

The so-called Turla group, which has been linked with Russian intelligence, allegedly hijacked the tools of Oilrig, a group widely linked to the Iranian government, according to a two-year probe by the UK’s National Cyber Security Centre in collaboration with the US’ National Security Agency. The NCSC is part of GCHQ, the digital intelligence agency.
The Iranian group is most likely unaware that its hacking methods have been hacked and deployed by another cyber espionage team, security officials involved in the investigation said. Victims include military establishments, government departments, scientific organisations and universities across the world, mainly in the Middle East.
Paul Chichester, NCSC director of operations, said Turla’s activity represented “a real change in the modus operandi of cyber actors” which he said “added to the sense of confusion” over which state-backed cyber groups had been responsible for successful attacks.
“The reason we are [publicising] this is because of the different tradecraft we are seeing Turla use,” he told reporters. “We want others to be able to understand this activity.”
Mr Chichester described how Turla began “piggybacking” on Oilrig’s attacks by monitoring an Iranian hack closely enough to use the same backdoor route into an organisation or to gain access to the resulting intelligence. Turla is also known as Waterbug or Venomous Bear.
But the Russian group then progressed to initiating their own attacks using Oilrig’s command-and-control infrastructure and software. Organisations in approximately 20 countries were successfully hacked in this way.
“[Turla] could benefit from the operations of Oilrig. They could collect some of their operational output . . . It allowed them to gain more rapid access to victims than they would otherwise have done,” Mr Chichester said. “It made life much easier. This is an opportunistic operation which has given [Turla] a wealth of information and access they wouldn’t otherwise have had.”

The Kremlin did not respond to a request for comment from the Financial Times. Russia’s government has consistently denied it is behind hacking attempts on other states. President Vladimir Putin, in an interview with the FT earlier this year, described allegations that Moscow had orchestrated attempts to influence the 2016 US elections as “mythical”.
Cyber espionage groups are increasingly concealing their identities under so called “false flag” operations — in which they try to mimic the activities of another group. Last year US intelligence agencies were reported to have uncovered the fact that Russian hackers had attempted to disrupt the Winter Olympics in Pyeongchang, South Korea, using lines of code associated with Lazarus Group, attributed to North Korea.
But NCSC says Turla’s operations go far further than imitation, and that Oilrig itself — also known by the names Crambus and APT34 — was hacked.
“We have never seen this done to the level of sophistication that we are seeing here,” Mr Chichester said. “It’s unique in the complexity and scale and sophistication. It’s actually really hard masquerading [as another entity].”
He said that Turla now had the potential to hijack other state-sponsored cyber groups. “This is becoming a very crowded space and we do see people innovate quite rapidly in that domain,” he said.