Le cybercrime-comme-service comme nouvelle normalité

Hola.

Bienvenue à cette plus récente itération de mon infolettre, spécial édition week-end (lire: je suis en retard sur mon horaire habituel).

Cette semaine, je passe en revue la supply chain attack sur NPM, j’apporte quelques nuances sur le réseau cellulaire malicieux démantelé à New York et je vous jase de l’impact de l’utilisation de l’intelligence artificielle pour produire du contenu de piètre qualité dans un contexte de travail (du ‘workslop’).

Have phun.

Le Node Package Manager (NPM) a été victime d’une attaque par compromission de sa chaîne d’approvisionnement logiciel. Plus de 500 packages de son dépôt ont été injectés avec du code JavaScript malveillant et déployés chez des victimes, affectant surtout des librairies de développement et de chiffrement.

Le nombre de victimes potentielles est assez élevé:

Packages impacted by this attack are those with extremely high global download rates – over 2.6 billion per week – affecting a vast ecosystem of web applications and dependent projects.

Plusieurs charges malicieuses ont été déployées chez les particuliers et entreprises affectés, notamment un outil qui vole des actifs crypto et des accès, ainsi que ‘Shai-Hulud’, un ver qui s’auto-reproduit et conçu pour compromettre des packages aussi longtemps que possible et ce de manière autonome.

La kill chain de l’attaque a été ventilée par Trend Micro:

Comme c’est très souvent le cas lors de ce type d’attaque, c’est l’accès/compte compromis d’un développeur de package pour NPM qui est le patient zéro. Ce tweet de Thegrugq est d’ailleurs tout pertinent pour cette situation:

Charlie Erikson a aussi une bonne analyse du ver et de sa provenance. Il mentionne que CrowdStrike semble être affecté par cette attaque.

Mitiger une telle menace qui repose sur un tiers parti qui te donne accès à des librairies comme NPM (c’est-à-dire, un système basé sur la confiance) est difficile. Pour l’instant, une rotation des accès sur les comptes qui interfacent avec Node Package Manager, ainsi que de l’hygiène numérique de base, est pas mal ce qui peut être fait de mieux.

Nouvelle plutôt spectaculaire, à première vue, qui s’est retrouvée notamment dans les pages de la BBC et de La Presse (via un encadré en toute fin d’article): le Service secret américain aurait démantelé une “ferme” de SIM dans un endroit proche des Nations unies, juste avant le 80e anniversaire de cette organisation à New York.

Un extrait de l’article de La Presse:

Un réseau de plus de 300 serveurs et 100 000 cartes SIM capables de paralyser les télécommunications à New York a été démantelé avant l’Assemblée générale de l’ONU, ont annoncé mardi les autorités américaines.

L’éventuelle cible de ce réseau n’était pas connue dans l’immédiat, mais le Secret Service, chargé de la protection des hautes personnalités politiques américaines, a fait état de « communications » entre des « acteurs étatiques » non précisés et des criminels présumés.

L’article de la BBC mentionne aussi:

“This network had the power to disable cell phone towers and essentially shut down the cellular network in New York City,” said special agent in charge Matt McCool.

Premièrement, ce dude a un nom incroyable, au point ou j’ai dû vérifier qu’il existait vraiment (c’est le cas).

Deuxio, c’est important de noter que ce genre d’infrastructure malicieuse n’est en fait absolument rien de nouveau. Au delà du FUD (Fear, Uncertainty and Doubt) spéculatif provenant des forces de l’ordre, ce genre de ferme opère généralement sur un modèle d’affaire de revente de type infrastructure-as—a-service, où des groupes cybercriminels vont louer un pan de ce genre d’infra pour opérer une fraude de grande envergure. Ce n’est pas à l’avantage de l’opérateur de ce réseau de le voir utilisé pour attaquer et “shut down” la grille cellulaire new-yorkaise (allô le spotlight sur le groupe si ça arrivait!).

Robert ‘ErrataRob’ Graham abonde dans le même sens:

Bruce Schneier a qualifié cette histoire “d’étrange” et WIRED en rajoute une couche:

Mc Daid notes, however, that he’s tracked similar operations discovered in Ukraine—some of which have been as large or even larger than the one revealed on Tuesday by the Secret Service. Over the course of the last few years, law enforcement officials in Ukraine have discovered tens of thousands of SIM cards being used in SIM farms allegedly set up by Russian actors.

Vous comprenez donc le sous-entendu ici: les Russes pourraient être derrière ça...! Pourquoi pas, hein?

Dans les faits, comme ErrataRob le mentionne, c’est probablement une forme de criminalité certes bien organisée et professionnelle… mais probablement utilisée dans le cadre de fraudes beeeeeeen plus plates qu’un scénario de cyber-espionnage hollywoodien.

Souvent, la réalité est plus plate que la fiction.

Il y a quelques mois de cela, j’avais donné une entrevue à Radio-Canada (me souviens plus pour quelle émission) dans laquelle on me demandait de prédire l’avenir côté risques technologiques associés à l’utilisation des grands modèles de langage dans les entreprises. Au delà du fait que je déteste ce genre d’exercice spéculatif, j’avais répondu un truc du genre “je m’attends à voir une demande pour des informaticiens d’expérience qui iront nettoyer le bordel laissé par les “vibe coders” (des utilisateurs d’outils comme Claude ou ChatGPT qui produisent du code sans connaitre quoi que ce soit au développement d’applications) qui sévissent présentement.”

Et bien, cet article du Harvard Business Review sur le “workslop” (contenu de piètre qualité créé par un LLM et utilisé dans un contexte professionnel) semble me donner raison. Un extrait:

According to our recent, ongoing survey, this is a significant problem. Of 1,150 U.S.-based full-time employees across industries, 40% report having received workslop in the last month. […]

Each incidence of workslop carries real costs for companies. Employees reported spending an average of one hour and 56 minutes dealing with each instance of workslop. Based on participants’ estimates of time spent, as well as on their self-reported salary, we find that these workslop incidents carry an invisible tax of $186 per month. For an organization of 10,000 workers, given the estimated prevalence of workslop (41%), this yields over $9 million per year in lost productivity.

Et il y a bien sûr tout ces trucs anecdotiques:

À ce rythme, y’a que les travailleurs nord-coréens infiltrés en Occident qui sauront encore comme coder dans quelques années.

Quelques autres nouvelles, en rafale:

• Le film ‘Hackers’ fêtait ses 30 ans récemment. Misère, ça me rajeuni pas, ça.

• TikTok se torche des données personnelles de ses utilisateurs - particulièrement les enfants - et l’entreprise utilise des méthodes poches pour valider l’âge de quelqu’un sur cette plateforme. Un rapport accablant du Commissaire à la vie privée du Canada et de certains homologues provinciaux varlope l’entreprise chinoise (qui est sur le point d’être acheté par Larry Ellison, un être humain absolument détestable).

• Une nouvelle qui est passée sous le radar mais qui n’est pas anecdotique: selon Microsoft, plusieurs câbles Internet sous-marins ont récemment été coupés dans la Mer rouge. Un incident similaire s’était produit il y a deux ans, au même endroit.

• Pour les fans de OSINT: un nouveau numéro du magazine UNREDACTED de Michael Bazzell vient d’être publié, un an après le dernier.

Shoot out à la gang de BSides Montréal et aux Décrypteurs, qui organisaient respectivement leur cinquième édition et leur 200e émission récemment.

Bonne fin de semaine!