À la lecture de cet article sur l'opération Aurora, quelles sont les entreprises visées par les attaques ?
Given this article about Operation Aurora, which companies were targeted in the attacks?
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley, and Dow Chemical appear to have been targted in these attacks.  Some pubically confirmed this while others were claimed to be targeted in media reports.
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley et Dow Chemical semblent avoir été visés par ces attaques.  Certains l'ont confirmé publiquement, tandis que d'autres ont été déclarés visés par les médias.
closed_qa
L'opération Aurora est une série de cyberattaques menées par des menaces persistantes avancées telles que le groupe Elderwood, basé à Pékin (Chine) et lié à l'Armée populaire de libération. Révélées publiquement pour la première fois par Google le 12 janvier 2010 dans un billet de blog, les attaques ont commencé à la mi-2009 et se sont poursuivies jusqu'en décembre 2009.

L'attaque visait des dizaines d'autres organisations, dont Adobe Systems, Akamai Technologies, Juniper Networks et Rackspace, qui ont confirmé publiquement qu'elles étaient visées. Selon les médias, Yahoo, Symantec, Northrop Grumman, Morgan Stanley et Dow Chemical figuraient également parmi les cibles.

À la suite de cette attaque, Google a déclaré sur son blog qu'il prévoyait d'exploiter une version non censurée de son moteur de recherche en Chine "dans le respect de la loi, le cas échéant", et a reconnu que si cela n'était pas possible, il pourrait quitter la Chine et fermer ses bureaux chinois. Des sources officielles chinoises ont affirmé que cela faisait partie d'une stratégie mise au point par le gouvernement américain.

L'attaque a été baptisée "Opération Aurora" par Dmitri Alperovitch, vice-président de la recherche sur les menaces à la société de cybersécurité McAfee. Les recherches menées par McAfee Labs ont permis de découvrir que le mot "Aurora" faisait partie du chemin d'accès au fichier sur la machine de l'attaquant qui était inclus dans deux des binaires de logiciels malveillants qui, selon McAfee, étaient associés à l'attaque. "Nous pensons que ce nom est le nom interne que le ou les attaquants ont donné à cette opération", a déclaré George Kurtz, directeur de la technologie de McAfee, dans un billet de blog.

Selon McAfee, l'objectif principal de l'attaque était d'accéder aux référentiels de code source de ces entreprises de haute technologie, de sécurité et de défense, et éventuellement de les modifier. "[Les SCM] étaient largement ouverts", déclare Alperovitch. "Personne n'a jamais pensé à les sécuriser, alors qu'il s'agit des joyaux de la couronne de la plupart de ces entreprises à bien des égards - bien plus précieux que les données financières ou d'identification personnelle qu'elles peuvent avoir et qu'elles consacrent tant de temps et d'efforts à protéger".

L'histoire

Fleurs déposées devant le siège de Google Chine après l'annonce de son départ du pays
Le 12 janvier 2010, Google a révélé sur son blog qu'il avait été victime d'une cyberattaque. L'entreprise a déclaré que l'attaque s'était produite à la mi-décembre et qu'elle provenait de Chine. Google a déclaré que plus de 20 autres entreprises avaient été attaquées ; d'autres sources ont depuis indiqué que plus de 34 organisations avaient été visées. À la suite de cette attaque, Google a déclaré qu'il réexaminait ses activités en Chine. Le même jour, la secrétaire d'État américaine Hillary Clinton a publié une brève déclaration condamnant les attaques et demandant une réponse de la part de la Chine.

Le 13 janvier 2010, l'agence de presse All Headline News a rapporté que le Congrès américain envisageait d'enquêter sur les allégations de Google selon lesquelles le gouvernement chinois aurait utilisé le service de l'entreprise pour espionner des militants des droits de l'homme.

À Pékin, des visiteurs ont déposé des fleurs devant les bureaux de Google. Le gouvernement chinois n'a pas encore réagi officiellement, bien qu'un fonctionnaire anonyme ait déclaré que la Chine souhaitait obtenir davantage d'informations sur les intentions de Google.

Attaquants impliqués
Informations complémentaires : La cyberguerre en Chine
Des preuves techniques, notamment des adresses IP, des noms de domaine, des signatures de logiciels malveillants et d'autres facteurs, montrent qu'Elderwood est à l'origine de l'opération Aurora. Le groupe "Elderwood" a été nommé par Symantec (d'après une variable de code source utilisée par les attaquants), et Dell Secureworks l'appelle le "groupe de Pékin". Le groupe a obtenu une partie du code source de Google, ainsi que l'accès à des informations sur des activistes chinois. Elderwood a également ciblé de nombreuses autres entreprises dans les secteurs du transport maritime, de l'aéronautique, de l'armement, de l'énergie, de la fabrication, de l'ingénierie, de l'électronique, de la finance et des logiciels.

La désignation "APT" pour les acteurs chinois responsables de l'attaque contre Google est APT17.

Elderwood se spécialise dans l'attaque et l'infiltration de fournisseurs de second rang de l'industrie de la défense qui fabriquent des composants électroniques ou mécaniques pour des entreprises de défense de premier plan. Ces entreprises deviennent alors un "tremplin" cybernétique pour accéder aux entreprises de défense de premier rang. L'une des procédures d'attaque utilisées par Elderwood consiste à infecter des sites web légitimes fréquentés par des employés de l'entreprise cible - une attaque dite "du trou d'eau", tout comme les lions repèrent un trou d'eau pour leurs proies. Elderwood infecte ces sites moins sécurisés avec des logiciels malveillants qui se téléchargent sur l'ordinateur qui clique sur le site. Ensuite, le groupe cherche dans le réseau auquel l'ordinateur infecté est connecté, trouve et télécharge les courriels des dirigeants et des documents critiques sur les plans, les décisions, les acquisitions et les conceptions de produits de l'entreprise.

Analyse de l'attaque
Dans son billet de blog, Google a déclaré qu'une partie de sa propriété intellectuelle avait été volée. Il a laissé entendre que les attaquants souhaitaient accéder aux comptes Gmail de dissidents chinois. Selon le Financial Times, deux comptes utilisés par Ai Weiwei ont été attaqués, leur contenu a été lu et copié ; ses comptes bancaires ont fait l'objet d'une enquête par des agents de la sécurité de l'État qui ont affirmé qu'il faisait l'objet d'une enquête pour des "crimes présumés non spécifiés". Toutefois, les attaquants n'ont pu consulter que les détails de deux comptes et ces détails se sont limités à des éléments tels que la ligne d'objet et la date de création des comptes.

Les experts en sécurité ont immédiatement noté la sophistication de l'attaque Deux jours après que l'attaque ait été rendue publique, McAfee a signalé que les attaquants avaient exploité de prétendues vulnérabilités "zero-day" (non corrigées et inconnues des développeurs du système cible) dans Internet Explorer et a baptisé l'attaque "Opération Aurora". Une semaine après le rapport de McAfee, Microsoft a publié un correctif pour le problème et a admis qu'il connaissait la faille de sécurité utilisée depuis septembre. D'autres vulnérabilités ont été découvertes dans Perforce, le logiciel de révision du code source utilisé par Google pour gérer son code source.

iDefense Labs de VeriSign a affirmé que les attaques avaient été perpétrées par des "agents de l'État chinois ou de ses mandataires".

Selon un câble diplomatique de l'ambassade des États-Unis à Pékin, une source chinoise a indiqué que le Politburo chinois avait dirigé l'intrusion dans les systèmes informatiques de Google. Le câble suggère que l'attaque faisait partie d'une campagne coordonnée exécutée par "des agents gouvernementaux, des experts en sécurité publique et des hors-la-loi de l'Internet recrutés par le gouvernement chinois" Le rapport suggère qu'elle faisait partie d'une campagne en cours dans laquelle les attaquants "se sont introduits dans les ordinateurs du gouvernement américain et de ses alliés occidentaux, du Dalaï Lama et d'entreprises américaines depuis 2002"."Selon le rapport du Guardian sur la fuite, les attaques ont été "orchestrées par un membre important du Politburo qui a tapé son propre nom dans la version mondiale du moteur de recherche et a trouvé des articles qui le critiquaient personnellement".

Une fois le système d'une victime compromis, une porte dérobée se faisant passer pour une connexion SSL établissait des connexions avec des serveurs de commande et de contrôle situés dans l'Illinois, au Texas et à Taïwan, y compris des machines fonctionnant sous des comptes de clients Rackspace volés. La machine de la victime a alors commencé à explorer l'intranet protégé de l'entreprise dont elle faisait partie, à la recherche d'autres systèmes vulnérables ainsi que de sources de propriété intellectuelle, en particulier le contenu des dépôts de code source.

On pense que les attaques ont définitivement pris fin le 4 janvier lorsque les serveurs de commande et de contrôle ont été mis hors service, bien que l'on ne sache pas encore si les attaquants les ont intentionnellement mis hors service ou non. Toutefois, les attaques se poursuivaient en février 2010.

Réponse et suites
Les gouvernements allemand, australien et français ont émis publiquement des avertissements aux utilisateurs d'Internet Explorer après l'attaque, leur conseillant d'utiliser d'autres navigateurs au moins jusqu'à ce qu'un correctif soit apporté à la faille de sécurité. Les gouvernements allemand, australien et français ont considéré que toutes les versions d'Internet Explorer étaient vulnérables ou potentiellement vulnérables.

Dans un avis publié le 14 janvier 2010, Microsoft a déclaré que des attaquants ciblant Google et d'autres entreprises américaines avaient utilisé un logiciel exploitant une faille dans Internet Explorer. La vulnérabilité affecte les versions 6, 7 et 8 d'Internet Explorer sous Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2, ainsi qu'IE 6 Service Pack 1 sous Windows 2000 Service Pack 4.

Le code d'exploitation d'Internet Explorer utilisé dans l'attaque est tombé dans le domaine public et a été incorporé dans l'outil de test de pénétration Metasploit Framework. Une copie de l'exploit a été téléchargée sur Wepawet, un service de détection et d'analyse des logiciels malveillants sur Internet géré par le groupe de sécurité informatique de l'Université de Californie, Santa Barbara. "La publication du code d'exploitation augmente la possibilité d'attaques généralisées utilisant la vulnérabilité d'Internet Explorer", a déclaré George Kurtz, directeur technique de McAfee, à propos de l'attaque. "Le code informatique désormais public peut aider les cybercriminels à concevoir des attaques qui utilisent la vulnérabilité pour compromettre les systèmes Windows".

La société de sécurité Websense a déclaré avoir identifié une "utilisation publique limitée" de la vulnérabilité non corrigée d'IE dans des attaques "drive-by" contre des utilisateurs qui se sont égarés sur des sites Web malveillants. Selon Websense, le code d'attaque qu'elle a repéré est le même que l'exploit qui a été rendu public la semaine dernière.[Les utilisateurs d'Internet Explorer sont actuellement confrontés à un danger réel et présent en raison de la divulgation publique de la vulnérabilité et de la publication du code d'attaque, ce qui augmente la possibilité d'attaques généralisées", a déclaré George Kurtz, directeur de la technologie chez McAfee, dans une mise à jour du blog. Confirmant cette spéculation, Websense Security Labs a identifié d'autres sites utilisant l'exploit le 19 janvier. Selon les rapports d'Ahnlab, la deuxième URL a été diffusée via le réseau de messagerie instantanée Misslee Messenger, un client de messagerie instantanée très populaire en Corée du Sud.

Des chercheurs ont créé un code d'attaque qui exploite la vulnérabilité dans Internet Explorer 7 (IE7) et IE8, même lorsque la mesure défensive recommandée par Microsoft (Data Execution Prevention (DEP)) est activée[dubious - discuss]. Selon Dino Dai Zovi, chercheur en vulnérabilités de sécurité, "même le dernier IE8 n'est pas à l'abri d'une attaque s'il fonctionne sous Windows XP Service Pack 2 (SP2) ou antérieur, ou sous Windows Vista RTM (release to manufacturing), la version que Microsoft a livrée en janvier 2007".

Microsoft a admis que la faille de sécurité utilisée était connue depuis septembre. Le travail sur une mise à jour a été priorisé et le jeudi 21 janvier 2010, Microsoft a publié un correctif de sécurité visant à contrer cette faiblesse, les exploits publiés basés sur celle-ci et un certain nombre d'autres vulnérabilités signalées en privé. La société n'a pas indiqué si l'une de ces dernières avait été utilisée ou publiée par des exploiteurs ou si elle avait un lien particulier avec l'opération Aurora, mais l'ensemble de la mise à jour cumulative a été qualifiée de critique pour la plupart des versions de Windows, y compris Windows 7.

Les chercheurs en sécurité ont continué à enquêter sur les attaques. HBGary, une société de sécurité, a publié un rapport dans lequel elle affirme avoir trouvé des marqueurs significatifs qui pourraient aider à identifier le développeur du code. L'entreprise a également déclaré que le code était basé sur la langue chinoise, mais qu'il ne pouvait pas être spécifiquement lié à une entité gouvernementale.

Le 19 février 2010, un expert en sécurité enquêtant sur la cyberattaque contre Google a affirmé que les personnes à l'origine de l'attaque étaient également responsables des cyberattaques menées contre plusieurs entreprises du Fortune 100 au cours de l'année et demie écoulée. Il a également remonté la piste de l'attaque jusqu'à son point d'origine, qui semble être deux écoles chinoises, l'Université Jiao Tong de Shanghai et l'École professionnelle de Lanxiang. Comme l'a souligné le New York Times, ces deux écoles ont des liens avec le moteur de recherche chinois Baidu, un rival de Google Chine. L'Université professionnelle de Lanxiang et l'Université Jiao Tong ont toutes deux nié l'allégation.

En mars 2010, Symantec, qui participait à l'enquête sur l'attaque pour le compte de Google, a identifié Shaoxing comme la source de 21,3 % de l'ensemble (12 milliards) des courriels malveillants envoyés dans le monde.

Rétrospective Google
Le 3 octobre 2022, Google a publié sur YouTube une série de six épisodes couvrant les événements survenus lors de l'opération Aurora, avec des commentaires d'initiés ayant eu affaire à l'attaque, bien que l'objectif principal de la série ait été de rassurer le public utilisateur de Google sur les mesures mises en place pour contrer les tentatives de piratage.
fr