Cybersécurité : la DGSI inaugure le FIC de curieuse façon

La DGSI rappelle, à l’occasion du Forum International de la Cybersécurité (FIC), l'importance de la « culture d'hygiène et de sécurité informatique ». Des recommandations de bon ton, mais rédigées avec un logiciel non mis à jour depuis plus de 2 ans, et totalisant 11 vulnérabilités non corrigées.

Tous les mois, la Direction générale de la sécurité intérieure (DGSI) publie sur son site web des conseils aux entreprises. Se présentant sous la forme de fichiers .pdf, ces « Flash ingérence » thématiques présentent des « actions d'ingérence économique dont des sociétés françaises sont régulièrement victimes ».

Basées sur des cas avérés, et bien évidemment anonymisés, ils ont « vocation à illustrer la diversité des situations auxquelles les entreprises sont susceptibles d'être confrontées », et « sont mis à votre disposition pour vous accompagner dans la diffusion d'une culture de sécurité interne ».

S'ils arborent l'en-tête « ingérence économique », force est de constater que les risques liés à l'utilisation de l'informatique représente une part conséquente des « menaces d’ingérence étrangère pesant sur les acteurs économiques français stratégiques » qu'elle est censée entraver, et donc documenter.

La moitié de ses 19 derniers « flash ingérence » portent ainsi sur des risques relevant, directement ou indirectement, de la « cybersécurité » : « Faux profils sur les réseaux sociaux professionnels », « Risques liés à l'usage du Cloud », « Vols d'ordinateurs portables », « Risques cyber liés au télétravail », « Questionnaires et entretiens rémunérés » envoyés par courriels ou via des réseaux sociaux, « Risques liés à la dépendance aux fournisseurs et sous-traitants », « Ingérence et vulnérabilités dans la recherche et l'enseignement supérieur » (qui évoque notamment le cas d'une étudiante qui s'était laissée volontairement enfermer dans les locaux de son laboratoire pour y siphonner des données, et d'un autre étudiant étranger « fortement soupçonné d'avoir facilité la commission de cyberattaques » visant son université).

À l’occasion du Forum International de la Cybersécurité (FIC), qui se déroule du 7 au 9 juin, la DGSI consacre son « flash ingérence n°84 » à « La sécurité informatique comme impératif de protection économique » :

« À découvrir en juin 2022, le numéro illustrant des exemples d'attaques informatiques facilitées par des imprudences internes. Ce Flash ingérence présente également des mesures de sécurité et des principes de bonne conduite pour réduire les risques. »

La DGSI y précise que les attaques informatiques « peuvent avoir d’importantes répercussions sur une société ou une institution et affecter à la fois son activité économique ou industrielle, son savoir-faire et sa réputation » : 

« La prise en compte de ces risques par la mise en place de mesures préventives adaptées, l’identification et la correction des failles existantes et la diffusion d’une culture d’hygiène informatique au quotidien doivent désormais compter parmi les impératifs de protection économique des entreprises et des acteurs académiques. »

Le problème se situe entre la chaise et le clavier

Elle y évoque trois exemples d'imprudences émanant de salariés, à commencer par un vol de données résultant d'une « attaque de type rançongiciel » après qu'un employé ait ouvert une pièce jointe envoyée par « une personne de confiance » mais dont l'identité avait été usurpée : 

« Grâce à cette intrusion, les cybercriminels ont pu chiffrer la quasi-totalité des serveurs du groupe, paralysant ainsi ses activités logistiques, de vente et d’achat pendant plusieurs jours. [...] Le groupe a mis environ quatre mois à désinfecter l’ensemble de ses systèmes d’information et a pu restaurer la majorité de ses données grâce à des sauvegardes, sans payer la rançon demandée. »

Un second exemple qualifie d' « atteinte à la réputation en raison d’une négligence en matière de sécurité informatique » le fait, pour une entreprise, d'avoir été victime d'un rançongiciel, « provoquant une importante paralysie de ses activités et affectant notamment sa base de données, ses espaces de travail collaboratifs et son site Internet ». 

L’attaque avait en effet « été facilitée par l’existence de failles de sécurité dans les systèmes d’information de l’entreprise, qu’elle avait identifiées à l’occasion de précédentes tentatives d’intrusion, mais qu’elle n’avait pas corrigées » : 

« Lors de la propagation du rançongiciel, les cybercriminels ont exploité ces failles pour infiltrer les réseaux de la société et ont notamment désactivé l’antivirus de l’exploitant et installé des programmes malveillants permettant d’extraire des données. Outre les dommages financiers, la société a été affectée par la diffusion des faits dans la presse et sur les réseaux sociaux, dénonçant son manque d’anticipation des risques informatiques. »

Le troisième exemple porte sur un centre de recherche qui n’avait pas détecté « spontanément » le fait que l'un de ses chercheurs utilisait son ordinateur professionnel pour miner des crypto-monnaies.

Il avait même « mis plus d’un an pour constater une dégradation de la rapidité de son réseau, qui s’expliquait par la lourdeur des opérations de calcul nécessaires au minage de crypto-monnaies ».

Les recommandations de la DGSI...

En commentaire, la DGSI relève que « si, dans la plupart des cas, l’origine des attaques informatiques est externe, les atteintes sont souvent facilitées par des imprudences internes », habilement exploitées par ceux qui voudraient l'attaquer :

« Au-delà des attaques à but purement lucratif, les atteintes informatiques peuvent s’insérer dans une stratégie visant à affecter la compétitivité d’une entreprise, à capter ses données ou à la déstabiliser. Elles peuvent être commanditées par des États, notamment à des fins d’espionnage. »

La DGSI déplore à ce titre que « les risques d’attaques informatiques sont souvent négligés par certains acteurs qui découvrent à l’issue d’un incident de sécurité qu’ils sont insuffisamment préparés aux conséquences de ces évènements » : 

« Ces risques peuvent pourtant être considérablement réduits par l’application de mesures de sécurité informatique adéquates et la prise en compte par tous les salariés d’un certain nombre de règles de bonne conduite informatique. »

Elle formule dès lors un certain nombre de « préconisations » d'usage, qu'elle résume comme suit sur son profil LinkedIn, pour ce qui est des « mesures d'hygiène et de sécurité informatique » (le surlignage émane de notre rédaction, ndlr) : 

« Nos recommandations :

• • Sensibiliser régulièrement l’ensemble des collaborateurs aux risques informatiques et à l’importance de la mise en œuvre de bonnes pratiques en matière de sécurité informatique
  • Renforcer la perception des risques informatiques auprès de ses collaborateurs
  • Faire preuve d’une vigilance constante dans la gestion des courriers électroniques
  • Réaliser une analyse de risques de son système d’information
  • Effectuer un audit de sécurité informatique [...] afin d’identifier et de corriger les vulnérabilités de son système d’information
  • Effectuer de façon régulière et planifiée les mises à jour des systèmes d’exploitation et des programmes informatiques [qui] ont vocation à corriger les failles qui facilitent les intrusions informatiques. »

... rédigées avec un logiciel cumulant 11 vulnérabilités

Si les méta-données des précédents fichiers .pdf indiquaient jusque-là qu'ils avaient été créés en utilisant « Microsoft® Word 2013 », sans plus de précision sur sa version de mise à jour, le .pdf consacré à la sécurité informatique a, lui, été exporté depuis Microsoft Word dans Nitro Pro 13, un éditeur « Choisi par 68 % des entreprises du Fortune 500 », dans sa version 13.13.2.242.

Or, cette version date du 3 mars 2020, et Nitro Pro a depuis fait l'objet de 20 autres mises à jour... dont 6 relevant de corrections de failles de sécurité.

En mai 2020, Nitro alertait ainsi ses utilisateurs et clients que ladite version 13.13.2.242 comportait « une vulnérabilité lors de l'ouverture d'un document PDF malveillant spécialement conçu qui peut conduire à un accès en écriture hors limites avec le potentiel de corrompre la mémoire », et leur conseillait donc de passer à la dernière version de Nitro Pro.

Début septembre 2020, Nitro distribuait une nouvelle version corrigeant 4 autres « failles de sécurité potentielles » pouvant « entraîner un débordement de la mémoire tampon provoquant une corruption de la mémoire » voire « conduire à l'injection de commandes ».

Depuis, Nitro a publié 3 autres mises à jour corrigeant 6 nouvelles failles de sécurité potentielles. Au total, la version de Nitro Pro 13 utilisée par la DGSI totalise donc 11 vulnérabilités, dûment documentées dans la base de données des Common Vulnerabilities and Exposures (CVE), et qu'un attaquant motivé pourrait donc chercher à exploiter.

Ironie de l'histoire, 5 d'entre-elles mentionnent explicitement ladite version 13.13.2.242. Et si Nitro parle de « failles de sécurité potentielles », la base de données CVE mentionne de son côté des « vulnérabilités exploitables », à mesure qu' « un document spécialement conçu doit être chargé par une victime » afin de les déclencher.

Or, la mention de cette version 13.13.2.242 trouée de Nitro Pro dans les méta-données du fichier .pdf est précisément ce qui permettrait à un attaquant de préparer une charge utile à envoyer à la DGSI, en utilisant notamment les exploits rédigés par ceux qui ont identifié les vulnérabilités, et qui sont mentionnés dans les CVE, certaines ayant en effet été accompagnées de Proofs of concept (POC) permettant de les exploiter.

D'après la base de données des vulnérabilités (NVD) du National Institute of Standards and Technology (NIST) du gouvernement américain, si deux d'entre-elles sont classées « medium » d'après les critères du Common Vulnerability Scoring System (CVSS), un système d'évaluation standardisé de la criticité des vulnérabilités, les autres sont classées « high », avec des scores de 7.8 à 8.8, sur une échelle allant de 0 à 10.

Contactés, ni la DGSI ni le ministère de l'Intérieur n'ont répondu à nos sollicitations. Et le fichier .pdf avec la mention de la version 13.13.2.242 de Nitro Pro est toujours en ligne à l'heure où nous publions notre article.

Mise à jour, 9/6/2022 : comme indiqué dans le Brief, la DGSI vient, ce matin, de mettre à jour son fichier pour en effacer la quasi-totalité des métadonnées. 

Plus gênant : plutôt que d'exporter le fichier sous forme de .pdf au format texte, la DGSI l'a exporté sous forme d'image, ce qui empêche donc toute forme de copier-coller, mais rend également la lecture plus compliquée, au vu de la résolution, notamment pour les personnes « empêchées de lire » (parce qu'aveugles, mal-voyantes, etc.) et qui utilisent donc des lecteurs d'écran.

Il est cela dit possible, avec un outil comme ExifTool, d'afficher plus de méta-données, et de découvrir que le caviardage a bien été effectué ce matin, depuis Microsoft Word 2013, ce que ne précisait pas l'ancien fichier.

Avant / après