La semaine dernière, le FBI a publié un bulletin d’alerte « flash »… et à la lecture de son titre, on serait presque tenté de qualifier le Federal Bureau of Investigation de Captain Obvious : « Des cybercriminels ciblent des routeurs en fin de vie pour lancer des attaques et dissimuler leurs activités ».

Ce n’est pas dans les vieux routeurs qu’on fait la meilleure sécurité

Des produits en fin de vie, cela signifie l'interruption des mises à jour de fonctionnalité, mais également de sécurité, quelle que soit la gravité de la faille. Il suffit donc d’une brèche critique et exploitable à distance pour que l’appareil soit ouvert aux quatre vents à n’importe quelle personne malintentionnée, sans possibilité de corriger le tir.

Les pirates se servent ensuite des produits compromis comme point d’entrée pour « installer des logiciels malveillants et utiliser ces routeurs dans des botnets pour lancer des attaques coordonnées ou vendre un accès aux appareils ». Ces routeurs peuvent aussi servir de relais aux pirates pour essayer de cacher leur adresse IP, leur localisation et/ou leur identité. Le FBI donne un exemple : « Des cyberacteurs chinois […] ont utilisé des botnets pour dissimuler des piratages d'infrastructures critiques américaines ».

Des produits Linksys et Cisco pointés du doigt

Dans son bulletin d’alerte, le FBI partage une liste d’une douzaine de produits : les Linksys E1200, E2500, E1000, E4200, E1500, E300, E3200, E1550, WRT320N, WRT310N et WRT610N, ainsi que les Cisco E1000 et M10. Mais ce ne sont que quelques références dans l’immensité des routeurs laissés à l’abandon par les fabricants.

Le FBI ajoute dans son bulletin une liste d’indicateur de compromissions. Il émet aussi une recommandation : « un utilisateur peut prévenir une compromission en désactivant l'administration à distance et en redémarrant l'appareil ».

Le problème ne concerne pas que les routeurs… loin de là

Le FBI parle des routeurs, mais la problématique est la même sur des smartphones qui sont trop rapidement abandonnés par les constructeurs. Depuis maintenant plusieurs années, Google pousse les fabricants à augmenter la durée du suivi, mais cela reste dans tous les cas largement insuffisant pour les modèles d’entrée et de milieu de gamme.

Rappelons que, le 20 juin, entrera en vigueur une extension du règlement sur l’économie circulaire qui impose des mises à jour logicielles pendant au moins cinq ans après mise sur le marché.

• Comment Google pousse les fabricants vers sept ans de mises à jour Android

Ce bulletin d’alerte du FBI n’a rien de surprenant, la problématique est connue depuis des années. La partie visible de l’iceberg pour le grand public est certainement la fin de vie de certaines versions de Windows. La dernière en date, Windows 10, ne sera plus maintenue à partir du 10 octobre, en même temps que d’autres produits.

• Exchange, Office, Outlook, Windows… Microsoft fera un ménage par le vide le 14 octobre

Installer une porte blindée et… la laisser ouverte

Pour les professionnels, Chloé Chabanol (sous-directrice des opérations de l’ANSSI), rappelait une triste réalité : « l’exploitation massive et inquiétante des équipements de bordure », c’est-à-dire les pare-feux, les VPN, les filtres antispams, etc.

Des équipements dédiés à la sécurité… à condition de les maintenir à jour. L’ANSSI donnait l’exemple de pirates ayant ciblé des produits de chez Palo Alto qui comportaient une vulnérabilité critique plus de deux mois après la publication d’un correctif.

• En France, le niveau de risque des cybermenaces est « particulièrement élevé »