Depuis l’annonce initiale du grand vol de données chez LastPass il y a un an, les mauvaises nouvelles s’enchainent pour l’entreprise. Aujourd’hui, un faisceau d’indices laisse entendre que les informations dérobées auraient été exploitées pour cibler des détenteurs de vastes portefeuilles de cryptomonnaies.

L’année écoulée a été complexe pour LastPass. Une importante brèche de sécurité a été révélée en août dernier. Depuis, les informations publiées vont presque toutes dans un seul sens : la sécurité n’était pas au niveau que l’on s’attend à avoir d’un gestionnaire de mots de passe, d’autant plus quand on considère l’extrême sensibilité des données hébergées par le service.

Or, Brian Krebs (spécialiste en cybersécurité) a publié mardi un nouveau billet sur son blog KrebsOnSecurity consacré aux potentielles conséquences de cette brèche. De nombreux signes pointeraient en direction d’un vol organisé de cryptoactifs.

Plusieurs enquêtes, des résultats identiques

Krebs raconte comment Taylor Monahan, la responsable produit chez l’éditeur de portefeuille de cryptomonnaie MetaMask, mène l’enquête depuis plusieurs mois. Elle fait partie d’un groupe de chercheurs récoltant des indices sur plusieurs vols très importants de cryptomonnaies ayant eu lieu depuis fin décembre 2022, affectant plus de 150 personnes pour un total dépassant les 35 millions de dollars.

Selon Monahan, qui suit de près la situation et a été en contact avec de nombreuses victimes, un fil conducteur a rapidement émergé. Toutes étaient des investisseurs de longue date dans les cryptoactifs, toutes raisonnablement formées en sécurité, et donc peu susceptibles de tomber dans les pièges courants, voire grossiers.

Surtout, et toujours selon elle, aucune de ces personnes n’a subi précédemment certains types d’attaques perpétrés pour préparer le terrain, comme la compromission d’un compte email. Autre élément commun, les victimes étaient toutes profondément impliquées dans les écosystèmes des cryptomonnaies, particulièrement Ethereum. Certaines sont mêmes employées par des entreprises du secteur. Surtout, toutes les personnes interrogées étaient utilisatrices de LastPass.

Les suites du grand casse chez LastPass ?

En conséquence, dans sa série de tweets du 28 août, elle en vient à formuler une hypothèse : les personnes concernées ont vu leurs comptes de cryptoactifs être vidés par une ou plusieurs personnes possédant la clé privée, c’est-à-dire une longue phrase de passe, qui a peut-être été obtenue dans les coffres-forts dérobés à LastPass l’année dernière.

Cette clé privée est bien sûr au centre de tout. Aucune protection n’est réellement efficace si un pirate réussit à s’en emparer.

L’analyse est identique pour Nick Bax, directeurs des analyses chez Unciphered, spécialisée dans la récupération des portefeuilles de cryptoactifs après incident. « Si vous avez ma phrase de base, vous pouvez la copier et la coller dans votre portefeuille, et vous pourrez alors voir tous mes comptes. Et vous pouvez transférer mes fonds ».

Il indique que c’est « l'une des enquêtes les plus vastes et les plus complexes sur les cryptomonnaies » qu’il ait pu voir. « J'ai effectué ma propre analyse à partir de leurs données et je suis arrivé à la même conclusion que Taylor. L'acteur malveillant a transféré les fonds volés à plusieurs victimes vers les mêmes adresses de la blockchain, ce qui a permis d'établir un lien étroit entre ces victimes et l'acteur de la menace ».

C’est l’un des points forts en effet de ces enquêtes : il semble que tous les transferts aient été réalisés vers un très petit nombre d’adresses sur la blockchain Ethereum. Selon Brian Krebs qui a interrogé Monahan, Bax et d’autres chercheurs/experts, toutes les enquêtes évoquent le même faisceau d’indices : tous les vols porteraient une signature unique, signe d’une opération préparée, très bien orchestrée et totalisant plus de 35 millions de dollars de gains.

Brian Krebs dit avoir lui-même analysé cette signature. Cependant, à la demande des chercheurs interrogés, il n’a pas publié le fruit de ses découvertes. Le danger est que les acteurs malveillants pourraient modifier leur méthode d’attaque en se basant sur les détails techniques récoltés pendant les enquêtes.

L’éléphant dans la pièce semble ainsi être LastPass, et plus particulièrement la brèche de l’été 2022. Nick Bax en est d’ailleurs persuadé : « En plus des indicateurs de compromission qui se recoupent, il existe des modèles de comportement et des techniques plus circonstanciels qui sont également cohérents entre les différents vols et qui soutiennent [cette] conclusion. Je suis suffisamment convaincu qu'il s'agit d'un vrai problème pour inciter mes amis et ma famille qui utilisent LastPass à changer tous leurs mots de passe et à migrer toutes leurs cryptos qui pourraient avoir été exposées, même si je sais parfaitement à quel point c'est fastidieux ».

LastPass : l'enquête est toujours en cours

Brian Krebs a bien sûr demandé à LastPass de réagir sur les dernières trouvailles des chercheurs. Mais la société a botté en touche, préférant rappeler que l’enquête était en cours.

« L'incident de l'année dernière fait toujours l'objet d'une enquête par les forces de l'ordre et d'un litige en cours. Depuis l'attaque de LastPass l'année dernière, nous sommes restés en contact avec les forces de l'ordre et continuons à le faire. »

LastPass a également indiqué que de très nombreuses informations avaient été partagées avec les forces de l’ordre, dont des renseignements techniques de compromission et des données sur les tactiques, techniques et procédures de l’acteur malveillant. Même les informations obtenues par les enquêtes internes et externes ont été communiqués, selon l’éditeur.

LastPass recommande aux chercheurs qui auraient des renseignements à partager à se rapprocher de son équipe Threat Intelligence, que l’on peut contacter à l’adresse [email protected].

La société n'a pas davantage communiqué, la dernière mise à jour concernant le vol de données remontant à décembre 2022.

La brèche de sécurité et ses vastes conséquences

Depuis l’incident de l’été dernier, la communication de LastPass a été largement fustigée par les chercheurs et experts en sécurité. Wladimir Palant, qui a participé au développement d’Adblock Pro, critiquait ainsi une communication « pleine d’omissions, demi-vérités et purs mensonges ».

La déclaration faisait suite à la configuration, le 22 décembre 2022, de ce dont on se doutait largement déjà : les données dérobées l’été précédent étaient dans la nature. Elles comprenaient à la fois des informations chiffrées (identifiants, mots de passe, cartes bancaires, notes sécurisées et éléments de remplissage des formulaires) et non chiffrées (comme les URL).

Karim Toubba, PDG de LastPass, avait voulu éteindre rapidement l’incendie en rappelant que les informations chiffrées des coffres-forts l’étaient en AES 256. Leur déchiffrement ne pouvait se faire « qu’avec une clé de chiffrement dérivée du mot de passe maître de chaque utilisateur, en utilisant notre architecture Zero Knowledge ».

Quoi qu’il en soit, une partie des clients voyaient leurs données les plus sensibles dans la nature. Mêmes chiffrées, il existe toujours la possibilité que les pirates arrivent à leurs fins. Les recherches sur les victimes de vols de cryptomonnaies pourraient indiquer qu’ils y sont parvenus, d’une manière ou d’une autre. Il pourrait toutefois s’agir d’une autre explication, que l’on ne connaitrait pas.

Si la récupération des clés Ethereum était avérée, il s’agirait d’une catastrophe pour LastPass. Cela signifierait que la société n’a non seulement pas été capable d’empêcher l’accès à ces données, mais qu’en plus les pirates auraient pu les récupérer et les décrypter. Ce qui poserait à nouveau la question des moyens employés par l’entreprise pour protéger les informations qui lui sont confiées.

Rappelons que LastPass a entre-temps renforcé certains aspects, comme l’obligation stricte d’au moins 12 caractères dans son mot de passe maître, qui n’avait pas encore cours l’année dernière. Ces mots de passe sont protégés par 100 100 dérivations PBKDF2, là où le NIST américain en recommande 310 000. En juin dernier, LastPass a transité vers « une version renforcée de PBKDF2 ». Elle avait prévenu les utilisateurs que toutes les sessions seraient déconnectées, provoquant bien des problèmes chez les personnes ayant activé l’authentification à facteurs multiples (recommandée), puisqu’elles ne pouvaient plus se connecter.