[Projet Sauron] Un État a réussi à dissimuler un logiciel espion pendant 5 ans

Rompues à la découverte de logiciels malveillants lovés dans les systèmes informatiques d’entreprises ou administrations, les sociétés spécialisées en sécurité informatique, Kaspersky et Symantec, ont fait une découverte stupéfiante.

Des institutions étatiques visées à travers le monde

Il ne s’agit rien de moins que d’une plateforme de cyber-espionnage nichée dans les systèmes informatiques d’une trentaine d’institutions disséminées à travers le monde, et ce, depuis au moins 5 ans. À peine le « sommet de l’iceberg » prédit Kaspersky dans son rapport publié le lundi 8 aout.

Des institutions étatiques travaillant aussi bien dans le domaine militaire, des télécoms, des milieux financiers ou scientifiques aussi bien en Russie, au Rwanda, en Chine, en Iran mais aussi en Belgique et en Suède.

Sa détection remonte à septembre 2015, lorsqu’une organisation cliente de Kaspersky lui signale sur anomalie sur son réseau. L’enquête met à jour une plateforme dont l’objectif premier semble être le cyber-espionnage. Kaspersky le nomme « Projet Sauron » car ses lignes de codes font référence à l’antagoniste ultime de la saga Le Seigneur des Anneaux. De son côté, Symantec le baptise Remsec dans son rapport publié le 7 août.

Dissimulé depuis 5 ans, le logiciel-espion est redoutable

Grâce à une porte dérobée installée au sein des systèmes cibles, le malware permet de récupérer des clés de chiffrement, des fichiers sensibles, des mots de passe et d’avoir l’œil sur toute l’activité réalisée sur les systèmes infectés.

« La backdoor passive de Projet Sauron démarre chaque fois qu’un domaine, un utilisateur local ou un administrateur se connecte ou change son mot de passe, et elle récupère alors rapidement les mots de passe en clair », explique ainsi les chercheurs de Kaspersky.

Une telle plateforme a été « conçue pour orchestrer des campagnes de long terme via des mécanismes de persistance furtifs couplés à de multiples méthodes d’exfiltration d’information ».

Un malware à usage unique qui l’a rendu indétectable

Les deux sociétés informatiques ont relevé l’extrême sophistication de ce logiciel espion qui l’a rendu indétectable pendant toutes ces années. « La caractéristique la plus remarquable de la tactique du Projet Sauron est le refus délibéré de modèles », explique ainsi Kaspersky. Projet Sauron personnalise ses malwares, dissimulés dans des fichiers d’apparence banale et légitime et ne les réutilise jamais.

« Les pirates ont clairement compris que nous, les chercheurs en sécurité informatique, sommes toujours à la recherche de comportements répétitifs, explique Kaspersky. Supprimez-les et l’opération sera bien plus difficile à découvrir. »

Projet Sauron, un logiciel-espion très sophistiqué aux mains d’un Etat

Par ailleurs, la société russe note que l’acteur « expérimenté » derrière cette plateforme de cyber-espionnage a déployé des « efforts considérables » dans l’apprentissage des techniques d’autres acteurs dans le milieu du piratage et du malware – comme Duqu, Flame, Equation ou Regin – tout en les améliorant.

Tous ces éléments pointent dans une seule et même direction pour Kaspersky et Symantec : « Le coût, la complexité, la persistance et l’objectif de l’opération, à savoir voler des données confidentielles et secrètes d’institutions publiques sensibles, suggèrent l’implication ou le soutien d’un État », assure ainsi la société russe.

Bien heureux celui qui pourrait nommer un État un particulier. La société estime même le problème « insoluble » au regard des multiples écrans de fumée laissés derrière lui.