CYBERGUERRE DE POUTINE : 5 POINTS-CLÉ DES “VULKAN FILES"

L’affaire fait grand bruit dans les médias : un lanceur d’alerte russe aurait transmis 5 229 pages de documents confidentiels à des journalistes d’investigation allemands afin de révéler les dessous de la guerre numérique menée par Poutine.

Sesame it effectue pour vous une synthèse en 5 points des informations clés.

D’où viennent ces révélations ?

Ces révélations proviennent d’un consortium de journalistes d’investigation (Der Spiegel, The Guardian, The Washington Post, Le Monde ainsi que cinq autres médias, tous occidentaux).

Quatre agences de renseignement ont estimé ces documents authentiques, de même que plusieurs entreprises de cybersécurité qui les ont comparé avec les techniques et tactiques observées au cours de cyberattaques (Mandiant, Sekoia). 

Qu’est-ce que NTC Vulkan ?

La société NTC Vulkan, basée à Moscou, est au cœur de la polémique et donne son nom à l’affaire : “Vulkan files”. Il s’agit officiellement d’une société de conseil en informatique spécialisée dans le développement de logiciels, collaborant selon son site web avec IBM et Toyota Bank.

En réalité, cette couverture légale dissimulerait des activités de cyberespionnage en faveur du renseignement militaire (GRU) et de la sécurité intérieure (FSB) russes.

La société est associée au groupe cyber Sandworm, accusé d’être à l’origine des MacronLeaks durant la campagne présidentielle française de 2017.

Les trois principaux programmes secrets de NTC Vulkan

Vulkan a créé une “boîte à outils” pour faciliter les offensives cyber. Trois programmes sont mis en lumière. Amazit a pour objectif de contrôler l’environnement de l’information en ligne et de manipuler l’opinion publique, comportant des opérations psychologiques.

Crystal-2-V vise à former 30 opérateurs informatiques pour exécuter des attaques sur des infrastructures critiques tels que le transport ferroviaire, aérien et maritime, les réseaux d’électricité ou d’approvisionnement en eau. Enfin, Scan-V permet de détecter des failles de sécurité, archivées dans une base de données avec des cibles potentielles.

Les tactiques, techniques et procédures (TTP) observées durant des campagnes

Le modus operandi de Vulkan comprend de l’active scanning durant la phase de Reconnaissance (T1595), du spear-phishing durant la phase d’Initial Access (T1566) ou encore du Drive-By compromise (T1189).

Vulkan a été associé à plusieurs campagnes de cyber-espionnage très médiatisées, notamment contre le gouvernement ukrainien, le Comité national démocrate (DNC) lors de l’élection présidentielle américaine de 2016 et une opération visant des sociétés pétrolières et gazières au Moyen-Orient.

Pourquoi ces révélations ne sont pas vraiment surprenantes

Sans minimiser l’intérêt de telles investigations, essentielles pour la transparence et la mise en lumière à grande échelle des enjeux du numérique, l’existence de semblables programmes pilotés par des Etats n’est ni une surprise ni une nouveauté dans une ère marquée par la cyberguerre. Dans un ouvrage publié en 2019, (Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin’s Most Dangerous Hackers), Andy Greenberg abordait déjà certains de ces éléments concernant Sandworm.

Reste qu’obtenir la preuve des activités réelles de ce type de société grâce à des lanceurs d’alerte est un avantage stratégique dans la bataille de l’information engagée à l’échelle mondiale. Car « l’ère de la cyberguerre est arrivée, et il n’y a pas de retour en arrière possible.” A. Greenberg.