Un mot de passe compromis serait la porte d’entrée de pirates informatiques dans le réseau de Colonial Pipeline

Suite à l’attaque qui a été subi par ces systèmes informatiques, le géant américain Colonial Pipeline a mis sur le coup une entreprise de cybersécurité chargé de mener l’enquête.

Selon les résultats fournis par cette entreprise, l’attaque aurait réussi à l’aide de mots de passe compromis. Une cyberattaque qui qui a causé la fermeture de la société de distribution de carburant à travers les États-Unis.

Cet article va aussi vous intéresser : Les autorités américaines réussissent à saisir la rançon versée aux pirates informatiques par Colonial Pipeline

Selon la société de cybersécurité embauchée par la société américaine, le mot de passe corrompu sur est lié à l’utilisation d’un compte de réseau virtuel privé qui était utilisé auparavant. Un compte qui n’est plus actif aujourd’hui. L’informations a été confirmé par le vice-président de la division criminalistique de FireEye, Mandiant.

Le premier problème concerne le compte qui lui n’était pas protégé par une couche de sécurité tel que l’authentification à multiples facteurs. En clair, les conclusions émises par le spécialiste de Mandiant, chargé de l’enquête tout s’est joué par un mot de passe. Durant l’interview ces derniers déclarent : « les pirates informatiques liés au groupe de cybercriminels opérateurs du ransomware DarkSide ont utilisé un seul mot de passe compromis sur un réseau privé virtuel (VPN), accédant aux serveurs de Colonial le 29 avril par le biais d’un compte qui n’était plus utilisé, mais qui pouvait encore accéder aux réseaux de la société. ».

Cependant, on ne sait toujours pas comment les pirates informatiques ont réussi à mettre la main sur le mot de passe corrompu. On retient tout de même le danger que constitue les pirates opportunistes. Il n’est pas moins, du manque d’hygiène de la part du personnel d’une entreprise surtout une entreprise aussi importante que Colonial Pipeline.

À titre de rappel, précisons l’attaque informatique subie par le géant américain a été révélé le 7 mai 2021 après qu’un employé a vu apparaître sur l’écran d’un ordinateur de la salle de contrôle une demande de rançon par les pirates informatiques. L’attaque est attribuée à propos de cybercriminels derrière le programme informatique du nom de DarkSide. Ce groupe de pirates informatiques serait est d’origine russe. En plus de déployer eux-mêmes leur rançongiciel, ces derniers ont tendance à le mettre à la disposition d’autres groupes de pirates informatiques, on échange de recevoir une partie des rançons qu’ils obtiendront.

Pour ce qu’il en est du mode opératoire de DarkSide, c’est presque classique dans le domaine. En effet, à l’instar de plusieurs autres groupes, il cible généralement des entreprises ou des organisations ayant des polices d’assurance contre des attaques informatiques et bien sûr qu’ils détiennent dans des données suffisamment sensibles pour les contraindre à payer la rançon sous forme de chantage. Le Président Directeur Général de Colonial Pipeline a reconnu avoir payé une rançon de 4,4 millions de dollars aux Cybercriminels.

Selon le spécialiste en sécurité informatique chargé de l’enquête, le mot de passe corrompu qui servit aux pirates informatiques à réussir leur coup était disponible sur le forum du dark web, ce qui signifie qu’un employé de colonial pipeline a utilisé ou continue d’utiliser les mêmes mots de passe sur plusieurs comptes.

L’un des aspects les plus délicats et qui fâche dans cette histoire, c’est le fait que le compte concerné ne pas protéger par aucun code ou aucune couche supplémentaire de sécurité. En d’autres termes, pas de d’authentification multiples.

« Ils n’ont pas mis en œuvre l’authentification multifacteur sur leurs VPN. Il s’agit de l’un des vecteurs d’attaque les plus courants. Les VPN à eux seuls ne suffisent pas », a déclaré le spécialiste.

« Nous avons effectué une recherche assez exhaustive de l’environnement pour essayer de déterminer comment ils ont obtenu ces informations d’identification », souligne Carmakal. « Nous ne voyons aucune preuve d’hameçonnage pour l’employé dont les informations d’identification ont été utilisées. Nous n’avons pas vu d’autres preuves de l’activité de l’attaquant avant le 29 avril ». Ajoute ce dernier.

En outre, l’enquête a montré que rien ne prouvait manifestement que les pirates informatiques ont réussi à avoir accès à des infrastructures qui était de Colonial Pipeline.

De son côté, les premiers responsables du géant américain a interpellé le gouvernement sur la nécessité de s’attaquer aux pirates informatiques qui se cache derrière les frontières de la Russie. « En fin de compte, le gouvernement doit se concentrer sur les acteurs eux-mêmes. En tant qu’entreprise privée, nous n’avons pas la capacité politique de fermer les pays hôtes qui abritent ces mauvais acteurs ».

Accédez maintenant à un nombre illimité de mot de passe :