Le Chat botté, exemple d’une campagne APT

Avez-vous déjà pensé à la réponse que vous donneriez à votre enfant précoce s’il vous demandait : « Qu’est-ce qu’une attaque APT à motivation politique ? » En réalité, c’est simple. Ressortez votre vieux livre du Chat botté de Charles Perrault et lisez ce conte ensemble en vous concentrant sur les aspects ayant à voir avec la cybersécurité. Après tout, si nous ignorons les libertés artistiques prises par l’auteur, comme un chat qui parle ou des ogres, cette histoire est l’exemple parfait d’une attaque APT complexe et à plusieurs vecteurs contre un gouvernement (fictif). Analysons ensemble le déroulement de ce cybercrime.

Le conte commence lorsqu’un meunier lègue à titre posthume tout ce qu’il possède à ses fils. Le plus jeune de ses fils hérite des coordonnées d’une personne connue sous le nom de Chat botté. Il s’agit bien évidemment d’un pirate informatique à gages. Comme vous devez sûrement vous en rappeler, dans Shrek 2, ce félin beau parleur porte non seulement ses bottes caractéristiques, mais aussi un chapeau noir. Après un échange rapide avec le client, le cybercriminel élabore un plan machiavélique visant à prendre le contrôle du pays.

Établissement de la chaîne d’approvisionnement

1. Le Chat attrape un lapin et le présente au Roi comme un cadeau de son Maître, le fils du meunier se faisant passer pour le Marquis de Carabas.
2. Le Chat attrape deux perdrix et les livre au Roi comme cadeau du Marquis.
3. Le Chat continue à apporter du gibier au Roi pendant plusieurs mois, tous provenant soi-disant de son Maître.

Si au tout début des opérations personne ne connaissait le Marquis de Carabas, il a fini par gagner en notoriété en tant que fournisseur de gibier pour la cour et était considéré comme fiable à la fin de la phase préparatoire. Le service de sécurité royal a commis au moins deux erreurs flagrantes. Premièrement, la sécurité aurait dû se méfier lorsqu’une entité inconnue a commencé à envoyer du gibier au château. Après tout, tout le monde sait qu’il n’y a rien de comparable à un repas gratuit. Deuxièmement, la première chose à faire au moment de passer un accord avec un nouveau fournisseur est de vérifier sa réputation.

Ingénierie sociale pour ouvrir la porte

4. Ensuite, le Chat entraîne son « Maître » au bord de la rivière. Il le convainc de retirer ses vêtements et de se mettre à l’eau. Alors que le carrosse du Roi passait à proximité, le Chat appela à l’aide, prétextant que les habits du Marquis avaient été dérobés pendant qu’il nageait.

Le Chat emploie ici deux stratagèmes différents. Il affirme que le jeune homme dans l’eau n’est pas un étranger mais un fournisseur fiable de gibier, et que, ayant apporté son aide de manière désintéressée, le Chat avait maintenant besoin de l’aide du Roi. Le faux Marquis ne peut être identifié (ou authentifié) sans ses vêtements volés. Le Roi tombe dans le piège et pense que cette fausse identité est authentique. C’est un exemple classique d’ingénierie sociale.

L’attaque de point d’eau via le site Internet de l’ogre

5. Le Chat arrive au château de l’Ogre, où il est accueilli comme un invité d’honneur, puis demande à son hôte de lui montrer ses pouvoirs magiques. Flatté, l’Ogre se transforme en lion. Après avoir fait croire qu’il avait été effrayé, le Chat lui dit que tout le monde pouvait se transformer en quelque chose de grand et qu’il voulait savoir s’il pouvait aussi se changer en quelque chose de très petit. L’Ogre, naïf, se transforma en souris et le Chat s’y jeta dessus et la mangea.

Pour parfaire la tromperie, le Marquis a besoin d’un site Internet et quel genre de fournisseur n’en a pas ? Créer un site de toutes pièces serait imprudent : il n’aurait pas d’histoire et sa date de création serait suspecte. Il décide donc de détourner un site existant. Ici, Perrault traite vaguement d’une vulnérabilité impliquant une perte des autorisations d’accès. Le Chat se connecte pour réaliser un test d’intrusion externe et persuade l’administrateur local de jouer avec le système de contrôle d’accès. L’administrateur élève d’abord ses propres privilèges à root (lion), puis les abaisse au mode invité (souris). Dès que cela se produit, le chat supprime le compte ayant les autorisations « souris » et devient le seul administrateur du site.

6. Le Roi visite le château et se réjouit tellement de l’accueil qu’il décide que le Marquis serait un bon partenaire pour la Princesse. Il propose donc de l’inviter à la cour et de faire de lui un héritier du trône.

C’est ce qui arrive quand l’ingénierie sociale fonctionne comme prévu. La victime visite le site Internet malveillant et y conclut un marché, permettant au pirate informatique d’avoir accès à des biens précieux (dans ce cas, le trône). Pas directement, bien sûr. Dans ce cas, en donnant sa fille en mariage au faux Marquis.

Attaque de la chaîne d’approvisionnement

Le texte de Perrault ne mentionne pas cette partie, mais si vous avez prêté attention, vous avez probablement remarqué qu’à la fin du conte, le Marquis de Carabas :

•  est le fournisseur de confiance du Roi. Il fournit du gibier sauvage pour la table du monarque depuis plusieurs mois, et
• est le mari de la fille unique du Roi.

Seul le vieil homme sur le trône l’empêche de régner. En résumé, pour devenir le chef absolu, tout ce qu’il a à faire est d’injecter un virus mortel dans le code de la perdrix suivante, puis s’asseoir et attendre.