Le NCSC alerte sur des réseaux clandestins liés à la Chine, constitués d’appareils compromis

Le Centre national de cybersécurité du Royaume-Uni a publié de nouvelles recommandations concernant une cybermenace croissante impliquant de vastes réseaux clandestins constitués de routeurs compromis et d’autres appareils exposés à Internet. Selon cet avis, les acteurs malveillants liés à la Chine délaissent de plus en plus les infrastructures qu’ils contrôlent directement et s’appuient plutôt sur des réseaux distribués d’appareils piratés pour mener des opérations d’espionnage et offensives.

Utilisation de ces réseaux

Ces environnements de type botnet peuvent être utilisés à plusieurs étapes d’une intrusion. Les enquêteurs indiquent qu’ils peuvent aider les attaquants à recueillir des données de reconnaissance, à diffuser des logiciels malveillants, à maintenir des liens de commande et de contrôle et à exfiltrer des informations volées depuis l’environnement de la victime. Comme l’infrastructure repose sur des appareils répartis dans de nombreux lieux, il peut être difficile de remonter jusqu’à une source unique.

Le NCSC indique que cette approche offre une plateforme flexible et peu coûteuse, qui peut être rapidement modifiée lorsque les défenseurs détectent une activité suspecte. Les listes de blocage traditionnelles fondées sur des adresses IP statiques sont ainsi moins efficaces, car les nœuds compromis peuvent disparaître ou être remplacés peu après leur découverte.

Pourquoi les défenseurs sont préoccupés

Pour les organisations concernées, le risque ne se limite pas à la furtivité. Les recommandations avertissent que ces réseaux clandestins pourraient être utilisés contre des cibles britanniques afin de voler des informations sensibles et, dans certains cas, de perturber des services essentiels. Un autre problème tient au fait que différents groupes malveillants peuvent partager la même infrastructure compromise, ce qui complique la détection et l’attribution.

Les équipes de sécurité peuvent également être confrontées à ce que l’avis décrit comme une courte durée de vie des indicateurs de compromission. En pratique, cela signifie que les preuves liées à une infrastructure malveillante peuvent rapidement disparaître, laissant aux défenseurs peu de temps pour réagir s’ils s’appuient uniquement sur des contrôles statiques.

Mesures recommandées

Le NCSC, en collaboration avec des agences partenaires et la Cyber League, a publié des conseils destinés aux organisations de toutes tailles. Les recommandations privilégient des contrôles multicouches et adaptatifs, plutôt que le seul blocage fondé sur des adresses IP fixes.

• Cartographier et établir une base de référence du trafic vers les appareils périphériques, en particulier les services VPN et d’accès à distance.
• Utiliser des flux de renseignements sur les menaces dynamiques incluant les infrastructures malveillantes connues associées aux réseaux clandestins.
• Activer l’authentification multifacteur pour les accès à distance.
• Mettre en œuvre des mesures de type zero trust lorsque cela est possible, notamment des listes d’adresses IP autorisées et des contrôles de certificats des machines.
• Dans les environnements plus vastes ou présentant davantage de risques, rechercher les trafics suspects provenant d’appareils SOHO et IoT et envisager des outils de détection des anomalies.

L’agence indique que les organisations qui combinent visibilité, authentification et filtrage adaptatif seront mieux à même de réduire leur exposition à cette menace en évolution.