Cybersécurité - Innovations digitales et numériques

Conclusion : si les analyses de Brian Krebs sont valides, le piratage de Home Depot a donc probablement touché plus de 2 000 magasins aux Etats-Unis et, ce depuis avril ou mai selon les témoignages des banques interrogées par le blogueur. Rappelons que le vol de données chez Target, qui a duré environ 3 semaines seulement, concernait 1 800 magasins. Et avait abouti à la mise en vente de 40 millions de numéros de cartes. Il faut donc s’attendre à des chiffres encore plus vertigineux avec Home Depot, qui semble parti pour remporter le triste record de la plus grosse fuite de données bancaires à ce jour.

D’après la société Seculert, l’attaque Target s’est déroulée en deux phases. Dans un premier temps, le malware a infecté les terminaux de points et stocké, ni vu ni connu, les données bancaires des clients. Puis, au bout d’une petite semaine, il a commencé à transmettre ces données à un serveur FTP externe, en passant par une autre machine infectée du réseau informatique de Target. Ces transmissions se faisaient plusieurs fois par jour pendant deux semaines. Les experts de Seculert estiment qu’environ 11 GO de données ont pu être exfiltrés de cette manière. Enfin, un serveur privé virtuel situé en Russie a récupéré les données sur le serveur FTP, tout en prenant soin de les effacer par la suite.

Les enquêteurs soupçonnaient les auteurs des attaques d'avoir utilisé des logiciels malveillants (malwares). Parmi ceux-ci pourrait figurer un logiciel connu sous le nom de « RAM scraper » (littéralement « gratte-RAM »), qui permet d'intercepter des données cryptées au moment où elles transitent – décryptées – par la mémoire vive d'un ordinateur. Une porte-parole de Target a déclaré que le groupe ne faisait aucun commentaire sur l'enquête concernant le vol de données.

ChewBacca est un cheval de Troie très actif ces trois derniers mois, durant lesquels près de 50 000 données de cartes bancaires ont été volées par son biais dans 11 pays dont les Etats-Unis, la Russie, le Canada et l'Australie. Il faut néanmoins souligner que le malware cible les données stockées dans les bandes magnétiques des cartes : ces dernières sont enregistrées lorsqu'elles sont passées dans la machine, tandis qu'un keylogger enregistre de son côté le code tapé sur le clavier numérique.

Les experts en sécurité ont étudié le fonctionnement des serveurs de commande et de contrôle du malware : l'interface n'est accessible que via le réseau caché TOR, par le biais d'une adresse en .onion. Le logiciel malveillant, une fois installé sur la machine infectée, est capable d'extraire des informations spécifiques des processus en fonctionnement, et les envoie sur une adresse en .onion également. Techniquement, le malware n'est cependant pas particulièrement discret, et se cache dans le dossier « démarrer » de Windows, sous la forme d'un exécutable système. Reste que 20% des logiciels antimalware ne le détectent pas à ce jour.

Tous les détails ne sont pas encore connus mais le mode opératoire est simple et souvent rencontré. Les cyber-criminels se sont probablement introduits sur le réseau interne en envoyant des e-mails piégés à certains collaborateurs ou sous-traitants. Ils ont ensuite pu déployer des logiciels malveillants sur les terminaux de paiements. Ceux-ci ont « écouté » les données transitant lors des paiements réalisés par les clients. À ce moment, les attaquants ont dû en profiter pour étendre leur recherche sur le réseau et voler les bases de données clients.

Une expertise scientifique a en outre montré que les coordonnées des cartes de paiement n'étaient pas les seules données confidentielles à avoir été prises pour cible par les pirates informatiques. Vendredi, le groupe a annoncé dans un communiqué avoir constaté, « dans le cadre de son enquête » sur le vol de données, « que certaines informations de clients [séparées des numéros de cartes de paiement dont le vol avait été précédemment révélé] avaient été volées pendant » l'attaque informatique. Le groupe va « tenter de contacter les clients touchés » par ce vol de coordonnées, indique le communiqué.