En Israël, les cyber-experts ont uni leurs forces pour déjouer l’attaque massive

Alors que les entreprises retournent au travail après le week-end en Israël, le pays évalue toujours combien d’organisations et d’entreprises ont été touchées par une importante attaque informatique qui a frappé plus de 70 pays dans le monde.

Dimanche, un expert en cyber-sécurité a indiqué que l’action rapide et conjointe des cyber-experts du pays avait permis de protéger l’Etat juif.

« Nous évaluons toujours les dégâts », a déclaré Sharon Nimirovski, fondateur et PDG de White Hat, entreprise informatique de Tel Aviv, pendant un entretien téléphonique. « Nous travaillons en permanence sur cet évènement, et des firmes israéliennes ont été touchées mais nous pensons que cela reste mineur. Nous enquêtons toujours. Les systèmes ont été infectés, mais nous ne constatons pas de dégâts. L’attaque a atteint des ordinateurs mais a été bloquée. »

« Nous n’avons aucune idée de ce qu’il va se passer aujourd’hui, c’est toujours le début de la matinée. Nous avons déjà vu une deuxième version de l’attaque qui a été publiée hier [samedi] parce que la première avait été bloquée », a-t-il indiqué.

L’attaque informatique d’extorsion, qui a verrouillé des ordinateurs et détient les fichiers des utilisateurs en attente d’une rançon, serait la plus grande jamais signalée. Elle a perturbé les services des Etats-Unis à la Russie, en passant par le Royaume-Uni, l’Espagne et l’Inde. Elle semble exploiter une vulnérabilité qui aurait été identifiée par la NSA américaine pour être utilisée, avant d’être divulguée sur internet.

Le Centre de cyber-sécurité nationale britannique a annoncé samedi que ses équipes travaillaient « jour et nuit » pour restaurer les systèmes informatiques des hôpitaux après l’attaque qui a forcé les hôpitaux du pays à annuler et reporter des soins de patients. En Russie, où un grand nombre de systèmes a été attaqué, des responsables ont indiqué que les services avaient été restaurés, ou le virus contenu.

Deux entreprises de sécurité informatique, Kaspersky Lab et Avast, ont annoncé avoir identifié le logiciel malveillant responsable de l’attaque dans au moins 70 pays, et ont toutes deux indiqué que la Russie avait été le pays le plus sévèrement touché.

Le Premier ministre Benjamin Netanyahu pendant la réunion hebdomadaire du gouvernement à Jérusalem, le 7 mai 2017. (Crédit : Oded Balilty/Pool/AFP)

« Nous sommes au sommet d’une cyber-attaque mondiale, dans laquelle près de 100 pays ont été touchés. Pour l’instant, il n’y a pas eu de dégâts causés aux infrastructures critiques d’Israël », a déclaré dimanche le Premier ministre Benjamin Netanyahu, pendant la réunion hebdomadaire du cabinet à Jérusalem. « L’autre dégât est mineur, pour l’instant, mais tout peut changer. »

Israël a mis en place ses systèmes de cyber-défense, notamment son Autorité de cyber-sécurité nationale, « en sachant qu’il existe un nouveau danger qui est toujours devant nous », a-t-il dit. Netanyahu a appelé tous les citoyens israéliens à obéir aux directives de l’Autorité. « Il y aura des développements supplémentaires, et nous devons investir plus de ressources » pour garantir que les institutions civiles et militaires d’Israël soient protégées contre de telles attaques, a-t-il dit.

Samedi, le premier responsable de la cyber-sécurité du pays a déclaré qu’il n’y avait à cet instant pas de preuve qu’Israël ait été victime de l’attaque informatique mondiale.

Baruch Carmeli, directeur de l’Autorité de cyber-sécurité nationale, a déclaré qu’il n’y avait « pas d’indication » laissant penser que des organismes et entreprises israéliennes aient été compromis dans cette attaque numérique d’ampleur.

Baruch Carmeli, directeur de l’Autorité de cyber-sécurité nationale, à Jérusalem, le 20 février 2017. (Crédit : Yonatan Sindel/Flash90)

Carmeli a toutefois noté que de nombreux réseaux informatiques du pays étaient inactifs samedi en raison de Shabbat et qu’une évaluation précise ne pourrait être réalisée que dimanche. « Nous nous préparons », a-t-il expliqué.

Il a ajouté que l’autorité était en contact avec des responsables de la cyber-sécurité en Israël et partout dans le monde afin de minimiser tout dommage potentiel.

Nimirovski, dont l’entreprise, White Hat, emploie des équipes de pirates pour fouiller le dark web à la recherche d’activités criminelles dirigées contre ses clients, qui sont notamment des hôpitaux, des institutions financières en Israël et à l’étranger et des institutions gouvernementales israéliennes, a déclaré que vendredi après-midi, ses employés avaient repéré une attaque contre 16 hôpitaux britanniques.

« C’était une attaque généralisée », a dit Nimirovski. Le bureau est entré dans une phase de haute alerte, qu’il appelle « Descone 2 », le deuxième plus haut niveau d’alerte de l’entreprise (le premier est déclenché quand Israël est attaqué), et a commencé à enquêter sur le type d’attaque, sa propagation, sa localisation et les dégâts causés.

Sharon Nimirovski, PDG fondateur de White Hat. (Crédit : autorisation)

« Nous avons envoyé à nos clients le premier vaccin contre l’attaque en moins d’une heure », a-t-il dit. Le « vaccin » comprend des adresses IP, des URL et des noms de fichiers que ses clients doivent bloquer. Les employés de ces entreprises sont allés travailler vendredi après-midi, alors que les sociétés israéliennes sont généralement fermées pour le week-end, ou se sont connectés à distance pour installer ce vaccin, a expliqué Nimirovski.

Alors que l’attaque se propageait dans le monde entier, le Bureau de cyber-sécurité nationale d’Israël a commencé à communiquer avec les cyber-communautés locales et a convoqué des membres du cyber-forum israélien, qui rassemble 250 experts en cyber-sécurité venus d’institutions publiques et privées. « C’était une très grande conversation qui a commencé vendredi soir, tout le monde a été informé, parlait, donnait des conseils et analysait l’évènement », a dit Nimirovski.

« Nous avons uni nos forces et aidé à bloquer l’attaque, a-t-il expliqué. C’était comme une guerre, tout le monde a mis son uniforme et a participé. Le cyber-bureau a commencé à tout coordonner. »

Le Bureau de cyber-sécurité nationale a envoyé des documents à toutes les grandes entreprises d’Israël et aux infrastructures critiques, et a publié sur son site internet des instructions pour expliquer comment empêcher l’attaque.

C’est une coopération qui a travaillé, a dit Nimirovski. La chance a cependant joué un grand rôle dans cet évènement, a-t-il dit, parce que la plupart des entreprises étaient fermées pour le week-end. « Que se serait-il passé si tout cela était arrivé un lundi matin ou un autre jour ? C’est une grande question. »

White Hat surveille le dark web pour déterminer qui était responsable de ces attaques. Il utilise des « moyens sophistiqués » pour les attraper, a-t-il dit.

Erez Kreiner, ancien directeur de la sécurité de l’information du Shin Bet qui dirige maintenant son propre cabinet de cybersécurité. (Crédit : autorisation)

La portée de cette attaque informatique n’a pas de précédent, et les futures attaques ne seront que plus importantes, a prévenu Erez Kreiner, consultant en cyber-sécurité et ancien directeur de la sécurité de l’information au Shin Bet, l’agence de sécurité d’Israël. Pendant 35 ans, il a aidé à contrecarrer des attaques informatiques contre Israël.

« Les dégâts causés par cette attaque ne sont pas pires ni plus sérieux que d’autres attaques que celles que nous avons déjà connues ; les techniques et les outils qu’elle utilise ne sont pas différents. Ce qui est différent, c’est son échelle, a dit Kreiner. Dans le futur, les choses ne feront qu’empirer ; la capacité de telles attaques à grande échelle existe. Le moment où elles se produiront à nouveau ne dépend que des intentions de leurs auteurs. »

Cette attaque aurait utilisé un logiciel malveillant appelé « WanaCrypt0r 2.0 », surnommé WannaCry, qui exploite une faiblesse du système Windows de Microsoft. Microsoft a publié un « patch », une mise à jour logicielle pour réparer ce problème, pour cette vulnérabilité en mars, mais les ordinateurs qui n’ont pas installé la mise à jour de sécurité restent vulnérables.

Ce qui est intéressant dans cette attaque, c’est que les criminels auraient exploité une vulnérabilité qui aurait été identifiée pour être utilisée par la NSA, l’agence de sécurité américaine, puis divulguée sur internet, a dit Ofer Israeli, qui dirige Illusive Networks, une start-up israélienne de cyber-sécurité.

« Ce que nous voyons est le sommet de l’iceberg, a dit Israeli, l’attaquant n’a pas été très sophistiqué et donc la première vague d’attaques a été stoppée, même si une seconde version aurait déjà été libérée. Mais les cyber-criminels peuvent utiliser une capacité létale qui a été exposée et s’en prendre stratégiquement et méthodiquement à une organisation de manière ciblée, et bien plus préjudiciable. »

« Je suis certain que ces prochains mois, nous allons assisté à une attaque plus sophistiquée, plus ciblée et plus dévastatrice. Pendant que nous parlons, c’est déjà en cours. Nous ne le verrons que dans les prochains mois », a-t-il dit.