' fill='%230E4F97'%3E%3Cg id='Group-5' transform='translate(370.000000, 11.000000)'%3E%3Cg id='avatar' transform='translate(6.000000, 4.000000)'%3E%3Ccircle id='Oval' cx='8' cy='4' r='4'%3E%3C/circle%3E%3Cpath d='M7.12864205,10 L8.87135795,10 C11.558649,10 14.0087196,11.5384024 15.1762205,13.958831 L16,15.6666667 L16,15.6666667 L15.3374858,17.5134983 C15.228016,17.8186575 14.9774027,18.051811 14.6651459,18.1389975 L8,20 L8,20 L1.33485405,18.1389975 C1.02259733,18.051811 0.771984007,17.8186575 0.662514216,17.5134983 L0,15.6666667 L0,15.6666667 L0.823779545,13.958831 C1.99128041,11.5384024 4.44135104,10 7.12864205,10 Z' id='Rectangle'%3E%3C/path%3E%3C/g%3E%3C/g%3E%3C/g%3E%3C/g%3E%3C/svg%3E)
La firme israélienne Candiru suspectée d’une campagne de cyber-attaques
Le média Middle East Eye, la société Piaggio Aerospace, des sites officiels des États iranien, syrien et yéménite, et des sites du Hezbollah pro-iranien auraient été touchés
La société de cybersécurité slovaque Eset a révélé mardi une campagne de cyber-attaques ciblées au Moyen-Orient liée à Candiru, la très discrète entreprise israélienne spécialisée dans la cyber-intrusion sanctionnée début novembre par les États-Unis.
« Nous pensons que c’est un client de Candiru qui a effectué ces attaques », avec les outils fournis par cette dernière, a expliqué à l’AFP Matthieu Faou, le limier d’Eset qui a mené l’enquête.
Eset ne nomme pas explicitement ce client, mais pointe du doigt l’Arabie saoudite.
La société de cybersécurité relève en effet que les serveurs utilisés par l’attaquant ont des noms de domaines du même type que ceux utilisés dans une autre campagne attribuée à l’Arabie saoudite par Citizen Lab, un laboratoire spécialisé de l’Université de Toronto.
La campagne mise en lumière par Eset est une attaque du type « point d’eau » (« watering hole »), et a été observée entre juillet 2020 et août 2021.
Elle consiste à compromettre les victimes en piégeant avec un code malveillant des sites internet parfaitement légitimes que ces personnes sont susceptibles de fréquenter.
Dans ce cas précis, les sites piégés étaient des sites de médias ou de fournisseurs d’accès à internet, des sites gouvernementaux ou d’entreprises d’aéronautique militaire, qui présentent un lien avec le Yémen et le conflit dans ce pays, selon Eset.
Un média britannique (« Middle East Eye »), la société italienne Piaggio Aerospace, des sites officiels des États iranien, syrien et yéménite, et des sites du Hezbollah pro-iranien ont ainsi été touchés.
L’attaquant a aussi créé une fausse version du site du salon médical Medica à Dusseldorf, en Allemagne, selon Eset.
Selon M. Faou, il ne s’agissait pas d’une campagne de masse, mais d’une campagne extrêmement ciblée, visant un nombre de personnes vraisemblablement « très très faible ».
Le 4 novembre, le département du Commerce américain a placé sur liste noire Candiru et trois autres sociétés spécialisées dans la vente d’outils d’attaque informatique – l’israélienne NSO, éditrice du notoire logiciel espion Pegasus, la société russe Positive Technologies, et la singapourienne Computer Security Initiative Consultancy (Coseic).
Cette liste noire restreint les échanges commerciaux avec les sociétés désignées.
