Les États-Unis mettent en garde des centaines de millions d’appareils menacés par une vulnérabilité logicielle récemment révélée
Alors que les grandes entreprises technologiques luttent pour contenir les retombées, des responsables américains ont organisé un appel avec des dirigeants de l’industrie pour les avertir que les pirates informatiques exploitaient activement la vulnérabilité.
Pour l’instant, ont déclaré à CNN les analystes de la cybersécurité, la pression est exercée sur les entreprises technologiques pour qu’elles nettoient leur code logiciel et sur les grandes entreprises pour déterminer si elles sont affectées par la faille. Mais parce que la vulnérabilité est si répandue et probablement présente dans des choses comme les applications et les sites Web populaires, les consommateurs pourraient également ressentir les retombées si ces services étaient piratés.
« Nous nous attendons à ce que la vulnérabilité soit largement exploitée par des acteurs sophistiqués et nous avons peu de temps pour prendre les mesures nécessaires afin de réduire la probabilité d’incidents dommageables », a déclaré Easterly.
Il s’agit de l’avertissement le plus brutal à ce jour de la part des responsables américains au sujet de la faille du logiciel depuis l’annonce à la fin de la semaine dernière que des pirates l’utilisaient pour tenter de s’introduire dans les réseaux informatiques des organisations. C’est également un test des nouveaux canaux que les responsables fédéraux ont mis en place pour travailler avec les dirigeants de l’industrie après les piratages généralisés exploitant les logiciels SolarWinds et Microsoft révélés l’année dernière.
Des experts ont déclaré à CNN que cela pourrait prendre des semaines pour remédier aux vulnérabilités et que des pirates informatiques chinois présumés tentaient déjà de l’exploiter.
Il offre à un pirate informatique un moyen relativement simple d’accéder au serveur informatique d’une organisation. À partir de là, un attaquant pourrait concevoir d’autres moyens d’accéder aux systèmes du réseau d’une organisation.
L’Apache Software Foundation, qui gère le logiciel Log4j, a publié un correctif de sécurité que les organisations peuvent appliquer.
Course contre la montre pour corriger la faille
Les organisations sont maintenant dans une course contre la montre pour savoir si elles disposent d’ordinateurs exécutant les logiciels vulnérables qui ont été exposés à Internet. Les responsables de la cybersécurité au sein du gouvernement et de l’industrie travaillent sans relâche sur la question.
« Nous allons devoir nous assurer d’avoir un effort soutenu pour comprendre le risque de ce code dans l’ensemble des infrastructures critiques américaines », a déclaré Jay Gazlay, un autre responsable de la CISA, lors de l’appel téléphonique.
Les pirates informatiques liés au gouvernement chinois ont déjà commencé à utiliser la vulnérabilité, selon Charles Carmakal, vice-président senior et directeur de la technologie de la société de cybersécurité Mandiant. Mandiant a refusé de préciser quelles organisations les pirates ciblaient.
« Au fil du temps, tout le monde peut armer la fichue chose », a déclaré à CNN le PDG de Mandiant, Kevin Mandia, faisant référence à la vulnérabilité. « C’est le problème. Et il y aura probablement de grands hackers cachés dans le bruit des moins bons. »
Le « bruit » est un vrai problème. Pour les professionnels de la cybersécurité, Twitter a été une source constante d’informations utiles et, dans certains cas, de désinformations qui n’ont rien à voir avec la vulnérabilité.
Pour résoudre le problème, la CISA a déclaré qu’elle créerait un site Web public contenant des informations sur les produits logiciels affectés par la vulnérabilité et les techniques utilisées par les pirates pour l’exploiter.
« Ce sera un processus de plusieurs semaines au cours duquel de nouveaux acteurs exploiteront la vulnérabilité », a déclaré Eric Goldstein, directeur adjoint exécutif de la CISA pour la cybersécurité, lors d’un appel téléphonique.
L’omniprésence du logiciel a obligé les professionnels de la cybersécurité à travers le pays à passer le week-end à vérifier si leurs systèmes sont vulnérables.
« Pour la plupart du monde des technologies de l’information, il n’y avait pas de week-end », a déclaré à CNN Rick Holland, responsable de la sécurité de l’information de la société de cybersécurité Digital Shadows. « C’était juste une autre longue série de jours. »
Geneva Sands de CNN a contribué au reportage.
.