Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à l’Australian Cyber Security Centre de l’Australian Signals Directorate et aux partenaires internationaux suivants pour publier un bulletin conjoint visant à faire état d’une menace d’intrusion dans des réseaux posée par un cybergroupe associé au ministère de la Sécurité de l’État (MSE) de la République populaire de Chine (RPC) et à se protéger contre celle-ci :
- Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA) et Federal Bureau of Investigation (FBI) des États-Unis;
- National Cyber Security Centre (NCSC-UK) du Royaume-Uni;
- National Cyber Security Centre (NCSC-NZ) de la Nouvelle-Zélande;
- Federal Intelligence Service (BND) et Federal Office for the Protection of the Constitution (BfV) de l’Allemagne;
- National Intelligence Service (NIS) et National Cyber Security Center de la République de Corée;
- National Center of Incident Readiness and Strategy for Cybersecurity (NISC) et National Policy Agency (NPA) du Japon.
Le cybergroupe parrainé par un État cherche à cibler les réseaux du gouvernement et du secteur privé en menant des activités visant à :
- exploiter les dispositifs vulnérables qui sont en fin de vie, non corrigés ou non pris en charge;
- exploiter les nouvelles vulnérabilités publiques dans les logiciels utilisés à grande échelle;
- utiliser des dispositifs compromis comme tremplin pour lancer des attaques conçues pour se confondre avec le trafic réseau légitime.
Le bulletin conjoint vise à fournir de l’information, des mesures d’atténuation, ainsi que des études de cas qui démontrent les outils et le savoir-faire du cybergroupe.
Les organisations devraient se protéger contre les menaces d’exploitation des réseaux en prenant les mesures suivantes :
- compiler de l’information de journalisation complète et historique;
- diffuser rapidement des correctifs pour tous les appareils et services connectés à Internet;
- segmenter les réseaux et appliquer des mesures rigoureuses de contrôle de l’accès, en particulier pour Active Directory et les serveurs d’authentification.
Il convient de prendre de plus amples mesures d’atténuation pour prévenir cette menace d’exploitation des réseaux et les menaces similaires, dont les mesures suivantes :
- désactiver les services de réseau, les ports et les protocoles non utilisés ou inutiles;
- mettre en place des pare-feu pour protéger les serveurs et applications Web;
- activer l’authentification multifacteur;
- remplacer l’équipement en fin de vie.
Prière de consulter le bulletin conjoint PRC MSS tradecraft in action (en anglais seulement).