La série Vault 7 de WikiLeaks ne cesse de surprendre. En avril, nous vous parlions de Weeping Angel, un logiciel espion destiné à pirater les téléviseurs intelligents Samsung. Puis est venue Athena, dont le but est de prendre le contrôle total d'un système et de s'y installer. Aujourd'hui, c'est au tour du paquet Brutal Kangaroo, dont la priorité est d'infecter des réseaux internes isolés par air gaps à l'aide de clés USB. Son fonctionnement n'est pas sans rappeler Stuxnet, ce qui, à vrai dire, ne nous surprend guère.
Le monde a découvert à ses dépens la puissance des « jouets » que les agences de renseignement conservent dans leurs systèmes, après la fuite de quelques exploits et le déploiement massif de WannaCry. Inutile de dire qu'aucune once de remords ne vient des responsables, et chaque fois qu'ils se réunissent, ils ne pensent qu'à approfondir leurs actions, avec une régulation accrue d'Internet et de nouvelles attaques contre les plateformes de chiffrement. L'information est notre première ligne de défense, et c'est là qu'intervient WikiLeaks. Le site porte sa part de scandales (à commencer par son étrange relation avec le gouvernement russe et certaines annonces disproportionnées), mais la série Vault 7 continue de faire du bruit. Quel est le prochain ? Le nom est Brutal Kangaroo.
Un paquet de quatre outils
D'après les informations disponibles (150 pages en moyenne), Brutal Kangaroo est un paquet de la CIA comprenant quatre outils : Drifting Deadline (infection de clés USB et de terminaux), Shattered Assurance (outils automatiques qui contrôlent l'infection des clés), Broken Promise (processeur d'informations collectées) et Shadow (persistance). Brutal Kangaroo utilise différents vecteurs pour infecter les terminaux même lorsque l'utilisateur n'a ouvert aucun fichier. Parmi les noms qui circulent, on trouve EZCheese, Lachesis et RiverJack. Microsoft a confirmé avoir bloqué ces trois éléments avec des correctifs, mais sans partager les dates exactes (le hotfix pour EZCheese date de 2015).
Brutal Kangaroo doit être installé sur un « hôte principal » chargé de recevoir les clés USB qui sont ensuite utilisées dans le réseau isolé. Une fois la clé infectée connectée à l'un des terminaux, le malware tente de se propager au reste du réseau et de créer un « réseau caché ».
Le texte suggère que le point d'entrée de Brutal Kangaroo (l'hôte principal) nécessite une infection manuelle, ce qui implique un accès physique au matériel (probablement avec une autre clé USB) et une efficacité réduite, mais si Microsoft a déjà publié des correctifs qui bloquent son fonctionnement, la question qui nous reste est : « Que sont-ils en train d'utiliser maintenant ? »
Site officiel : WikiLeaks Vault 7
