Kaspersky a exploité une fuite de logiciel espion pour obtenir des empreintes de code et traqué une zero-day active

En juillet 2015, le hacker Phineas Fisher a publié environ 400 Go de données du fournisseur italien de surveillance Hacking Team, y compris des courriels internes. Parmi ceux-ci, Costin Raiu, de Kaspersky Lab, a trouvé une négociation de 2013 dans laquelle le vendeur d'exploits Vitaliy Toropov proposait à Hacking Team une zero-day Silverlight « écrite il y a 2,5 ans » avec « toutes les chances de survivre encore dans les années à venir » — preuve qu'un exploit sans correctif et sans détails publics pouvait encore infecter des systèmes, si seulement Kaspersky parvenait à le trouver.

Les zero-days sont généralement découvertes par hasard, dans l'analyse médico-légale qui suit une intrusion. Raiu a tenté l'inverse : dresser le profil de l'auteur. Il a récupéré les exploits de démonstration de concept que Toropov avait publiés dans le cadre de programmes de primes aux bogues entre 2011 et 2013, avant que ses divulgations publiques ne tarissent, et a remarqué trois chaînes de débogage qui revenaient dans les fichiers — des résidus que les développeurs livrent régulièrement dans le code compilé sans le vouloir. En juillet, il les a inscrites dans une règle YARA et l'a déployée sur l'outil de prévention automatique des exploits de Kaspersky et sur son réseau de télémétrie partagé avec les clients, puis il a attendu.

Des mois ont passé sans rien. Puis, le 25 novembre 2015, une machine cliente au Moyen-Orient a produit une correspondance : un exploit d'exécution de code à distance Silverlight construit à partir du code de la preuve de concept de calculatrice publiée par Toropov. Quelques heures plus tard, un second échantillon est apparu sur VirusTotal, téléversé depuis le Laos et compilé le 21 juillet — deux semaines après la mise en ligne des courriels divulgués. Kaspersky a signalé la vulnérabilité, et Microsoft a publié en janvier 2016 un correctif « critique » pour la faille Silverlight BinaryReader.

On peut traquer un exploit que l'on n'a jamais vu : relever l'empreinte de l'auteur, pas celle de l'échantillon — ses preuves de concept publiées portent des chaînes de débogage que son travail privé peut hériter.

La fuite a été réaffectée en système d'alerte précoce : un catalogue commercial volé indiquait aux défenseurs quel exploit invisible existait, quel était approximativement son âge et qui l'avait construit.

La paternité est une signature : les auteurs d'exploits réutilisent leurs bibliothèques, et le code de débogage tend à survivre dans les binaires compilés, si bien que les preuves de concept publiées peuvent servir d'empreinte pour le travail privé qui a suivi.

Le réseau de capteurs existait déjà : une règle YARA déployée sur la télémétrie opt-in de Kaspersky a transformé des milliers de machines clientes en fils-pièges sans déployer quoi que ce soit de nouveau.

L'étiquette défensive a laissé la trace : les années que Toropov a consacrées à divulguer de manière responsable des bogues à des programmes de primes — avec des preuves de concept publiées — sont devenues l'empreinte de ses exploits non divulgués.

L'attribution d'attaques fonctionne aussi à l'envers : les habitudes d'un auteur sont une signature. Quand vous ne trouvez pas l'artefact, modélisez son fabricant à partir de ce qu'il a publié et laissez vos capteurs attendre la correspondance.

Kaspersky n'a trouvé aucun autre échantillon, ce qui suggère que l'acheteur a utilisé l'exploit de manière chirurgicale ; Raiu estimait sa valeur entre 20 000 et 40 000 dollars sur le marché des zero-days. Toropov a déclaré à WIRED que l'exploit « n'est pas le mien » après avoir examiné le code, tout en confirmant que les parties issues de la preuve de concept étaient de lui. Raiu a qualifié cet épisode de première fois que son équipe réussissait à attraper quelque chose qu'elle avait planifié de chasser, et a noté que la technique pouvait désormais être appliquée au code public d'autres vendeurs. Le correctif de Microsoft a éliminé la menace spécifique ; la méthode — relever l'empreinte de l'auteur, puis attendre — est restée dans la boîte à outils.