Dans un communiqué, le FBI présente le compte rendu d’une opération de nettoyage dans de nombreux routeurs utilisés pour perpétrer des attaques. Les résultats, en demi-teinte, illustrent la complexité d’une situation qui dure depuis longtemps : le manque de suivi dans la sécurité des routeurs.
Le 15 février, le FBI a annoncé les résultats d’une vaste opération menée contre un réseau qui comprenait « des centaines de routeurs » de type SOHO (Small office & Home office, petits bureaux et bureaux à domicile). Cette infection, de type botnet, était orchestrée – selon le FBI – par le GRU, la direction générale des renseignements de l’État-Major des Forces armées de la fédération de Russie. Le groupe a reçu plusieurs sobriquets avec le temps : APT 28, Sofacy Group, Forest Blizzard, Pawn Storm, Fancy Bear et Sednit.
La campagne sort toutefois de l’ordinaire : les pirates n’ont pas infecté directement les équipements visés, ils ont repris une infection précédente. En l’occurrence, ils se sont tournés vers des routeurs de la gamme EdgeRouter d’Ubiquiti, très présents dans les petites structures, déjà infectés par le malware Moobot. Ce dernier avait pu être installé à cause de configurations par défaut non modifiées, en particulier le mot de passe administrateur. Il s’agit pourtant d’une règle élémentaire de sécurité.
L’opération du FBI s’est faite conjointement avec des partenaires internationaux, sans préciser lesquels. On sait cependant que la fondation Shadowserver et le Threat Center de Microsoft ont joué un rôle. « Dans cette affaire, les services de renseignement russes se sont tournés vers des groupes criminels pour les aider à cibler les routeurs des particuliers et des entreprises, mais le ministère de la Justice a déjoué leur stratagème. Nous continuerons à perturber et à démanteler les outils cyber malveillants du gouvernement russe qui mettent en péril la sécurité des États-Unis et de nos alliés », s’est enorgueillie l’agence.