L’obstacle russe dans le nouveau programme cyber offensif de Trump

Le nouveau projet du président Donald Trump visant à faire appel à des entreprises privées pour aider à déjouer les cybercriminels à l’étranger pourrait se heurter à un problème fondamental lorsqu’il s’agit de la Russie : distinguer les pirates informatiques criminels des agents soutenus par l’État.

Les services de renseignement russes tolèrent depuis longtemps, protègent ou recrutent par intermittence des pirates informatiques motivés par l’argent, sans exercer un contrôle total sur eux. Cette dynamique donne à Moscou un accès plus facile aux talents en matière de hacking et complique une exclusion majeure de la nouvelle directive de Trump qui exclut les groupes faisant partie ou dirigés par un gouvernement étranger, disent des experts et d’anciens responsables américains.

« La frontière entre contrôle gouvernemental, affilié au gouvernement et reconnu par le gouvernement est certainement floue en Russie », a déclaré Michael Daniel, président-directeur général de la Cyber ​​Threat Alliance et ancien coordinateur de la cybersécurité à la Maison Blanche sous le président Barack Obama. « Déterminer la relation exacte entre les acteurs malveillants et le gouvernement russe a longtemps été un défi et est souvent impossible. »

Un mémorandum de la Maison Blanche signé la semaine dernière ouvre la voie à des entreprises américaines contrôlées pour mener des opérations de cybersurveillance et des opérations visant à manipuler, perturber et détruire les systèmes utilisés par des groupes criminels étrangers. Les entreprises travailleraient sous contrat avec le ministère de la Justice et le ministère de la Sécurité intérieure, et chaque opération nécessiterait une approbation écrite.

Le mémo indique que les cibles éligibles ne peuvent pas être « une partie institutionnelle d’un gouvernement étranger » ou « entièrement exploitées sous la direction d’un gouvernement étranger ». Il demande ensuite aux responsables de supposer qu’un groupe ne fait pas partie d’un gouvernement étranger, ni n’est entièrement contrôlé par celui-ci, à moins que des « renseignements clairs » n’établissent ce lien.

Une telle collecte de renseignements auprès d’agences d’espionnage telles que la National Security Agency et la CIA peut aider les entreprises à déterminer des critères de ciblage, même si cela pourrait ne pas être suffisant dans le contexte cybernétique en constante évolution de la Russie.

« Le cyber-Web russe est opaque et en constante évolution, brouillant les frontières entre le gouvernement et les cybercriminels, sans aucune règle unique pour comprendre chaque relation », a déclaré Justin Sherman, PDG de Global Cyber ​​Strategies, une société de recherche et de conseil basée à Washington, DC.

Une partie de cette ambiguïté est intentionnelle et permet au Kremlin d’élargir le bassin de pirates informatiques sur lesquels il peut secrètement s’appuyer, a déclaré Sherman. Cela reflète également une situation de corruption plus large et omniprésente en Russie.

Les entreprises américaines ont peut-être des informations sur ces groupes, mais ne disposent pas des informations plus larges dont dispose le gouvernement. Les agences fédérales, quant à elles, ne peuvent partager ou déclassifier beaucoup de choses, a-t-il déclaré. « Les entreprises privées disposent d’informations essentielles à certains égards et limitées à d’autres », a déclaré Sherman. Avec une image incomplète, « vous risquez de vous tromper de temps en temps ».

Des indicateurs simples ne résolvent pas nécessairement les questions d’attribution, a-t-il ajouté. Les liens avec le FSB – le Service fédéral de sécurité russe qui a succédé au KGB de l’Union soviétique – ne prouvent pas en soi qu’un groupe criminel est dirigé par l’État, et l’utilisation par les services de renseignement russes d’outils développés par des criminels n’établit pas non plus un contrôle gouvernemental continu.

« Des idées simples, basées sur des autocollants, pour décider si un cybercriminel russe est un acteur étatique ou non, s’effondreront souvent dans la pratique », a déclaré Sherman.

Des cas antérieurs illustrent comment ces relations peuvent fonctionner. En 2017, le DOJ a accusé deux agents du FSB d’avoir dirigé et protégé des pirates informatiques criminels impliqués dans la violation de Yahoo. Les procureurs ont déclaré que l’un des pirates informatiques avait également mené des intrusions distinctes à des fins personnelles. Le département du Trésor a également déclaré que Maksim Yakubets, le chef présumé de l’organisation de cybercriminalité Evil Corp, travaillait pour le FSB et était chargé de projets pour le compte de l’État russe tandis que son organisation menait des attaques à motivation financière.

« Les Russes n’ont pas été étrangers à l’utilisation de mandataires du secteur privé pour obtenir ce qu’ils veulent, à condition qu’ils ne les attaquent pas », a déclaré Chris Painter, ancien coordinateur cyber du Département d’État et responsable cyber de la Maison Blanche. Il s’est demandé comment une entreprise pouvait déterminer où un groupe particulier se situe dans ce continuum alors que la réponse n’est souvent pas immédiatement évidente, même pour les gouvernements disposant de ressources suffisantes.

La nouvelle politique est la dernière étape d’une cyber-posture offensive que l’administration a élaborée au cours de l’année dernière. La stratégie nationale de cybersécurité de Trump, publiée en mars, appelle à une « coordination sans précédent » entre le gouvernement et l’industrie sur les missions offensives et défensives. Il s’est engagé à « libérer le secteur privé » en créant des incitations pour que les entreprises identifient et perturbent les réseaux adverses.

Mais cette configuration est restée floue pendant des mois. Le directeur national de la cybersécurité, Sean Cairncross, a déclaré peu après la publication de la stratégie qu’il « ne parlait pas du secteur privé, de l’industrie ou des entreprises engagées dans une campagne de cyberoffensive ». Au lieu de cela, il a décrit les entreprises partageant des informations et des capacités qui permettraient au gouvernement de réagir.

Certains dirigeants de l’industrie interrogés par Nextgov/FCW en avril, il prévoyait néanmoins que le gouvernement finirait par passer des contrats avec des entreprises pour soutenir les cyberopérations. Ils ont également soulevé des questions non résolues sur les autorités judiciaires et sur la façon dont les experts définiraient la frontière entre créer des obstacles pour les adversaires et les pirater de manière offensive.

L’administration est allée plus loin en mai lorsque sa stratégie antiterroriste a explicitement identifié les cyberopérations offensives comme l’un des outils que Washington pourrait utiliser contre les groupes menaçants et les États qui les soutiennent. Ce document offrait peu de détails sur la manière dont de telles opérations fonctionneraient.

Sherman a fait valoir que les États-Unis ne devraient pas laisser l’incertitude concernant les liens cybernétiques de la Russie les empêcher d’agir. Il est grand temps que les États-Unis reconsidèrent leurs hypothèses de retenue et fassent davantage pour contrer les cyberactivités offensives de la Russie, a-t-il déclaré, mais une posture plus agressive ne facilite pas les décisions d’attribution sous-jacentes.

Daniel a déclaré que l’ambiguïté pourrait donner un levier à Washington. Moscou pourrait soit laisser une opération contre des criminels connus rester sans réponse, soit s’y opposer et risquer de révéler ses liens avec eux.

« Les États-Unis pourraient utiliser cette formulation pour bluffer les Russes – soit reconnaître l’existence d’une relation, soit laisser le groupe encaisser les dégâts », a-t-il déclaré. Mais pour maintenir cette contrainte, il faudrait que les États-Unis choisissent leurs cibles avec soin. Si une entreprise frappait par inadvertance du personnel clandestin des agences de renseignement et de sécurité de Moscou, a-t-il ajouté, l’opération pourrait avoir des conséquences bien plus graves.

Les cybercriminels opèrent régulièrement via des serveurs et des systèmes piratés appartenant à des tiers involontaires, ce qui signifie que les entreprises effectuant des piratages peuvent devoir distinguer les criminels ciblés de l’infrastructure qu’ils ont compromise.

« Il reste beaucoup à déterminer sur la façon dont la surveillance va fonctionner, comment le ciblage va fonctionner », a déclaré Painter. « Tout cela est censé être décidé dans 60 jours », a-t-il déclaré, faisant référence au calendrier dans lequel la nouvelle politique doit être élaborée.

Painter a déclaré que la meilleure version du programme serait un processus étroitement contrôlé dans lequel le gouvernement utilise les renseignements fournis par les entreprises et ses propres agences pour sélectionner des cibles légitimes. Les entreprises voudront probablement des assurances écrites que le gouvernement a approuvé un objectif et que leurs actions sont couvertes par le programme, a-t-il déclaré.

La directive publique n’explique pas comment les responsabilités seraient réparties si un entrepreneur suivait un plan approuvé et que les renseignements sous-jacents s’avéraient erronés. Une grande partie du processus opérationnel sera également régie par une annexe classifiée.

Coordonner les décisions du gouvernement et les activités du secteur privé dans un contexte proche du temps réel sera en soi difficile, a déclaré Daniel.

« Je ne connais aucun précédent analogue », a-t-il ajouté.

Un porte-parole du DHS n’a pas répondu aux questions sur la manière dont l’administration distinguerait les groupes de cybercriminalité russes des acteurs liés à l’État ou sur qui porterait la responsabilité si une cible était mal identifiée.

Le département « attend avec impatience de mettre en œuvre la directive du président Trump visant à lutter contre la cybercriminalité transnationale menaçant les Américains et nos entreprises », a déclaré le porte-parole.

« Rien que l’année dernière, les organisations criminelles transnationales cybernétiques ont volé plus de 20 milliards de dollars directement aux Américains grâce à des stratagèmes de fraude, de ransomware et d’extorsion généralisés », a déclaré la porte-parole de la Maison Blanche, Lauren Bis, lorsqu’on lui a posé la même série de questions. « L’administration Trump mène une campagne agressive pour perturber ces syndicats illicites et les démanteler à la source. »

Les départements de la Justice et de l’État n’ont pas fait de commentaires. L’ambassade de Russie à Washington a également été contactée.

La perspective d’opérations contre les cybercriminels pro-russes comporte une possible dimension diplomatique. Trump a poursuivi son engagement direct avec le président russe Vladimir Poutine et a cherché à mettre un terme à la guerre en Ukraine. Les deux dirigeants ont convenu en juillet de maintenir le contact et de se parler à nouveau.

L’administration a déjà ajusté sa cyber-posture lors des négociations avec Moscou. Le représentant Don Bacon, R-Neb., qui préside le comité cyber du House Armed Services Committee, a confirmé l’année dernière que le secrétaire à la Défense Pete Hegseth avait ordonné une brève pause dans les opérations du Cyber ​​Command américain contre la Russie pendant que l’administration poursuivait les pourparlers sur l’Ukraine.

Le mémorandum nécessite une coordination avec le Département d’État, suggérant que les conséquences diplomatiques seront prises en compte avant qu’une opération ne soit approuvée. Il ne dit pas publiquement dans quelle mesure les responsables envisageraient de perturber un groupe de cybercriminalité russe par rapport à d’autres négociations avec le Kremlin.

« Si une décision est prise selon laquelle nous sommes prudents avec la Russie maintenant parce que nous sommes dans des négociations sensibles, cela jouera un rôle », a déclaré Painter. Les entreprises pourraient également « se peindre elles-mêmes la cible » et faire face à des représailles russes si leur implication devenait publique, a-t-il ajouté. Même si une entreprise est tenue de garder son rôle secret, cela n’empêchera pas un adversaire ou une autre partie de le révéler.

« Je comprends ce qu’ils essaient de faire, et s’il y a une surveillance vraiment solide, y compris le ciblage, l’examen et la surveillance de ce qu’ils font, cela pourrait bien fonctionner », a déclaré Painter. « Mais il y a tellement de chances que ça se passe mal. »