TL;DR : L’essentiel
- Le groupe TeamPCP a exploité une version compromise de l’outil de sécurité Trivy pour dérober une clé API AWS appartenant à la Commission européenne le 19 mars.
- L’intrusion a permis l’exfiltration de dizaines de gigaoctets de données, incluant des bases de données et 52 000 courriels, affectant 42 services internes et 29 organismes partenaires.
- Le collectif ShinyHunters a revendiqué la publication de 350 Go de fichiers dérobés, tandis que le CERT-EU confirme une compromission étendue de l’infrastructure d’hébergement Europa.eu.
Le 24 mars, la Commission européenne a identifié une intrusion critique au sein de son infrastructure cloud hébergeant la plateforme Europa.eu. Cette cyberattaque, attribuée par le CERT-EU au groupe cybercriminel TeamPCP, a entraîné l’exposition de données sensibles appartenant à au moins 30 entités de l’Union européenne. La compromission initiale remonte au 19 mars, déclenchée par le vol d’identifiants d’accès privilégiés.
Un vecteur d’attaque par la chaîne d’approvisionnement
Selon SecurityAffairs, l’accès initial a été rendu possible par une attaque de type « supply chain » ciblant Trivy, un outil de sécurité open-source largement utilisé. L’organisation a involontairement téléchargé une version infectée de ce logiciel via les canaux de mise à jour habituels. Cette faille a permis aux attaquants de s’emparer d’une clé API secrète associée à un compte Amazon Web Services (AWS). Ce sésame technique a ensuite servi à pivoter vers d’autres ressources et à déployer des outils de reconnaissance comme TruffleHog pour identifier de nouveaux secrets.
Une fuite massive orchestrée par ShinyHunters
Les investigations menées par les services de cybersécurité révèlent que près de 92 Go de données compressées ont été extraits. Comme le rapporte TechCrunch, le groupe ShinyHunters a par la suite diffusé ces archives sur le dark web, affirmant détenir 350 Go de fichiers. Le jeu de données comprend des noms, des adresses électroniques et des contenus issus de serveurs de messagerie. Les instances européennes précisent toutefois que les systèmes internes critiques sont restés préservés, tout comme la disponibilité des sites web institutionnels.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
En réponse, l’institution s’appuie sur le Cyber Solidarity Act et la directive NIS2 pour renforcer la résilience des infrastructures critiques, comme le précise la Commission européenne. Pour les experts de dcod.ch, cet incident illustre la dangerosité croissante des compromissions silencieuses d’outils de sécurité tiers au sein des environnements cloud régaliens.
FAQ : Comprendre la compromission Europa.eu (Source : CERT-EU)
Quel est l’incident signalé par le CERT-EU ?
Il s’agit d’une violation de sécurité majeure affectant un compte cloud AWS utilisé pour l’hébergement de la plateforme web Europa.eu. Cette infrastructure technique supporte les sites publics de la Commission et de nombreux autres organismes de l’Union. Au total, 71 clients du service d’hébergement ont été exposés, dont 42 services internes et 29 entités tierces.
Quelle est l’origine technique de cette faille ?
L’attaque a débuté par une compromission de la chaîne d’approvisionnement logicielle (« supply chain compromise »). Les attaquants ont injecté du code malveillant dans l’outil Trivy, un scanner de vulnérabilités. En utilisant cet outil légitime mais corrompu, la Commission a exposé sans le savoir ses propres secrets de gestion cloud aux attaquants.
Quelles tactiques ont été employées par les attaquants ?
Le groupe TeamPCP a d’abord dérobé une clé API secrète. Ils ont ensuite utilisé l’outil TruffleHog pour scanner l’environnement à la recherche d’autres identifiants et ont sollicité le service STS (Security Token Service) d’AWS pour valider leurs accès. Pour rester furtifs, ils ont créé et rattaché une nouvelle clé d’accès à un utilisateur existant avant de procéder à l’exfiltration des données.
Quel est le déroulement chronologique des événements ?
28 mars : Publication des 340 Go de données volées par le groupe ShinyHunters sur le dark web.
19 mars : Vol de la clé API AWS via l’outil Trivy compromis et début de la reconnaissance.
24 mars : Détection de l’attaque par le centre opérationnel (CSOC) de la Commission.
25 mars : Notification officielle du CERT-EU.
27 mars : Divulgation publique de l’incident par la Commission.
Pour approfondir le sujet
Violation du cloud de la Commission européenne : une compromission de la chaîne d'approvisionnement
Violation du cloud de la Commission européenne : une compromission de la chaîne d'approvisionnement Lire la suite
Armer les protecteurs : l’attaque en plusieurs étapes de la chaîne d’approvisionnement de TeamPCP contre l’infrastructure de sécurité
TeamPCP poursuit sa série d'attaques contre la chaîne d'approvisionnement et annonce un partenariat avec le groupe de ransomware Vect. Lire la suite
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions. Chaque café compte.
