La NASA (Agence spatiale américaine) a révélé avoir été victime d'un piratage de son infrastructure interne, resté indétecté pendant près d'un an. Il est important de noter que le réseau était isolé des menaces externes et que l'attaque a été menée de l'intérieur, à l'aide d'une carte Raspberry Pi connectée sans autorisation au Jet Propulsion Laboratory (JPL).
Ce tableau était utilisé par les employés comme point d'accès au réseau local. Lors du piratage du système d'un utilisateur externe ayant accès à cette passerelle, les attaquants ont pu accéder au tableau et, par son intermédiaire, à l'ensemble du réseau interne du Jet Propulsion Laboratory, qui a développé le rover Curiosity et les télescopes spatiaux.
Des traces d'intrusion sur le réseau interne ont été identifiées en avril 2018. Au cours de l'attaque, des individus inconnus ont pu intercepter 23 fichiers, d'une taille totale d'environ 500 Mo, associés à des missions sur Mars.
Deux de ces fichiers contenaient des informations soumises à l'interdiction d'exporter des technologies à double usage. De plus, les attaquants ont accédé au réseau d'une antenne parabolique du Deep Space Network (DSN), utilisée pour recevoir et transmettre des données aux engins spatiaux des missions de la NASA.
Parmi les raisons qui ont contribué à la mise en œuvre du piratage, il a été appelé la suppression tardive des vulnérabilités dans les systèmes internes.
Cependant, l'audit a révélé que l'inventaire de la base de données était incomplet et inexact, une situation qui compromet la capacité de JPL à surveiller, signaler et répondre efficacement aux incidents de sécurité.
Les administrateurs système ne mettent pas systématiquement à jour l'inventaire lors de l'ajout de nouveaux périphériques au réseau. En particulier, certaines vulnérabilités sont restées non corrigées pendant plus de 180 jours.
La division a également mal géré la base de données d'inventaire ITSDB (Information Technology Security Database) , qui devrait refléter tous les appareils connectés au réseau interne.
Plus précisément, il a été constaté que 8 des 11 administrateurs de système responsables de la gestion des 13 systèmes d'échantillonnage de l'étude conservent un tableau d'inventaire distinct de leurs systèmes, à partir duquel ils mettent à jour périodiquement et manuellement les informations de la base de données ITSDB.
De plus, un administrateur système a déclaré qu'il n'entrait pas régulièrement de nouveaux appareils dans la base de données ITSDB car la fonction de mise à jour de la base de données ne fonctionnait parfois pas.
L'analyse a montré que cette base de données avait été remplie négligemment et ne reflétait pas l'état réel du réseau , notamment parce qu'elle ne prenait pas en compte la carte Raspberry Pi utilisée par les employés.
Le réseau interne lui-même n'était pas divisé en segments plus petits, ce qui simplifiait les activités des attaquants.
Les responsables craignaient que les cyberattaques traversent latéralement le pont dans leurs systèmes de mission, obtenant potentiellement un accès et envoyant des signaux malveillants aux missions de vol habité utilisant ces systèmes.
Dans le même temps, les responsables de la sécurité informatique ont cessé d'utiliser les données DSN car ils craignaient qu'elles ne soient corrompues et peu fiables.
Cela dit, la NASA n'a mentionné aucun nom directement lié à l' attaque d'avril 2018. Cependant, certains supposent que cela pourrait être lié aux agissements du groupe de pirates informatiques chinois connu sous le nom de Menace persistante avancée 10, ou APT10.
Selon la plainte, des enquêtes ont montré qu'une campagne de phishing a permis aux espions de voler des centaines de gigaoctets de données en accédant à au moins 90 ordinateurs, y compris des ordinateurs de sept sociétés de technologie aéronautique, spatiale et satellitaire, à trois sociétés.
Cette attaque montre clairement que même les organisations dotées des niveaux de sécurité les plus élevés peuvent subir ce type d'événement.
Généralement, ces types d'attaquants ont tendance à tirer parti des maillons les plus faibles de la sécurité informatique, c'est-à-dire des utilisateurs eux-mêmes.