30 Juin 2015 ASP A. Babin, ASP (R) A. Valli - Centre d’études stratégiques de la Marine

Mer de Chine : une frégate britannique voit fondre sur elle des chasseurs de l’armée populaire de Libération. Certain d’être en haute mer, son équipage ignorait que son GPS avait été la proie d’un piratage électronique destiné à créer un incident international. La position était faussée, le bâtiment naviguait dans les eaux sous souveraineté chinoise.

L’activité maritime face à la criminalité informatique

L’ouverture de Demain ne meurt jamais, film de la saga James Bond, semblait tenir de la fantaisie il y a encore une dizaine d’années. Mais plusieurs faits divers récents sont venus démontrer que la fiction était de plus en plus proche de la réalité. L’attaque ou la manipulation de données informatiques concernant les navires et leur cargaison est désormais possible, du fait de leur dépendance croissante à l’électronique de bord connectée en réseaux.

Cette intégration des systèmes informatiques et électroniques dans la gestion et l’automatisation des opérations liées aux activités maritimes est appelée « marétique »[1]. Essentielle pour le développement des interfaces portuaires, cette informatisation a permis, pour la seule gestion des porte-conteneurs, un gain de productivité de 7 à 14% au cours des dix dernières années. La mise en réseau des navires, des armateurs et des ports permet une fluidité et une gestion de l’information décisive pour l’efficacité des acteurs du monde maritime. Toutefois, ce progrès technologique ne s’est pas toujours accompagné de l’introduction de mesures de sécurité adéquates. Certains logiciels ne disposent ainsi que d’anti-virus basiques, similaires à ceux vendus aux particuliers, signe que beaucoup d’opérateurs ne sont pas formés à la gestion d’une attaque informatique, voire à sa simple détection. La confiance trop grande accordée à certains matériels comportant une dimension  informatique, comme le GPS, peut aussi, à terme, générer une dégradation des capacités de réaction du personnel en cas de panne provoquée ou de piratage.

Cette vulnérabilité s’accompagne de la multiplication d’acteurs malveillants qui voient dans le secteur maritime une cible d’importance du fait de sa place capitale dans les échanges internationaux. Le port d’Anvers, l’un des premiers au monde, a été victime de 2011 à 2013 d’un piratage de son logiciel de gestion des stocks[2]. Des hackers s’étaient introduits dans les registres informatiques à l’aide de simples mails piégés destinés aux employés du port. Une fois effacés des registres, les conteneurs, chargés de drogue en provenance d’Amérique du Sud, étaient récupérés sans contrainte par les narcotrafiquants. L’alerte est donnée en 2011 par les sociétés de transports maritimes qui s’inquiètent de la disparition de certaines cargaisons. Mais il faudra encore deux ans pour trouver la parade à cette cyber-attaque.

Les craintes des experts du secteur ne se limitent cependant pas à la criminalité ; si les infrastructures portuaires ou les navires peuvent constituer des cibles, ils peuvent tout autant se muer en arme. En témoigne ce cargo Iranien, le Ramtin, qui en octobre 2013[3] a réussi à temporairement falsifier son identification électronique pour mieux contourner l’embargo sur le pétrole iranien. D’après Patrick Hebrard, expert en cyberdéfense chez DCNS,  rien n’exclut que de telles méthodes ne soient utilisées un jour par des organisations terroristes, afin, par exemple, de détourner ou de prendre en otage le personnel d’un navire[4].

Le monde militaire, partenaire indispensable de la cyber-sécurité

De plus en plus d’acteurs du monde maritime comprennent désormais l’enjeu de la sécurisation des systèmes informatiques. La multiplication ces dernières années de rapports publics ou émanant de compagnies d’assurances sur le sujet témoigne d’une prise de conscience sur le nécessaire renforcement de la cyber-sécurité dans son ensemble, et non plus de manière cloisonnée et désordonnée. L’agence européenne pour la sécurité des réseaux et de l’information (ENISA) a ainsi pointé du doigt en 2011 le manque de procédures de sécurité commune entres pays européens, mais également au sein d’infrastructures locales, notamment dans les ports de commerce.

Le secteur militaire se penche donc tout logiquement sur le sujet. Fortement informatisées depuis la seconde guerre mondiale – à la fois pour la « liaison des armes » sur un bâtiment, pour le fonctionnement d’une force navale et pour les liens avec le commandement à terre –, les marines de guerre ont toujours été à la pointe en matière de sécurité sur leur réseau électronique. Signes de l’importance que la Marine nationale attache à cette nouvelle forme de guerre : la création l’année dernière d’une chaire de cyber-sécurité à l’Ecole navale de Brest et la désignation d’un officier général pour la cyber-sécurité.

Mais les armées ne sont pas seules dans cette lutte. Les agences gouvernementales, telles que l’ANSSI[5], cherchent désormais elles aussi à s’assurer du niveau de protection des acteurs privés du monde maritime et à développer les synergies entre acteurs civils et militaires. Le classement d’industries ou de sites maritimes sensibles en tant qu’« opérateurs d’importance vitale » (désignation regroupant des infrastructures essentielles à la sécurité de la France) pourrait conduire à renforcer les partenariats privés/publics en matière de cyberdéfense.

Premier exemple d’une telle collaboration, l’exercice DEFNET 2015 dirigé en mars dernier par le vice-amiral Arnaud Coustillière, officier général responsable de la cyberdéfense. Si cet exercice a essentiellement concerné des ressources militaires, notamment deux BPC de la Marine nationale, il a permis d’entraîner l’ensemble des acteurs de la cyberdéfense (ANSII, EMA et spécialistes interarmées) aux intrusions informatiques, mais également à la protection de sites stratégiques civils sensibles. Un premier pas dans l’intégration du secteur maritime, dans son ensemble, à une politique de cyberdéfense cohérente et réactive.

[1] Cf « Le livre Bleu de la Marétique » paru en 2012

[2] La libre Belgique : Comment Anvers a été piraté et s’en est sorti. Octobre 2013. http://www.lalibre.be/economie/actualite/comment-anvers-a-ete-pirate-et-...

[3] Gcaptain : Iranian Tanker Hacks AIS to Disguise Itself Off Singapore. Octobre 2013. http://gcaptain.com/iranian-tanker-hacks-disguise/

[4] France Inter, secret d’info : Les cyber-pirates passent à l'attaque. 12 Décembre  2014. http://www.franceinter.fr/emission-secrets-d-info-les-cyber-pirates-pass...

[5] Agence Nationale pour la Sécurité des Systèmes d’Informations

November 20, 2013: Strategy Page

Earlier this year it was revealed by Western Internet security researchers that a specific Chinese military organization, “Unit 61398” has been responsible for over a thousand attacks on government organizations and commercial firms since 2006. China denied this, and some Unit 61398 attacks ceased and others changed their methods for a month or so. But since then Unit 61398 has apparently returned to business as usual. The Chinese found that, as usual, even when one of their Cyber War organizations was identified by name and described in detail there was little anyone would or could do about it. There was obviously a Chinese reaction when the initial news became headlines, but after a month or so it was realized that it didn’t make any difference and the Chinese hackers went back to making war on the rest of the world. Unit 61398 is believed to consist of several thousand full time military and civilian personnel as well as part-time civilians (often contractors brought in for a specific project).

China's Cyber War hackers have become easier to identify because they have been getting cocky and careless. Internet security researchers have found identical bits of code (the human readable text that programmers create and then turn into smaller binary code for computers to use) and techniques for using it in hacking software used against Tibetan independence groups and commercial software sold by some firms in China and known to work for the Chinese military. Similar patterns have been found in hacker code left behind during attacks on American military and corporate networks. The best hackers hide their tracks better than this. The Chinese hackers have found that it doesn’t matter. Their government will protect them.

It's been noted that Chinese behavior is distinctly different from that encountered among East European hacking operations. The East European hackers are more disciplined and go in like commandos and get out quickly once they have what they were looking for. The Chinese go after more targets with less skillful attacks and stick around longer than they should. That's how so many hackers are tracked back to China, often to specific servers known to be owned by the Chinese military or government research institutes.

The East Europeans have been at this longer and most of the hackers work for criminal gangs, who enforce discipline, select targets, and protect their hackers from local and foreign police. The East European hacker groups are harder to detect (when they are breaking in) and much more difficult to track down. Thus the East Europeans go after more difficult (and lucrative) targets. The Chinese hackers are a more diverse group. Some work for the government, many more are contractors, and even more are independents who often slip over to the dark side and scam Chinese. This is forbidden by the government and these hackers are sometimes caught and punished, or simply disappear. The Chinese hackers are, compared the East Europeans, less skilled and disciplined. There are some very, very good Chinese hackers but they often lack adult supervision (or some Ukrainian gangster ready to put a bullet in their head if they don't follow orders exactly).

For Chinese hackers that behave (don't do cybercrimes against Chinese targets) the rewards are great. Large bounties are paid for sensitive military and government data taken from the West. This encourages some unqualified hackers to take on targets they can't handle. This was noted when a group of hackers were caught trying to get into a high-security network in the White House (the one dealing with emergency communications with the military and nuclear forces). These amateurs are often caught and prosecuted. But the pros tend to leave nothing behind but hints that can be teased out of heavy use of data mining and pattern analysis.

Over the last decade Internet security firms (especially Kaspersky Labs, Mandiant and Symantec) have been increasingly successful at identifying the hacker organizations responsible for some of the large-scale hacker attacks on business and government networks. This has led to the identification of dozens of major hacking operations and which campaigns they were responsible for. The security firms also identify and describe major malware (software created by hackers for penetrating and stealing from target systems). For example, earlier this year Kaspersky Labs discovered a stealthy espionage program called NetTraveler. This bit of malware had been secretly planted in PCs used by diplomats and government officials in over 40 countries. Also hit were oil companies and political activists opposed to China. No samples of the NetTraveler from Israel were available for this analysis, but the program apparently did appear in Israel (but may have been prevented from stealing anything). Dissection of NetTraveler indicated it was created by about fifty different people, most of them Chinese speakers who knew how to program in English.

Kaspersky also discovered a similar bit of malware called Red October, because it appeared to have been created by Russian speaking programmers. Red October was a very elaborate and versatile malware system. Hundreds of different modules have been discovered and Red October had been customized for a larger number of specific targets. Red October was found to be in the PCs and smart phones of key military personnel in Eastern Europe, Central Asia, and dozens of other nations (U.S., Australia, Ireland, Switzerland, Belgium, Brazil, Spain, South Africa, Japan, and the UAE). The Red October Internet campaign has been going on for at least five years and has been seeking military and diplomatic secrets. As a result of this discovery Internet operators worldwide shut down the addresses Red October depended on.

Red October does not appear to be the product of some government intelligence agency and may be from one of several shadowy private hacker groups that specialize in seeking out military secrets and then selling them to the highest bidder. The buyers of this stuff prefer to remain quiet about obtaining secrets this way. In response to this publicity, the operators of Red October have apparently shut down the network. The Russian government ordered the security services to find out if Russians were involved with Red October and, if so, to arrest and prosecute them. Russia has long been a sanctuary for Internet criminals, largely because of poor policing and corruption. It may well turn out that the Red October crew is in Russia and has paid off a lot of Russian cops in order to avoid detection and prosecution. To date, the operators of Red October have not been found. All nations, except China, have become more willing to assist in finding, arresting and prosecuting criminal hackers. While more are going to jail, it is still a very small proportion of those involved.

What most of these large scale attacks have in common is the exploitation of human error. Case in point is the continued success of attacks via Internet against specific civilian, military, and government individuals using psychology, rather than just technology. This sort of thing is often carried out in the form of official looking email, with a file attached, sent to people at a specific military or government organization. It is usually an email they weren't expecting but from someone they recognize. This is known in the trade as "spear fishing" (or "phishing"), which is a Cyber War technique that sends official looking email to specific individuals with an attachment which, if opened, secretly installs a program that sends files and information from the email recipient's PC to the spear fisher's computer. In the last few years an increasing number of military, government, and contractor personnel have received these official-looking emails with a PDF document attached and asking for prompt attention. As more defenses for these types of attacks appear, new attack methods will be developed. Governments and the public are becoming more aware of the extent of the hacker spies. What is not yet known is the impact of all this on the concept of state secrets and military capability.