Affaire Target : 11 Go de données envoyées vers un serveur russe

[Jean Elyan – Le Monde Informatique – 19/01/2014]

Les données piratées sur les terminaux de paiement de Target ont tranquillement transité par le réseau de la chaine de distribution avant d’être dirigées vers un serveur basé aux États-Unis, puis vers la Russie.

Les numéros de cartes de crédit volées aux millions de clients du distributeur Target ont beaucoup voyagé : après une première étape aux États-Unis, les données ont atterri sur un serveur basé en Russie. Des chercheurs de deux entreprises de sécurité chargés d’enquêter sur l’une des violations de données les plus dévastatrices de l’histoire d’Internet, ont analysé le malware qui a infecté les caisses enregistreuses de Target. Ceux-ci ont trouvé quelques éléments qui permettent de mieux cerner la méthode d’attaque utilisée par les pirates. Selon leurs premiers résultats, les attaquants ont réussi à s’introduire dans le réseau de Target. Pendant plus de deux semaines, ils ont pu pirater des données sans se faire repérer. « Selon les indicateurs d’intrusion, la méthode utilisée témoigne d’un haut niveau de compétence et d’innovation dans le mode opératoire », indique dans son rapport du 14 janvier l’entreprise de sécurité iSight Partners, basée à Dallas.

« Pendant plus de deux semaines, le malware a permis aux pirates de détourner plus de 11 Go de données des caisses enregistreuses de Target », a déclaré Aviv Raff, CTO de la société de sécurité Seculert dans une interview réalisée hier par messagerie instantanée avec nos confrères d’IDG (auquel Le Monde Informatique est toujours affilié). Seculert a analysé un échantillon du malware (il circule parmi les chercheurs en sécurité). Comme le détaille Seculert sur son blog, dans un premier temps, les données ont été discrètement déplacées vers un autre serveur situé sur le réseau de Target. « Ensuite, elles ont été transmises en paquets vers un serveur basé aux États-Unis, lui-même détourné par les pirates », a écrit le CTO de Seculert. Selon les logs de ce serveur, à partir du 2 décembre, les données ont été à nouveau déplacées, direction cette fois, un serveur situé en Russie. Selon Aviv Raff, il est difficile de dire si les attaquants sont eux-mêmes en Russie. « Personne ne sait qui est vraiment derrière tout ça », a-t-il déclaré. (suite…)