Des pirates informatiques russes, chinois et iraniens ont visé la présidentielle américaine, selon Microsoft

Les pirates informatiques russes qui avaient pesé sur l’élection présidentielle américaine de 2016 n’ont pas rangé leurs claviers. Au contraire : selon Microsoft, ils ont pris pour cible ces dernières semaines des individus et des organismes gravitant autour de l’élection du 3 novembre. Ils ne sont pas les seuls, puisque selon les analystes de l’entreprise, des pirates d’origines chinoise et iranienne ont aussi lancé des offensives liées à l’élection.

« Cette activité que nous révélons aujourd’hui montre clairement que des groupes étrangers ont intensifié leurs efforts pour cibler l’élection de 2020, comme cela avait été anticipé et conformément à ce que le gouvernement américain, notamment, a rapporté » écrit Tom Burst, vice-président de Microsoft, sur le site de l’entreprise.

Le retour de « Fancy Bear »

L’équipe de pirates russes que Microsoft appelle Strontium, baptisée par d’autres entreprises APT28 ou Fancy Bear et que des enquêtes de la justice et du parlement américains estiment être une émanation du renseignement militaire russe (GRU), avait déjà joué un rôle de premier plan il y a quatre ans. Elle avait piraté les comptes courriels d’individus proches de la campagne d’Hillary Clinton et du parti démocrate. Les documents issus de ce piratage avaient ensuite été publiés par WikiLeaks et abondamment relayés par les médias américains.

En 2020, des consultants travaillant avec les républicains et les démocrates, des think tanks, des partis politiques aux Etats-Unis et au Royaume-Uni ainsi que le Parti populaire européen, qui réunit les formations de la droite et du centre au parlement européen, figurent parmi les cibles de ces pirates. En particulier, APT28 aurait visé un cabinet de conseil travaillant avec l’équipe de campagne de Joe Biden, rapportait l’agence Reuters peu avant l’annonce de Microsoft.

La politique n’est cependant qu’un aspect de l’activité d’APT28 que révèle aujourd’hui Microsoft. Ainsi, selon cette dernière, des dizaines de milliers de comptes courriels appartenant à 200 organisations ont été pris pour cible entre septembre 2019 et juin 2020. Les techniques de ce groupe de pirates, connu et suivi depuis plusieurs années par nombre d’entreprises spécialisées, sont plus évoluées qu’en 2016 : selon Microsoft, ils savent aujourd’hui mieux camoufler leurs traces et sont plus difficiles à pister.

Des tentatives en provenance d’Iran et de Chine

D’autres groupes se sont intéressés de près à l’élection américaine. C’est le cas de celui que Microsoft surnomme Zirconium. Suivi par l’industrie de la cybersécurité depuis quelques années et dont la proximité avec le renseignement chinois fait consensus, il est plutôt connu pour des opérations d’espionnage industriel. Ce dernier a, selon Microsoft, attaqué des « individus de premier plan », y compris des membres de la campagne de Joe Biden, un ancien proche de l’administration Trump et une trentaine d’universités et de think tanks, principalement dans la sphère des relations internationales. Les accusations de Microsoft sont « inventées de toutes pièces », a réagi vendredi Zhao Lijian, un porte-parole du ministère des affaires étrangères chinois, niant toute volonté d’ingérence.

Un troisième groupe, que Microsoft nomme Phosphorus, semble graviter autour de l’élection 2020. Bien connu des experts en cybersécurité, il est considéré comme émanant des services de renseignement iraniens et se concentrait, jusqu’à la fin de l’année dernière, sur des cibles liées de près ou de loin à l’Arabie saoudite et plus largement le Moyen-Orient. Depuis la fin 2019, il semble avoir les élections américaines dans son viseur. C’est à cette période que Microsoft a pris le contrôle, grâce à une décision de justice, de plusieurs sites Web utilisés comme infrastructure pour lancer des attaques. Selon l’entreprise, Phosphorus a pris pour cible, entre mai et juin 2020, des boîtes de messagerie de membres de l’administration et de l’équipe de campagne de Donald Trump.

L’implication de ces deux groupes, chinois et iranien, dans des manœuvres d’espionnage contre la présidentielle américaine avait déjà été rendue publique, quoique discrètement, en juin, par le chef de l’équipe de Google spécialisée dans la traque des pirates informatiques de haut niveau.

Espionnage ou future ingérence ?

Il n’est pas surprenant que Microsoft lève ainsi le voile sur certaines opérations d’espionnage. De par son système d’exploitation – Windows, présent sur des dizaines de millions d’ordinateurs dans le monde – et sa messagerie dans le « cloud », l’entreprise de Redmond est aux premières loges des opérations de renseignement numérique.

Tentatives ratées ou simples manœuvres de reconnaissance, ces offensives ne semblent en tout cas pas avoir occasionné de siphonnage de documents, même si Microsoft est prudent sur ce point. « La majorité de ces attaques ont été détectées et stoppées par les outils de sécurité intégrés à nos produits », écrit l’entreprise. Ces attaques n’ont par ailleurs pas visé l’infrastructure utilisée lors de l’élection pour l’émargement des électeurs ou le décompte des voix.

Les offensives comme celles pointées par Microsoft, lorsqu’elles sont couronnées de succès, ne s’accompagnent pas nécessairement de manœuvres d’ingérence comme en 2016. Les membres des états-majors de campagnes politiques sont des cibles fréquentes des espions, qu’ils soient ou non informatiques. En 2008, des pirates informatiques chinois avaient ainsi pris pour cible les deux camps, celui de John McCain et celui de Barack Obama, sans que ces offensives s’accompagnent de fuites de documents. Il est par exemple probable que l’appareil de renseignement chinois désire comprendre les positions des proches de Joe Biden au cas où ce dernier remplacerait Donald Trump à la Maison Blanche en janvier prochain.

Des sanctions aux effets limités

Ces éléments rendus publics par Microsoft corroborent en partie la position des services de renseignement américains pour qui ces trois pays et leurs pirates informatiques sont les plus actifs vis-à-vis de l’élection présidentielle américaine de novembre. Ces nouvelles informations seront cependant plus difficiles à digérer pour l’administration Trump, qui n’a cessé de minimiser les tentatives d’ingérences russes depuis 2016 et pour qui la Chine, plus menaçante que la Russie, a décidé de favoriser Joe Biden. D’autant plus qu’elles émergent au lendemain d’une plainte d’un cadre du renseignement américain qui accuse sa hiérarchie de lui avoir ordonné de passer sous silence certaines informations accréditant des tentatives d’ingérences russes afin de ne pas froisser Donald Trump.

Dans le même temps, le département du trésor américain a sanctionné trois ressortissants russes, citant leurs efforts pour interférer dans l’élection américaine. Il leur reproche d’être impliqués dans des transactions en cryptomonnaies au profit de l’Internet Research Agency, l’officine russe chargée de la propagande sur les réseaux sociaux, très active en 2016. Egalement visé par des sanctions, Andreï Derkach, un député ukrainien qualifié « d’agent russe », très actif pour attaquer Joe Biden avec Rudy Giuliani, soutien inconditionnel de Donald Trump et dont il est très proche. Andreï Derkach a nié toute tentative d’ingérence et évoqué une « revanche » de « l’Etat profond ».

L’activité continue des pirates informatiques issus des renseignements militaires russes suggère aussi que les nombreuses mesures de rétorsion prises par les Etats-Unis après l’élection de 2016 – sanctions financières, inculpations judiciaires, contre-attaques informatiques – ont eu un effet très limité. De quoi craindre des semaines mouvementées d’ici au 3 novembre.