Exclusif : des pirates nord-coréens ont piraté le principal fabricant de missiles russe

LONDRES/WASHINGTON, 7 août (Reuters) – Un groupe d’élite de pirates informatiques nord-coréens a secrètement piraté les réseaux informatiques d’un important développeur de missiles russe pendant au moins cinq mois l’année dernière, selon des preuves techniques examinées par Reuters et des analyses de chercheurs en sécurité.

Reuters a découvert que des équipes de cyber-espionnage liées au gouvernement nord-coréen, que les chercheurs en sécurité appellent ScarCruft et Lazarus, ont secrètement installé des portes dérobées numériques furtives dans les systèmes de NPO Mashinostroyeniya, un bureau de conception de fusées basé à Reutov, une petite ville à la périphérie de Moscou.

Reuters n’a pas pu déterminer si des données ont été prises lors de l’intrusion ou quelles informations ont pu être consultées. Dans les mois qui ont suivi l’effraction numérique, Pyongyang a annoncé plusieurs développements dans son programme de missiles balistiques interdits, mais il n’est pas clair si cela était lié à l’infraction.

Les experts disent que l’incident montre comment le pays isolé ciblera même ses alliés, comme la Russie, dans le but d’acquérir des technologies critiques.

NPO Mashinostroyeniya n’a pas répondu aux demandes de commentaires de Reuters. L’ambassade de Russie à Washington n’a pas répondu à une demande de commentaire envoyée par courrier électronique. La mission nord-coréenne auprès des Nations Unies à New York n’a pas répondu à une demande de commentaire.

La nouvelle du piratage intervient peu de temps après un voyage à Pyongyang le mois dernier du ministre russe de la Défense, Sergueï Choïgou, pour le 70e anniversaire de la guerre de Corée ; la première visite d’un ministre russe de la Défense en Corée du Nord depuis l’éclatement de l’Union soviétique en 1991.

La société ciblée, communément connue sous le nom de NPO Mash, a agi en tant que développeur pionnier de missiles hypersoniques, de technologies satellitaires et d’armements balistiques de nouvelle génération, selon des experts en missiles – trois domaines qui intéressent vivement la Corée du Nord depuis qu’elle s’est lancée dans sa mission de créer un Missile balistique intercontinental (ICBM) capable de frapper la partie continentale des États-Unis.

Selon les données techniques, l’intrusion a commencé à peu près fin 2021 et s’est poursuivie jusqu’en mai 2022 lorsque, selon les communications internes de l’entreprise examinées par Reuters, les ingénieurs informatiques ont détecté l’activité des pirates.

NPO Mash a pris de l’importance pendant la guerre froide en tant que premier fabricant de satellites pour le programme spatial russe et en tant que fournisseur de missiles de croisière.

PIRATAGE DE COURRIEL

Les pirates ont creusé dans l’environnement informatique de l’entreprise, leur donnant la possibilité de lire le trafic de messagerie, de passer d’un réseau à l’autre et d’extraire des données, selon Tom Hegel, chercheur en sécurité au sein de la société américaine de cybersécurité SentinelOne, qui a initialement découvert le compromis.

« Ces découvertes fournissent un aperçu rare des cyber-opérations clandestines qui restent traditionnellement cachées à l’examen public ou ne sont tout simplement jamais capturées par de telles victimes », a déclaré Hegel.

L’équipe d’analystes en sécurité de Hegel chez SentinelOne a appris le piratage après avoir découvert qu’un membre du personnel informatique de NPO Mash avait accidentellement divulgué les communications internes de son entreprise alors qu’il tentait d’enquêter sur l’attaque nord-coréenne en téléchargeant des preuves sur un portail privé utilisé par des chercheurs en cybersécurité du monde entier.

Contacté par Reuters, ce membre du personnel informatique a refusé de commenter.

La défaillance a fourni à Reuters et SentinelOne un instantané unique d’une entreprise d’importance critique pour l’État russe qui a été sanctionnée par l’administration Obama à la suite de l’invasion de la Crimée.

Deux experts indépendants en sécurité informatique, Nicholas Weaver et Matt Tait, ont examiné le contenu des e-mails exposés et ont confirmé son authenticité. Les analystes ont vérifié la connexion en vérifiant les signatures cryptographiques de l’e-mail par rapport à un ensemble de clés contrôlées par NPO Mash.

« Je suis très convaincu que les données sont authentiques », a déclaré Weaver à Reuters. « La façon dont l’information a été exposée était une erreur absolument hilarante ».

SentinelOne a déclaré être convaincu que la Corée du Nord était à l’origine du piratage, car les cyber-espions ont réutilisé des logiciels malveillants et une infrastructure malveillante précédemment connus mis en place pour effectuer d’autres intrusions.

‘TRUCS DE FILM’

En 2019, le président russe Vladimir Poutine a présenté le missile hypersonique « Zircon » de NPO Mash comme un « nouveau produit prometteur », capable de voyager à environ neuf fois la vitesse du son.

Le fait que des pirates nord-coréens aient pu obtenir des informations sur le Zircon ne signifie pas qu’ils auraient immédiatement la même capacité, a déclaré Markus Schiller, un expert en missiles basé en Europe qui a étudié l’aide étrangère au programme de missiles de la Corée du Nord.

« C’est du cinéma », a-t-il dit. « Obtenir des plans ne vous aidera pas beaucoup à construire ces choses, il y a bien plus que quelques dessins ».

Cependant, étant donné la position de NPO Mash en tant que concepteur et producteur de missiles russes de premier plan, la société serait une cible précieuse, a ajouté Schiller.

« Il y a beaucoup à apprendre d’eux », a-t-il déclaré.

Un autre domaine d’intérêt pourrait être le processus de fabrication utilisé par NPO Mash autour du carburant, ont déclaré des experts. Le mois dernier, la Corée du Nord a testé le Hwasong-18, le premier de ses ICBM à utiliser des propergols solides.

Cette méthode de ravitaillement peut permettre un déploiement plus rapide des missiles pendant la guerre, car elle ne nécessite pas de ravitaillement sur une rampe de lancement, ce qui rend les missiles plus difficiles à suivre et à détruire avant le décollage.

NPO Mash produit un ICBM surnommé le SS-19 qui est alimenté en usine et fermé hermétiquement, un processus connu sous le nom d ‘«ampulisation» qui donne un résultat stratégique similaire.

« C’est difficile à faire car le propulseur de fusée, en particulier le comburant, est très corrosif », a déclaré Jeffrey Lewis, chercheur en missiles au James Martin Center for Nonproliferation Studies.

« La Corée du Nord a annoncé qu’elle faisait la même chose fin 2021. Si NPO Mash avait une chose utile pour eux, ce serait en haut de ma liste », a-t-il ajouté.

Reportage de James Pearson à Londres et Christopher Bing à Washington; édité par Chris Sanders et Alistair Bell

Nos normes : Les principes de confiance de Thomson Reuters.