Intrusion dans le Bundestag allemand (APT28)

En mai 2015, le Bundestag allemand — le parlement fédéral de l'Allemagne — a découvert que des opérateurs d'APT28 / Fancy Bear avaient compromis son réseau parlementaire. Au moment où les services de cyberdéfense allemands ont réagi, les opérateurs avaient récupéré environ 16 Go de courriels et de données documentaires, dont la correspondance du bureau parlementaire de la chancelière Angela Merkel, de dirigeants de l'opposition et du personnel des commissions parlementaires.

L'opération a contraint à une reconstruction complète du parc informatique du Bundestag pour un coût d'environ 17 millions d'euros. C'est l'incident de cyberespionnage étatique européen le plus cité des années 2010 et un moment décisif dans la posture de cyberdéfense de l'Allemagne.

Ce qui s'est passé

Les opérateurs d'APT28 — évalués par les services de renseignement allemands, américains et britanniques comme étant l'unité 26165 du GRU russe (distincte de l'unité Sandworm 74455 qui a mené NotPetya et les opérations destructrices contre les Jeux olympiques) — ont lancé une campagne de spearphishing contre le personnel du Bundestag fin avril 2015. Les leurres faisaient référence à des sujets de sanctions de l'ONU d'intérêt contemporain, avec des pièces jointes Word malveillantes contenant des charges utiles Sofacy / X-Agent.

Au moins un membre du personnel du Bundestag a ouvert la pièce jointe, déployant un implant Sofacy sur son poste de travail. À partir de là, les opérateurs ont :

• Récupéré les identifiants de domaine à l'aide d'outils standard de type Mimikatz adaptés à la boîte à outils d'APT28 du GRU.
• Obtenu les privilèges d'administrateur de domaine sur le réseau parlementaire du Bundestag en quelques jours.
• Établi un accès persistant sur environ 14 serveurs, dont l'infrastructure de messagerie et documentaire.
• Exfiltré environ 16 Go de données sur plusieurs semaines, en se concentrant principalement sur les archives de courriels des parlementaires de premier plan et du personnel des commissions.

Les données comprenaient :

• La correspondance par courriel du bureau parlementaire de la chancelière Angela Merkel (distincte de l'informatique de sa chancellerie, mais contenant un volume important de documents recoupant celle-ci).
• Les communications de dirigeants de l'opposition, dont la correspondance des groupes parlementaires SPD et Linke.
• Des documents de commissions parlementaires, dont des documents de politique étrangère et de contrôle du renseignement.
• Des notes de travail et des positions provisoires de plus de 5 500 parlementaires et membres du personnel.

Détection et reconstruction

Le personnel informatique du Bundestag a détecté un trafic anormal le 8 mai 2015 mais en a sous-estimé l'ampleur. Au 12 mai, l'Office fédéral de la sécurité des technologies de l'information (BSI) et l'Office fédéral de protection de la Constitution (BfV) allemands étaient intervenus et avaient reconnu l'ampleur totale de la compromission.

La décision de réponse allemande était inhabituelle par son ampleur : plutôt que de tenter d'évincer les opérateurs tout en maintenant la continuité opérationnelle, le Bundestag a choisi de reconstruire à neuf l'ensemble du parc informatique parlementaire. Au cours de l'été 2015 :

• Tous les postes de travail ont fait l'objet d'une imagerie forensique et d'une reconstruction.
• Tous les serveurs ont été remplacés ou entièrement effacés et réinstallés.
• L'architecture réseau a été repensée avec segmentation et contrôles d'accès plus stricts.
• Les identifiants ont été renouvelés de manière exhaustive.

Le coût : environ 17 millions d'euros. La reconstruction a été achevée à l'automne 2015, le réseau parlementaire revenant en pleine activité en octobre.

Attribution et mise en accusation

En mai 2020 — cinq ans après l'opération — l'Office fédéral de police criminelle (BKA) allemand a émis un mandat d'arrêt contre Dmitri Sergeyevich Badin, un ressortissant russe identifié comme officier de l'unité 26165 du GRU. Ce mandat était le tout premier émis par les autorités allemandes pour une opération de cyberespionnage étatique.

En octobre 2020, le Conseil de l'UE a adopté des sanctions cyber à l'encontre de Badin et de deux autres officiers du GRU (Aleksey Morenets, Yevgeniy Serebriakov) au titre du régime de sanctions cyber de l'UE. Ces mêmes officiers russes avaient été précédemment nommés dans l'acte d'accusation Mueller américain de 2018 pour le piratage du DNC et dans la divulgation de 2018 du renseignement néerlandais d'une tentative d'intrusion du GRU contre l'Organisation pour l'interdiction des armes chimiques (OIAC) à La Haye.

L'attribution à l'unité 26165 du GRU est significative sur le plan opérationnel : elle place l'opération contre le Bundestag au sein du même groupe APT28 / Fancy Bear responsable de :

• Intrusions dans le DNC et le DCCC (2016, États-Unis)
• Attaque contre TV5Monde (2015, France, se faisant passer pour l'État islamique)
• Tentative de spearphishing contre l'OIAC (2018, Pays-Bas)
• Fuites de l'Agence antidopage (2016, AMA)

Impact

• ~16 Go de courriels et de données documentaires exfiltrés, dont la correspondance de parlementaires de premier plan.
• 17 millions d'euros de coûts de remédiation pour la reconstruction complète du parc informatique.
• Aucune divulgation publique des données exfiltrées — ce qui distingue l'opération contre le Bundestag de l'opération contre le DNC qui a suivi, où les données divulguées ont été publiées de manière sélective via WikiLeaks pendant la campagne américaine de 2016.
• L'investissement ultérieur de l'Allemagne en cybersécurité s'est considérablement étendu ; le budget et l'autorité du BSI se sont sensiblement accrus dans la réforme fédérale de cybersécurité de 2016-2018.

Pourquoi c'est important

L'opération contre le Bundestag est le cas canonique de cyberespionnage étatique européen et l'exemple le plus cité d'opérations du GRU contre des institutions démocratiques de l'UE. Elle a établi :

• Que les réseaux parlementaires de l'UE étaient des cibles attrayantes pour le cyberespionnage étatique russe. Le Bundestag a été suivi d'opérations similaires contre l'élection législative française (2017), le Sénat italien (soupçonné, non divulgué) et les réseaux du personnel de l'OSCE.
• Que la reconstruction complète du réseau est une stratégie de remédiation viable pour les compromissions majeures de cyberespionnage étatique, à condition de disposer d'un soutien politique et budgétaire. Le précédent de la reconstruction du Bundestag a été cité dans des décisions ultérieures au Storting norvégien (2020) et ailleurs.
• Que les sanctions cyber coordonnées de l'UE constituent un outil de politique crédible. Les désignations de l'UE de 2020 visant Badin et ses collègues étaient les toutes premières sanctions cyber jamais émises par l'UE et ont établi le modèle pour les actions ultérieures de l'UE.
• Que la capacité fédérale allemande de cybersécurité s'est considérablement développée depuis 2015. L'opération contre le Bundestag est l'événement déclencheur le plus cité dans l'établissement du rôle de coordination de cybersécurité fédérale du BSI et de l'expansion ultérieure de l'Office fédéral de la sécurité des technologies de l'information.